टेप एन्क्रिप्शन प्रबंधन और सर्वोत्तम प्रथाओं


16

मैं अपने सभी बैकअप टेपों पर एन्क्रिप्शन सक्षम करना चाहता हूं। मैं अधिक-या-कम जानता हूं कि यह तकनीकी रूप से कैसे किया जाता है, लेकिन इसे लागू करने के प्रक्रियात्मक और मानवीय तत्व मुश्किल हैं।

मैं bacula के साथ HP LTO4 ड्राइव का उपयोग करता हूं, जिसमें कोई की-मैनेजमेंट फीचर नहीं है। वास्तव में, हार्डवेयर एन्क्रिप्शन के लिए इसका समर्थन एक बाहरी स्क्रिप्ट को कॉल करना है जो पढ़ने और लिखने से पहले ड्राइव पर कुंजी सेट करता है।

मेरे सवाल:

  1. मुझे किस टेप का एन्क्रिप्शन रखना चाहिए, इसका ट्रैक कैसे रखना चाहिए? मेरे पास पहले से ही एन्क्रिप्शन के बिना कुछ सौ टेप हैं। यहां तक ​​कि अगर मैं उन सभी को एन्क्रिप्शन के साथ फिर से लिखने के लिए समय लेता हूं, तो कुछ महीनों में ओवरलैप होगा जहां कुछ के पास है और कुछ में नहीं। बकुला को कैसे पता चलेगा कि दिए गए टेप को पढ़ने से पहले कुंजी सेट करना है या नहीं? क्या ड्राइव स्मार्ट है जब एक कुंजी सेट होने पर भी अनएन्क्रिप्टेड टेप को पढ़ने के लिए?
  2. यदि कुंजी कभी समझौता होती है, तो हमें इसे बदलना होगा और हमें # 1 जैसी ही समस्या होगी।
  3. यदि कुंजी खो गई है, तो हमने प्रभावी रूप से हमारे सभी बैकअप खो दिए हैं। जिस जोखिम से समझौता किया जाता है, उसे बढ़ाए बिना मैं इसे कैसे कम कर सकता हूं?
  4. क्या चाबी को नियमित रूप से बदलना चाहिए? साल में एक बार? सबसे अच्छा अभ्यास क्या है?
  5. बड़े ISV बैकअप सिस्टम इन मुद्दों को कैसे संभालते हैं?

ये ऐसे उत्कृष्ट प्रश्न हैं जिनका उत्तर मैं भी जानना चाहूंगा।
मैट सीमन्स

2
आओ, Serverfault नियमित ... वहाँ बाहर बेहतर जवाब होना चाहिए? यह एक अच्छा सवाल है ...
जेसपर एम

जवाबों:


7

बहुत अच्छे सवाल। मैं भी उन लोगों से अच्छे जवाब देखना चाहूंगा जो मुझे इसके बारे में अधिक जानते हैं। :-)

3 यदि कुंजी खो गई है, तो हम प्रभावी रूप से अपने सभी बैकअप खो चुके हैं

संक्षेप में, यही वजह है कि कई या अधिकांश लोग एन्क्रिप्टेड बैकअप का उपयोग नहीं करते हैं।

जाने का एक संभावित तरीका "लाइफबोट्स" के एक जोड़े का निर्माण करना है, अर्थात इंस्टाल मीडिया, यूज़रनेम और पासवर्ड जैसे बैकअप, एक्टिव डायरेक्ट्री और अन्य जैसे आवश्यक सिस्टम के लिए पैकेज (यानी जो सामान आपको एक बैकअप लोड करने की ज़रूरत है अगर मुख्य साइट रही है पूरी तरह से एक आग में नष्ट हो गया, लेकिन बैकअप डेटा खुद नहीं)। आपको इन लाइफबोट्स को सुरक्षित रूप से साइट पर संग्रहीत करना चाहिए, उदाहरण के लिए एक बैंक तिजोरी में, या एक अलार्म सिस्टम के साथ एक दूरस्थ कार्यालय में उच्च-सुरक्षा में सुरक्षित। और अंतिम रूप से यह दस्तावेज, ताकि दूसरों को पता चल सके कि जरूरत पड़ने पर कंपनी छोड़ने के बाद लाइफबोट का उपयोग कैसे करें।

4 क्या नियमित रूप से चाबी बदलनी चाहिए? साल में एक बार? सबसे अच्छा अभ्यास क्या है?

