Data Domain: Veelgestelde vragen over versleuteling

Samenvatting: Dit Knowledge-artikel bevat voor het gemak een verzameling veelgestelde vragen (FAQ) over Data Domain Data At Rest Encryption (DARE) op een geconsolideerde locatie.

Getroffen producten

Dit artikel is van toepassing op Dit artikel is niet van toepassing op Dit artikel is niet gebonden aan een specifiek product. Niet alle productversies worden in dit artikel vermeld.

Bekijk andere hulpbronnen

Instructies

Versleutelingsconfiguratie

Vraag: Hoe wordt Data At Rest Encryption (DARE) geconfigureerd op Data Domain?

Antwoord: DARE kan worden geconfigureerd met de volgende stappen:

Voeg een versleutelingslicentie toe.
1. Voeg een licentiebestand toe waaraan een geldige versleutelingslicentie is toegevoegd.
2. Gebruik de onderstaande opdracht om de e-licentie in de Data Domain bij te werken met behulp van het beschikbare licentiebestand:
```
# elicense update
```
Voeg een beveiligingsfunctionaris toe en schakel autorisaties voor beveiligingsfunctionarissen in.
1. Voeg een gebruiker toe met de rol "beveiliging" (als die nog niet bestaat) met behulp van de opdracht:
```
# user add <username> role security
```
2. Schakel Security Officer Authorization in door u aan te melden als beveiligingsfunctionaris en de opdracht uit te voeren:
```
> authorization policy set security-officer enabled
```
Ga terug naar een beheerdersaccount en schakel DARE in door de volgende opdracht uit te voeren:
```
# filesys encryption enable
```

Vraag: Welke platformen worden ondersteund met DARE?

Antwoord: De DARE-functie wordt ondersteund op alle Data Domain-systemen, met uitzondering van EDP-systemen (Encryption Disablement Project).

Vraag: Hoe sla ik gegevens op in leesbare tekst op het Data Domain?

Antwoord: Gebruikers kunnen ervoor zorgen dat de data in leesbare tekst worden opgeslagen en niet worden versleuteld in het Data Domain door te bevestigen dat versleuteling is uitgeschakeld in de instellingen.

Versleuteling kan worden uitgeschakeld in het Data Domain met de opdracht:

# filesys encryption disable

Vraag: Welke back-up applicaties en protocollen worden ondersteund met DARE?

Antwoord: De DARE-functie is onafhankelijk van de onderliggende back-upapplicatie of het protocol dat door het Data Domain wordt gebruikt.

Vraag: Welke versleutelingsalgoritmes kunnen worden gebruikt?

Antwoord: De Data Domain-versleutelingssoftware ondersteunt AES 128- of 256-bits algoritmen met behulp van Cipher Block Chaining (CBC) of Galois Counter Mode (GCM).

GCM is een werkingsmodus voor cryptografische blokcijfers met symmetrische sleutel. Het is een geverifieerd versleutelingsalgoritme dat is ontworpen om zowel authenticatie als privacy (vertrouwelijkheid) te bieden. Zoals de naam al doet vermoeden, combineert GCM de bekende counter-modus van encryptie met de nieuwe Galois-modus van authenticatie. Het authenticatie-aspect van GCM garandeert dat de gegevens die zijn versleuteld, zijn uitgevoerd door het Data Domain-systeem en niet op een andere manier zijn "geïnjecteerd". Dit verschilt van CBC waar gegevens worden versleuteld (privacyaspect), maar er geen controle is op de authenticiteit van de versleutelde gegevens.

In de CBC-modus wordt elk blok platte tekst exclusief ORed (XOR) met het vorige coderingstekstblok voordat het wordt versleuteld. Op deze manier is elk coderingstekstblok afhankelijk van alle tekstblokken zonder opmaak die tot dan toe zijn verwerkt. Om elk bericht uniek te maken, moet ook een initialisatievector worden gebruikt in het eerste blok. CBC garandeert de privacy (vertrouwelijkheid) van de gegevens alleen door middel van encryptie. Er wordt geen authenticatie van het versleutelingsalgoritme of -proces uitgevoerd.

Vraag: Hoe kan het versleutelingsalgoritme worden gewijzigd?

Antwoord: Gebruik de onderstaande opdracht om een specifiek versleutelingsalgoritme in te stellen:

# filesys encryption algorithm set {aes_128_cbc | aes_256_cbc | aes_128_gcm | aes_256_gcm}

Vraag: Hoe zorg ik ervoor dat versleuteling wordt uitgevoerd op reeds bestaande gegevens zodra versleuteling is ingeschakeld?

Antwoord: We kunnen het Data Domain-bestandssysteem dwingen om de bestaande data te versleutelen met behulp van de onderstaande opdracht:

# filesys encryption apply-changes

Dit maakt de volgende reinigingscyclus aanzienlijk langer en arbeidsintensiever dan normaal.

Vraag: Hoe versleuteling uitschakelen?

Antwoord: Schakel de versleutelingsfunctie in Data Domain uit met de volgende opdracht:

# filesys encryption disable

Hiermee wordt alleen versleuteling uitgeschakeld voor inkomende data. Bestaande versleutelde gegevens blijven versleuteld totdat ze handmatig worden ontsleuteld met de opdracht 'filesys encryption apply-changes'.

Vraag: Voor welke versleutelingsopdrachten moet het bestandssysteem opnieuw worden opgestart om van kracht te worden?

Antwoord: De volgende versleutelingsopdrachten vereisen dat het bestandssysteem opnieuw wordt opgestart om van kracht te worden:

filesys encryption enable|disable - Hiermee schakelt u versleuteling op het Data Domain in of uit.
filesys encryption algorithm set - Hiermee kan de gebruiker een cryptografisch algoritme selecteren.
filesys encryption algorithm reset - Reset het coderingsalgoritme naar AES 256 in de CBC-modus (de standaardinstelling).

