テープ暗号化管理とベストプラクティス
すべてのバックアップテープで暗号化を有効にしたい。私は多かれ少なかれこれを技術的に行う方法を知っていますが、これを実装するための手順的および人間的な要素には注意が必要です。
キー管理機能を持たないBaculaを搭載したHPLTO4ドライブを使用しています。実際、ハードウェア暗号化のサポートは、読み取りと書き込みの前にドライブにキーを設定する外部スクリプトを呼び出すことです。
私の質問：
- どのテープが暗号化されているかをどのように追跡する必要がありますか？私はすでに暗号化されていない数百本のテープを持っています。時間をかけてすべてを暗号化で書き直しても、暗号化されているものとされていないものが何ヶ月も重複することになります。与えられたテープを読む前に、バキュラはどのようにしてキーを設定するかどうかを知るのでしょうか？ドライブは、キーが設定されている場合でも、暗号化されていないテープを読み取るのに十分スマートですか？
- キーが危険にさらされた場合は、キーを変更する必要があり、＃1と同じ問題が発生します。
- キーが失われると、すべてのバックアップが事実上失われます。危険にさらされるリスクを高めることなく、これをどのように軽減できますか？
- キーは定期的に変更する必要がありますか？年に一度？ベストプラクティスは何ですか？
- 大規模なISVバックアップシステムはこれらの問題をどのように処理しますか？
とても良い質問です。私も、私よりもこのことをよく知っている人たちからの良い答えを期待しています。 :-)
3キーを紛失した場合、すべてのバックアップが事実上失われています
正確に言えば、それが多くの人またはほとんどの人が暗号化されたバックアップを使用しない理由です。
考えられる方法の1つは、いくつかの「ライフボート」を構築することです。つまり、バックアップ、Active Directoryなどの重要なシステムのインストールメディア、ユーザー名、パスワードを含むパッケージ（つまり、メインサイトがバックアップされている場合にバックアップをロードするために必要なもの）火災で完全に破壊されましたが、バックアップデータ自体は破壊されていません）。これらの救命ボートは、銀行の金庫室などのオフサイト、または警報システムを備えた遠隔地の高セキュリティ金庫に安全に保管する必要があります。そして最後にこれを文書化して、必要に応じて、会社を辞めた後に救命ボートの使い方を他の人が理解できるようにします。
4キーは定期的に変更する必要がありますか？年に一度？ベストプラクティスは何ですか？
実用的な観点からは、キーを変更するとすぐに管理できなくなるため、キーを変更しないしないと言います。バックアップのセキュリティが十分でないことが心配な場合は、サービス Iron Mountainなど を使用するか、物理的なセキュリティが良好なストレージシステムを自分で構築することにより、テープ周辺の物理的なセキュリティを強化します。
最後に：すべての暗号化とバックアップを1つのシステムで処理して、リカバリが機能しないリスクを減らしたいと思います。これは、ドライブレベルの暗号化ではなく、RetrospectやBackupExecなどのソフトウェアに組み込まれている暗号化を使用することを意味します。
私はこれに答えており、既存のドキュメントからコピーして貼り付けているので、コミュニティWikiにしています。
ちなみに、私はバックアップソリューションとしてAmanda Enterpriseを使用していますが、あなたが言及したまさにその理由から、AmandaEnterpriseが提供するテープ暗号化は使用していません。
私はテープ暗号化を研究していて、HPから LTO-4暗号化 について話している素晴らしいホワイトペーパーに出くわしました。キー管理の多くの可能性が含まれています。表示される利用可能なオプションの基本的な概要は次のとおりです。
•ネイティブモードの暗号化（セットアンドフォーゲットと呼ばれることもあります）。このメソッドは、テープドライブライブラリ内からLTO4暗号化を制御します。ライブラリ管理インターフェイス（Web GUOまたはオペレーターコントロールパネル）を介して設定されるキーが1つあります。この方法では、すべてのテープを同じキーで暗号化しますが、セキュリティレベルに悪影響を与えるという欠点があります。
