Sao lưu ngoại vi được mã hóa - nơi lưu trữ khóa mã hóa?

Ngoài các bản sao lưu tại chỗ thường xuyên (được giữ trong két an toàn chống cháy), chúng tôi cũng gửi băng từ bên ngoài mỗi tháng một lần, được mã hóa bằng AES. Vì vậy, nếu trang web của chúng tôi bị bốc hơi một ngày bởi một tia nhiệt ngoài hành tinh, ít nhất chúng ta nên có một bản sao lưu gần đây để phục hồi.

Ngoại trừ khóa mã hóa 128 bit chỉ được lưu trữ tại chỗ. Vì vậy, trong trường hợp thảm họa thực sự, chúng ta thực sự sẽ bị bỏ lại một bản sao lưu được mã hóa và không có cách nào để giải mã nó .

Câu hỏi: Chính sách tốt nhất để lưu trữ khóa mã hóa ngoại vi là gì?

Dù chúng tôi chọn phương pháp nào để vượt qua kiểm toán bảo mật, do đó, "giữ một bản sao tại nhà" là không thỏa đáng và "giữ nó bằng băng từ bên ngoài" rõ ràng đánh bại mục đích mã hóa chúng ngay từ đầu! Một vài lựa chọn chúng tôi đang xem xét bao gồm:

• Hộp tiền gửi an toàn trong ngân hàng
• Được lưu trữ trên đám mây hoặc trên một mạng riêng biệt về mặt địa lý ở dạng được bảo vệ bằng mật khẩu (ví dụ: sử dụng phần mềm như Keepass hoặc Mật khẩu an toàn)

Tất nhiên, tùy chọn thứ hai đặt ra một câu hỏi khác: làm thế nào để chúng tôi giữ mật khẩu đó an toàn.

Điều này sẽ được chủ quan khủng khiếp. Tôi nghĩ rằng chúng ta cần biết thêm về ngành của bạn và bất kỳ yêu cầu pháp lý cụ thể nào để đưa ra lời khuyên tốt. Những gì có thể đủ cho một doanh nghiệp nhỏ trong một ngành công nghiệp không được kiểm soát có thể sẽ không làm việc cho một doanh nghiệp lớn trong một ngành công nghiệp quy định.

Giữ chìa khóa trong hộp ký gửi an toàn có thể là đủ, do ngân hàng có nghĩa vụ xác thực các bên có quyền truy cập vào hộp (thường có ID ảnh với danh sách các bên được ủy quyền). Ngoài ra còn có một phím vật lý cần thiết để mở hộp. Khi bạn kết hợp các thuộc tính này với hộp được lưu trữ ở một vị trí an toàn về mặt vật lý, nó trông giống như một nơi tốt để lưu trữ khóa cho tôi. Cá nhân, tôi lo lắng nhiều hơn về việc băng bị mất / bị đánh cắp chuyển đến hoặc từ hộp ký gửi an toàn, không bị đánh cắp từ chính hộp ký gửi an toàn. Ngoài ra, bạn có thể nhận được một hộp ký gửi an toàn tại một ngân hàng khác với các bên được ủy quyền khác có tên đơn giản để lưu trữ tài liệu chính.

Bạn có thể trông chờ có luật sư lưu trữ chìa khóa, giả sử bạn không có luật sư tại gia.

Để có được sự táo bạo và kỹ thuật, có nhiều thuật toán cho phép bạn chia một khóa bí mật thành một số phần sao cho sự hợp tác của một số bên cần thiết là cần thiết để xây dựng lại bí mật (được gọi là sơ đồ ngưỡng). Tôi không nhận thức được ngay lập tức về bất kỳ triển khai thực tế nào trong số các kế hoạch này, nhưng tôi cá là có một số thứ ngoài đó nếu bạn tìm kiếm đủ mạnh. Bạn có thể phân phối tài liệu chính cho nhiều bên để một số phần trong số họ, khi kết hợp với nhau, có thể tái tạo lại khóa. Thỏa hiệp của bất kỳ phần riêng lẻ nào của khóa (hoặc bất kỳ số lượng phần nào ít hơn ngưỡng yêu cầu) sẽ không dẫn đến sự thỏa hiệp của khóa.

Biên tập:

Một tìm kiếm nhanh đã bật lên shareecret , triển khai sơ đồ ngưỡng của GPL.

Một giải pháp khá rõ ràng là giữ một bản sao của khóa ở một vị trí ngoài địa điểm khác. ví dụ: Một hộp tiền gửi ngân hàng hoặc một công ty lưu trữ ngoài địa điểm khác, hoàn toàn độc lập.

Tùy thuộc vào mức độ cứng nhắc của bạn, bạn có thể thấy rằng để lại chìa khóa với giám đốc công ty, luật sư hoặc kế toán viên có thể là đủ.