Vraag: Voor welke versleutelingsopdrachten moet het bestandssysteem worden uitgeschakeld om ze in te stellen of te gebruiken?

Antwoord: Het Data Domain-bestandssysteem moet worden uitgeschakeld om de volgende versleutelingsopdrachten in te stellen of te gebruiken:

encryption passphrase change
encryption lock|unlock

Algemene vragen over versleuteling

Vraag: Wordt DARE ondersteund op alle Data Domain systemen?

Antwoord: De DARE-softwareoptie wordt ondersteund op Data Domain-systemen die geen deel uitmaken van het Encryption Disablement Project (EDP). Deze systemen staan niet toe dat versleuteling wordt ingeschakeld en worden verkocht in de regio Rusland.

Vraag: Hoe wordt cryptografie uitgevoerd op Data Domain systemen?

Antwoord: Cryptografie wordt gedaan met behulp van de OpenSSL- en RSA BSafe-bibliotheken. RSA BSafe is een FIPS 140-2 gevalideerde cryptografiebibliotheek.

Vraag: Welke versie van BSafe gebruikt Data Domain?

Antwoord: Vanaf DDOS 7.10 zijn de gebruikte BSafe-versies "BSAFE Micro Edition Suite 4.4.0.0" en "BSAFE Crypto-C Micro Edition: 4.1.4.0."

Vraag: Wat zijn de beschikbare gebruikersinterfaces om versleuteling in DDOS te configureren?

Antwoord: Versleuteling kan worden geconfigureerd via de opdrachtregel, webinterface of met behulp van REST API's. REST API-ondersteuning is toegevoegd in DDOS release 8.0.

Vraag: Is selectieve versleuteling van gegevens mogelijk? Wilt u slechts één mtree of bestand?

Antwoord: Selectieve versleuteling is NIET mogelijk. Versleuteling kan alleen in het hele systeem worden in- of uitgeschakeld en niet selectief. Voor systemen met cloudondersteuning kan versleuteling worden in- of uitgeschakeld op cloudlaag- of cloudeenheidniveau.

Vraag: Worden cryptografische sleutels of accountwachtwoorden verzonden of opgeslagen in leesbare tekst of onder zwakke cijfers, zoals wanneer een entiteit verifieert, in databestanden, in programma's of in authenticatiedirectory's?

Antwoord: No.

Vraag: Welke versie van OpenSSL gebruikt Data Domain?

Antwoord: Vanaf DDOS 7.10 is de OpenSSL-versie "OpenSSL 1.0.2zd-fips."

Vraag: Hoe beschermt DARE tegen datatoegang van gebruikers en applicaties?

Antwoord:

Versleuteling van data-at-rest heeft alles te maken met het versleutelen van de data die zich op het schijfsubsysteem bevinden. Versleuteling of ontsleuteling vindt plaats op de compressielaag. Gebruikers of applicaties verzenden en ontvangen leesbare tekstgegevens naar het Data Domain, maar alle data die zich fysiek op het Data Domain bevinden, zijn versleuteld.
Alle versleuteling vindt plaats onder het bestandssysteem en de naamruimte en is onzichtbaar voor de gebruikers of applicaties. Als een gebruiker of applicatie al geautoriseerde toegang heeft tot een bestand of map, kunnen de data worden gelezen in de oorspronkelijke indeling, ongeacht de versleuteling.
Data Domain-versleuteling is zodanig ontworpen dat als een indringer andere netwerkbeveiligingscontroles omzeilt en toegang krijgt tot versleutelde gegevens, de gegevens onleesbaar en onbruikbaar zijn voor die persoon zonder de juiste cryptografische sleutels.

Vraag: Vindt versleuteling plaats na deduplicatie?

Antwoord: Ja, versleuteling vindt plaats op gededupliceerde data. Data worden versleuteld voordat ze op de schijf worden opgeslagen.

Vraag: Hoe waarborgt het Data Domain de veiligheid van de data?

Antwoord: Gegevens worden beveiligd met behulp van de DARE-functie. Wanneer het apparaat wordt verwijderd (head-swap, vergrendeling van bestandssysteem), wordt de wachtwoordzin bovendien uit het systeem verwijderd. Deze wachtwoordzin wordt gebruikt om versleutelingssleutels te versleutelen, zodat de data verder worden beschermd.

Vraag: Welke waarschuwingen worden gegenereerd met versleuteling?

Antwoord: Waarschuwingen worden gegenereerd in de volgende gevallen:

Wanneer er gecompromitteerde coderingssleutels aanwezig zijn
Wanneer de tabel met versleutelingssleutels vol is en er geen sleutels meer aan het systeem kunnen worden toegevoegd
Wanneer het automatisch exporteren van sleutels mislukt
Wanneer geautomatiseerde sleutelrotatie mislukt
Wanneer versleuteling is uitgeschakeld
Wanneer de wachtwoordzin van het systeem wordt gewijzigd

Vraag: Is er een beveiligingscertificering voor DDOS?

Antwoord: Data Domain-systemen voldoen aan FIPS 140-2-conformiteit.

Vraag: Waar wordt de coderingssleutel opgeslagen?

Antwoord: Versleutelingssleutels worden permanent opgeslagen in een verzamelingspartitie in de DDOS.

Vraag: Als iemand een harde schijf uit een Data Domain haalt, kunnen ze daar dan gegevens van ontsleutelen?

Antwoord: Versleutelingssleutels worden versleuteld met behulp van de wachtwoordzin van het systeem, die is opgeslagen in de systeemkop. Hoewel versleutelingssleutels op de schijf zijn opgeslagen, kunnen versleutelingssleutels niet worden ontsleuteld zonder de wachtwoordzin van het systeem. Dus zonder de sleutel te kennen die werd gebruikt om de gegevens te versleutelen, is decodering niet mogelijk vanaf een harde schijf.

