Avamar: comprensión de la funcionalidad de cifrado en reposo
Summary: En este artículo, se analizan aspectos de la funcionalidad de cifrado en reposo de Avamar, incluidos su propósito y advertencias. En las secciones internas de este artículo, que solo está disponible para el personal y los partners de Dell, se explica cómo configurarlo. ...
This article applies to
This article does not apply to
This article is not tied to any specific product.
Not all product versions are identified in this article.
Instructions
El propósito de este artículo es analizar el uso del cifrado en reposo en una versión de Avamar Server.
Esta es una función avanzada y se supone que usted tiene experiencia con los comandos regulares de Avamar que se utilizan en las actividades de mantenimiento y soporte del sistema. Si esto no es así, no continúe. Consulte a una persona debidamente capacitada.
En el Apéndice técnico de Avamar se documenta el comando "avmaint atrestencryption", pero no se describe cómo implementarlo de manera segura en un sistema Avamar de producción.
En este artículo, se describe la implementación y se responden algunas preguntas comunes relacionadas con el cifrado en reposo.
Estos fragmentos de datos desduplicados ("atómicos") se escriben en archivos .dat. Los metadatos y los datos de índice se escriben en otros archivos de secciones (.inx, .chd, .cdt, etc.).
Este proceso "elimina" los datos de respaldo, ya que se dividen en partes pequeñas y se dispersan por todo el sistema.
Aunque no se pueden leer archivos completos, se pueden ver fragmentos de archivos. Si ejecutamos “strings” en una sección de datos, es posible que se vean fragmentos de datos de texto sin formato.
A continuación, se muestra un ejemplo de una versión de Avamar de nodo único:
1. ¿Qué problema resuelve el cifrado en reposo?
El cifrado en reposo cifra las secciones de datos que contienen los datos de respaldo del usuario.
Una vez que se habilitan, si alguien roba el sistema Avamar o sus unidades de disco, tendría que descifrar los datos antes de poder leerlos.
El cifrado en reposo evita que alguien con acceso a la aplicación Avamar o al nivel del sistema operativo inicie sesión en el sistema Avamar y restaure datos. Esto es posible mediante la interfaz de usuario o la ejecución de comandos avtar y la restauración de archivos dentro de GSAN en el nodo de utilidad.
2. ¿En qué momento se puede habilitar el cifrado en reposo?
El cifrado en reposo se puede habilitar durante el flujo de trabajo de instalación para que esté vigente desde el comienzo de la vida útil de Avamar Server.
Durante este proceso, el instalador solicita un valor salt y una contraseña para el cifrado en reposo. Si se especifican un valor salt y una contraseña, la función está activada.
Después de inicializar un sistema, se puede habilitar el cifrado en reposo. Sin embargo, la ejecución del comando avmaint después de la inicialización afecta solo a las secciones de datos recién creadas y a las que se procesen después.
Aunque podemos estar seguros de que el procesamiento se producirá finalmente en todas las secciones no cifradas, no podemos garantizarlo. Las secciones creadas antes de que se habilite el cifrado en reposo pueden permanecer sin cifrar durante mucho tiempo. A veces, posiblemente para siempre.
Por ejemplo, existe la posibilidad de que Avamar llene una sección con datos estáticos (como vaciados de MCS que contengan información confidencial, como nombres de host). Si esa sección nunca cambia, nunca se someterá a la recolección o el procesamiento de elementos no utilizados y nunca se cifrará.
Por lo tanto, habilite el cifrado en reposo solo como parte del flujo de trabajo de instalación.
3. Sobrecarga de rendimiento debido al uso del cifrado en reposo
Una pregunta común es "¿Por qué se debe reducir el límite de diskreadonly en los sistemas configurados con cifrado en reposo?"
El cifrado y el descifrado de todas las secciones almacenadas en una GSAN de Avamar requiere que los nodos de almacenamiento realicen una gran cantidad de trabajo adicional.
El equipo de ingeniería ha observado que la sobrecarga de procesamiento adicional requerida es hasta un 50 % mayor que en un sistema sin el cifrado en reposo habilitado.
Por lo tanto, en Avamar, si el cifrado en reposo está habilitado, el límite de diskreadonly DEBE reducirse del 65 % predeterminado al 40 %. Esto significa que se requiere 1,5 veces la cantidad de nodos para almacenar la misma cantidad de datos que en una versión cuyas secciones no estén cifradas.
Esto tiene el fin de garantizar que se mantenga un rendimiento aceptable, además de la confiabilidad.
4. ¿Se puede deshabilitar el cifrado en reposo?
Una vez que se habilite el cifrado en reposo en un sistema Avamar, no se podrá deshabilitar, solo se podrán cambiar los valores salt de cifrado.
