问磁带加密管理和最佳实践

EN

很好的问题。我也希望能从比我了解得更多的人那里看到好的答案。:-)

如果密钥丢失了，我们实际上已经丢失了所有备份

准确地说，这就是为什么许多人或大多数人不使用加密备份。

一种可能的方法是建造几艘“救生艇”，即安装媒体、用户名和密码的软件包，用于备份、Active Directory等基本系统(即，如果主站点已在火灾中被完全摧毁，则加载备份所需的东西，而不是备份数据本身)。您应该将这些救生艇安全地存放在远离现场的地方，例如在银行保险库中，或者在带有警报系统的远程办公室的高度安全的保险箱中。最后，把这个记录下来，这样其他人就可以在你离开公司后找到如何使用救生艇了，如果需要的话。

关键是否应定期更换？每年一次？什么是最佳做法？

从实际的角度来看，我要说的是不要改变键，因为如果你改变了，它很快就变得难以管理了。如果您担心备份安全性不够好，那么可以通过使用服务如铁山或自己构建具有良好物理安全性的存储系统来增强磁带周围的物理安全性。

最后:我希望在一个系统中进行所有的加密和备份处理，这样恢复不起作用的风险就更小了。我的意思是在软件中使用内置加密，如回顾或备份Exec，而不是驱动器级加密。

我使用dm-crypt FS，用一个长而强的密码加密它。

为了避免丢失密码，我把它写在一封蜡封的信上，交给公司的财产，他把它储存在一个防盗箱里。

当然，你可以把它交给公证人，或者随便你怎么想。

我认为一个密码更适合这份工作，因为它只能在被授权知道它的人的头脑中，而一个数字设备可能会丢失，被盗等等。

当然，你可能会受到折磨:)

我正在回答这个问题，我把它变成了一个社区wiki，因为我是从一个现有的文档中复制和粘贴的。

为了记录在案，我使用Amanda Enterprise作为我的备份解决方案，并且我不使用它提供的磁带加密，因为您提到的原因。

我当时正在研究磁带加密，我从惠普那里看到了一份很棒的白皮书，上面提到了LTO-4加密，其中包含了许多用于密钥管理的可能性。下面是提供的可用选项的基本概述：

·本机模式加密(有时称为set和遗忘)。此方法从磁带驱动器库中控制LTO4加密。有一个键是通过库管理接口(Web郭或操作员控制面板)设置的。此方法使用相同的密钥对所有磁带进行加密，其缺点是对安全级别产生负面影响。·基于软件的加密在数据离开服务器之前对其进行加密，密钥存储在应用程序的内部数据库或目录中。由于软件使用主机处理能力执行许多数学操作，这种加密方法给服务器带来了很大的负担。包括HPOpenViewStorageDataProtector6.0在内的几个应用程序都提供了加密功能。虽然以这种方式加密的日期的安全性很高(因为数据是在传输中加密的)，但由于加密数据是高度随机的，因此无法在磁带驱动器下游实现任何数据压缩，因此存储效率很低。·由ISV应用程序管理的密钥，也称为带内密钥管理。ISV软件提供并管理密钥，Ultrium LTO4磁带驱动器随后执行加密。键将由与密钥相关的数据引用，并存储在应用程序内部数据库中。(请参考您的ISV备份应用程序供应商以获得此功能的支持)。·带内加密设备拦截光纤通道链路并对飞行中的数据进行加密。这些产品可从多家供应商获得，如Neoscale和Decru。密钥管理来自硬化的密钥管理设备。该方法独立于ISV软件，支持传统的磁带驱动器和库。数据压缩必须由这些设备执行，因为加密后无法在磁带驱动器内进行压缩。·具有加密能力的SAN结构交换机类似于带内设备，但加密硬件则嵌入在交换机中。·密钥管理应用程序与企业类库(如HP、StorageWorks、EML和ESL E系列库)一起工作。它被称为带外密钥管理，因为密钥由密钥管理设备提供给磁带驱动器。图8显示了密钥管理设备的基本组件。备份应用程序不了解磁带驱动器的加密能力。密钥通过使用安全套接字层(SSL)的网络连接(最近改名为传输层安全性(TLS) )提供给磁带库控制器。这是一个加密的连接，以保护从设备传输的密钥的安全性。为了设置安全性，在图书馆管理硬件中安装了数字证书。这就建立了必要的安全连接。SSL/TLS的设置使用公钥加密，但是在握手完成后，一个秘密密钥将传递给该链接。还原磁带时，密钥关联数据(从磁带中检索)用于引用对正确密钥的请求，以便独立于备份应用程序解密磁带。

当然，我们真正缺少的是现实世界中人们正在做的事情。白皮书是伟大的，但这并不一定反映现实。

另外，我在我的博客上发布了这个问题，所以一些答案或例子也会出现在那里。