Vraag: Welke cryptografische sleutels en wachtwoorden zijn nodig voor herstel, met name voor herstel na noodgeval?

Antwoord: Sleutels kunnen worden geëxporteerd naar een beveiligd bestand en extern op het systeem worden bewaard. Herstel van dit bestand gebeurt met behulp van engineering. Ook op het moment van herstel moet de klant de wachtwoordzin kennen die werd gebruikt bij de opdracht voor het exporteren van sleutels.

Vraag: Hoe kan het bestandssysteem worden vergrendeld voordat het systeem naar een andere locatie wordt verplaatst?

Antwoord: Hieronder vindt u de procedure voor het vergrendelen van het systeem:

Schakel het bestandssysteem uit:
```
# filesys disable
```
Vergrendel het bestandssysteem en voer een nieuwe wachtwoordzin in (hiervoor is verificatie met een beveiligingsgebruiker vereist):
```
# filesys encryption lock
This command requires authorization by a user having a 'security' role.
Please present credentials for such a user below.
        Username: secuser
        Password:
Enter the current passphrase:
Enter new passphrase:
Re-enter new passphrase:
Passphrases matched.
The filesystem is now locked.
```
1. De nieuwe wachtwoordzin mag NIET verloren gaan of worden vergeten. Zonder deze wachtwoordzin kan het bestandssysteem niet worden ontgrendeld, wat betekent dat data op het Data Domain niet toegankelijk zijn.

Gebruik de onderstaande opdracht om het systeem te ontgrendelen wanneer het een externe locatie bereikt:

# filesys encryption unlock
This command requires authorization by a user having a 'security' role.
Please present credentials for such a user below.
        Username: secuser
        Password:
Enter the passphrase:
The passphrase has been verified. Use 'filesys enable' to start the filesystem.

Het bestandssysteem kan nu worden ingeschakeld en zoals normaal worden gebruikt.

Vraag: Heeft de '`storage sanitize`' commando hebben enige relatie met het bestandssysteem encryptie?

Antwoord: Nee, versleuteling van het bestandssysteem en opschoning van de storage zijn twee onafhankelijke functies.

Vraag: Wordt over-the-wire-versleuteling ondersteund voor EDP-systemen?

Antwoord: DURF- en over-the-wire-versleuteling worden niet ondersteund voor EDP-systemen.

Wachtwoordzin van het systeem

Vraag: Wat is de wachtwoordzin van het systeem?

Antwoord: DDOS kan referenties binnen het systeem beveiligen door een wachtwoordzin op systeemniveau in te stellen. De wachtwoordzin is een door mensen leesbare sleutel, zoals een smartcard, die wordt gebruikt om een machine-bruikbare AES 256-coderingssleutel te genereren.

Het biedt twee voordelen:

Hiermee kan de beheerder de wachtwoordzin wijzigen zonder de coderingssleutels te hoeven manipuleren. Het wijzigen van de wachtwoordzin verandert indirect de versleuteling van de sleutels, maar dit heeft geen invloed op gebruikersdata. Als u de wachtwoordzin wijzigt, verandert de onderliggende Data Domain-systeemversleutelingssleutel niet. De versleuteling van de Data Domain-systeemsleutel wordt gewijzigd, maar de systeemsleutel blijft hetzelfde.
Hiermee kan een fysiek Data Domain-systeem worden verzonden met een coderingssleutel op het systeem, maar zonder dat de wachtwoordzin erop wordt opgeslagen. Op deze manier kan een aanvaller de gegevens niet herstellen als de doos tijdens het transport wordt gestolen, aangezien het systeem alleen versleutelde sleutels en versleutelde gegevens heeft.

De wachtwoordzin wordt intern opgeslagen op een verborgen gedeelte van het Data Domain-opslagsysteem. Hierdoor kan het Data Domain-systeem opstarten en datatoegang blijven bieden zonder tussenkomst van de beheerder.

De wachtwoordzin maken of wijzigen:

De systeemwachtwoordzin kan worden gemaakt met behulp van de CLI nadat een beheerder zich heeft geverifieerd bij het Data Domain.
De wachtwoordzin van het systeem kan worden gewijzigd met behulp van de CLI nadat een beheerder en een gebruiker met een beveiligingsrol (zoals een beveiligingsfunctionaris) zich hebben geverifieerd bij het Data Domain. Dit betekent dat geen enkele beheerder zelfstandig wijzigingen kan aanbrengen.

Vraag: Wanneer wordt de wachtwoordzin gebruikt?

Antwoord: De wachtwoordzin van het systeem wordt gebruikt als primaire sleutel door verschillende DDOS-componenten, waaronder versleuteling van het bestandssysteem, cloudtoegang, certificaatbeheer, DD Boost-tokens, systeemconfiguratiemodules in scale-outomgevingen en licentiegegevens. DDOS biedt mechanismen voor het instellen en wijzigen van deze systeemwachtwoordzin. Het biedt ook opties om te bepalen of de wachtwoordzin van het systeem op schijf wordt opgeslagen, wat vooral wordt gebruikt voor verbeterde beveiliging wanneer het Data Domain wordt getransporteerd.

Vraag: Hoe wordt de wachtwoordzin gebruikt voor beveiligd transport van het Data Domain?

Antwoord: Het proces maakt gebruik van de 'filesys encryption lock' opdracht, waarmee de gebruiker het bestandssysteem kan vergrendelen door de wachtwoordzin te wijzigen. De gebruiker voert een nieuwe wachtwoordzin in waarmee de coderingssleutel opnieuw wordt versleuteld, maar de nieuwe wachtwoordzin wordt niet opgeslagen. De coderingssleutels kunnen pas worden hersteld als het bestandssysteem is ontgrendeld met behulp van de 'filesys encryption unlock' commando.

Het proces wordt beschreven in de Data Domain Security Configuration Guides.

Vraag: Wat gebeurt er als de wachtwoordzin wordt gewijzigd? Zijn de gegevens nog toegankelijk?

