Gestion du chiffrement de bande et meilleures pratiques

Je souhaite activer le cryptage sur toutes mes bandes de sauvegarde. Je sais plus ou moins comment le faire techniquement, mais les éléments procéduraux et humains de sa mise en œuvre sont délicats.

J'utilise des lecteurs HP LTO4 avec bacula, qui n'a pas de fonctionnalités de gestion des clés. En fait, sa prise en charge du chiffrement matériel consiste à appeler un script externe qui définit la clé sur le lecteur avant la lecture et l'écriture.

Mes questions:

1. Comment dois-je savoir quelles bandes sont cryptées? J'ai déjà quelques centaines de bandes sans cryptage. Même si je prends le temps de les réécrire tous avec le cryptage, il y aura des mois de chevauchement où certains l'ont et d'autres pas. Comment Bacula saura-t-il s'il faut régler la clé avant de lire une cassette donnée? Le lecteur est-il suffisamment intelligent pour lire des bandes non chiffrées même lorsqu'une clé est définie?
2. Si la clé est jamais compromise, nous devrons la changer et nous aurons le même problème que # 1.
3. Si la clé est perdue, nous avons effectivement perdu toutes nos sauvegardes. Comment puis-je atténuer cela sans augmenter le risque qu'il soit compromis?
4. La clé devrait-elle changer régulièrement? Une fois par an? Quelle est la meilleure pratique?
5. Comment les gros systèmes de sauvegarde ISV gèrent-ils ces problèmes?

Très bonnes questions. Je voudrais moi aussi voir de bonnes réponses de personnes qui en savent plus que moi sur ce sujet. :-)

3 Si la clé est perdue, nous avons effectivement perdu toutes nos sauvegardes

Précisément, c'est pourquoi beaucoup ou la plupart des gens n'utilisent pas de sauvegardes chiffrées.

Une façon possible de procéder consiste à créer quelques "canots de sauvetage", c'est-à-dire des packages avec des supports d'installation, des noms d'utilisateur et des mots de passe pour des systèmes essentiels comme les sauvegardes, Active Directory et autres (c'est-à-dire les éléments dont vous avez besoin pour charger une sauvegarde si le site principal a été complètement détruit dans un incendie, mais pas les données de sauvegarde elles-mêmes). Vous devez stocker ces canots de sauvetage en toute sécurité hors site, par exemple dans un coffre-fort bancaire, ou dans un coffre-fort de haute sécurité dans un bureau distant avec un système d'alarme. Et enfin documentez cela, afin que d'autres puissent comprendre comment utiliser les canots de sauvetage après avoir quitté l'entreprise, si nécessaire.

4 La clé doit-elle changer régulièrement? Une fois par an? Quelle est la meilleure pratique?

D'un point de vue pratique, je dirais de ne pas changer les clés, car cela devient rapidement ingérable si vous le faites. Si vous craignez que la sécurité des sauvegardes ne soit pas assez bonne, renforcez la sécurité physique autour de vos bandes, en utilisant un service comme Iron Mountain , ou en construisant vous-même un système de stockage avec une bonne sécurité physique.

Enfin: je préférerais avoir tout le cryptage et la gestion des sauvegardes dans un seul système, donc il y a moins de risque de récupération qui ne fonctionne pas. J'entends par là utiliser le cryptage intégré dans des logiciels comme Retrospect ou Backup Exec, plutôt que le cryptage au niveau du lecteur.

J'utilise un dm-crypt FS, le chiffrant avec un passfrase long et fort.

Afin d'éviter de perdre le mot de passe, je l'ai écrit sur une lettre scellée à la cire, je l'ai donné à la propriété de l'entreprise et il l'a stocké dans un coffre-fort de sécurité.

Bien sûr, vous pouvez le donner à un notaire, ou tout ce que vous pensez.

Je pense qu'un passfrase est meilleur pour ce travail, car il ne peut être que dans l'esprit des personnes autorisées à le connaître, alors qu'un appareil numérique peut être perdu, volé, etc.

Vous pouvez être torturé, bien sûr :)

Je réponds à cela et j'en fais un wiki communautaire, car je copie et colle à partir d'un document existant.

