VPN yolculuğu şifreler, diskteki veya buluttaki kopyayı değil

Bir dosyayı dizüstü bilgisayardan bir meslektaşa kadar izleyin: dosya diskte bulunur, bir tüneli geçer, bulutta bir kovaya iner ve bir yedeklemeye kopyalanır. Bu kesitlerden yalnızca biri VPN tarafından kapsanır ve en kısa ömürlü olan odur. Diğer kopyalar tünel kapandıktan sonra da var olmaya devam eder, sahiplerinin gerçekte yapılandırdığı depolama şifrelemesi altında. Hangi kopyanın neyle korunduğunu bilmek, çalışan bir tünelin veri koruma politikasıyla karıştırılmasını önler.

Bir dosyayı üç kopya boyunca izleyin

Baytların nerede dinlendiğiyle başlayın, sonra nereye hareket ettikleriyle, sonra yeniden nerede saklandıklarıyla devam edin. Tünel orta aşamada yer alır. İki yanında depolama şifrelemesi, uygulama şifrelemesi ve erişim denetimi, ayrı anahtar saklayıcıları olan ayrı mekanizmalardır.

Herhangi bir şey seçmeden önce o yolu çizin. Çizim genellikle çoğu insanın endişelendiği kopyanın, yani yolda olanın, en az saniye var olduğunu ortaya koyar. Ayrıca hangi sıçramanın odada sahibi olmadığını da gösterir ve bu genellikle dikkat gerektiren sıçramadır.

Tünelin işi kendi uç noktasında biter

Geleneksel bir VPN, iki uç noktası arasındaki kesiti şifreler. Uzak uç noktanın ötesinde trafik yine sıradan IP olur, meğer ki başka bir şey onu korumuyor olsun; bu yüzden bir tarayıcı oturumu uçtan uca şifreli kalabilirken tünel yalnızca ilk etabı kapsar.

O kesitte hiçbir şey, alıcı hizmetin yüklemeyi nasıl sakladığını, günlüklerine ne yazdığını veya hangi hesap üstverisini tuttuğunu söylemez. Bunlar alıcı sistemin özellikleridir ve istek bir tünelden gelmiş olsun ya da olmasın geçerlidir. Şifreli taşıma reklamı yapan bir operatör, yolculuğu anlatmıştır, depoyu değil.

Diskiniz ve anahtar deponuz ayrı kararlardır

Tam disk şifreleme, makine kapalıyken birimi korur ve cihazın veya kullanıcının açılışta sağladığı bir anahtara bağlıdır. Bir parola yöneticisinin kasası, kendi içeriğini ana bir sırdan türetilen bir anahtarla şifreler. VPN açmak bunların hiçbirini yapmaz ve indirilenler klasöründe zaten duran düz metin bir dışa aktarımı şifrelemez.

Dışa aktarımlarda bu somutlaşır. Bir geçiş için yazılmış kasa dışa aktarımı, içinde tüm sırları barındıran düz metin bir dosyadır ve biri silmediği sürece tüneli, oturumu ve yeniden başlatmayı atlatır.

file export-notes.json
head -c 80 export-notes.json
sha256sum export-notes.json

Bu çıktı okunabilir metinse dosya korumasızdır. Geçiş biter bitmez dosyayı silin ve modern depolamada güvenli silmenin cihaza özgü olduğunu, tek bir taşınabilir komut olmadığını unutmayın.

Bulut tarafındaki şifreleme gerçekte neyi kapsar

Sunucu tarafı şifreleme, saklanan nesneyi altta yatan ortamı ele geçiren birine karşı korur ve sağlayıcı onu okuyabilecek anahtarları hâlâ elinde tutar. Dosyanın yüklemeden önce şifrelendiği istemci tarafı şifreleme, düz metni sağlayıcının erişiminin dışında tutar ama anahtar saklamayı ve kurtarmayı size kaydırır.

İki modelin hiçbiri yanlış değildir ve verileri kimin okuyabilmesi gerektiğine dair farklı soruları yanıtlarlar. Birinin diğerini ima ettiğini varsaymak yerine gerçek ürün yapılandırmasını denetleyin. Anahtar saklama bildirimini harfi harfine okuyun, bir hesap destek tarafından kurtarıldığında ne olduğu dahil. Sağlayıcı erişimi sizin anahtarınız olmadan geri yükleyebiliyorsa, sağlayıcı nesneyi okuyabilir.

Kopyalar sessizce çoğalır. Paylaşılan bir bağlantı, bir eşitleme istemcisi, yerel bir önbellek ve bir yedekleme işi, seçmemiş olabileceğiniz bir politika altında her biri bir nesne daha oluşturur. Önemli veriler için bunları listeleyin, çünkü paylaşılan bir klasörde düz metin bir kopya duruyorsa yoldaki en güçlü şifreleme anlamsızdır.

Kanıt, bir geri yüklemedir, yükleme hızı değil

Bir depolama tasarımının yararlı kanıtı, amaçlanan kişilerin verileri kurtarabilmesi ve amaçlanmayanların kurtaramamasıdır. Yükleme hızı bambaşka bir şeyi ölçer ve hiç geri yüklenmemiş her tasarıma iltifat eder. Güvendiğiniz her kopyadan bir dosya seçin ve geri geldiğini kanıtlayın.

Güvendiğiniz her kopyadan bir dosyayı, onu oluşturan oturum yerine kurtarma malzemesini kullanarak geri yükleyin. Yalnızca arızalanan makinede tutulan bir anahtar kurtarma planı değildir ve geri yüklemesi kaybettiğiniz kasayı gerektiren bir yedek, başka bir türden tek hata noktasıdır.

NIST'in anahtar yönetimi kılavuzu her bir ürün kararını aşan yaşam döngüsü sorularını kapsar. Yanıtları korudukları verilerle birlikte saklayın ve bir kopya, bir alıcı veya bir depolama sağlayıcısı değiştiğinde gözden geçirin.