Antwoord: Ja, als u de wachtwoordzin wijzigt, wordt de onderliggende Data Domain-systeemversleutelingssleutel niet gewijzigd, alleen de versleuteling van de coderingssleutel. Als zodanig wordt de toegang tot data niet beïnvloed.

Vraag: Hoe kom ik erachter of er een wachtwoordzin op het systeem is ingesteld?

Antwoord: Als er een wachtwoordzin op het systeem is ingesteld, voert u de 'system passphrase set' geeft een foutmelding die aangeeft dat de wachtwoordzin al is ingesteld.

Vraag: Wat gebeurt er als de wachtwoordzin verloren gaat of wordt vergeten?

Antwoord: Als de klant de wachtwoordzin verliest terwijl de box is vergrendeld, verliezen ze hun gegevens. Er is geen achterdeur of alternatieve manier om er toegang toe te krijgen. Zonder een goed proces voor het beheren van die wachtwoordzin kan dit per ongeluk gebeuren en kunnen ze de sleutel of gegevens niet herstellen. De versleutelde sleutel kan echter nooit verloren gaan of beschadigd raken vanwege de geïntegreerde beschermingsmechanismen van het systeem.

Vraag: Is er een mechanisme om een verloren systeemwachtwoordzin opnieuw in te stellen?

Antwoord: De wachtwoordzin van het systeem kan alleen in bepaalde scenario's geforceerd opnieuw worden ingesteld met behulp van de klantensupport. Het in DDOS 7.2 geïntroduceerde mechanisme voor het bijwerken van de kracht kan hiervoor alleen worden gebruikt als aan specifieke voorwaarden is voldaan. Meer details zijn te vinden in dit artikel: Data Domain: Een verloren systeemwachtwoordzin opnieuw instellen in DDOS v7.2 of hoger (aanmelden bij Dell Support vereist).

Vraag: Is er een optie om te voorkomen dat de systeemwachtwoordzin op het Data Domain wordt opgeslagen?

Antwoord: De wachtwoordzin van het systeem wordt standaard opgeslagen op een verborgen locatie op het Data Domain-systeem. Het commando 'system passphrase option store-on-disk' kan worden gebruikt om dit te wijzigen en te voorkomen dat de wachtwoordzin op de schijf wordt opgeslagen.

Embedded Key Manager (EKM)

Opdracht op het hoogste niveau:

# filesys encryption embedded-key-manager <option>

Vraag: Wordt sleutelrotatie ondersteund met EKM?

Antwoord: Ja, sleutelrotatie per Data Domain systeem wordt ondersteund met Embedded Key Manager. Via de gebruikersinterface of CLI kan de beheerder een sleutelrotatieperiode instellen (wekelijks of maandelijks).

Vraag: Zijn er kosten verbonden aan de geïntegreerde functionaliteit voor sleutelbeheer?

Antwoord: Er worden geen kosten in rekening gebracht voor deze functionaliteit. Het is opgenomen als onderdeel van de standaard softwarelicentieoptie voor Data Domain Encryption.

Vraag: Kunt u overschakelen van lokaal naar extern sleutelbeheer?

Antwoord: Ja, externe sleutelmanagers kunnen op elk gewenst moment worden ingeschakeld. De lokale sleutels die worden gebruikt, blijven echter op het Data Domain. Externe sleutelmanagers kunnen de lokale sleutels niet beheren. Bestaande data hoeven niet opnieuw te worden versleuteld. Als nalevingsgegevens opnieuw moeten worden versleuteld met EKM-sleutels, moet dit handmatig worden gedaan met behulp van 'filesys encryption apply-changes' met de nieuwe RW toets. Het vernietigen van EKM-sleutels na een overstap is niet verplicht.

Als u van sleutelbeheerder verandert, wordt de actieve sleutel automatisch overgeschakeld naar de sleutel van KMIP.

Voorbeeld van hoe de KMIP-sleutel MUID eruitziet wanneer een switch plaatsvindt:

Key-ID     Key MUID                                                                    State                     Key Manger Type
1               be1                                                                    Deactivated               DataDomain

2               49664EE855DF71CB7DC08309414C2B4C76ECB112C8D10368C37966E4E2E38A68       Activated-RW              KeySecure

Vraag: Wat gebeurt er wanneer sleutelrotatie is in- of uitgeschakeld?

Antwoord: Sleutelrotatie is standaard uitgeschakeld. In dat scenario worden alle data versleuteld met de bestaande actieve sleutel. Als sleutelrotatie is ingeschakeld, worden de data versleuteld met de laatst actieve sleutel op basis van de geconfigureerde rotatiefrequentie.

Externe sleutelbeheerder

Vraag: Welke externe sleutelmanagers worden ondersteund door Data Domain?

Antwoord: Data Domain ondersteunt de onderstaande externe sleutelmanagers:

Gemalto KeySecure (ondersteuning toegevoegd in DDOS release 7.2)
Vormetric (ondersteuning toegevoegd in DDOS release 7.3)
CipherTrust (ondersteuning toegevoegd in DDOS release 7.7)
IBM GKLM (ondersteuning toegevoegd in DDOS release 7.9)

Vraag: Is een aparte licentie vereist om integratie met een externe sleutelbeheerder mogelijk te maken?

Antwoord: Ja, er is een aparte licentie van de betreffende leverancier nodig om een externe sleutelbeheerder te integreren met Data Domain.

Vraag: Hoeveel sleutelmanagers kunnen tegelijkertijd worden gebruikt?

Antwoord: Er kan slechts één sleutelbeheerder tegelijk actief zijn op een Data Domain.

Vraag: Waar vindt u meer informatie over het configureren van externe KMIP-sleutelmanagers?

Antwoord: De KMIP-integratiehandleiding voor DDOS bevat gedetailleerde informatie over het configureren van de verschillende externe sleutelmanagers die worden ondersteund door Data Domain.

