Bandverschlüsselungsmanagement und Best Practices

Ich möchte die Verschlüsselung für alle meine Sicherungsbänder aktivieren. Ich weiß mehr oder weniger, wie man das technisch macht, aber die prozeduralen und menschlichen Elemente bei der Umsetzung sind schwierig.

Ich verwende HP LTO4-Laufwerke mit Bacula, die keine Schlüsselverwaltungsfunktionen haben. Tatsächlich besteht die Unterstützung der Hardwareverschlüsselung darin, ein externes Skript aufzurufen, das den Schlüssel vor dem Lesen und Schreiben auf dem Laufwerk festlegt.

Meine Fragen:

1. Wie kann ich nachverfolgen, welche Bänder verschlüsselt sind? Ich habe bereits ein paar hundert Bänder ohne Verschlüsselung. Selbst wenn ich mir die Zeit nehme, sie alle mit Verschlüsselung neu zu schreiben, kommt es zu monatelangen Überschneidungen, bei denen manche es haben und manche nicht. Woher weiß Bacula, ob der Schlüssel gesetzt werden muss, bevor ein bestimmtes Band gelesen wird? Ist das Laufwerk intelligent genug, um unverschlüsselte Bänder zu lesen, auch wenn ein Schlüssel gesetzt ist?
2. Wenn der Schlüssel jemals kompromittiert wird, müssen wir ihn ändern und haben das gleiche Problem wie bei Nummer 1.
3. Wenn der Schlüssel verloren geht, haben wir effektiv alle unsere Backups verloren. Wie kann ich dies abmildern, ohne das Risiko einer Gefährdung zu erhöhen?
4. Sollte sich der Schlüssel regelmäßig ändern? Einmal pro Jahr? Was ist die beste Praxis?
5. Wie gehen die großen ISV-Sicherungssysteme mit diesen Problemen um?

Sehr gute Fragen. Auch ich würde gerne gute Antworten von Leuten sehen, die mehr darüber wissen als ich. :-)

3 Wenn der Schlüssel verloren geht, haben wir effektiv alle unsere Backups verloren

Genau deshalb verwenden viele oder die meisten Leute keine verschlüsselten Backups.

Eine Möglichkeit besteht darin, einige "Rettungsboote" zu erstellen, dh Pakete mit Installationsmedien, Benutzernamen und Kennwörtern für wichtige Systeme wie Sicherungen, Active Directory und andere (dh das Material, das Sie zum Laden einer Sicherung benötigen, wenn der Hauptstandort vorhanden ist) bei einem Brand vollständig zerstört, jedoch nicht die Sicherungsdaten selbst). Sie sollten diese Rettungsboote außerhalb des Standorts sicher aufbewahren, z. B. in einem Banktresor oder in einem Hochsicherheitstresor in einem Außenbüro mit Alarmsystem. Und dokumentieren Sie dies zum Schluss, damit andere bei Bedarf nach dem Verlassen des Unternehmens herausfinden können, wie die Rettungsboote zu verwenden sind.

4 Sollte sich der Schlüssel regelmäßig ändern? Einmal pro Jahr? Was ist die beste Praxis?

Aus praktischer Sicht würde ich sagen, die Schlüssel nicht zu ändern, da sie sonst schnell unhandlich werden. Wenn Sie befürchten, dass die Backup-Sicherheit nicht ausreichend ist, verbessern Sie die physische Sicherheit Ihrer Bänder, indem Sie einen Dienst wie Iron Mountain verwenden oder ein Speichersystem mit guter physischer Sicherheit selbst erstellen.

Zuletzt: Ich würde es vorziehen, alle Verschlüsselungs- und Backup-Vorgänge in einem System durchzuführen, damit das Risiko geringer ist, dass die Wiederherstellung nicht funktioniert. Damit meine ich, die in Software wie Retrospect oder Backup Exec integrierte Verschlüsselung anstelle der Verschlüsselung auf Laufwerksebene zu verwenden.

Ich benutze einen dm-crypt FS, der mit einer langen und starken Pass-Base verschlüsselt wird.

Um den Verlust des Passes zu vermeiden, schrieb ich es auf einen mit Wachs versiegelten Brief, gab es dem Firmeneigentum und er bewahrte es in einem Sicherheitsschrank auf.

Natürlich können Sie es einem Notar geben, oder was auch immer Sie denken.

Ich denke, ein Passwort ist besser für diesen Job, da es nur den Personen einfällt, die dazu befugt sind, es zu kennen, während ein digitales Gerät verloren gehen, gestohlen werden und so weiter kann.

Du kannst natürlich gefoltert werden :)

Ich beantworte dies und mache es zu einem Community-Wiki, da ich ein vorhandenes Dokument kopiere und einfüge.

Für die Aufzeichnung verwende ich Amanda Enterprise als Backup-Lösung und verwende aus den von Ihnen genannten Gründen nicht die bereitgestellte Bandverschlüsselung.

