Gestión de cifrado de cinta y mejores prácticas

Quiero habilitar el cifrado en todas mis cintas de respaldo. Más o menos sé cómo hacer esto técnicamente, pero los elementos de procedimiento y humanos para implementar esto son difíciles.

Utilizo unidades HP LTO4 con bacula, que no tiene ninguna función de administración de claves. De hecho, su soporte para el cifrado de hardware es llamar a un script externo que establece la clave en la unidad antes de leer y escribir.

Mis preguntas:

1. ¿Cómo debo hacer un seguimiento de qué cintas tienen cifrado? Ya tengo unos cientos de cintas sin cifrado. Incluso si me tomo el tiempo de volver a escribirlos con cifrado, habrá meses de superposición donde algunos lo tienen y otros no. ¿Cómo sabrá Bacula si establecer la clave antes de leer una cinta dada? ¿La unidad es lo suficientemente inteligente como para leer cintas sin cifrar incluso cuando se configura una clave?
2. Si la clave se ve comprometida alguna vez, tendremos que cambiarla y tendremos el mismo problema que el n. ° 1.
3. Si se pierde la clave, efectivamente hemos perdido todas nuestras copias de seguridad. ¿Cómo puedo mitigar esto sin aumentar el riesgo de que se vea comprometido?
4. ¿Debería la clave cambiar regularmente? ¿Una vez al año? cual es la mejor practica?
5. ¿Cómo manejan estos problemas los grandes sistemas de respaldo de ISV?

Muy buenas preguntas. A mí también me gustaría ver buenas respuestas de personas que saben más sobre esto que yo. :-)

3 Si se pierde la clave, efectivamente hemos perdido todas nuestras copias de seguridad

Precisamente, por eso muchas o la mayoría de las personas no usan copias de seguridad cifradas.

Una posible forma de hacerlo es construir un par de "botes salvavidas", es decir, paquetes con medios de instalación, nombres de usuario y contraseñas para sistemas esenciales como copias de seguridad, Active Directory y otros (es decir, lo que necesita para cargar una copia de seguridad si el sitio principal ha sido completamente destruido en un incendio, pero no los datos de respaldo en sí). Debe almacenar estos botes salvavidas de forma segura fuera del sitio, por ejemplo, en una bóveda de un banco o en una caja fuerte de alta seguridad en una oficina remota con un sistema de alarma. Y, por último, documente esto, para que otros puedan descubrir cómo usar los botes salvavidas después de que haya dejado la empresa, si es necesario.

4 ¿Debería la llave cambiar regularmente? ¿Una vez al año? cual es la mejor practica?

Desde un punto de vista práctico, diría que no cambie las teclas, ya que rápidamente se vuelve inmanejable si lo hace. Si le preocupa que la seguridad de la copia de seguridad no sea lo suficientemente buena, refuerce la seguridad física alrededor de sus cintas, utilizando un servicio como Iron Mountain o construyendo un sistema de almacenamiento con buena seguridad física.

Por último: preferiría tener todo el manejo de cifrado y respaldo en un sistema, por lo que hay menos riesgo de que la recuperación no funcione. Con esto me refiero a usar el cifrado incorporado en software como Retrospect o Backup Exec, en lugar del cifrado a nivel de unidad.

Utilizo un dm-crypt FS, cifrándolo con una frase de contraseña larga y fuerte.

Para evitar perder la contraseña, la escribí en una carta sellada con cera, se la di a la propiedad de la compañía y la guardó en una caja fuerte de seguridad.

Por supuesto que puedes dárselo a un notario, o lo que sea que pienses.

Creo que una contraseña es mejor para este trabajo, ya que solo puede estar en la mente de las personas autorizadas para saberlo, mientras que un dispositivo digital se puede perder, robar, etc.

Puedes ser torturado, por supuesto :)

Estoy respondiendo esto, y lo estoy convirtiendo en un wiki comunitario, ya que estoy copiando y pegando desde un documento existente.

Para el registro, uso Amanda Enterprise como mi solución de respaldo, y no uso el cifrado de cinta que proporciona, por las mismas razones que usted menciona.