Vraag: Hoe worden certificaten beheerd voor externe sleutelmanagers in Data Domain?

Antwoord: Het configureren van de externe sleutelbeheerder vereist het genereren van een CA-certificaat (dat zelfondertekend of ondertekend kan zijn door derden) en een hostcertificaat. Zodra de configuratie op de externe sleutelbeheerserver is uitgevoerd, moeten het CA-certificaat en het hostcertificaat worden geïmporteerd in het Data Domain-systeem. Vervolgens kan de externe sleutelbeheerder worden geconfigureerd en ingeschakeld.

Vraag: Wat is een certificeringsinstantie?

Antwoord: Een certificeringsinstantie (CA) fungeert als de aanvankelijk vertrouwde gedeelde entiteit tussen peers en geeft ondertekende certificaten uit om het voor elke partij mogelijk te maken de andere te vertrouwen. Een certificaat fungeert over het algemeen als de identiteit van een server of client.

Vraag: Wat is een CA-ondertekend certificaat? Wat is een lokaal CA-ondertekend certificaat?

Antwoord: Een CA-ondertekend certificaat is een certificaat dat is uitgegeven en ondertekend door een openbaar vertrouwde certificeringsinstantie (CA). Een CA-ondertekend certificaat wordt automatisch vertrouwd. Een lokale CA kan ondertekende certificaten uitgeven, omdat de persoonlijke ondertekeningssleutel is opgeslagen in het sleutelbeheersysteem. Een externe CA slaat de persoonlijke sleutel niet op. In plaats daarvan wordt een externe CA gebruikt als een vertrouwde entiteit voor verschillende interfaces en services binnen het systeem.

Vraag: Hoe maak ik een certificaatondertekeningsaanvraag op een Data Domain?

Antwoord: Een Data Domain Certificate Signing Request (CSR) kan worden gegenereerd met behulp van de onderstaande opdracht. Op deze manier wordt de persoonlijke sleutel nooit blootgesteld aan de externe sleutelmanager.

# adminaccess certificate cert-signing-request

Vraag: Is het mogelijk om te wisselen tussen sleutelmanagers?

Antwoord: Overschakelen van een externe sleutelbeheerder naar een geïntegreerde sleutelbeheerder is toegestaan en verloopt naadloos. Voor het overschakelen van een geïntegreerde sleutelbeheerder naar externe sleutelmanagers is echter de juiste certificaatinstallatie en -configuratie vereist. Schakelen tussen twee externe sleutelmanagers (bijvoorbeeld: KMIP-CipherTrust, DSM-Ciphertrust, CipherTrust naar GKLM) is ook toegestaan. Migratie van sleutels wordt ook ondersteund (zie de KMIP-integratiehandleiding voor meer informatie).

Vraag: Wat gebeurt er als de verbinding met de externe sleutelbeheerder uitvalt? Zijn mijn gegevens nog toegankelijk?

Antwoord: Ja, gegevens zijn nog steeds toegankelijk wanneer we geen verbinding kunnen maken met de sleutelbeheerder, omdat er ook een kopie van de sleutels wordt opgeslagen in het Data Domain. Er kunnen geen nieuwe sleutels worden gemaakt en sleutelstatussen kunnen niet worden gesynchroniseerd als er geen verbinding is met de externe sleutelmanager.

Vraag: Is er een manier om sleutels alleen op te slaan in de externe sleutelbeheerder en niet op het Data Domain?

Antwoord: Een kopie van de sleutels wordt altijd opgeslagen in het Data Domain-systeem voor Data Invulnerability Architecture (DIA)-doeleinden. Deze instelling kan niet worden gewijzigd.

Vraag: Heeft integratie met KMIP gevolgen voor de prestaties?

Antwoord: Nee, er is geen invloed op de prestaties vanwege het gebruik van externe sleutelmanagers.

Vraag: Is het mogelijk om de KMIP-oplossing te gebruiken voor geselecteerde datadomeinen binnen de omgeving?

Antwoord: Ja, klanten hebben volledige flexibiliteit bij het selecteren van de juiste versleutelingsmethodologie voor hun Data Domains. Ze kunnen op sommige systemen gebruikmaken van de geïntegreerde sleutelbeheer van Data Domain en op andere systemen in hun omgeving gebruikmaken van de versleutelingssleutelrotatie met behulp van KMIP.

Vraag: Is de communicatie tussen Data Domain en KMIP veilig?

Antwoord: Ja, het Data Domain communiceert via X509-certificaten onderling geverifieerde sessies met de TLS. De Data Domain CLI kan worden gebruikt om het juiste X509-certificaat in het Data Domain-systeem te importeren. Dit certificaat wordt vervolgens gebruikt om het beveiligde kanaal tussen Data Domain en KMIP tot stand te brengen.

Beheer van belangrijke levenscycli

Vraag: Welke mogelijkheden voor sleutelbeheer zijn er met Data Domain-versleuteling?

Antwoord: Een sleutelbeheerder beheert het genereren, distribueren en levenscyclusbeheer van meerdere versleutelingssleutels. Een beveiligingssysteem kan gebruikmaken van de geïntegreerde sleutelbeheerder of een KMIP-compatibele externe sleutelmanager. Er kan slechts één sleutelbeheerder tegelijk van kracht zijn. Wanneer versleuteling is ingeschakeld op een beveiligingssysteem, is de Embedded Key Manager standaard van kracht. Als een externe sleutelbeheerder is geconfigureerd, vervangt deze de geïntegreerde sleutelbeheerder en blijft deze van kracht totdat deze handmatig wordt uitgeschakeld. Overschakelen van Embedded Key Manager naar External Key Manager of omgekeerd resulteren in het toevoegen van een nieuwe sleutel aan het systeem. Vanaf DDOS 7.1 hoeft het bestandssysteem niet opnieuw te worden opgestart.

Vraag: Wat zijn de verschillende sleutelstatussen op het Data Domain?