Ich habe mich mit der Bandverschlüsselung befasst und bin auf ein großartiges Whitepaper von HP gestoßen, in dem es um die LTO-4-Verschlüsselung geht. Darin sind viele Möglichkeiten für die Schlüsselverwaltung enthalten. Im Folgenden finden Sie eine grundlegende Übersicht über die verfügbaren Optionen:

• Verschlüsselung im einheitlichen Modus (manchmal auch als Festlegen und Vergessen bezeichnet). Diese Methode steuert die LTO4-Verschlüsselung in der Bandlaufwerkbibliothek. Es gibt einen Schlüssel, der über die Bibliotheksverwaltungsschnittstelle (Web GUO oder Operator Control Panel) festgelegt wird. Diese Methode verschlüsselt alle Bänder mit demselben Schlüssel, was sich negativ auf die Sicherheitsstufe auswirkt.

• Die softwarebasierte Verschlüsselung verschlüsselt die Daten, bevor sie den Server verlassen, und die Schlüssel werden in der internen Datenbank oder im Katalog der Anwendung gespeichert. Diese Verschlüsselungsmethode stellt eine hohe Belastung für den Server dar, da die Software viele mathematische Operationen mit Host-Rechenleistung ausführt. Einige Anwendungen, einschließlich HP Open View Storage Data Protector 6.0, bieten Verschlüsselung als Funktion. Obwohl die Sicherheit von Daten, die auf diese Weise verschlüsselt werden, sehr hoch ist (da die Daten während der Übertragung verschlüsselt werden), wird es unmöglich, eine Datenkomprimierung stromabwärts im Bandlaufwerk zu erreichen, und daher ist die Speicherung ineffizient.

• Von der ISV-Anwendung verwaltete Schlüssel, auch als In-Band-Schlüsselverwaltung bezeichnet. Die ISV-Software liefert die Schlüssel und verwaltet sie. Das Ultrium LTO4-Bandlaufwerk führt dann die Verschlüsselung durch. Schlüssel würden durch die Schlüssel-assoziierten Daten referenziert und in der internen Datenbank der Anwendung gespeichert. (Informationen zur Unterstützung dieser Funktionalität erhalten Sie von Ihrem ISV-Anbieter.)

• Eine In-Band-Verschlüsselungs-Appliance fängt die Fibre Channel-Verbindungen ab und verschlüsselt die Daten während des Flugs. Diese Produkte sind von verschiedenen Anbietern wie Neoscale und Decru erhältlich. Die Schlüsselverwaltung erfolgt über eine gehärtete Schlüsselverwaltungs-Appliance. Diese Methode ist unabhängig von ISV-Software und unterstützt ältere Bandlaufwerke und Bibliotheken. Die Datenkomprimierung muss von diesen Geräten durchgeführt werden, da nach der Verschlüsselung keine Komprimierung innerhalb des Bandlaufwerks möglich ist.

• Ein SAN-Fabric-Switch mit Verschlüsselungsfunktion ähnelt der In-Band-Appliance, die Verschlüsselungshardware ist jedoch in den Switch eingebettet.

• Eine Key Management Appliance kann mit Bibliotheken der Enterprise-Klasse wie den Bibliotheken der HP StorageWorks EML- und ESL E-Serie verwendet werden. Dies wird als Out-of-Band-Schlüsselverwaltung bezeichnet, da der Schlüssel vom Schlüsselverwaltungsgerät an das Bandlaufwerk geliefert wird. Abbildung 8 zeigt die grundlegenden Komponenten einer Schlüsselverwaltungs-Appliance. Die Sicherungsanwendungen haben keine Kenntnis von der Verschlüsselungsfähigkeit des Bandlaufwerks. Die Schlüssel werden über eine Netzwerkverbindung mit SSL (Secure Sockets Layer), das kürzlich in TLS (Transport Layer Security) umbenannt wurde, an den Bandbibliothekscontroller übergeben. Dies ist eine verschlüsselte Verbindung, die zum Schutz der Sicherheit der vom Gerät übertragenen Schlüssel erforderlich ist. Zur Einrichtung der Sicherheit wird ein digitales Zertifikat in die Bibliotheksverwaltungshardware installiert. Dies stellt die notwendige sichere Verbindung her. Die Einrichtung von SSL / TLS verwendet die Verschlüsselung mit öffentlichen Schlüsseln. Nach Abschluss des Handshakes wird jedoch ein geheimer Schlüssel übergeben, um die Verbindung zu verschlüsseln. Beim Wiederherstellen von Bändern werden die mit dem Schlüssel verknüpften Daten (vom Band abgerufen) verwendet, um auf die Anforderung des richtigen Schlüssels zum Entschlüsseln des Bandes zu verweisen, und zwar unabhängig von der Sicherungsanwendung.

Was wir wirklich vermissen, ist natürlich, was die Menschen in der realen Welt tun. Whitepapers sind großartig, aber das muss nicht unbedingt die Realität widerspiegeln.

Außerdem habe ich diese Frage in meinem Blog gepostet , sodass dort möglicherweise auch einige Antworten oder Beispiele angezeigt werden.