Pour mémoire, j'utilise Amanda Enterprise comme solution de sauvegarde et je n'utilise pas le chiffrement sur bande qu'il fournit, pour les raisons que vous mentionnez.

Je faisais des recherches sur le chiffrement sur bande, et je suis tombé sur un excellent livre blanc de HP parlant du chiffrement LTO-4 , et il y a de nombreuses possibilités pour la gestion des clés. Voici un aperçu de base des options disponibles qui sont présentées:

• Cryptage en mode natif (parfois appelé définir et oublier). Cette méthode contrôle le chiffrement LTO4 à partir de la bibliothèque du lecteur de bande. Il existe une clé définie via l'interface de gestion de bibliothèque (Web GUO ou Operator Control Panel). Cette méthode chiffre toutes les bandes avec la même clé, avec l'inconvénient d'avoir un impact négatif sur le niveau de sécurité.

• Le chiffrement logiciel crypte les données avant qu'elles ne quittent le serveur et les clés sont stockées dans la base de données interne ou le catalogue de l'application. Cette méthode de chiffrement place une charge élevée sur le serveur car le logiciel effectue de nombreuses opérations mathématiques en utilisant la puissance de traitement de l'hôte. Plusieurs applications, dont HP Open View Storage Data Protector 6.0, proposent le chiffrement comme fonctionnalité. Bien que la sécurité de la date cryptée de cette manière soit très élevée (car les données sont cryptées en transit), car les données cryptées sont très aléatoires, il devient alors impossible d'obtenir une compression de données en aval dans le lecteur de bande et donc le stockage est inefficace.

• Clés gérées par l'application ISV, également appelée gestion des clés intrabande. Le logiciel ISV fournit les clés et les gère, et le lecteur de bande Ultrium LTO4 effectue ensuite le chiffrement. Les clés seraient référencées par les données associées aux clés et stockées dans la base de données interne des applications. (Veuillez contacter votre fournisseur d'application de sauvegarde ISV pour la prise en charge de cette fonctionnalité).

• Un dispositif de chiffrement intrabande intercepte les liaisons Fibre Channel et chiffre les données en vol. Ces produits sont disponibles auprès de plusieurs fournisseurs tels que Neoscale et Decru. La gestion des clés provient d'un dispositif de gestion des clés renforcé. Cette méthode est indépendante du logiciel ISV et prend en charge les lecteurs de bande et les bibliothèques hérités. La compression des données doit être effectuée par ces périphériques car la compression dans le lecteur de bande n'est pas possible après le cryptage.

• Un commutateur de structure SAN avec capacité de chiffrement est similaire à l'appliance intrabande, mais le matériel de chiffrement est intégré au commutateur.

• Un dispositif de gestion de clés fonctionne avec des bibliothèques de classe entreprise telles que les bibliothèques HP StorageWorks EML et ESL E-series. Il s'agit de la gestion des clés hors bande, car la clé est fournie au lecteur de bande par le dispositif de gestion des clés. La figure 8 montre les composants de base d'un dispositif de gestion de clés. Les applications de sauvegarde n'ont aucune connaissance de la capacité de chiffrement du lecteur de bande. Les clés sont fournies au contrôleur de bibliothèque de bandes par le biais d'une connexion réseau à l'aide d'un protocole SSL (Secure Sockets Layer), récemment renommé TLS (Transport Layer Security). Il s'agit d'une connexion cryptée nécessaire pour protéger la sécurité des clés en transit de l'appliance. Pour configurer la sécurité, un certificat numérique est installé dans le matériel de gestion de bibliothèque. Ceci établit la connexion sécurisée nécessaire. La configuration de SSL / TLS utilise le cryptage à clé publique, mais une fois la prise de contact terminée, une clé secrète est transmise pour crypter le lien. Lorsque les bandes sont restaurées, les données associées à la clé, (extraites de la bande), sont utilisées pour référencer la demande de clé correcte pour déchiffrer la bande indépendamment de l'application de sauvegarde.

Ce qui nous manque vraiment, c'est bien sûr ce que font les gens dans le monde réel. Les livres blancs sont excellents, mais cela ne reflète pas nécessairement la réalité.

De plus, j'ai posté cette question sur mon blog , donc certaines réponses ou exemples peuvent également y apparaître.