Data Domain: Šifrování – často kladené dotazy

Obsah

Konfigurace šifrování

Otázka: Jak je v Data Domain nakonfigurováno šifrování dat v klidu (DARE)?

1. Přidejte licenci šifrování.
   1. Bude potřeba licenční soubor s platnou šifrovací licencí.
   2. Pomocí níže uvedeného příkazu aktualizujte e-licenci v systému Data Domain pomocí dostupného licenčního souboru:

      # elicense update

2. Přidejte bezpečnostního pracovníka a povolte oprávnění bezpečnostního pracovníka.
   1. Přidejte uživatele s rolí "security" (pokud ještě neexistuje) pomocí příkazu:

      # user add <username> role security

   2. Povolte oprávnění bezpečnostního pracovníka tak, že se přihlásíte jako bezpečnostní pracovník a spustíte příkaz:

      > authorization policy set security-officer enabled

3. Přepněte zpět na účet správce a povolte DARE spuštěním příkazu:

   # filesys encryption enable

Otázka: Které platformy jsou podporovány DARE?

Otázka: Jak ukládat data v systému Data Domain jako prostý text?

# filesys encryption disable

Otázka: Které zálohovací aplikace a protokoly jsou podporovány u DARE?

Otázka: Jaké šifrovací algoritmy lze použít?

Otázka: Jak lze změnit šifrovací algoritmus?

# filesys encryption algorithm set {aes_128_cbc | aes_256_cbc | aes_128_gcm | aes_256_gcm}

Otázka: Jak zajistit, aby se šifrování provádělo u již existujících dat, když je šifrování povoleno?

# filesys encryption apply-changes

Otázka: Jak zakázat šifrování?

# filesys encryption disable

Otázka: Které šifrovací příkazy vyžadují restartování systému souborů, aby se projevily?

Otázka: Které šifrovací příkazy vyžadují zakázání systému souborů, aby je bylo možné nastavit nebo používat?

Obecné dotazy k šifrování

Otázka: Je nástroj DARE podporován ve všech systémech Data Domain?

Otázka: Jak se provádí kryptografie v systémech Data Domain?

Otázka: Jakou verzi BSafe používá systém Data Domain?

Otázka: Jaká uživatelská rozhraní jsou k dispozici pro konfiguraci šifrování v systému DDOS?

Otázka: Je možné selektivní šifrování dat? Líbí se vám pouze jeden fond MTree nebo soubor?

Otázka: Jsou kryptografické klíče nebo hesla účtů přenášena nebo ukládána ve formátu prostého textu nebo pod slabými šiframi, například při ověřování entity, v datovém souboru, v programech nebo v adresářích ověřování?

Otázka: Jakou verzi protokolu OpenSSL používá systém Data Domain?

Otázka: Jak DARE chrání před přístupem uživatelů a aplikací k datům?

• Šifrování dat v klidu spočívá v šifrování dat, která jsou uložena v podsystému disku. Šifrování nebo dešifrování probíhá v kompresní vrstvě. Uživatelé nebo aplikace odesílají a přijímají data ve formátu prostého textu do systému Data Domain, ale veškerá data fyzicky uložená v systému Data Domain jsou šifrována.
• Veškeré šifrování probíhá pod systémem souborů a oborem názvů a je pro uživatele nebo aplikace neviditelné. Pokud uživatel nebo aplikace již má autorizovaný přístup k souboru nebo adresáři, lze data číst v nativním formátu bez ohledu na šifrování.
• Šifrování Data Domain je navrženo tak, že pokud narušitel obejde ostatní kontroly zabezpečení sítě a získá přístup k šifrovaným datům, data jsou pro tuto osobu nečitelná a nepoužitelná bez správných kryptografických klíčů.

Otázka: Dochází k šifrování po deduplikaci?

Otázka: Jak systém Data Domain zajišťuje zabezpečení dat?

Otázka: Jaké výstrahy se generují šifrováním?

