Avamar - Présentation de la fonctionnalité de chiffrement au repos
Summary: Cet article aborde les aspects de la fonctionnalité de chiffrement au repos d’Avamar, y compris son objectif et ses précautions. Les sections internes de cet article, disponibles uniquement pour le personnel et les partenaires Dell, expliquent comment la configurer. ...
This article applies to
This article does not apply to
This article is not tied to any specific product.
Not all product versions are identified in this article.
Instructions
L’objectif de cet article est de discuter de l’utilisation du chiffrement au repos sur Avamar Server.
Il s’agit d’une fonctionnalité avancée, qui suppose que vous maîtrisiez les commandes Avamar classiques utilisées pour les activités de maintenance et de support du système. Si ce n’est pas le cas, ne continuez pas. Consultez une personne qualifiée.
L’addendum technique Avamar décrit la commande « avmaint atrestencryption », mais ne décrit pas comment l’implémenter en toute sécurité sur un système Avamar de production.
Cet article décrit l’implémentation et répond à certaines questions courantes sur le chiffrement au repos.
Ces fragments de données dédupliqués (« atomiques ») sont écrits dans des fichiers .dat. Les métadonnées et les données d’index sont écrites dans d’autres fichiers de bande (.inx, .chd, .cdt, etc.).
Ce processus « détruit » les données de sauvegarde, car elles sont fragmentées en petits morceaux et dispersées dans le système.
Même si des fichiers entiers ne peuvent pas être lus, il est possible d’afficher des fragments de fichiers. Si nous exécutons des « chaînes » sur une bande de données, des morceaux de données en texte brut peuvent être visibles.
Vous trouverez ci-dessous un exemple d’Avamar à nœud unique :
1. Quel problème le chiffrement au repos résout-il ?
Le chiffrement au repos chiffre les bandes de données qui contiennent les données de sauvegarde utilisateur.
Après avoir été activé, si quelqu’un volait Avamar ou ses lecteurs de disque, il devrait déchiffrer les données avant de pouvoir les lire.
Le chiffrement au repos empêche toute personne disposant d’un accès au niveau des applications ou du système d’exploitation Avamar de se connecter au système Avamar et de restaurer des données. Cela est possible à l’aide de l’interface utilisateur ou en exécutant les commandes avtar et en restaurant les fichiers dans le GSAN sur le nœud utilitaire.
2. Quand le chiffrement au repos peut-il être activé ?
Le chiffrement au repos peut être activé pendant le workflow d’installation afin qu’il soit effectif dès le début de vie d’Avamar Server.
Au cours de ce processus, le programme d’installation demande un salage et un mot de passe pour le chiffrement au repos. Si un salage et un mot de passe sont spécifiés, la fonctionnalité est activée.
Une fois qu’un système a été initialisé, le chiffrement au repos peut être activé. Toutefois, l’exécution de la commande avmaint après l’initialisation affecte uniquement les bandes de données nouvellement créées et les bandes de données qui sont traitées ultérieurement.
Bien que nous puissions être sûrs que le crunching finit par se produire sur chaque bande non chiffrée, nous ne pouvons pas le garantir. Les bandes créées avant l’activation du chiffrement au repos peuvent rester non chiffrées pendant une longue période. Parfois pour toujours.
Par exemple, il est possible qu’Avamar puisse remplir une bande avec des données statiques (telles que les vidages MCS qui contiennent des informations sensibles telles que les noms d’hôte). Si cette bande ne change jamais, elle ne fait jamais l’objet d’un nettoyage de la mémoire ou d’un traitement de la mémoire et ne sera jamais chiffrée.
Par conséquent, activez uniquement le chiffrement au repos dans le cadre du workflow d’installation.
3. Surcharge de performances liée à l’utilisation du chiffrement au repos
Une question fréquente est « Pourquoi la limite diskreadonly doit-elle être abaissée sur les systèmes configurés avec chiffrement au repos ? »
Le chiffrement et le déchiffrement de toutes les bandes stockées dans un GSAN Avamar requièrent un travail supplémentaire considérable pour les nœuds de stockage.
Les ingénieurs ont observé que la surcharge de traitement supplémentaire requise est jusqu’à 50 % supérieure à celle d’un système sur lequel le chiffrement au repos n’est pas activé.
Par conséquent, sur Avamar où le chiffrement au repos est activé, la limite diskreadonly DOIT être réduite de 65 % par défaut à 40 %. Cela signifie qu’il faut 1,5 fois plus de nœuds pour stocker la même quantité de données qu’un nœud dont les bandes ne sont pas chiffrées.
Ceci permet de garantir des performances et une fiabilité acceptables.
4. Le chiffrement au repos peut-il être désactivé ?
Une fois que le chiffrement au repos a été activé sur un système Avamar, il ne peut pas être désactivé, seuls les sels de chiffrement peuvent être modifiés.
