Manajemen enkripsi pita & praktik terbaik

Saya ingin mengaktifkan enkripsi pada semua kaset cadangan saya. Saya lebih atau kurang tahu bagaimana melakukan ini secara teknis, tetapi elemen prosedural dan manusia dari penerapan ini rumit.

Saya menggunakan drive HP LTO4 dengan bacula, yang tidak memiliki fitur manajemen kunci. Bahkan, dukungannya untuk enkripsi perangkat keras adalah untuk memanggil skrip eksternal yang menetapkan kunci pada drive sebelum membaca dan menulis.

Pertanyaan saya:

1. Bagaimana saya harus melacak rekaman mana yang memiliki enkripsi? Saya sudah memiliki beberapa ratus kaset tanpa enkripsi. Bahkan jika saya meluangkan waktu untuk menulis ulang semuanya dengan enkripsi, akan ada berbulan-bulan tumpang tindih di mana beberapa memilikinya dan beberapa tidak. Bagaimana bacula tahu apakah akan mengatur kunci sebelum membaca kaset yang diberikan? Apakah drive cukup pintar untuk membaca kaset tidak terenkripsi bahkan ketika kunci diatur?
2. Jika kunci pernah dikompromikan, kita harus mengubahnya dan kita akan memiliki masalah yang sama dengan # 1.
3. Jika kuncinya hilang, kami telah kehilangan semua cadangan kami secara efektif. Bagaimana saya bisa mengurangi ini tanpa meningkatkan risiko itu dikompromikan?
4. Haruskah kuncinya berubah secara teratur? Sekali setahun? Apa praktik terbaik?
5. Bagaimana sistem cadangan ISV besar menangani masalah ini?

Pertanyaan yang sangat bagus Saya juga ingin melihat jawaban yang baik dari orang-orang yang tahu lebih banyak tentang ini daripada saya. :-)

3 Jika kunci hilang, kami telah kehilangan semua cadangan kami secara efektif

Tepatnya, itulah sebabnya banyak atau kebanyakan orang tidak menggunakan cadangan terenkripsi.

Salah satu cara yang mungkin untuk dilakukan adalah dengan membangun beberapa "sekoci", yaitu paket dengan media instal, nama pengguna dan kata sandi untuk sistem penting seperti cadangan, Direktori Aktif dan lainnya (yaitu hal-hal yang Anda perlu memuat cadangan jika situs utama telah benar-benar hancur dalam kebakaran, tetapi bukan data cadangan itu sendiri). Anda harus menyimpan sekoci ini dengan aman di luar lokasi, misalnya di brankas bank, atau di brankas keamanan tinggi di kantor jauh dengan sistem alarm. Dan terakhir dokumentasikan ini, sehingga orang lain dapat mengetahui cara menggunakan sekoci setelah Anda meninggalkan perusahaan, jika diperlukan.

4 Haruskah kunci berubah secara teratur? Sekali setahun? Apa praktik terbaik?

Dari sudut pandang praktis, saya akan mengatakan untuk tidak mengubah kunci, karena dengan cepat menjadi tidak terkendali jika Anda melakukannya. Jika Anda khawatir tentang keamanan cadangan tidak cukup baik, maka tingkatkan keamanan fisik di sekitar kaset Anda, dengan menggunakan layanan seperti Iron Mountain , atau dengan membangun sistem penyimpanan dengan keamanan fisik yang baik sendiri.

Terakhir: Saya lebih suka memiliki semua enkripsi & penanganan cadangan dalam satu sistem, sehingga ada risiko pemulihan yang lebih rendah. Maksud saya menggunakan enkripsi bawaan dalam perangkat lunak seperti Retrospect atau Backup Exec, daripada enkripsi tingkat drive.

Saya menggunakan dm-crypt FS, mengenkripsi dengan passfrase yang panjang dan kuat.

Untuk menghindari kehilangan frasa sandi, saya menulisnya pada surat yang disegel lilin, memberikannya ke properti perusahaan dan dia menyimpannya di kotak keamanan.

Tentu saja Anda bisa memberikannya kepada notaris, atau apa pun yang Anda pikirkan.

Saya pikir frasa sandi lebih baik untuk pekerjaan ini, karena hanya dapat diingat oleh orang yang berwenang untuk mengetahuinya, sementara perangkat digital dapat hilang, dicuri, dan sebagainya.

Anda bisa disiksa, tentu saja :)

Saya menjawab ini, dan saya membuatnya menjadi wiki komunitas, karena saya menyalin dan menempel dari dokumen yang ada.