• Pokud jsou přítomny ohrožené šifrovací klíče
• Když je tabulka šifrovacích klíčů plná a do systému nelze přidat žádné další klíče
• Když se automatický export klíčů nezdaří
• Když automatická výměna klíčů selže
• Když je šifrování zakázáno
• Při změně systémového přístupového hesla

Otázka: Existuje pro systém DDOS nějaká certifikace zabezpečení?

Otázka: Kde je uložen šifrovací klíč?

Otázka: Pokud někdo vytáhne pevný disk ze systému Data Domain, může z něj dešifrovat data?

Otázka: Jaké kryptografické klíče a hesla jsou potřeba pro obnovení, zejména pro zotavení po havárii?

Otázka: Jak lze uzamknout systém souborů před přesunutím systému do jiného umístění?

1. Zakažte systém souborů:

   # filesys disable

2. Uzamkněte systém souborů a zadejte nové heslo (vyžaduje ověření bezpečnostním uživatelem):

   # filesys encryption lock
   This command requires authorization by a user having a 'security' role.
   Please present credentials for such a user below.
           Username: secuser
           Password:
   Enter the current passphrase:
   Enter new passphrase:
   Re-enter new passphrase:
   Passphrases matched.
   The filesystem is now locked.

   1. Nové heslo NESMÍ být ztraceno nebo zapomenuto. Bez tohoto přístupového hesla nelze systém souborů odemknout, což znamená, že data v systému Data Domain budou nepřístupná.
3. Chcete-li systém odemknout, když se dostane na vzdálené místo, použijte následující příkaz:

   # filesys encryption unlock
   This command requires authorization by a user having a 'security' role.
   Please present credentials for such a user below.
           Username: secuser
           Password:
   Enter the passphrase:
   The passphrase has been verified. Use 'filesys enable' to start the filesystem.

4. Systém souborů lze nyní povolit a používat jako obvykle.

Otázka: Znamená to, že 'storage sanitize' příkaz má nějaký vztah k šifrování systému souborů?

Otázka: Je u systémů EDP podporováno šifrování over-the-wire?

Systémové heslové heslo

Otázka: Co je systémové přístupové heslo?

Otázka: Kdy se heslo používá?

Otázka: Jak se používá přístupové heslo k zabezpečenému přenosu systému Data Domain?

Otázka: Co se stane, když se heslo změní? Lze stále přistupovat k datům?

Otázka: Jak zjistím, zda je v systému nastaveno přístupové heslo?

Otázka: Co se stane, když heslo ztratíte nebo zapomenete?

Otázka: Existuje nějaký mechanismus pro resetování ztracené systémové přístupové fráze?

Otázka: Existuje možnost, jak se vyhnout uložení systémového přístupového hesla do systému Data Domain?

Správce vestavěných klíčů (EKM)

# filesys encryption embedded-key-manager <option>

Otázka: Je u nástroje EKM podporována obměna klíčů?

Otázka: Platí se za integrovanou správu klíčů nějaký poplatek?

Otázka: Můžete přepnout z místní na externí správu klíčů?

Key-ID     Key MUID                                                                    State                     Key Manger Type
1               be1                                                                    Deactivated               DataDomain

2               49664EE855DF71CB7DC08309414C2B4C76ECB112C8D10368C37966E4E2E38A68       Activated-RW              KeySecure

Otázka: Co se stane, když je střídání klíčů zakázáno nebo povoleno?

Správci externích klíčů

Otázka: Jaké externí správce klíčů Data Domain podporuje?

• Gemalto KeySecure (podpora přidána ve verzi DDOS 7.2)
• Vormetric (podpora přidána v DDOS verze 7.3)
• CipherTrust (podpora přidána ve verzi DDOS 7.7)
• IBM GKLM (podpora přidána ve verzi DDOS 7.9)

Otázka: Je k umožnění integrace s externím správcem klíčů vyžadována samostatná licence?

Otázka: Kolik správců klíčů lze použít najednou?

Otázka: Kde najít další informace o konfiguraci správců externích klíčů KMIP?

Otázka: Jak se spravují certifikáty pro externí správce klíčů v systému Data Domain?