5. Comment démontrer que le chiffrement au repos est activé.
Sur un système Avamar sur lequel le chiffrement au repos a été activé, vous devriez voir un résultat semblable au suivant :
avmaint nodelist --xmlperline=9999 | grep atrestencryption
Des informations similaires à ce qui suit s’affichent dans le shell de commande :
<atrestencryption-status enabled="true" nr-salts="1"/>
Où :
enabled="true" nr-salts="1" indique que le chiffrement au repos est activé.
enabled="false" nr-salts="0" indique que le chiffrement au repos n’est pas activé.
Exemple :-
Il s’agit d’une fonctionnalité avancée, qui suppose que vous maîtrisiez les commandes Avamar classiques utilisées pour les activités de maintenance et de support du système. Si ce n’est pas le cas, ne continuez pas. Consultez une personne qualifiée.
L’addendum technique Avamar décrit la commande « avmaint atrestencryption », mais ne décrit pas comment l’implémenter en toute sécurité sur un système Avamar de production.
Cet article décrit l’implémentation et répond à certaines questions courantes sur le chiffrement au repos.
- Quel problème le chiffrement au repos résout-il ?
- Quand le chiffrement au repos peut-il être activé ?
- Surcharge de performances liée à l’utilisation du chiffrement au repos
- Le chiffrement au repos peut-il être désactivé ?
- Procédure pour activer le chiffrement au repose (disponible uniquement pour le personnel interne de Dell et ses partenaires)
- Comment démontrer que le chiffrement au repos est activé
Ces fragments de données dédupliqués (« atomiques ») sont écrits dans des fichiers .dat. Les métadonnées et les données d’index sont écrites dans d’autres fichiers de bande (.inx, .chd, .cdt, etc.).
Ce processus « détruit » les données de sauvegarde, car elles sont fragmentées en petits morceaux et dispersées dans le système.
Même si des fichiers entiers ne peuvent pas être lus, il est possible d’afficher des fragments de fichiers. Si nous exécutons des « chaînes » sur une bande de données, des morceaux de données en texte brut peuvent être visibles.
Vous trouverez ci-dessous un exemple d’Avamar à nœud unique :
admin@utility:/data01/cur/>: strings 000000000000002E.dat
5900>: Workorder received:
<restore pid="
firm="true" ack
msgver="5"
timeout="10"
="XXXD
ath="Mailbox Database 0904743075" key
sync="fg" cd
d15696dae634d00c120b45e56d0ad2410380d945" mx
6064/776
0/33" wr
<targets>.D
tem_info/BL)
upComponentsDocument.xml
{76fe1ac4-15f7-4bcd-987e-8t
b462fb7}01
_chain
Étant donné que les fragments de données peuvent contenir des adresses e-mail, des adresses IP, des noms d’hôte ou d’autres informations sensibles, certains considèrent qu’il s’agit d’un risque de sécurité inacceptable.
1. Quel problème le chiffrement au repos résout-il ?
Le chiffrement au repos chiffre les bandes de données qui contiennent les données de sauvegarde utilisateur.
Après avoir été activé, si quelqu’un volait Avamar ou ses lecteurs de disque, il devrait déchiffrer les données avant de pouvoir les lire.
Le chiffrement au repos empêche toute personne disposant d’un accès au niveau des applications ou du système d’exploitation Avamar de se connecter au système Avamar et de restaurer des données. Cela est possible à l’aide de l’interface utilisateur ou en exécutant les commandes avtar et en restaurant les fichiers dans le GSAN sur le nœud utilitaire.
2. Quand le chiffrement au repos peut-il être activé ?
Le chiffrement au repos peut être activé pendant le workflow d’installation afin qu’il soit effectif dès le début de vie d’Avamar Server.
Au cours de ce processus, le programme d’installation demande un salage et un mot de passe pour le chiffrement au repos. Si un salage et un mot de passe sont spécifiés, la fonctionnalité est activée.
Une fois qu’un système a été initialisé, le chiffrement au repos peut être activé. Toutefois, l’exécution de la commande avmaint après l’initialisation affecte uniquement les bandes de données nouvellement créées et les bandes de données qui sont traitées ultérieurement.
Bien que nous puissions être sûrs que le crunching finit par se produire sur chaque bande non chiffrée, nous ne pouvons pas le garantir. Les bandes créées avant l’activation du chiffrement au repos peuvent rester non chiffrées pendant une longue période. Parfois pour toujours.
Par exemple, il est possible qu’Avamar puisse remplir une bande avec des données statiques (telles que les vidages MCS qui contiennent des informations sensibles telles que les noms d’hôte). Si cette bande ne change jamais, elle ne fait jamais l’objet d’un nettoyage de la mémoire ou d’un traitement de la mémoire et ne sera jamais chiffrée.