De verschillende sleutelstatussen op het Data Domain zijn als volgt:

Activated-RW: Er is op een bepaald moment slechts één sleutel in deze status op een Data Domain en deze wordt gebruikt voor het lezen en schrijven van data. Deze sleutel wordt ook gebruikt door het garbage collection-proces om containers opnieuw te versleutelen.
Pending-Activated: Er is op een bepaald moment slechts één sleutel in deze status op een Data Domain. Dit identificeert de sleutel die wordt Activated-RW Start het bestandssysteem de volgende keer opnieuw op. Deze status bestaat alleen op het moment dat de versleuteling wordt ingeschakeld. Pending-activated Sleutels worden niet op een ander moment gemaakt.
Activated-RO: Externe sleutelmanagers kunnen meerdere geactiveerde sleutels hebben. De meest recente sleutel is in Activated-RW, en de rest bevindt zich in deze staat. Sleutels kunnen deze status krijgen op het Data Domain wanneer de status niet kan worden gesynchroniseerd met de sleutelmanager.
Deactivated: Deze wordt gebruikt voor het lezen van bestaande data op het Data Domain systeem.
Compromised: Wanneer een externe sleutelbeheersleutel wordt gecompromitteerd, verandert deze in deze status na de volgende sleutelsynchronisatie.
Marked-For-Destroyed: Wanneer een klant een sleutel markeert voor vernietiging, verandert de sleutel in deze status. Wanneer garbage collection wordt uitgevoerd, worden alle containers versleuteld met Marked-For-Destroyed sleutels worden opnieuw versleuteld met behulp van de Activated-RW toets.
Destroyed: Een sleutel in de Marked-For-Destroyed De status gaat naar deze status wanneer er geen gegevens aan zijn gekoppeld.
Destroyed-compromised: Een sleutel in de Compromised De status gaat naar deze status wanneer er geen gegevens aan zijn gekoppeld.

Vraag: Kunnen versleutelingssleutels worden geëxporteerd voor herstel na noodgeval?

Antwoord: Sleutels kunnen handmatig worden geëxporteerd met behulp van de onderstaande opdracht.

# filesys encryption keys export

Data Domain exporteert ook standaard sleutels wanneer een nieuwe sleutel wordt toegevoegd of wanneer een sleutel uit het systeem wordt verwijderd.

Geëxporteerde bestanden zijn aanwezig in het /ddr/var/.security directory in een versleutelde indeling. Dit bestand kan worden gekopieerd van het Data Domain en op een veilige locatie worden opgeslagen om het later te gebruiken bij herstel na noodgevallen.

Opmerking: Het importeren van sleutels voor herstel na noodgevallen vereist tussenkomst van de klantensupport, omdat het herstelproces afhankelijk is van het type noodgeval dat zich voordoet. We kunnen het geëxporteerde sleutelbestand importeren met de volgende opdracht.

# filesys encryption keys import <filename>

Vraag: Wordt de sleutel die door KMIP wordt gegenereerd, opgeslagen op het Data Domain?

Antwoord: Ja, de versleutelingssleutel die van het KMIP wordt verkregen, wordt versleuteld opgeslagen op het Data Domain.

Vraag: Hoe wordt een belangrijke statuswijziging in de KMIP-applicatie toegepast op het Data Domain?

Antwoord: Sleutelsynchronisatie vindt dagelijks plaats. Als er een nieuwe sleutel beschikbaar is of als de status van een sleutel is gewijzigd, wordt de lokale sleuteltabel bijgewerkt met de synchronisatie. Data Domain ontvangt elke dag om middernacht belangrijke updates van het KMIP.

Vraag: Is het mogelijk om de sleutelstatussen tussen Data Domain en KMIP handmatig te synchroniseren?

Antwoord: Ja, de Data Domain CLI of UI kan worden gebruikt om de sleutelstatussen handmatig te synchroniseren tussen de Data Domain en KMIP. Het commando hiervoor is 'filesys encryption keys sync'.

Vraag: Is het mogelijk om het tijdstip te wijzigen waarop het Data Domain belangrijke updates van KMIP ontvangt?

Antwoord: Nee, het is niet mogelijk om het tijdstip te wijzigen waarop het Data Domain belangrijke updates van het KMIP ontvangt.

Vraag: Is er een limiet voor het aantal sleutels dat is opgeslagen op het Data Domain?

Antwoord: Vanaf DDOS 7.8 mag het Data Domain-systeem maximaal 1024 sleutels op het systeem hebben. Er is slechts één sleutel in de Activated-RW Staat; Alle andere sleutels kunnen een andere status hebben.

Vraag: Kunnen verschillende sleutels worden gebruikt voor verschillende datasets op Data Domain?

Antwoord: Nee, Data Domain ondersteunt slechts één actieve sleutel in het systeem tegelijk. Alle inkomende data worden versleuteld met behulp van de huidige actieve sleutel. Toetsen kunnen niet worden beheerd met een fijnere granulariteit (zoals per-mtree).

Vraag: Wordt er een melding gegeven wanneer de maximale sleutellimiet is bereikt?

Antwoord: Ja, er wordt een waarschuwing gegenereerd wanneer de maximale sleutellimiet van 1024 is bereikt.

Vraag: Hoe kan de waarschuwing over de maximale sleutellimiet worden gewist?

Antwoord: Eén van de sleutels moet worden verwijderd om de waarschuwing voor de maximale sleutellimiet te wissen.

Vraag: Kunt u de hoeveelheid data zien die is gekoppeld aan een bepaalde sleutel in het Data Domain?

Antwoord: Ja, dit is te zien op Data Domain, maar niet op de KMIP-server. Met de Data Domain CLI en de gebruikersinterface kan de gebruiker de hoeveelheid data zien die aan een bepaalde sleutel is gekoppeld. Het commando hiervoor is 'filesys encryption keys show summary'.