Một giải pháp thiết thực:

Tạo khóa ssh riêng 4096 bit trên ổ USB. sau đó Tạo bộ chứa tệp được mã hóa mạnh bằng cách sử dụng truecrypt và sử dụng khóa ssh làm 'keyfile', tức là ổ đĩa được mã hóa được mở khóa bằng keyfile ssh. Gắn bộ chứa tệp như phân vùng và tạo hệ thống tệp trên đó (ví dụ: mkfs.ext4.) Gắn phân vùng và ghi tệp mật khẩu bạn muốn lưu trữ. Ngắt kết nối mọi thứ và gửi khóa usb cùng với băng lưu trữ của bạn. Hộp chứa tệp bạn đã tạo, bạn có thể (khá an toàn) đưa vào tài khoản dropbox hoạt động, trên đĩa mềm (ai sẽ nghiêm túc nhìn vào nó?) V.v. Về cơ bản, nếu không có keyfile, sẽ không thể truy cập vào bản sao lưu và keyfile được lưu trữ bên ngoài là vô dụng nếu không có phân vùng được mã hóa mà bạn lưu trữ ... bất cứ nơi nào.

Điều này nghe có vẻ như là một giải pháp phức tạp, nhưng có lẽ nó sẽ chỉ cho bạn đi đúng hướng. Ngoài ra, một ổ đĩa flash được mã hóa có thể là đủ.

https://www.ironkey.com/

http://www.pcworld.com/article/254816/the_best_encrypted_flash_drive.html

Bất kể giải pháp nào bạn đi cùng, điều quan trọng nhất là rất rõ ràng, hướng dẫn hiện tại về những việc cần làm, nói, nếu bạn bị xe buýt đâm vào cùng ngày, zombie ngoài hành tinh đã tấn công văn phòng của bạn. Một cái gì đó đơn giản như một gói "trong trường hợp thảm họa" đi kèm với các bản sao lưu của bạn là đủ.

Tôi làm việc cho một tổ chức lớn và chúng tôi có một hệ thống tương tự để mã hóa các bản sao lưu của các máy chủ chứng chỉ. Chúng tôi có một hệ thống nội bộ riêng, độc quyền, đảm bảo cụm từ khóa cho các khóa chúng tôi sử dụng, ID chung, v.v.

Hệ thống yêu cầu 'kiểm tra' mật khẩu của khóa với id người dùng của chúng tôi, số sự cố, lý do, v.v. Khi chúng tôi hoàn thành việc sử dụng nó, chúng tôi phải kiểm tra lại. Nếu chúng tôi không kiểm tra lại sau 24 giờ, hệ thống sẽ tự động kiểm tra lại và quản lý email, v.v. mà chúng tôi chưa kiểm tra.

Không ai khác có thể nhận được cụm mật khẩu, v.v. trong khi chúng tôi đã kiểm tra và có thêm một thách thức / phản hồi khi chúng tôi kiểm tra. Hệ thống được đặt ở một vị trí hoàn toàn khác.

Là một tổ chức lớn, đó là một chi phí đáng giá nhưng có thể có những sản phẩm ngoài kia có thể thực hiện một hoạt động tương tự.

Wow hộp ký gửi an toàn, luật sư và các phương pháp phức tạp khác trong chủ đề này. Tất cả hoàn toàn không cần thiết.

Khóa riêng về cơ bản có thể chứa trong một tệp văn bản nhỏ phải không? Vì vậy, hãy thiết lập tài khoản SpiderOak và đồng bộ hóa tệp lên đám mây. Sau đó, trong trường hợp bạn mất toàn bộ trang web do hỏa hoạn, bạn truy xuất các băng lưu trữ dự phòng từ vị trí ngoại vi khác của bạn, sau đó đăng nhập qua trang web SpiderOak và tải xuống tệp khóa riêng. Tất cả những gì bạn cần để đăng nhập vào trang web SpiderOak là tên người dùng và mật khẩu. Vì vậy, có lẽ bạn và ai đó trong tổ chức có thể nhớ điều đó trong đầu. Chọn tên của hai bộ phim yêu thích của bạn hoặc một cái gì đó. Không khó nhớ.

SpiderOak là tốt vì bạn chỉ cần tên người dùng và mật khẩu để truy cập dữ liệu. Nó cũng được mã hóa mạnh. Nó cũng an toàn hơn DropBox vì họ không lưu trữ khóa mã hóa / giải mã và không có kiến ​​thức về dữ liệu của bạn và không có khả năng truy cập dữ liệu của bạn trong tài khoản. DropBox tuy nhiên mở cho nhân viên của họ hoặc chính phủ Hoa Kỳ truy cập dữ liệu bằng lệnh bảo đảm. Nếu bạn đang sử dụng DropBox, bạn cần đặt khóa bên trong tệp KeyPass và nhớ mật khẩu để truy cập.

Vào cuối ngày, mặc dù đó là một tệp văn bản đơn giản với một khóa trong đó. Đối với bất kỳ ai khác truy cập khóa đó trong SpiderOak hoặc DropBox, họ hoàn toàn không biết khóa đó dùng để làm gì, hoặc mở khóa, hoặc thậm chí là vị trí của các bản sao lưu vật lý của bạn. Vì vậy, thực tế không có ích gì cho họ ngay cả khi họ có được nó.