5. Cómo demostrar que el cifrado en reposo está habilitado.
En un sistema Avamar con el cifrado en reposo habilitado, se debería ver un resultado similar al siguiente
avmaint nodelist --xmlperline=9999 | grep atrestencryption
En el shell de comandos aparece información similar a la siguiente:
<atrestencryption-status enabled="true" nr-salts="1"/>
En que:
enabled="true" nr-salts=“1” indica que el cifrado en reposo está habilitado.
enabled="false" nr-salts="0" indica que el cifrado en reposo no está habilitado.
Ejemplo:-
Esta es una función avanzada y se supone que usted tiene experiencia con los comandos regulares de Avamar que se utilizan en las actividades de mantenimiento y soporte del sistema. Si esto no es así, no continúe. Consulte a una persona debidamente capacitada.
En el Apéndice técnico de Avamar se documenta el comando "avmaint atrestencryption", pero no se describe cómo implementarlo de manera segura en un sistema Avamar de producción.
En este artículo, se describe la implementación y se responden algunas preguntas comunes relacionadas con el cifrado en reposo.
- ¿Qué problema resuelve el cifrado en reposo?
- ¿En qué momento se puede habilitar el cifrado en reposo?
- Sobrecarga de rendimiento debido al uso del cifrado en reposo
- ¿Se puede deshabilitar el cifrado en reposo?
- Procedimiento para habilitar el cifrado en reposo (disponible solo para los partners y el personal interno de Dell)
- Cómo demostrar que el cifrado en reposo está habilitado
Estos fragmentos de datos desduplicados ("atómicos") se escriben en archivos .dat. Los metadatos y los datos de índice se escriben en otros archivos de secciones (.inx, .chd, .cdt, etc.).
Este proceso "elimina" los datos de respaldo, ya que se dividen en partes pequeñas y se dispersan por todo el sistema.
Aunque no se pueden leer archivos completos, se pueden ver fragmentos de archivos. Si ejecutamos “strings” en una sección de datos, es posible que se vean fragmentos de datos de texto sin formato.
A continuación, se muestra un ejemplo de una versión de Avamar de nodo único:
admin@utility:/data01/cur/>: strings 000000000000002E.dat
5900>: Workorder received:
<restore pid="
firm="true" ack
msgver="5"
timeout="10"
="XXXD
ath="Mailbox Database 0904743075" key
sync="fg" cd
d15696dae634d00c120b45e56d0ad2410380d945" mx
6064/776
0/33" wr
<targets>.D
tem_info/BL)
upComponentsDocument.xml
{76fe1ac4-15f7-4bcd-987e-8t
b462fb7}01
_chain
Dado que los fragmentos de datos pueden contener direcciones de correo electrónico, direcciones IP, nombres de host u otro tipo de información confidencial, algunos consideran que esto es un riesgo de seguridad inaceptable.
1. ¿Qué problema resuelve el cifrado en reposo?
El cifrado en reposo cifra las secciones de datos que contienen los datos de respaldo del usuario.
Una vez que se habilitan, si alguien roba el sistema Avamar o sus unidades de disco, tendría que descifrar los datos antes de poder leerlos.
El cifrado en reposo evita que alguien con acceso a la aplicación Avamar o al nivel del sistema operativo inicie sesión en el sistema Avamar y restaure datos. Esto es posible mediante la interfaz de usuario o la ejecución de comandos avtar y la restauración de archivos dentro de GSAN en el nodo de utilidad.
2. ¿En qué momento se puede habilitar el cifrado en reposo?
El cifrado en reposo se puede habilitar durante el flujo de trabajo de instalación para que esté vigente desde el comienzo de la vida útil de Avamar Server.
Durante este proceso, el instalador solicita un valor salt y una contraseña para el cifrado en reposo. Si se especifican un valor salt y una contraseña, la función está activada.
Después de inicializar un sistema, se puede habilitar el cifrado en reposo. Sin embargo, la ejecución del comando avmaint después de la inicialización afecta solo a las secciones de datos recién creadas y a las que se procesen después.
Aunque podemos estar seguros de que el procesamiento se producirá finalmente en todas las secciones no cifradas, no podemos garantizarlo. Las secciones creadas antes de que se habilite el cifrado en reposo pueden permanecer sin cifrar durante mucho tiempo. A veces, posiblemente para siempre.
Por ejemplo, existe la posibilidad de que Avamar llene una sección con datos estáticos (como vaciados de MCS que contengan información confidencial, como nombres de host). Si esa sección nunca cambia, nunca se someterá a la recolección o el procesamiento de elementos no utilizados y nunca se cifrará.
Por lo tanto, habilite el cifrado en reposo solo como parte del flujo de trabajo de instalación.
