VPN шифрует путешествие, а не копию на диске или в облаке

Проследите один файл от ноутбука до коллеги: он есть на диске, проходит через туннель, попадает в облачное хранилище и копируется в резервную копию. Только один из этих участков покрыт VPN, и это самый короткоживущий. Остальные копии продолжают существовать после закрытия туннеля — под тем шифрованием хранилища, которое их владельцы действительно настроили. Знание того, какая копия чем защищена, не позволяет принять работающий туннель за политику защиты данных.

Проследите один файл через три копии

Начните с того, где байты лежат, затем с того, куда они перемещаются, и наконец с того, где они снова хранятся. Туннель занимает промежуточный этап. По обе его стороны шифрование хранилища, шифрование приложения и контроль доступа — это отдельные механизмы с отдельными хранителями ключей.

Нарисуйте этот путь, прежде чем что-либо выбирать. Рисунок обычно показывает, что копия, о которой больше всего волнуются, та, что в пути, существует меньше всего секунд. Он также показывает, на каком переходе нет ответственного в комнате, и обычно это тот, которому нужно внимание.

Работа туннеля заканчивается на его собственной конечной точке

Обычный VPN шифрует участок между двумя своими конечными точками. За дальней конечной точкой трафик снова становится обычным IP, если его не защищает что-то другое; поэтому сеанс браузера может оставаться зашифрованным от начала до конца, пока туннель покрывает только первый отрезок.

Ничто в этом участке не говорит о том, как принимающий сервис хранит загрузку, что он пишет в свои журналы и какие метаданные учётной записи сохраняет. Это свойства принимающей системы, и они остаются верными независимо от того, пришёл ли запрос через туннель. Оператор, рекламирующий шифрованную передачу, описал путешествие, а не склад.

Ваш диск и ваше хранилище ключей — отдельные решения

Шифрование всего диска защищает том, когда машина выключена, и зависит от ключа, который устройство или пользователь предоставляет при загрузке. Хранилище менеджера паролей шифрует собственное содержимое ключом, производным от главного секрета. Включение VPN не делает ни того, ни другого и не зашифрует экспорт в открытом виде, который уже лежит в папке загрузок.

На экспортах это становится конкретным. Экспорт хранилища, сделанный для миграции, — это файл в открытом виде со всеми секретами, и он переживает туннель, сеанс и перезагрузку, если кто-нибудь его не удалит.

file export-notes.json
head -c 80 export-notes.json
sha256sum export-notes.json

Если этот вывод — читаемый текст, файл не защищён. Удалите его, как только миграция закончится, и помните, что безопасное стирание на современных носителях зависит от устройства и не является одной переносимой командой.

Что на самом деле покрывает шифрование на стороне облака

Серверное шифрование защищает хранимый объект от того, кто получит базовый носитель, а провайдер по-прежнему держит ключи, способные его прочитать. Клиентское шифрование, при котором файл шифруется перед выгрузкой, держит открытый текст вне досягаемости провайдера, но переносит хранение ключей и восстановление на вас.

Ни одна из моделей не ошибочна, и они отвечают на разные вопросы о том, кто должен иметь возможность читать данные. Проверяйте фактическую конфигурацию продукта, а не предполагайте, что одно подразумевает другое. Читайте заявление о хранении ключей буквально, включая то, что происходит, когда поддержка восстанавливает учётную запись. Если провайдер может восстановить доступ без вашего ключа, значит, провайдер может прочитать объект.

Копии размножаются тихо. Общая ссылка, клиент синхронизации, локальный кеш и задание резервного копирования создают каждый ещё один объект по политике, которую вы, возможно, не выбирали. Перечислите их для данных, которые важны, потому что самое сильное шифрование на пути не имеет значения, если копия в открытом виде лежит в общей папке.

Доказательство — это восстановление, а не скорость выгрузки

Полезное доказательство схемы хранения состоит в том, что нужные люди могут восстановить данные, а ненужные — нет. Пропускная способность выгрузки измеряет совсем другое и льстит любой схеме, которую никогда не восстанавливали. Выберите по одному файлу из каждой копии, на которую вы полагаетесь, и докажите, что он возвращается.

Восстановите по одному файлу из каждой копии, на которую вы полагаетесь, используя материал для восстановления, а не сеанс, который её создал. Ключ, хранящийся только в отказавшей машине, — не план восстановления, а резервная копия, для восстановления которой нужен потерянный сейф, — это другая разновидность единой точки отказа.

Руководство NIST по управлению ключами охватывает вопросы жизненного цикла, которые переживают любое отдельное продуктовое решение. Храните ответы вместе с данными, которые они защищают, и пересматривайте их, когда меняется копия, получатель или поставщик хранилища.