Otázka: Co je certifikační autorita?

Otázka: Co je certifikát podepsaný certifikační autoritou? Co je certifikát podepsaný místní certifikační autoritou?

Otázka: Jak vytvořit požadavek na podpis certifikátu v systému Data Domain?

# adminaccess certificate cert-signing-request

Otázka: Je možné přepínat mezi správci klíčů?

Otázka: Co se stane, když dojde k výpadku připojení externího správce klíčů? Jsou moje data stále přístupná?

Otázka: Existuje způsob, jak ukládat klíče pouze do externího správce klíčů a nikoli do systému Data Domain?

Otázka: Má integrace s protokolem KMIP nějaký dopad na výkon?

Otázka: Je možné využít řešení KMIP pro vybrané datové domény v rámci prostředí?

Otázka: Je komunikace mezi systémem Data Domain a protokolem KMIP bezpečná?

Správa životního cyklu klíčů

Otázka: Jaké možnosti správy klíčů jsou k dispozici při použití šifrování Data Domain?

Otázka: Jaké jsou různé stavy klíčů v systému Data Domain?

• Activated-RW: V tomto stavu systému Data Domain je v daném okamžiku pouze jeden klíč, který se používá pro čtení a zápis dat. Tento klíč se také používá v procesu uvolňování paměti k opětovnému šifrování kontejnerů.
• Pending-Activated: V daném okamžiku je v systému Data Domain v tomto okamžiku pouze jeden klíč. To identifikuje klíč, který se stane Activated-RW Po dalším restartu systému souborů. Tento stav existuje pouze v okamžiku povolení šifrování. Pending-activated Klíče se v žádném jiném okamžiku nevytvářejí.
• Activated-RO: Externí správci klíčů mohou mít více aktivovaných klíčů. Nejnovější klíč je v Activated-RWa zbytek je v tomto stavu. Klíče mohou v systému Data Domain přejít do tohoto stavu, když jej nelze synchronizovat se správcem klíčů.
• Deactivated: Slouží ke čtení existujících dat v systému Data Domain.
• Compromised: Když dojde k ohrožení zabezpečení externího klíče správce klíčů, změní se do tohoto stavu po další synchronizaci klíčů.
• Marked-For-Destroyed: Když zákazník označí klíč ke zničení, klíč se změní do tohoto stavu. Při spuštění uvolňování paměti jsou všechny kontejnery zašifrované pomocí Marked-For-Destroyed klíče jsou znovu šifrovány pomocí Activated-RW .
• Destroyed: Klíč v Marked-For-Destroyed Do tohoto stavu přejde v případě, že k němu nejsou přidružena žádná data.
• Destroyed-compromised: Klíč v Compromised Do tohoto stavu přejde v případě, že k němu nejsou přidružena žádná data.

Otázka: Je možné exportovat šifrovací klíče pro zotavení po havárii?

# filesys encryption keys export

# filesys encryption keys import <filename>

Otázka: Je klíč vygenerovaný protokolem KMIP uložen v systému Data Domain?

Otázka: Jak se změna stavu klíče v zařízení KMIP aplikuje na systém Data Domain?

Otázka: Je možné ručně synchronizovat stavy klíčů mezi systémem Data Domain a protokolem KMIP?

Otázka: Je možné změnit čas, kdy systém Data Domain obdrží aktualizace klíčů z protokolu KMIP?

Otázka: Je nějak omezen počet klíčů uložených v systému Data Domain?

Otázka: Lze v systému Data Domain použít pro různé datové sady různé klíče?

Otázka: Přijde nějaké oznámení, když je dosaženo maximálního počtu klíčů?

Otázka: Jak vymazat výstrahu ohledně maximálního limitu klíčů?

Otázka: Vidíte množství dat spojené s konkrétním klíčem v systému Data Domain?

Otázka: Vidíte stáří klíčů v systému Data Domain?

Otázka: Funguje starý klíč i v případě, že uplynula lhůta pro účinnost nového klíče?

