VPN เข้ารหัสการเดินทาง ไม่ใช่สำเนาบนดิสก์หรือในคลาวด์

ติดตามไฟล์หนึ่งไฟล์จากแล็ปท็อปไปยังเพื่อนร่วมงาน: มันอยู่บนดิสก์ ข้ามอุโมงค์ ลงจอดในบักเก็ตบนคลาวด์ และถูกคัดลอกไปยังข้อมูลสำรอง มีเพียงส่วนเดียวเท่านั้นที่ VPN ครอบคลุม และเป็นส่วนที่มีอายุสั้นที่สุด สำเนาอื่นยังคงอยู่หลังอุโมงค์ปิด ภายใต้การเข้ารหัสที่เก็บข้อมูลที่เจ้าของกำหนดไว้จริง การรู้ว่าสำเนาใดได้รับการปกป้องโดยสิ่งใดช่วยไม่ให้เข้าใจผิดว่าอุโมงค์ที่ทำงานอยู่คือนโยบายคุ้มครองข้อมูล

ติดตามไฟล์หนึ่งไฟล์ผ่านสามสำเนา

เริ่มจากตำแหน่งที่ไบต์พัก จากนั้นตำแหน่งที่ไบต์เคลื่อนที่ และสุดท้ายตำแหน่งที่ไบต์ถูกเก็บอีกครั้ง อุโมงค์อยู่ในขั้นกลาง ทั้งสองข้างของมัน การเข้ารหัสที่เก็บข้อมูล การเข้ารหัสแอปพลิเคชัน และการควบคุมการเข้าถึงเป็นกลไกแยกกันที่มีผู้ดูแลคีย์แยกกัน

วาดเส้นทางนั้นก่อนเลือกสิ่งใด การวาดมักเผยว่าสำเนาที่คนส่วนใหญ่กังวล คือสำเนาที่อยู่ระหว่างทาง มีอายุน้อยที่สุดเป็นวินาที มันยังแสดงให้เห็นว่าการกระโดดใดไม่มีเจ้าของในห้อง และมักเป็นสิ่งนั้นที่ต้องให้ความสนใจ

งานของอุโมงค์สิ้นสุดที่ปลายทางของตัวเอง

VPN ทั่วไปเข้ารหัสส่วนระหว่างปลายทางทั้งสองของมัน เหนือปลายทางไกลออกไป การรับส่งกลับเป็น IP ธรรมดาอีกครั้ง เว้นแต่มีสิ่งอื่นปกป้องมัน นี่คือเหตุผลที่เซสชันเบราว์เซอร์ยังคงเข้ารหัสตั้งแต่ต้นจนจบในขณะที่อุโมงค์ครอบคลุมเพียงช่วงแรก.

ไม่มีสิ่งใดในส่วนนั้นบอกว่าบริการปลายทางเก็บอัปโหลดอย่างไร เขียนอะไรลงบันทึกของตน หรือเก็บเมทาดาทาบัญชีใด คุณสมบัติของระบบปลายทางเหล่านี้ยังคงเป็นจริงไม่ว่าคำขอจะมาทางอุโมงค์หรือไม่ ผู้ให้บริการที่โฆษณาการถ่ายโอนแบบเข้ารหัสได้อธิบายการเดินทาง ไม่ใช่คลังสินค้า

ดิสก์ของคุณและที่เก็บคีย์ของคุณเป็นการตัดสินใจแยกกัน

การเข้ารหัสดิสก์ทั้งลูกปกป้องวอลุ่มเมื่อเครื่องปิด และขึ้นอยู่กับคีย์ที่อุปกรณ์หรือผู้ใช้ให้ไว้ตอนบูต การเปิด VPN ไม่ได้ทำสิ่งใดในสองสิ่งนั้น และจะไม่เข้ารหัสไฟล์ส่งออกข้อความธรรมดาที่มีอยู่แล้วในโฟลเดอร์ดาวน์โหลด

