VPN-ja kripton udhëtimin, jo kopjen në disk ose në re

Ndiqni një skedar nga një laptop te një koleg: ai ekziston në disk, kalon një tunel, zbret në një kovë në re dhe kopjohet në një kopje rezervë. Vetëm një nga këto segmente mbulohet nga VPN-ja, dhe është ai me jetëgjatësinë më të shkurtër. Kopjet e tjera vazhdojnë të ekzistojnë pasi tuneli mbyllet, nën kriptimin e ruajtjes që pronarët e tyre kanë konfiguruar në të vërtetë. Të dish se cila kopje mbrohet nga çfarë pengon që një tunel funksional të ngatërrohet me një politikë të mbrojtjes së të dhënave.

Ndiqni një skedar nëpër tri kopje

Filloni me atë se ku pushojnë bajtët, pastaj se ku lëvizin, dhe në fund se ku ruhen përsëri. Tuneli zë fazën e mesme. Në të dy anët e tij, kriptimi i ruajtjes, kriptimi i aplikacionit dhe kontrolli i aksesit janë mekanizma të veçantë me kujdestarë çelësash të veçantë.

Vizatoni atë rrugë përpara se të zgjidhni ndonjë gjë. Vizatimi zakonisht zbulon se kopja për të cilën shqetësohen më shumë njerëzit, ajo në tranzit, është ajo që ekziston për më pak sekonda. Ai tregon gjithashtu se cili kërcim nuk ka askënd në dhomë, dhe zakonisht është ai që ka nevojë për vëmendje.

Puna e tunelit mbaron në pikën e vet të fundit

Një VPN konvencionale kripton segmentin midis dy pikave të saj fundore. Përtej pikës së largët fundore, trafiku është përsëri IP e zakonshme, përveç nëse diçka tjetër e mbron; prandaj një sesion shfletuesi mund të mbetet i kriptuar nga fillimi në fund ndërsa tuneli mbulon vetëm etapën e parë.

Asgjë në atë segment nuk thotë se si shërbimi pritës ruan ngarkimin, çfarë shkruan në regjistrat e tij ose cilat metadata të llogarisë mban. Këto janë veti të sistemit pritës, dhe mbeten të vërteta pavarësisht nëse kërkesa mbërriti përmes një tuneli apo jo. Një operator që reklamon transport të kriptuar ka përshkruar udhëtimin, jo magazinën.

Disku juaj dhe depoja e çelësave tuaj janë vendime të veçanta

Kriptimi i diskut të plotë mbron vëllimin kur makina është e fikur, dhe varet nga një çelës që pajisja ose përdoruesi ofron në nisje. Kasaforta e një menaxheri fjalëkalimesh kripton përmbajtjen e vet me një çelës të nxjerrë nga një kredencial master. Aktivizimi i një VPN nuk bën asnjërën prej këtyre dy gjërave, dhe nuk do të kriptojë një eksport në tekst të thjeshtë që ekziston tashmë në një dosje shkarkimesh.

Eksportet janë vendi ku kjo bëhet konkrete. Një eksport kasaforte i shkruar për një migrim është një skedar në tekst të thjeshtë me të gjitha sekretet brenda, dhe i mbijeton tunelit, sesionit dhe rinisjes, përveç nëse dikush e heq.

file export-notes.json
head -c 80 export-notes.json
sha256sum export-notes.json

Nëse ai rezultat është tekst i lexueshëm, skedari nuk është i mbrojtur. Fshijeni sapo migrimi të ketë mbaruar, dhe mbani mend se fshirja e sigurt në ruajtjen moderne varet nga pajisja dhe nuk është një komandë e vetme e lëvizshme.

Çfarë mbulon në të vërtetë kriptimi në anën e resë

Kriptimi në anën e serverit mbron objektin e ruajtur nga dikush që siguron mediumin themelor, dhe ofruesi ende mban çelësa të aftë ta lexojnë atë. Kriptimi në anën e klientit, ku skedari kriptohet përpara ngarkimit, e mban tekstin e thjeshtë jashtë arritjes së ofruesit, por e zhvendos kujdestarinë e çelësave dhe rikuperimin te ju.

Asnjëri nga modelet nuk është i gabuar, dhe ata përgjigjen pyetjeve të ndryshme se kush duhet të jetë në gjendje t’i lexojë të dhënat. Kontrolloni konfigurimin e vërtetë të produktit në vend që të supozoni se njëri nënkupton tjetrin. Lexoni fjalë për fjalë deklaratën për kujdestarinë e çelësave, duke përfshirë çfarë ndodh kur mbështetja rikuperon një llogari. Nëse ofruesi mund të rikthejë aksesin pa çelësin tuaj, atëherë ofruesi mund ta lexojë objektin.

Kopjet shtohen në heshtje. Një lidhje e përbashkët, një klient sinkronizimi, një memorie lokale dhe një detyrë kopje rezervë krijojnë secili edhe një objekt tjetër nën një politikë që mund të mos e keni zgjedhur. Numërojini për të dhënat që kanë rëndësi, sepse kriptimi më i fortë në rrugë është i parëndësishëm nëse një kopje në tekst të thjeshtë ndodhet në një dosje të përbashkët.

Prova është një rikthim, jo një shpejtësi ngarkimi

Prova e dobishme e një dizajni ruajtjeje është se njerëzit e synuar mund t’i rikuperojnë të dhënat dhe ata të pasynuar nuk munden. Rrjedha e ngarkimit mat diçka krejt tjetër, dhe lajka çdo dizajn që nuk u rikthye kurrë. Zgjidhni një skedar nga çdo kopje ku mbështeteni dhe provoni se ai kthehet.

Rikthejeni një skedar nga çdo kopje ku mbështeteni, duke përdorur materialin e rikuperimit në vend të sesionit që e krijoi. Një çelës i mbajtur vetëm në makinën që dështoi nuk është një plan rikuperimi, dhe një kopje rezervë, rikthimi i së cilës kërkon kasafortën e humbur, është një lloj tjetër pike të vetme dështimi.

Udhëzimet NIST për menaxhimin e çelësave mbulojnë çështjet e ciklit të jetës që i mbijetojnë çdo vendimi të vetëm produkti. Ruani përgjigjet bashkë me të dhënat që ato mbrojnë, dhe rishikojini kur ndryshon një kopje, një marrës ose një ofrues ruajtjeje.