व्यावहारिक दृष्टिकोण से, मैं कहूंगा कि चाबियाँ नहीं बदलें, क्योंकि यह जल्दी से असहनीय हो जाता है यदि आप करते हैं। यदि आप बैकअप सुरक्षा के बारे में चिंतित हैं कि यह पर्याप्त रूप से अच्छा नहीं है, तो अपने टेप के चारों ओर भौतिक सुरक्षा का पालन करें, जैसे कि आयरन माउंटेन जैसी सेवा का उपयोग करके या स्वयं अच्छी भौतिक सुरक्षा के साथ भंडारण प्रणाली का निर्माण करके।

अंत में: मैं एक प्रणाली में सभी एन्क्रिप्शन और बैकअप हैंडलिंग करना पसंद करूंगा, इसलिए पुनर्प्राप्ति का कम जोखिम काम नहीं करेगा। इसका मतलब है कि मैं ड्राइव-स्तर एन्क्रिप्शन के बजाय रेट्रोस्पेक्ट या बैकअप एक्ज़ेक जैसे सॉफ़्टवेयर में अंतर्निहित एन्क्रिप्शन का उपयोग करता हूं।


2

मैं एक डीएम-क्रिप्ट एफएस का उपयोग करता हूं, इसे एक लंबे और मजबूत पासफ्रेज के साथ एन्क्रिप्ट करता हूं।

पासफ़्रेज़ खोने से बचने के लिए मैंने इसे मोम के मोहरबंद पत्र पर लिखा, कंपनी की संपत्ति को दिया और उसने इसे एक सुरक्षा गढ़ में संग्रहीत किया।

बेशक आप इसे नोटरी, या जो भी आप सोचते हैं, दे सकते हैं।

मुझे लगता है कि इस काम के लिए एक पासफ़्रेज़ बेहतर है, क्योंकि यह केवल इसे जानने के लिए अधिकृत लोगों के दिमाग में हो सकता है, जबकि एक डिजिटल डिवाइस खो सकता है, चोरी हो सकता है और इसी तरह।

आपको यातना दी जा सकती है, बेशक :)


आप सीक्रेट शेयरिंग का उपयोग कर सकते हैं और कुंजी को कई में विभाजित कर सकते हैं , व्यक्तिगत रूप से बेकार, समान रूप से वितरित किए गए टुकड़े (संयुक्त राष्ट्र) भरोसेमंद अभिभावक ...
तोबियस किंज़्लर

2

मैं इसका उत्तर दे रहा हूं, और मैं इसे एक सामुदायिक विकी बना रहा हूं, क्योंकि मैं एक मौजूदा दस्तावेज़ से कॉपी और पेस्ट कर रहा हूं।

रिकॉर्ड के लिए, मैं अपने बैकअप समाधान के रूप में अमांडा एंटरप्राइज का उपयोग करता हूं, और मैं उन टेप टेप एन्क्रिप्शन का उपयोग नहीं करता हूं जो यह प्रदान करता है, उन कारणों के लिए जो आप उल्लेख करते हैं।

मैं टेप एन्क्रिप्शन पर शोध कर रहा था, और मैं LTO-4 एन्क्रिप्शन के बारे में बात करते हुए HP से एक महान श्वेतपत्र में आया , और इसमें मुख्य प्रबंधन के लिए कई संभावनाएं शामिल थीं। यहां उपलब्ध विकल्पों का एक बुनियादी आधार है:

• मूल मोड एन्क्रिप्शन (कभी-कभी सेट और भूल जाते हैं)। यह विधि टेप ड्राइव लाइब्रेरी के भीतर से LTO4 एन्क्रिप्शन को नियंत्रित करती है। लाइब्रेरी प्रबंधन इंटरफ़ेस (वेब ​​GUO या ऑपरेटर कंट्रोल पैनल) के माध्यम से सेट की गई एक कुंजी है। यह विधि सभी टेपों को एक ही कुंजी के साथ एन्क्रिप्ट करती है, सुरक्षा स्तर पर नकारात्मक प्रभाव डालने के साथ।

• सॉफ़्टवेयर-आधारित एन्क्रिप्शन डेटा को एन्क्रिप्ट करता है इससे पहले कि वह सर्वर को छोड़ देता है और कुंजी को आंतरिक डेटाबेस या एप्लिकेशन के कैटलॉग में संग्रहीत किया जाता है। एन्क्रिप्शन की यह विधि सर्वर पर एक उच्च भार रखती है क्योंकि सॉफ्टवेयर मेजबान प्रसंस्करण शक्ति का उपयोग करके कई गणितीय संचालन करता है। एचपी ओपन व्यू स्टोरेज डेटा प्रोटेक्टर 6.0 सहित कई एप्लिकेशन एक सुविधा के रूप में एन्क्रिप्शन प्रदान करते हैं। यद्यपि इस तरीके से एन्क्रिप्ट की गई तारीख की सुरक्षा बहुत अधिक है (जैसा कि डेटा पारगमन में एन्क्रिप्ट किया गया है), क्योंकि एन्क्रिप्ट किया गया डेटा अत्यधिक यादृच्छिक है, फिर टेप ड्राइव में किसी भी डेटा संपीड़न डाउनस्ट्रीम को प्राप्त करना असंभव हो जाता है और इसलिए भंडारण अक्षम है।

