Szyfrowane kopie zapasowe poza siedzibą - gdzie przechowywać klucz szyfrowania?

16

Oprócz regularnych kopii zapasowych na miejscu (przechowywane w ognioodpornym sejfie) wysyłamy również taśmy raz w miesiącu zaszyfrowane przy użyciu AES. Więc jeśli nasza strona zostanie pewnego dnia odparowana przez obcy promień ciepła, powinniśmy mieć przynajmniej jedną ostatnią kopię zapasową, z której można by się zregenerować.

Tyle, że 128-bitowy klucz szyfrujący jest przechowywany tylko na miejscu. W przypadku prawdziwej katastrofy zostalibyśmy w rzeczywistości z jedną zaszyfrowaną kopią zapasową i nie ma możliwości jej odszyfrowania .

Pytanie: Jakie są najlepsze zasady przechowywania klucza szyfrowania poza siedzibą?

Jakakolwiek metoda, którą wybraliśmy, musi przejść audyt bezpieczeństwa, więc „zachowaj kopię w domu” nie jest wystarczająca, a „trzymaj ją z taśmami zewnętrznymi” w oczywisty sposób nie udaje się jej zaszyfrować! Kilka rozważanych opcji obejmuje:

  • Sejf w banku
  • Przechowywane w chmurze lub w oddzielnej geograficznie sieci w formie chronionej hasłem (np. Przy użyciu oprogramowania takiego jak Keepass lub Safe Safe)

Oczywiście druga opcja stawia inne pytanie: jak chronić to hasło.

Todd Owen
źródło
3
Ile osób powinno mieć dostęp do klucza? I samodzielnie, czy wymaga zaangażowania wszystkich / kilku osób? Istnieją systemy podziału klucza, które pozwoliłyby np. 5 osób bierze do domu część klucza (bezużyteczne samo w sobie) i jest w stanie go zrekonstruować za pomocą 3 z 5 części klucza. nie masz linku do mnie, ale może później.
Grant
Przechowuj klucz w zaszyfrowanych danych. Powinieneś znać klucz, aby zdobyć klucz, do cholery.
Kaz
3
Chcesz wygenerować i przechowywać prywatny klucz RSA w bardzo bezpiecznym miejscu i umieścić odpowiedni klucz publiczny RSA w systemie zapasowym. Podczas wykonywania kopii zapasowej wygeneruj losowy klucz AES, zaszyfruj go za pomocą klucza publicznego RSA i zapisz zaszyfrowany klucz AES wraz z kopią zapasową.
David Schwartz

Odpowiedzi:

13

To będzie okropnie subiektywne. Myślę, że powinniśmy dowiedzieć się więcej o Twojej branży i wszelkich szczegółowych wymaganiach prawnych, aby udzielić dobrych porad. To, co może wystarczyć dla małej firmy w nieuregulowanym przemyśle, prawdopodobnie nie zadziała dla dużej firmy w regulowanym przemyśle.

Przechowywanie klucza w skrytce depozytowej może być wystarczające, biorąc pod uwagę, że bank ma za zadanie uwierzytelnić strony, które mają dostęp do skrzynki (zazwyczaj za pomocą dokumentu tożsamości ze zdjęciem na liście upoważnionych podmiotów). Do otwarcia skrzynki potrzebny jest także klucz fizyczny. Kiedy połączysz te atrybuty z pudełkiem przechowywanym w fizycznie bezpiecznej lokalizacji, wygląda to raczej na dobre miejsce do przechowywania mi klucza. Osobiście martwię się bardziej o zgubienie / kradzież taśm przenoszących się do lub z sejfu, a nie o kradzież z samego sejfu. Alternatywnie możesz uzyskać sejf w innym banku z różnymi upoważnionymi podmiotami, które po prostu przechowują kluczowy materiał.

Możesz poprosić doradcę korporacyjnego o przechowanie klucza, zakładając, że nie masz adwokatów domowych.

Aby uzyskać wiedzę naukową i techniczną, istnieją różne algorytmy, które pozwalają rozbić tajny klucz na kilka części, dzięki czemu niezbędna jest współpraca pewnej wymaganej liczby stron w celu odtworzenia tajnego klucza (znanego jako schematy progowe). Nie od razu wiem o praktycznych wdrożeniach któregokolwiek z tych schematów, ale założę się, że są pewne, jeśli wystarczająco intensywnie szukasz. Mógłbyś rozdawać kluczowy materiał wielu stronom, tak aby część z nich po zebraniu mogła odtworzyć klucz. Kompromis każdego pojedynczego elementu klucza (lub dowolnej liczby sztuk mniejszej niż wymagany próg) nie spowodowałby kompromisu klucza.

Edytować:

Pojawiło się szybkie wyszukiwanie sharesecret , implementacja schematu progowego GPL.

Evan Anderson
źródło
Schematy progowe brzmią tak, jakby miały ładne właściwości techniczne, ale znacznie skomplikowałyby także zarządzanie kluczami. Jesteśmy stosunkowo małą organizacją, ludzie przychodzą i odchodzą, dlatego szukam więcej rozwiązania typu „ustaw i zapomnij”.
Todd Owen
2
Pomysł, aby mieć adwokata, by kluczowe dźwięki były dla mnie lepsze. Dla przypomnienia, branża to opieka zdrowotna, a naszym celem jest ochrona prywatności klientów.
Todd Owen
4

Jednym dość oczywistym rozwiązaniem jest przechowywanie kopii klucza w innym miejscu poza siedzibą. np. skrytka bankowa lub inna, całkowicie niezależna, zewnętrzna firma magazynująca.