การส่งออกคือจุดที่สิ่งนี้เป็นรูปธรรม การส่งออกห้องนิรภัยที่เขียนขึ้นสำหรับการย้ายข้อมูลเป็นไฟล์ข้อความธรรมดาที่มีข้อมูลลับทั้งหมด และมันอยู่รอดผ่านอุโมงค์ เซสชัน และการรีบูต เว้นแต่มีคนลบมัน

file export-notes.json
head -c 80 export-notes.json
sha256sum export-notes.json

ถ้าผลลัพธ์นั้นเป็นข้อความที่อ่านได้ ไฟล์นั้นไม่ได้รับการปกป้อง ลบมันทันทีที่การย้ายข้อมูลเสร็จ และจำไว้ว่าการล้างข้อมูลอย่างปลอดภัยบนที่เก็บข้อมูลสมัยใหม่ขึ้นอยู่กับอุปกรณ์ ไม่ใช่คำสั่งพกพาเดียว

การเข้ารหัสฝั่งคลาวด์ครอบคลุมอะไรจริง ๆ

การเข้ารหัสฝั่งเซิร์ฟเวอร์ปกป้องวัตถุที่เก็บไว้จากผู้ที่ได้สื่อกลางพื้นฐาน และผู้ให้บริการยังคงถือคีย์ที่สามารถอ่านมันได้ การเข้ารหัสฝั่งไคลเอนต์ซึ่งไฟล์ถูกเข้ารหัสก่อนอัปโหลดเก็บข้อความธรรมดาให้พ้นจากมือผู้ให้บริการ แต่ย้ายการดูแลคีย์และการกู้คืนมาให้คุณ

ไม่มีแบบจำลองใดผิด และพวกมันตอบคำถามต่างกันเกี่ยวกับว่าใครควรอ่านข้อมูลได้ ตรวจสอบการกำหนดค่าผลิตภัณฑ์จริงแทนการถือว่าอันหนึ่งหมายถึงอีกอัน อ่านแถลงการณ์เรื่องการดูแลคีย์ตามตัวอักษร รวมถึงสิ่งที่เกิดขึ้นเมื่อฝ่ายสนับสนุนกู้คืนบัญชี ถ้าผู้ให้บริการสามารถคืนการเข้าถึงได้โดยไม่ต้องใช้คีย์ของคุณ ผู้ให้บริการก็สามารถอ่านวัตถุนั้นได้

สำเนาเพิ่มขึ้นอย่างเงียบ ๆ ลิงก์ที่แชร์ ไคลเอนต์ซิงก์ แคชในเครื่อง และงานสำรองข้อมูลต่างสร้างวัตถุอีกชิ้นภายใต้นโยบายที่คุณอาจไม่ได้เลือก ระบุรายการสำหรับข้อมูลที่สำคัญ เพราะการเข้ารหัสที่แข็งแกร่งที่สุดในเส้นทางไม่มีความหมายหากสำเนาข้อความธรรมดาอยู่ในโฟลเดอร์ที่แชร์

หลักฐานคือการกู้คืน ไม่ใช่ความเร็วอัปโหลด

หลักฐานที่มีประโยชน์ของการออกแบบที่เก็บข้อมูลคือคนที่ตั้งใจไว้สามารถกู้คืนข้อมูลได้และคนที่ไม่ตั้งใจไม่สามารถทำได้ ปริมาณอัปโหลดวัดสิ่งอื่นโดยสิ้นเชิง และมันยกยอทุกการออกแบบที่ไม่เคยถูกกู้คืน เลือกหนึ่งไฟล์จากแต่ละสำเนาที่คุณพึ่งพาและพิสูจน์ว่ามันกลับมา

กู้คืนหนึ่งไฟล์จากแต่ละสำเนาที่คุณพึ่งพา โดยใช้วัสดุกู้คืนแทนเซสชันที่สร้างมัน คีย์ที่เก็บไว้ในเครื่องที่ล้มเหลวเท่านั้นไม่ใช่แผนกู้คืน และข้อมูลสำรองที่การกู้คืนต้องใช้ห้องนิรภัยที่สูญหายเป็นจุดล้มเหลวจุดเดียวอีกรูปแบบหนึ่ง

แนวปฏิบัติการจัดการคีย์ของ NIST ครอบคลุมคำถามวงจรชีวิตที่อยู่ยาวกว่าการตัดสินใจผลิตภัณฑ์ใด ๆ เก็บคำตอบไว้กับข้อมูลที่มันปกป้อง และทบทวนเมื่อสำเนา ผู้รับ หรือผู้ให้บริการที่เก็บข้อมูลเปลี่ยน