Sebagai catatan, saya menggunakan Amanda Enterprise sebagai solusi cadangan saya, dan saya tidak menggunakan enkripsi rekaman yang disediakannya, karena alasan yang Anda sebutkan.

Saya sedang meneliti enkripsi pita, dan saya menemukan kertas putih besar dari HP berbicara tentang enkripsi LTO-4 , dan termasuk banyak kemungkinan untuk manajemen kunci. Berikut ini ikhtisar dasar dari opsi yang tersedia yang disajikan:

• Enkripsi mode asli (kadang-kadang disebut set dan lupa). Metode ini mengontrol enkripsi LTO4 dari dalam perpustakaan tape drive. Ada satu kunci yang diatur melalui antarmuka manajemen perpustakaan (Web GUO atau Panel Kontrol Operator). Metode ini mengenkripsi semua kaset dengan kunci yang sama, dengan sisi negatifnya berdampak pada tingkat keamanan.

• Enkripsi berbasis perangkat lunak mengenkripsi data sebelum meninggalkan server dan kunci disimpan dalam basis data internal atau katalog aplikasi. Metode enkripsi ini menempatkan beban tinggi pada server karena perangkat lunak melakukan banyak operasi matematika menggunakan kekuatan pemrosesan host. Beberapa aplikasi termasuk HP Open View Storage Data Protector 6.0 menawarkan enkripsi sebagai fitur. Meskipun keamanan tanggal yang dienkripsi dengan cara ini sangat tinggi (karena data dienkripsi dalam perjalanan), karena data yang dienkripsi sangat acak, maka menjadi mustahil untuk mencapai kompresi data apa pun di hilir dalam drive tape dan oleh karena itu penyimpanan tidak efisien.

• Kunci dikelola oleh aplikasi ISV, juga dikenal sebagai manajemen kunci in-band. Perangkat lunak ISV memasok kunci dan mengelolanya, dan Ultrium LTO4 Tape Drive kemudian melakukan enkripsi. Kunci akan dirujuk oleh data terkait kunci dan disimpan dalam basis data internal aplikasi. (Silakan merujuk ke vendor aplikasi cadangan ISV individual Anda untuk dukungan fungsi ini).

• Alat enkripsi in-band memotong tautan Fibre Channel dan mengenkripsi data dalam penerbangan. Produk-produk ini tersedia dari beberapa vendor seperti Neoscale dan Decru. Manajemen kunci berasal dari alat manajemen kunci yang diperkeras. Metode ini tidak tergantung pada perangkat lunak ISV dan mendukung legacy tape drive dan perpustakaan. Kompresi data harus dilakukan oleh perangkat ini karena kompresi dalam drive tape tidak dimungkinkan setelah enkripsi.

• Sakelar fabric SAN dengan kemampuan enkripsi mirip dengan alat in-band, tetapi perangkat keras enkripsi tertanam di sakelar.

• Alat Manajemen Kunci bekerja dengan perpustakaan kelas perusahaan seperti perpustakaan HP StorageWorks EML dan ESL E-series. Ini dikenal sebagai manajemen kunci out-of-band, karena kunci dipasok ke tape drive oleh alat manajemen kunci. Gambar 8 menunjukkan komponen dasar alat manajemen kunci. Aplikasi cadangan tidak memiliki pengetahuan tentang kemampuan enkripsi tape drive. Kunci-kunci tersebut dipasok ke pengontrol perpustakaan tape melalui koneksi jaringan menggunakan Secure Sockets Layer (SSL), yang baru-baru ini dinamai Transport Layer Security (TLS). Ini adalah koneksi terenkripsi yang diperlukan untuk melindungi keamanan kunci dalam perjalanan dari alat. Untuk mengatur keamanan, sertifikat digital dipasang ke perangkat keras manajemen perpustakaan. Ini menetapkan koneksi aman yang diperlukan. Pengaturan SSL / TLS menggunakan enkripsi kunci publik, tetapi kemudian setelah jabat tangan selesai, kunci rahasia dilewati untuk mengenkripsi tautan. Ketika kaset dipulihkan, data terkait kunci, (diambil dari kaset), digunakan untuk referensi permintaan kunci yang benar untuk mendekripsi rekaman independen dari aplikasi cadangan.

Apa yang benar-benar kita lewatkan adalah, tentu saja, apa yang dilakukan orang di dunia nyata. Buku putih itu bagus, tapi itu tidak selalu mencerminkan kenyataan.

Juga, saya memposting pertanyaan ini di blog saya , jadi beberapa jawaban atau contoh mungkin muncul di sana juga.