W zależności od tego, jak surowe są Twoje wymagania, może okazać się, że pozostawienie klucza dyrektorom firmy, prawnikom lub księgowym może być odpowiednie.

John Gardeniers
źródło
4

Praktyczne rozwiązanie:

Wygeneruj 4096-bitowy prywatny klucz ssh na dysku USB. następnie utwórz mocno zaszyfrowany kontener plików za pomocą truecrypt i użyj klucza ssh jako „pliku klucza”, tzn. zaszyfrowany dysk zostanie odblokowany za pomocą pliku klucza ssh. Zamontuj kontener plików jak partycję i utwórz na nim system plików (np. Mkfs.ext4.) Zamontuj partycję i napisz plik hasła, który chcesz zarchiwizować. Odmontuj wszystko i wyślij klucz USB wraz z taśmami archiwalnymi. Kontener plików, który utworzyłeś, możesz (dość bezpiecznie) założyć konto Dropbox operacji, na dyskietce (kto by na niego poważnie spojrzał?) Itp. Zasadniczo bez pliku klucza dostęp do kopii zapasowej byłby niemożliwy , a plik klucza przechowywany poza witryną jest bezużyteczny bez szyfrowanej partycji, którą przechowujesz ... gdziekolwiek.

Może to zabrzmieć jak złożone rozwiązanie, ale być może skieruje cię w dobrym kierunku. Alternatywnie może być wystarczający zaszyfrowany dysk flash.

https://www.ironkey.com/

http://www.pcworld.com/article/254816/the_best_encrypted_flash_drives.html

Niezależnie od tego, jakie rozwiązanie wybierzesz, najważniejsze jest bardzo jasne, aktualne instrukcje, co zrobić, powiedzmy, jeśli zostałeś potrącony autobusem tego samego dnia, gdy obce zombie niszczyły twoje biuro. Powinno wystarczyć coś tak prostego, jak pakiet „na wypadek katastrofy”, który towarzyszy kopiom zapasowym.

Stephan
źródło
0

Pracuję dla dużej organizacji i mamy podobny system do szyfrowania kopii zapasowych serwerów certyfikatów. Mamy oddzielny, zastrzeżony wewnętrzny system, który zabezpiecza hasło dla używanych przez nas kluczy, wspólnych identyfikatorów itp.

System wymaga „sprawdzenia” hasła klucza przy użyciu naszego identyfikatora użytkownika, numeru incydentu, przyczyny itp. Po zakończeniu korzystania z niego musimy go ponownie sprawdzić. Jeśli nie sprawdzimy go ponownie po 24 godziny, system automatycznie sprawdzi to ponownie i prześle menedżerom poczty e-mail itp., że jeszcze tego nie zarejestrowaliśmy.

Nikt inny nie może uzyskać hasła itp., Dopóki go sprawdzimy, a podczas sprawdzania pojawi się dodatkowe wyzwanie / odpowiedź. System jest umieszczony w zupełnie innym miejscu.

Będąc dużą organizacją było to opłacalne, ale mogą istnieć produkty, które mogłyby wykonywać podobną działalność.

Enigman
źródło
-1

Wow, sejfy, adwokaci i inne skomplikowane metody w tym wątku. Wszystko zupełnie niepotrzebne.

Klucz prywatny może zasadniczo znajdować się w małym pliku tekstowym, prawda? Więc założyć konto SpiderOak i zsynchronizować plik do chmury. Następnie w przypadku utraty całej witryny z powodu pożaru odzyskujesz taśmy do przechowywania kopii zapasowych z innej lokalizacji poza siedzibą, a następnie logujesz się za pośrednictwem strony internetowej SpiderOak i pobierasz plik klucza prywatnego. Aby zalogować się na stronie SpiderOak, wystarczy nazwa użytkownika i hasło. Być może więc ty i ktoś inny w organizacji pamiętasz to w ich głowie. Wybierz nazwy swoich dwóch ulubionych filmów lub czegoś takiego. Nie trudno zapamiętać.

SpiderOak jest dobry, ponieważ potrzebujesz tylko nazwy użytkownika i hasła, aby uzyskać dostęp do danych. Jest również mocno zaszyfrowany. Jest również bezpieczniejszy niż DropBox, ponieważ nie przechowują kluczy szyfrowania / deszyfrowania i mają zerową wiedzę na temat twoich danych oraz brak możliwości dostępu do danych na koncie. DropBox jest jednak otwarty dla swoich pracowników lub rządu USA na dostęp do danych za pomocą nakazu. Jeśli korzystasz z DropBox, musisz umieścić klucz w pliku KeyPass i pamiętać hasło, aby uzyskać do niego dostęp.

Na koniec dnia jest to jednak prosty plik tekstowy z kluczem. O ile ktokolwiek uzyskuje dostęp do tego klucza w SpiderOak lub DropBox, nie ma absolutnie żadnego pojęcia, do czego służy klucz, ani co odblokowuje, ani nawet lokalizacji twoich fizycznych kopii zapasowych. Więc praktycznie nie ma dla nich pożytku, nawet jeśli go dostaną.

zuallauz
źródło
nie podoba mi się ta odpowiedź
nsij22
Chociaż opis funkcjonalności SpiderOak i wysokich standardów szyfrowania może być dokładny, nigdy nie przechowałbym niezaszyfrowanego klucza prywatnego na zagranicznych serwerach.
Rafael Bugajewski,