• आईएसवी अनुप्रयोग द्वारा प्रबंधित कुंजी, इन-बैंड कुंजी प्रबंधन के रूप में भी जानी जाती है। ISV सॉफ़्टवेयर कुंजियों की आपूर्ति करता है और उन्हें प्रबंधित करता है, और अल्ट्रियम LTO4 टेप ड्राइव तब एन्क्रिप्शन करता है। कुंजी को कुंजी-संबद्ध डेटा द्वारा संदर्भित किया जाएगा और एप्लिकेशन आंतरिक डेटाबेस में संग्रहीत किया जाएगा। (कृपया इस कार्यक्षमता के समर्थन के लिए अपने व्यक्तिगत ISV बैकअप एप्लिकेशन विक्रेता को देखें)।

• इन-बैंड एन्क्रिप्शन उपकरण फाइबर चैनल लिंक को स्वीकार करता है और इन-फ्लाइट में डेटा को एन्क्रिप्ट करता है। ये उत्पाद कई विक्रेताओं से उपलब्ध हैं जैसे कि Neoscale और Decru। कुंजी प्रबंधन एक कठोर कुंजी प्रबंधन उपकरण से है। यह विधि आईएसवी सॉफ्टवेयर से स्वतंत्र है और विरासत टेप ड्राइव और लाइब्रेरी का समर्थन करती है। इन उपकरणों द्वारा डेटा संपीड़न किया जाना चाहिए क्योंकि टेप ड्राइव के भीतर संपीड़न एन्क्रिप्शन के बाद संभव नहीं है।

• एन्क्रिप्शन क्षमता के साथ एक सैन फैब्रिक स्विच इन-बैंड उपकरण के समान है, लेकिन एन्क्रिप्शन हार्डवेयर स्विच में एम्बेडेड है।

• एक मुख्य प्रबंधन उपकरण उद्यम वर्ग पुस्तकालयों जैसे कि एचपी स्टोरेजवर्क्स ईएमएल और ईएसएल ई-श्रृंखला पुस्तकालयों के साथ काम करता है। इसे आउट-ऑफ-बैंड कुंजी प्रबंधन के रूप में जाना जाता है, क्योंकि कुंजी प्रबंधन उपकरण द्वारा टेप ड्राइव को आपूर्ति की जाती है। चित्र 8 एक प्रमुख प्रबंधन उपकरण के बुनियादी घटकों को दर्शाता है। बैकअप एप्लिकेशन को टेप ड्राइव की एन्क्रिप्शन क्षमता का कोई ज्ञान नहीं है। हाल ही में ट्रांसपोर्ट लेयर सिक्योरिटी (TLS) का नाम बदलकर सिक्योर सॉकेट्स लेयर (एसएसएल) का उपयोग कर नेटवर्क कनेक्शन के माध्यम से टेप लाइब्रेरी कंट्रोलर को चाबी की आपूर्ति की जाती है। यह उपकरण से पारगमन में चाबियों की सुरक्षा की रक्षा के लिए आवश्यक एन्क्रिप्टेड कनेक्शन है। सुरक्षा स्थापित करने के लिए, लाइब्रेरी प्रबंधन हार्डवेयर में एक डिजिटल प्रमाणपत्र स्थापित किया गया है। यह आवश्यक सुरक्षित कनेक्शन स्थापित करता है। एसएसएल / टीएलएस की स्थापना सार्वजनिक कुंजी एन्क्रिप्शन का उपयोग करती है, लेकिन फिर हैंडशेक पूरा होने के बाद, लिंक को एन्क्रिप्ट करने के लिए एक गुप्त कुंजी गुजरती है। जब टेप को पुनर्स्थापित किया जाता है, तो कुंजी से संबंधित डेटा, (टेप से पुनर्प्राप्त), का उपयोग बैकअप एप्लिकेशन से स्वतंत्र टेप को डिक्रिप्ट करने के लिए सही कुंजी के अनुरोध को संदर्भित करने के लिए किया जाता है।

हम वास्तव में लापता हैं, निश्चित रूप से, वास्तविक दुनिया में लोग क्या कर रहे हैं। व्हाइटपैपर्स बहुत अच्छे हैं, लेकिन यह वास्तव में वास्तविकता को प्रतिबिंबित नहीं करता है।

इसके अलावा, मैंने इस प्रश्न को अपने ब्लॉग पर पोस्ट किया है , इसलिए कुछ उत्तर या उदाहरण वहां भी दिखाई दे सकते हैं।


+1। व्हाइटपैपर से "जहां ड्राइव में एन्क्रिप्शन सक्षम है, एन्क्रिप्टेड डेटा का इंटरचेंज है .. संभव है .. निर्माता की परवाह किए बिना।" तो LTO4 एन्क्रिप्शन एक खुला मानक है, यह अच्छा है। (पेपर यह भी कहता है कि सभी LTO4 ड्राइव एन्क्रिप्शन का समर्थन नहीं करते हैं, और यह एन्क्रिप्शन LTO3 और पिछले मानकों का हिस्सा नहीं था।)
जेस्पर एम
हमारी साइट का प्रयोग करके, आप स्वीकार करते हैं कि आपने हमारी Cookie Policy और निजता नीति को पढ़ और समझा लिया है।
Licensed under cc by-sa 3.0 with attribution required.