Otázka: Jsou šifrovací klíče automaticky odstraněny, pokud k nim Data Domain nejsou přiřazena žádná data?

Otázka: Lze klíč odstranit, i když jsou s ním data v systému Data Domain spojena?

Otázka: Pokud je klíč odstraněn v protokolu KMIP, odstraní se také ze seznamu klíčů systému Data Domain?

Otázka: Je v prostředí Data Domain s více lokalitami vyžadován protokol KMIP na každém místě?

Otázka: Pokud dojde k ohrožení zabezpečení klíče, existuje proces pro načtení dat šifrovaných pomocí starého klíče?

1. Spustit 'filesys encryption keys sync'.
2. Spustit 'filesys encryption apply-changes'.
3. Spusťte čištění systému souborů.
   1. Čištění znovu zašifruje všechna data, která byla zašifrována pomocí prolomeného klíče pomocí novějšího klíče.
   2. Po dokončení čištění se starý stav klíče změní na Compromised-Destroyed.
4. Odstraňte starý klíč.

Šifrování a replikace

Otázka: Je replikace Data Domain podporována a interoperabilní s DARE?

Otázka: Musí zdrojové a cílové systémy používat stejnou verzi systému DDOS, aby bylo možné používat šifrování?

Otázka: Jak funguje replikace se šifrováním?

• DARE může být licencován nebo povolen buď na zdroji, nebo na cíli nezávisle v závislosti na tom, čeho chce zákazník dosáhnout.
• Pokud je šifrování povolené u zdroje i cíle:
  • Data ingestovaná do zdroje se šifrují pomocí šifrovacího klíče zdrojového systému.
  • Zdroj dešifruje místní data, znovu je zašifruje pomocí cílového systémového šifrovacího klíče a poté replikuje zašifrovaná data do cíle.
• Pokud má zdroj zakázané šifrování a cíl má povolené šifrování:
  • Data ingestovaná do zdroje nejsou šifrována.
  • Při replikaci zdroj zašifruje data pomocí šifrovacího klíče cílového systému a poté replikuje zašifrovaná data do cílového systému.
• Pokud má zdroj povolené šifrování a cíl má zakázané šifrování:
  • Data ingestovaná do zdrojového systému se šifrují pomocí šifrovacího klíče zdrojového systému.
  • Zdroj dešifruje data a poté replikuje nešifrovaná data do cílového systému.
• Pokud je šifrování na replice povolené po nastavení kontextu replikace, všechny nové segmenty, které se teď replikují, se zašifrují ve zdroji repliky. Všechny segmenty, které se nacházejí v replice před povolením šifrování, zůstanou v nezašifrovaném stavu, pokud se nepoužijí změny a nespustí se čištění v cíli.

• Zdrojové i cílové systémy musí používat stejnou verzi systému DDOS.
• Šifrování musí být povoleno nebo zakázáno na obou. Neshoda nemůže být ani v konfiguraci šifrování. Šifrovací klíče jsou stejné se zdrojem i cílem.
• Pokud je šifrování povolené u zdroje i cíle:
  • Všechna data ingestovaná do zdrojového systému se šifrují pomocí šifrovacího klíče zdrojového systému.
  • Při replikaci zdroj odesílá šifrovaná data do cílového systému v zašifrovaném stavu.
  • Cíl má stejný klíč jako zdroj, protože replikace kolekcí je o přesné replice zdrojového systému.
  • Do cíle mimo replikaci nelze zapsat žádná data, protože cílem je systém pouze pro čtení.
• Pokud je šifrování zakázané u zdroje i cíle:
  • Data ingestovaná do zdrojového systému nejsou šifrována.
  • Při replikaci zdroj odesílá data v nezašifrovaném stavu a v cíli zůstávají nezašifrovaná.
  • Do cíle mimo replikaci nelze zapsat žádná data, protože cílem je systém pouze pro čtení.

Otázka: Je cílový klíč uložen ve zdrojovém systému Data Domain po neomezenou dobu?

Otázka: Lze povolit šifrování v systému replikace kolekcí po vytvoření kontextu replikace?