Vraag: Kunt u de ouderdom van de sleutels op het Data Domain zien?

Antwoord: Ja, het kan worden gezien voor EKM-sleutels met behulp van de gebruikersinterface.

Vraag: Werkt de oude sleutel, zelfs als de periode is verstreken om de nieuwe sleutel effectief te maken?

Antwoord: Er is geen vervaldatum voor versleutelingssleutels. Oude sleutels worden alleen-lezen na sleutelrotatie en blijven in de DDOS.

Vraag: Worden versleutelingssleutels automatisch verwijderd wanneer er geen data aan gekoppeld zijn op het Data Domain?

Antwoord: Nee, de sleutel wordt niet automatisch verwijderd. De gebruiker moet de sleutel expliciet verwijderen met behulp van de Data Domain CLI of UI.

Vraag: Kan een sleutel worden verwijderd, zelfs als er data aan zijn gekoppeld in het Data Domain?

Antwoord: Nee, als er gegevens aan een sleutel zijn gekoppeld, kan deze niet worden verwijderd. Data moeten opnieuw worden versleuteld met een andere sleutel om een sleutel te verwijderen waaraan data zijn gekoppeld.

Vraag: Als een sleutel wordt verwijderd op het KMIP, wordt de sleutel dan ook verwijderd uit de sleutellijst van Data Domain?

Antwoord: Nee, de gebruiker moet de sleutel onafhankelijk verwijderen met behulp van de Data Domain CLI of UI.

Vraag: Is in een Data Domain-omgeving met meerdere locaties op elke locatie een KMIP vereist?

Antwoord: Nee, het is niet nodig om op elke locatie met een Data Domain een KMIP te hebben. Voor al deze toepassingen kan één KMIP-server worden gebruikt. Het wordt aanbevolen om een aparte sleutelklasse te hebben voor elk Data Domain systeem wanneer ze dezelfde KMIP-server gebruiken.

Vraag: Als een sleutel is gecompromitteerd, is er dan een proces om de data terug te halen die zijn versleuteld met de oude sleutel?

Antwoord: Als dit gebeurt, moet de klant de sleutel markeren als gecompromitteerd op de KMIP-server. Dan op het Data Domain:

Rennen 'filesys encryption keys sync'.
Rennen 'filesys encryption apply-changes'.
Start een opschoning van het bestandssysteem.
1. Opschonen versleutelt alle data die waren versleuteld met de gecompromitteerde sleutel opnieuw met behulp van een nieuwere sleutel.
2. Zodra de opschoning is voltooid, wordt de oude sleutelstatus gewijzigd in Compromised-Destroyed.
Verwijder de oude sleutel.

Versleuteling en replicatie

Vraag: Wordt Data Domain-replicatie ondersteund en is deze interoperabel met DARE?

Antwoord: Ja, Data Domain replicatie kan worden gebruikt met DARE. Hierdoor kunnen versleutelde data worden gerepliceerd met behulp van allerlei verschillende soorten replicatie. Elk type replicatie werkt uniek met encryptie en biedt hetzelfde beveiligingsniveau.

Vraag: Moeten de bron- en doelsystemen dezelfde DDOS-versie uitvoeren om versleuteling te kunnen gebruiken?

Antwoord: De bron en bestemming kunnen verschillende DDOS-versies hebben om DARE te gebruiken met replicatie als ze compatibel zijn voor replicatie (zie Data Domain beheerhandleiding voor de compatibiliteitsmatrix).

Vraag: Hoe werkt replicatie met versleuteling?

Antwoord: Het hangt af van welke vorm van replicatie wordt gebruikt.

Als de geconfigureerde replicatie mtree-replicatie (MREPL) of Managed File Replication (MFR) is:

DARE kan onafhankelijk van elkaar worden gelicentieerd of ingeschakeld op de bron of bestemming, afhankelijk van wat de klant wil bereiken.
Wanneer zowel de bron als de bestemming versleuteling hebben ingeschakeld:
- Data die in de bron worden opgenomen, worden versleuteld met de coderingssleutel van het bronsysteem.
- De bron ontsleutelt de lokale data, versleutelt deze opnieuw met behulp van de coderingssleutel van het doelsysteem en repliceert vervolgens de versleutelde data naar de bestemming.
Wanneer versleuteling voor de bron is uitgeschakeld en versleuteling voor de bestemming is ingeschakeld:
- Data die in de bron worden opgenomen, worden niet versleuteld.
- Bij het repliceren versleutelt de bron de data met behulp van de coderingssleutel van het doelsysteem en repliceert vervolgens de versleutelde data naar het doelsysteem.
Wanneer versleuteling voor de bron is ingeschakeld en versleuteling voor de bestemming is uitgeschakeld:
- Data die in het bronsysteem worden opgenomen, worden versleuteld met de coderingssleutel van het bronsysteem.
- De bron ontsleutelt de data en repliceert vervolgens de niet-versleutelde data naar het doelsysteem.
Als versleuteling is ingeschakeld op de replica nadat de replicatiecontext is ingesteld, worden alle nieuwe segmenten die nu worden gerepliceerd, versleuteld bij de bron voor de replica. Alle segmenten die zich op de replica bevinden voordat de versleuteling werd ingeschakeld, blijven in een niet-versleutelde staat, tenzij wijzigingen worden toegepast en de opschoning wordt uitgevoerd op het doel.