Par conséquent, activez uniquement le chiffrement au repos dans le cadre du workflow d’installation.
3. Surcharge de performances liée à l’utilisation du chiffrement au repos
Une question fréquente est « Pourquoi la limite diskreadonly doit-elle être abaissée sur les systèmes configurés avec chiffrement au repos ? »
Le chiffrement et le déchiffrement de toutes les bandes stockées dans un GSAN Avamar requièrent un travail supplémentaire considérable pour les nœuds de stockage.
Les ingénieurs ont observé que la surcharge de traitement supplémentaire requise est jusqu’à 50 % supérieure à celle d’un système sur lequel le chiffrement au repos n’est pas activé.
Par conséquent, sur Avamar où le chiffrement au repos est activé, la limite diskreadonly DOIT être réduite de 65 % par défaut à 40 %. Cela signifie qu’il faut 1,5 fois plus de nœuds pour stocker la même quantité de données qu’un nœud dont les bandes ne sont pas chiffrées.
Ceci permet de garantir des performances et une fiabilité acceptables.
4. Le chiffrement au repos peut-il être désactivé ?
Une fois que le chiffrement au repos a été activé sur un système Avamar, il ne peut pas être désactivé, seuls les sels de chiffrement peuvent être modifiés.
5. Comment démontrer que le chiffrement au repos est activé.
Sur un système Avamar sur lequel le chiffrement au repos a été activé, vous devriez voir un résultat semblable au suivant :
avmaint nodelist --xmlperline=9999 | grep atrestencryption
Des informations similaires à ce qui suit s’affichent dans le shell de commande :
<atrestencryption-status enabled="true" nr-salts="1"/>
Où :
enabled="true" nr-salts="1" indique que le chiffrement au repos est activé.
enabled="false" nr-salts="0" indique que le chiffrement au repos n’est pas activé.
Exemple :-
avmaint nodelist --xmlperline=9999 | grep atrestencryption
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
Sur un système où le chiffrement au repos est effectué lors de l’initialisation ou avant la création de bandes, une fois que les bandes sont créées et chiffrées, elles ne contiennent que du charabia si nous essayons de les lire à l’aide de la commande « strings » comme précédemment.
admin@utility:/data01/cur/>: strings 0000000000000656.dat | less
p T7T5s| 1 N © M1 c]LP ,iCE ol v < #6U, ~ )XW D TU ( A: ) ~ ,t} '
3ET S _b kE l>5Q T yc ®x` `' s Kg 4g sh . 8 c! e , A M a M} kX; A 1v z
_ { !{a X JUS * nD 8+ TE2Tf S h,37 QX G * " ®u +8 ' !{+2w 6 PE
Additional Information
Foire aux questions :
Comment les systèmes Griffin (combinaison Avamar/DataDomain) doivent-ils être configurés avec cette fonctionnalité ?
Avamar et Data Domain doivent être configurés séparément avec le chiffrement au repos.
Dell EMC Data Domain Encryption - Foire aux questions
Le niveau de 40 % diskreadonly s’applique-t-il toujours à la dernière version du matériel Avamar Datastore ?
L’ingénierie a été consultée à ce sujet en septembre 2016. Le paramètre 40 % diskreadonly s’applique au matériel le plus récent (Gen4T). L’équipe de gestion des produits étudie actuellement la demande, mais n’envisage pas de réévaluer la limite.
Si un client dispose d’une paire d’Avamar Servers en cours de réplication, les deux systèmes doivent-ils être configurés avec E.A.R ?
Non, chaque système est indépendant. Lorsque les données d’un système chiffré sont répliquées vers un Avamar non chiffré, le système cible crée des bandes non chiffrées.
De même, si une instance Avamar non chiffrée réplique des données sur un système chiffré, les sauvegardes sont écrites sur des bandes chiffrées.
Une fois activé, le chiffrement au repos peut-il être désactivé ?
Non. Pour ce faire, les données doivent être répliquées sur un Avamar Server sur lequel le chiffrement au repos n’est pas défini.
Si un client dispose d’une paire d’Avamar Servers en cours de réplication, les deux systèmes doivent-ils être configurés avec E.A.R ?
Non, chaque système est indépendant. Lorsque les données d’un système chiffré sont répliquées vers un Avamar non chiffré, le système cible crée des bandes non chiffrées.
De même, si une instance Avamar non chiffrée réplique des données sur un système chiffré, les sauvegardes sont écrites sur des bandes chiffrées.
Une fois activé, le chiffrement au repos peut-il être désactivé ?
Non. Pour ce faire, les données doivent être répliquées sur un Avamar Server sur lequel le chiffrement au repos n’est pas défini.
Affected Products
AvamarProducts
Avamar, Avamar ServerArticle Properties
Article Number: 000046249
Article Type: How To
Last Modified: 10 Feb 2025
Version: 5
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.