3. Sobrecarga de rendimiento debido al uso del cifrado en reposo
Una pregunta común es "¿Por qué se debe reducir el límite de diskreadonly en los sistemas configurados con cifrado en reposo?"
El cifrado y el descifrado de todas las secciones almacenadas en una GSAN de Avamar requiere que los nodos de almacenamiento realicen una gran cantidad de trabajo adicional.
El equipo de ingeniería ha observado que la sobrecarga de procesamiento adicional requerida es hasta un 50 % mayor que en un sistema sin el cifrado en reposo habilitado.
Por lo tanto, en Avamar, si el cifrado en reposo está habilitado, el límite de diskreadonly DEBE reducirse del 65 % predeterminado al 40 %. Esto significa que se requiere 1,5 veces la cantidad de nodos para almacenar la misma cantidad de datos que en una versión cuyas secciones no estén cifradas.
Esto tiene el fin de garantizar que se mantenga un rendimiento aceptable, además de la confiabilidad.
4. ¿Se puede deshabilitar el cifrado en reposo?
Una vez que se habilite el cifrado en reposo en un sistema Avamar, no se podrá deshabilitar, solo se podrán cambiar los valores salt de cifrado.
5. Cómo demostrar que el cifrado en reposo está habilitado.
En un sistema Avamar con el cifrado en reposo habilitado, se debería ver un resultado similar al siguiente
avmaint nodelist --xmlperline=9999 | grep atrestencryption
En el shell de comandos aparece información similar a la siguiente:
<atrestencryption-status enabled="true" nr-salts="1"/>
En que:
enabled="true" nr-salts=“1” indica que el cifrado en reposo está habilitado.
enabled="false" nr-salts="0" indica que el cifrado en reposo no está habilitado.
Ejemplo:-
avmaint nodelist --xmlperline=9999 | grep atrestencryption
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
En un sistema en que el cifrado en reposo se realiza durante la inicialización o antes de que se creen las secciones, una vez que estas se crean y cifran, solo contienen garabatos si intentamos leerlas usando el comando "strings" como antes.
admin@utility:/data01/cur/>: strings 0000000000000656.dat | less
p T7T5s| 1 N © M1 c]LP ,iCE ol v < #6U, ~ )XW D TU ( A: ) ~ ,t} '
3ET S _b kE l>5Q T yc ®x` `' s Kg 4g sh . 8 c! e , A M a M} kX; A 1v z
_ { !{a X JUS * nD 8+ TE2Tf S h,37 QX G * " ®u +8 ' !{+2w 6 PE
Additional Information
Preguntas frecuentes:
¿Cómo se deben configurar los sistemas Griffin (combinación de Avamar/Data Domain) con la característica?
Avamar y Data Domain se deben configurar con cifrado en reposo por separado.
Dell EMC Data Domain Encryption: preguntas frecuentes
¿El nivel de diskreadonly del 40 % todavía se aplica al hardware del almacén de datos de Avamar más reciente?
En septiembre de 2016 se consultó al equipo de ingeniería al respecto. La configuración de diskreadonly del 40 % se aplica al hardware más reciente (de generación 4T). El equipo de administración de productos está considerando la solicitud, pero no tiene planes de volver a evaluar el límite.
Si un cliente tiene un par de replicación de Avamar Servers, ¿se deben configurar ambos sistemas con E.A.R?
No, cada sistema es independiente. Cuando los datos de un sistema cifrado se replican en una versión de Avamar sin cifrar, el sistema de destino crea secciones sin cifrar.
De manera similar, si una versión de Avamar no cifrada replica datos en un sistema cifrado, los respaldos se escriben en secciones cifradas.
Una vez que se habilita esto, ¿se puede deshabilitar el cifrado en reposo?
No. Para lograr esto, los datos se deben replicar en una versión de Avamar Server en que no esté configurado el cifrado en reposo.
Si un cliente tiene un par de replicación de Avamar Servers, ¿se deben configurar ambos sistemas con E.A.R?
No, cada sistema es independiente. Cuando los datos de un sistema cifrado se replican en una versión de Avamar sin cifrar, el sistema de destino crea secciones sin cifrar.
De manera similar, si una versión de Avamar no cifrada replica datos en un sistema cifrado, los respaldos se escriben en secciones cifradas.
Una vez que se habilita esto, ¿se puede deshabilitar el cifrado en reposo?
No. Para lograr esto, los datos se deben replicar en una versión de Avamar Server en que no esté configurado el cifrado en reposo.
Affected Products
AvamarProducts
Avamar, Avamar ServerArticle Properties
Article Number: 000046249
Article Type: How To
Last Modified: 10 Feb 2025
Version: 5
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.