VPN-ul criptează drumul, nu copia de pe disc sau din cloud

Urmați un fișier de la un laptop până la un coleg: el există pe disc, traversează un tunel, ajunge într-un bucket din cloud și este copiat într-o copie de siguranță. Doar unul dintre aceste segmente este acoperit de VPN, și este cel mai efemer. Celelalte copii continuă să existe după ce tunelul se închide, sub criptarea de stocare pe care proprietarii au configurat-o efectiv. A ști ce copie este protejată de ce împiedică un tunel funcțional să fie confundat cu o politică de protecție a datelor.

Urmați un fișier prin trei copii

Începeți cu locul unde se odihnesc octeții, apoi cu locul unde se deplasează și, în final, cu locul unde sunt stocați din nou. Tunelul ocupă etapa de mijloc. De o parte și de alta, criptarea stocării, criptarea aplicației și controlul accesului sunt mecanisme separate cu custozi de chei separați.

Desenați acea cale înainte de a alege ceva. Desenul arată de obicei că copia care îi îngrijorează pe cei mai mulți, cea aflată în tranzit, este cea care există cele mai puține secunde. Arată, de asemenea, care salt nu are nimeni în cameră, și de obicei acela este cel care are nevoie de atenție.

Treaba tunelului se termină la propriul său capăt

Un VPN convențional criptează segmentul dintre cele două capete ale sale. Dincolo de capătul îndepărtat, traficul este din nou IP obișnuit, dacă nu îl protejează altceva; de aceea o sesiune de browser poate rămâne criptată cap la cap în timp ce tunelul acoperă doar prima etapă.

Nimic din acel segment nu spune cum stochează serviciul receptor încărcarea, ce scrie în jurnalele sale sau ce metadate de cont păstrează. Acestea sunt proprietăți ale sistemului receptor și rămân valabile indiferent dacă cererea a sosit printr-un tunel sau nu. Un operator care face reclamă transportului criptat a descris călătoria, nu depozitul.

Discul și seiful de chei sunt decizii separate

Criptarea întregului disc protejează volumul când mașina este oprită și depinde de o cheie pe care dispozitivul sau utilizatorul o furnizează la pornire. Seiful unui manager de parole își criptează propriul conținut cu o cheie derivată dintr-o acreditare principală. Activarea unui VPN nu face niciuna dintre aceste lucruri și nu va cripta un export în text simplu care există deja într-un folder de descărcări.

Exporturile sunt locul unde acest lucru devine concret. Un export de seif scris pentru o migrare este un fișier în text simplu cu toate secretele în el și supraviețuiește tunelului, sesiunii și repornirii, dacă nu îl elimină cineva.

file export-notes.json
head -c 80 export-notes.json
sha256sum export-notes.json

Dacă acea ieșire este text lizibil, fișierul nu este protejat. Ștergeți-l imediat ce migrarea s-a terminat și amintiți-vă că ștergerea sigură pe stocarea modernă depinde de dispozitiv și nu este o singură comandă portabilă.

Ce acoperă de fapt criptarea din partea cloudului

Criptarea pe partea serverului protejează obiectul stocat de cineva care obține suportul subiacent, iar furnizorul deține în continuare chei capabile să îl citească. Criptarea pe partea clientului, în care fișierul este criptat înainte de încărcare, ține textul simplu în afara razei furnizorului, dar mută custodia cheilor și recuperarea la dumneavoastră.

Niciunul dintre modele nu este greșit, iar ele răspund la întrebări diferite despre cine ar trebui să poată citi datele. Verificați configurația reală a produsului în loc să presupuneți că unul îl implică pe celălalt. Citiți literal declarația privind custodia cheilor, inclusiv ce se întâmplă când suportul recuperează un cont. Dacă furnizorul poate restabili accesul fără cheia dumneavoastră, atunci furnizorul poate citi obiectul.

Copiile se înmulțesc în tăcere. Un link partajat, un client de sincronizare, un cache local și o sarcină de backup creează fiecare încă un obiect sub o politică pe care poate nu ați ales-o. Enumerați-le pentru datele care contează, pentru că cea mai puternică criptare din traseu este irelevantă dacă o copie în text simplu stă într-un folder partajat.

Dovada este o restaurare, nu o viteză de încărcare

Dovada utilă a unui design de stocare este că persoanele prevăzute pot recupera datele, iar cele neprevăzute nu. Debitul de încărcare măsoară cu totul altceva și flatează orice design care nu a fost niciodată restaurat. Alegeți un fișier din fiecare copie pe care vă bazați și demonstrați că se întoarce.

Restaurați un fișier din fiecare copie pe care vă bazați, folosind materialul de recuperare în locul sesiunii care l-a creat. O cheie păstrată doar în mașina care a eșuat nu este un plan de recuperare, iar o copie de siguranță a cărei restaurare necesită seiful pierdut este un alt fel de punct unic de eșec.

Orientările de gestionare a cheilor ale NIST acoperă întrebările legate de ciclul de viață care supraviețuiesc oricărei decizii de produs. Păstrați răspunsurile împreună cu datele pe care le protejează și revizuiți-le când se schimbă o copie, un destinatar sau un furnizor de stocare.