Estaba investigando el cifrado de cinta, y me encontré con un excelente documento técnico de HP que hablaba sobre el cifrado LTO-4 , y se incluyen muchas posibilidades para la administración de claves. Aquí hay un resumen básico de las opciones disponibles que se presentan:

• Cifrado en modo nativo (a veces denominado establecer y olvidar). Este método controla el cifrado LTO4 desde la biblioteca de la unidad de cinta. Hay una clave que se configura a través de la interfaz de administración de la biblioteca (Web GUO o Panel de control del operador). Este método encripta todas las cintas con la misma clave, con el inconveniente de afectar negativamente el nivel de seguridad.

• El cifrado basado en software cifra los datos antes de que salgan del servidor y las claves se almacenan en la base de datos interna o en el catálogo de la aplicación. Este método de cifrado coloca una gran carga en el servidor ya que el software realiza muchas operaciones matemáticas utilizando la potencia de procesamiento del host. Varias aplicaciones, incluido HP Open View Storage Data Protector 6.0, ofrecen cifrado como característica. Aunque la seguridad de la fecha cifrada de esta manera es muy alta (ya que los datos se cifran en tránsito), dado que los datos cifrados son muy aleatorios, resulta imposible lograr una compresión de datos aguas abajo en la unidad de cinta y, por lo tanto, el almacenamiento es ineficiente.

• Claves administradas por la aplicación ISV, también conocida como administración de claves en banda. El software ISV suministra las claves y las administra, y la unidad de cinta Ultrium LTO4 realiza el cifrado. Las claves serían referenciadas por los datos asociados a las claves y almacenadas en la base de datos interna de las aplicaciones. (Consulte a su proveedor de aplicaciones de respaldo ISV individual para obtener soporte de esta funcionalidad).

• Un dispositivo de encriptación en banda intercepta los enlaces de Fibre Channel y encripta los datos en vuelo. Estos productos están disponibles en varios proveedores, como Neoscale y Decru. La gestión de claves proviene de un dispositivo de gestión de claves reforzado. Este método es independiente del software ISV y admite bibliotecas y unidades de cinta heredadas. Estos dispositivos deben realizar la compresión de datos, ya que la compresión dentro de la unidad de cinta no es posible después del cifrado.

• Un conmutador de estructura SAN con capacidad de cifrado es similar al dispositivo en banda, pero el hardware de cifrado está integrado en el conmutador.

• Un dispositivo de administración de claves funciona con bibliotecas de clase empresarial, como las bibliotecas HP StorageWorks EML y ESL E-series. Se conoce como gestión de claves fuera de banda, ya que el dispositivo de gestión de claves suministra la clave a la unidad de cinta. La Figura 8 muestra los componentes básicos de un dispositivo de administración de claves. Las aplicaciones de copia de seguridad no tienen conocimiento de la capacidad de cifrado de la unidad de cinta. Las claves se suministran al controlador de la biblioteca de cintas mediante una conexión de red que utiliza una Capa de sockets seguros (SSL), recientemente renombrada Seguridad de la capa de transporte (TLS). Esta es una conexión encriptada necesaria para proteger la seguridad de las claves en tránsito desde el dispositivo. Para configurar la seguridad, se instala un certificado digital en el hardware de administración de la biblioteca. Esto establece la conexión segura necesaria. La configuración de SSL / TLS utiliza cifrado de clave pública, pero luego de que se completa el protocolo de enlace, se pasa una clave secreta para cifrar el enlace. Cuando se restauran las cintas, los datos asociados a la clave (recuperados de la cinta) se utilizan para hacer referencia a la solicitud de la clave correcta para descifrar la cinta independientemente de la aplicación de copia de seguridad.

Lo que realmente nos falta es, por supuesto, lo que la gente en el mundo real está haciendo. Los libros blancos son geniales, pero eso no necesariamente se refleja en la realidad.

Además, publiqué esta pregunta en mi blog , por lo que algunas respuestas o ejemplos también pueden aparecer allí.