•ソフトウェアベースの暗号化は、データがサーバーを離れる前にデータを暗号化し、キーはアプリケーションの内部データベースまたはカタログに保存されます。この暗号化方法では、ソフトウェアがホストの処理能力を使用して多くの数学演算を実行するため、サーバーに高い負荷がかかります。 HP Open View Storage Data Protector 6.0を含むいくつかのアプリケーションは、機能として暗号化を提供します。この方法で暗号化された日付のセキュリティは非常に高いですが（データは転送中に暗号化されるため）、暗号化されたデータは非常にランダムであるため、テープドライブのダウンストリームでデータ圧縮を実行できなくなり、ストレージが非効率になります。
•ISVアプリケーションによって管理されるキー。インバンドキー管理とも呼ばれます。 ISVソフトウェアがキーを提供して管理し、UltriumLTO4テープドライブが暗号化を実行します。キーは、キーに関連付けられたデータによって参照され、アプリケーションの内部データベースに保存されます。 （この機能のサポートについては、個々のISVバックアップアプリケーションベンダーにお問い合わせください）。
•インバンド暗号化アプライアンスは、ファイバーチャネルリンクを傍受し、送信中のデータを暗号化します。これらの製品は、NeoscaleやDecruなどのいくつかのベンダーから入手できます。キー管理は、強化されたキー管理アプライアンスからのものです。この方法はISVソフトウェアに依存せず、レガシーテープドライブとライブラリをサポートします。暗号化後はテープドライブ内での圧縮ができないため、これらのデバイスでデータ圧縮を実行する必要があります。
•暗号化機能を備えたSANファブリックスイッチはインバンドアプライアンスに似ていますが、暗号化ハードウェアがスイッチに組み込まれています。
•キー管理アプライアンスは、HP StorageWorksEMLやESLEシリーズライブラリなどのエンタープライズクラスライブラリと連携します。キーはキー管理アプライアンスによってテープドライブに供給されるため、帯域外キー管理と呼ばれます。図8は、キー管理アプライアンスの基本コンポーネントを示しています。バックアップアプリケーションには、テープドライブの暗号化機能に関する知識がありません。キーは、最近トランスポート層セキュリティ（TLS）に名前が変更されたSecure Sockets Layer（SSL）を使用したネットワーク接続を介してテープライブラリコントローラーに提供されます。これは、アプライアンスから転送中のキーのセキュリティを保護するために必要な暗号化された接続です。セキュリティを設定するために、デジタル証明書がライブラリ管理ハードウェアにインストールされます。これにより、必要な安全な接続が確立されます。 SSL/TLSのセットアップでは公開鍵暗号化が使用されますが、ハンドシェイクが完了すると、秘密鍵が渡されてリンクが暗号化されます。テープが復元されると、（テープから取得された）キー関連データを使用して、バックアップアプリケーションとは関係なく、テープを復号化するための正しいキーの要求を参照します。
もちろん、私たちが本当に欠けているのは、現実の世界の人々がしていることです。ホワイトペーパーは素晴らしいですが、それは必ずしも現実を反映しているわけではありません。
また、この質問を 私のブログ に投稿したので、いくつかの回答や例もそこに表示される場合があります。
私はdm-cryptFSを使用し、長くて強力なパスフレーズで暗号化します。
パスフレーズの紛失を防ぐために、私はそれをワックスで封をした手紙に書き、会社の所有物に渡し、彼はそれをセキュリティストロングボックスに保管しました。
もちろん、公証人やあなたが思うものなら何でもそれを与えることができます。
パスフレーズは、デジタルデバイスの紛失や盗難などが発生する可能性がある一方で、パスフレーズを知ることを許可された人の心にしか伝わらないため、この仕事には適していると思います。
もちろん、あなたは拷問される可能性があります:)