Ini-encrypt ng VPN ang paglalakbay, hindi ang kopya sa disk o sa cloud

Sundan ang isang file mula sa laptop hanggang sa isang kasamahan: umiiral ito sa disk, tumatawid sa isang tunnel, dumarating sa isang bucket sa cloud at kinokopya sa isang backup. Isa lamang sa mga segment na iyon ang saklaw ng VPN, at ito ang pinakamaikling buhay. Patuloy na umiiral ang iba pang kopya pagkatapos ng pagsasara ng tunnel, sa ilalim ng storage encryption na aktuwal na na-configure ng kanilang mga may-ari. Ang pag-alam kung aling kopya ang protektado ng ano ay pumipigil sa isang gumaganang tunnel na mapagkamalang patakaran sa proteksyon ng data.

Sundan ang isang file sa tatlong kopya

Magsimula sa kung saan nagpapahinga ang mga byte, pagkatapos sa kung saan sila gumagalaw, at pagkatapos sa kung saan sila muling iniimbak. Ang tunnel ay nasa gitnang yugto. Sa magkabilang panig nito, ang storage encryption, application encryption at access control ay magkakahiwalay na mekanismo na may magkakahiwalay na tagapag-ingat ng key.

Iguhit ang landas na iyon bago pumili ng anuman. Karaniwang ipinapakita ng guhit na ang kopya na pinakabinabahala ng karamihan, ang nasa biyahe, ay ang pinakakaunting segundo na umiiral. Ipinapakita rin nito kung aling pagtalon ang walang may-ari sa silid, at kadalasan iyon ang nangangailangan ng pansin.

Nagtatapos ang trabaho ng tunnel sa sarili nitong endpoint

Ang karaniwang VPN ay nag-e-encrypt ng segment sa pagitan ng dalawang endpoint nito. Lampas sa malayong endpoint, ang trapiko ay ordinaryong IP muli, maliban kung may ibang nagpoprotekta rito; kaya't ang isang session ng browser ay maaaring manatiling naka-encrypt mula simula hanggang dulo habang ang tunnel lamang ang sumasaklaw sa unang yugto.

Walang anuman sa segment na iyon ang nagsasabi kung paano iniimbak ng tumatanggap na serbisyo ang upload, ano ang isinusulat nito sa mga log, o aling metadata ng account ang hinihingi nito. Mga katangian iyon ng tumatanggap na sistema, at nananatiling totoo ang mga ito kahit dumating ang kahilingan sa pamamagitan ng tunnel o hindi. Ang operator na nag-a-advertise ng naka-encrypt na transportasyon ay inilarawan ang paglalakbay, hindi ang bodega.

Ang iyong disk at ang iyong key store ay magkahiwalay na desisyon

Pinoprotektahan ng full-disk encryption ang volume kapag patay ang makina, at umaasa ito sa isang key na ibinibigay ng device o ng user sa boot. Ang vault ng isang password manager ay nag-e-encrypt ng sarili nitong nilalaman gamit ang key na hinango sa isang master credential. Ang pag-on ng VPN ay wala sa dalawang iyon, at hindi nito ie-encrypt ang isang plaintext export na nasa isang download folder na.

Sa mga export nagiging konkret ito. Ang isang vault export na isinulat para sa isang migration ay isang plaintext file na may lahat ng sikreto sa loob, at nabubuhay ito sa tunnel, session at reboot maliban kung may mag-alis nito.

file export-notes.json
head -c 80 export-notes.json
sha256sum export-notes.json

Kung ang output na iyon ay nababasang teksto, hindi protektado ang file. Burahin ito sa sandaling matapos ang migration, at tandaan na ang secure na pagbura sa modernong storage ay device-specific at hindi isang portable na utos.

Ano ang aktuwal na saklaw ng encryption sa panig ng cloud

Pinoprotektahan ng server-side encryption ang naka-imbak na object mula sa sinumang makakuha ng pinagbabatayang media, at hawak pa rin ng provider ang mga key na kayang basahin ito. Ang client-side encryption, kung saan ini-encrypt ang file bago i-upload, ay naglalayo ng plaintext sa abot ng provider ngunit inililipat ang pangangalaga ng key at pagbawi sa iyo.

Wala sa dalawang modelo ang mali, at sumasagot sila sa magkaibang tanong tungkol sa kung sino ang dapat makabasa ng data. Suriin ang aktuwal na configuration ng produkto sa halip na ipagpalagay na ang isa ay nagpapahiwatig ng isa pa. Basahin nang literal ang pahayag tungkol sa pangangalaga ng key, kasama na ang nangyayari kapag ang isang account ay naibalik ng suporta. Kung maibabalik ng provider ang access nang wala ang iyong key, maaaring basahin ng provider ang object.

Tahimik na dumarami ang mga kopya. Ang isang shared link, isang sync client, isang lokal na cache at isang backup job ay bawat isa ay gumagawa ng isa pang object sa ilalim ng patakarang maaaring hindi mo pinili. Isaisahin ang mga ito para sa data na mahalaga, dahil ang pinakamalakas na encryption sa landas ay walang kabuluhan kung may plaintext na kopya sa isang shared folder.

Ang patunay ay isang restore, hindi isang bilis ng upload

Ang kapaki-pakinabang na patunay ng isang disenyo ng storage ay maibabalik ng mga sinadyang tao ang data at hindi ng mga hindi sinasadya. Ang upload throughput ay sumusukat ng ibang bagay, at pinapaboran nito ang bawat disenyong hindi kailanman naibalik. Pumili ng isang file mula sa bawat kopyang inaasahan mo at patunayang bumabalik ito.

Ibalik ang isang file mula sa bawat kopyang inaasahan mo, gamit ang recovery material sa halip na ang session na lumikha nito. Ang key na itinatago lamang sa makinang nabigo ay hindi isang plano sa pagbawi, at ang isang backup na ang pag-restore ay nangangailangan ng nawalang vault ay isang ibang uri ng nag-iisang punto ng pagkabigo.

Ang patnubay sa pamamahala ng key ng NIST ay sumasaklaw sa mga tanong sa lifecycle na mas tumatagal kaysa sa alinmang desisyon sa produkto. Itago ang mga sagot kasama ng data na pinoprotektahan nila, at repasuhin ang mga ito kapag nagbago ang isang kopya, isang tatanggap o isang storage provider.