Otázka: Lze funkci DARE povolit souběžně s funkcí šifrování over-the-wire pro replikaci Data Domain?

Otázka: Co se stane, když je současně zapnuto šifrování DARE a OTW šifrování?

Otázka: Pokud je šifrování povoleno na zdroji i cíli, musí mít stejné přístupové heslo?

Otázka: Pokud je v cíli povoleno šifrování, jsou replikovaná data i data z jiného přístupového bodu (například prostřednictvím místní zálohy) šifrována? Existuje způsob, jak tyto dva soubory v cíli oddělit, aby byly šifrovány pouze replikované adresáře?

Otázka: Jak probíhá výměna klíčů mezi zdrojem a cílem během MREPL nebo MFR?

Otázka: Jaký typ algoritmu používá šifrování OTW k šifrování replikačního provozu?

Otázka: Funguje střídání klíčů bez restartování systému souborů se všemi typy replikace?

Otázka: Jak je chráněn šifrovací klíč cíle během výměny klíčů při absenci certifikátů nebo párů klíčů PKI?

Otázka: Musí oba systémy v páru replikace používat stejné řešení externího správce klíčů (například správce klíčů KMIP), nebo může jeden ze systémů používat externího správce klíčů a druhý může používat integrovaného správce klíčů?

Šifrování a migrace

Otázka: Je migrace dat podporována v systémech s povoleným režimem DARE?

Otázka: Je podporována aktivní vrstva i migrace dat cloudové vrstvy, když je povolena funkce DARE?

Otázka: Která nastavení šifrování se v rámci migrace zachovají?

Otázka: Jaké kontroly kompatibility šifrování se provádějí mezi zdrojem a cílem během migrace?

Otázka: Je podporována migrace mezi systémy EDP?

Šifrování a vrstva cloudu

Otázka: Podporuje se šifrování pro vrstvu Cloud Tier?

Otázka: Podporuje vrstva Cloud Tier nástroj KMIP a správce externích klíčů?

Otázka: S jakou členitostí lze povolit šifrování v cloudu?

Otázka: Mají cloudové jednotky nezávislé klíče?

Otázka: Dají se klíče z cloudu odstranit?

Otázka: Kde se spravují šifrovací klíče dat pro cloudové jednotky?

Otázka: Jak obnovit cloudové klíče během zotavení po havárii?

Otázka: Může se přesun dat spustit, když je šifrování povolené jenom pro vrstvu Cloud Tier?

Otázka: Dá se externí správce klíčů použít s vrstvou Cloud Tier?

Šifrování a uvolňování paměti

Otázka: Jakou roli hraje proces uvolňování paměti (GC) v DARE? Má první povolení šifrování vliv na výkon?

Otázka: Má to vliv na výkon probíhajících čistých cyklů?

Otázka: Jak dlouho trvá šifrování stávajících dat?

Šifrování a výměna hlavy

Otázka: Pokud systém Data Domain s nakonfigurovaným systémem DARE projde výměnou hlavy, jsou disky stále přístupné pomocí nové hlavní jednotky?

Otázka: Co když heslo ztratíte v době operace výměny hlavy?

Šifrování a výkon

Otázka: Jaký je pozorovaný dopad na spotřebu úložiště při použití DARE?

Otázka: Jaký je pozorovaný dopad na propustnost (zápisy a čtení) při použití DARE?

• První plná: ~10% snížení výkonu při zápisech
• Přírůstkové: ~5% snížení výkonu při zápisech
• Obnoví: 5–20% snížení výkonu při čtení

• První plná: 10–20% snížení výkonu při zápisech
• Přírůstkové: 5–10% snížení výkonu při zápisech
• Obnoví: 5–20% snížení výkonu při čtení

Vzorové postupy

Otázka: Jaké jsou vzorové postupy týkající se zásad obměně klíčů?

Otázka: Jaké jsou vzorové postupy pro třídu klíčů KMIP, pokud se stejný server KMIP používá pro více systémů Data Domain?