Als de geconfigureerde replicatie verzamelingsreplicatie (CREPL) is:

Op zowel het bron- als het doelsysteem moet dezelfde DDOS-release worden uitgevoerd.
Versleuteling moet op beide zijn in- of uitgeschakeld. Er kan ook geen sprake zijn van een mismatch in de configuratie van de versleuteling. Coderingssleutels zijn hetzelfde met bron en bestemming.
Wanneer zowel de bron als de bestemming versleuteling hebben ingeschakeld:
- Alle data die in het bronsysteem worden opgenomen, worden versleuteld met behulp van de coderingssleutel van het bronsysteem.
- Bij het repliceren verzendt de bron versleutelde data in versleutelde staat naar het doelsysteem.
- De bestemming heeft dezelfde sleutel als de bron, omdat verzamelingsreplicatie draait om een exacte replica van het bronsysteem.
- Er kunnen geen data naar de bestemming worden geschreven buiten de replicatie, omdat de bestemming een alleen-lezen systeem is.
Wanneer zowel de bron als de bestemming versleuteling hebben uitgeschakeld:
- Data die in het bronsysteem worden opgenomen, zijn niet versleuteld.
- Bij het repliceren verzendt de bron de data in een niet-versleutelde staat en blijven deze onversleuteld op de bestemming.
- Er kunnen geen data naar de bestemming worden geschreven buiten de replicatie, omdat de bestemming een alleen-lezen systeem is.

Vraag: Wordt de sleutel van de bestemming voor onbepaalde tijd opgeslagen op het brongegevensdomein?

Antwoord: De versleutelingssleutel van de bestemming wordt nooit opgeslagen op het brondatadomeinsysteem. Het wordt alleen in het geheugen bewaard (versleuteld) terwijl de replicatiesessie actief is. Dit geldt voor alle typen replicatie, behalve voor verzamelingsreplicatie. Bij verzamelingsreplicatie is dezelfde set coderingssleutels aanwezig op zowel de bron als de bestemming.

Vraag: Kan versleuteling worden ingeschakeld op een verzamelingsreplicatiesysteem nadat de replicatiecontext tot stand is gebracht?

Antwoord: Ja, in dit geval moet versleuteling worden ingeschakeld in zowel de bron als de bestemming. De replicatiecontext moet worden uitgeschakeld om versleuteling te configureren. Alle nieuwe segmenten die worden gerepliceerd, worden versleuteld op de replica. Alle segmenten die zich op de replica bevinden voordat versleuteling werd ingeschakeld, blijven in een niet-versleutelde status.

Vraag: Kan DARE gelijktijdig met de over-the-wire-versleutelingsfunctie voor Data Domain-replicatie worden ingeschakeld?

Antwoord: Ja, zowel over-the-wire (OTW) encryptie als DARE kunnen gelijktijdig worden ingeschakeld om verschillende beveiligingsdoelen te bereiken.

Vraag: Wat gebeurt er als zowel DARE als OTW encryptie gelijktijdig zijn ingeschakeld?

Antwoord: De bron versleutelt eerst de data met behulp van de coderingssleutel van de bestemming. Vervolgens worden reeds versleutelde gegevens een tweede keer versleuteld door OTW-versleuteling terwijl deze gegevens naar hun bestemming worden verzonden. Op de bestemming, nadat de OTW ontsleuteling is voltooid, worden gegevens opgeslagen in een versleuteld formaat dat werd versleuteld met behulp van de coderingssleutel van de bestemming.

Vraag: Als versleuteling is ingeschakeld voor zowel de bron als het doel, moeten ze dan dezelfde wachtwoordzin hebben?

Antwoord: Als de geconfigureerde replicatie een verzamelingsreplicatie is, moet de wachtwoordzin hetzelfde zijn. Voor andere soorten replicatie (zoals MREPL, MFR) kunnen de systemen verschillende wachtwoordzinnen hebben.

Vraag: Worden zowel de gerepliceerde data als de data van een ander access point (bijvoorbeeld via een lokale back-up) versleuteld als versleuteling is ingeschakeld op het doel? Is er een manier om de twee op de bestemming te scheiden, zodat alleen de gerepliceerde mappen worden versleuteld?

Antwoord: Nee, alle data worden op de bestemming versleuteld, ongeacht het toegangspunt. Versleuteling kan niet alleen worden in- of uitgeschakeld op granulariteit op mtree- of mapniveau. Dit is niet van toepassing op CREPL.

Vraag: Hoe verloopt de sleuteluitwisseling tussen bron en bestemming tijdens MREPL of MFR?

Antwoord: Tijdens de koppelingsfase van de replicatie verzendt de bestemming veilig het huidige versleutelingsalgoritme en belangrijke informatie naar de bron. Replicatiecontexten worden altijd geverifieerd met een gedeeld geheim. Dat gedeelde geheim wordt gebruikt om een "sessie"-sleutel tot stand te brengen met behulp van een Diffie-Hellman-sleuteluitwisselingsprotocol. Die sessiesleutel wordt gebruikt voor het versleutelen en ontsleutelen van de Data Domain-versleutelingssleutel.

Vraag: Wat voor soort algoritme gebruikt OTW encryptie om replicatieverkeer te versleutelen?

Antwoord: Wanneer de replicatieverificatiemodus is ingesteld op eenrichtingsverkeer of tweerichtingsverkeer, wordt Ephemeral Diffie-Hellman (DHE) gebruikt voor de uitwisseling van sessiesleutels. Serverauthenticatie vindt plaats met behulp van RSA. AES 256-bits GCM-versleuteling wordt gebruikt om de gerepliceerde data via de kabel in te kapselen. De versleutelingsinkapselingslaag wordt onmiddellijk verwijderd wanneer deze op het doelsysteem terechtkomt.

"Enkele reis" geeft aan dat alleen het bestemmingscertificaat is gecertificeerd. "Two-way" geeft aan dat zowel het bron- als het bestemmingscertificaat zijn geverifieerd. Er moet wederzijds vertrouwen tot stand worden gebracht voordat u deze verificatiemodus kunt gebruiken en beide zijden van de verbinding moeten deze functie inschakelen om de versleuteling door te laten gaan.

Wanneer de replicatieverificatiemodus is ingesteld op anoniem, wordt Anonymous Diffie-Hellman (ADH) gebruikt voor sessiesleuteluitwisseling. In dit geval verifiëren de bron en de bestemming elkaar niet vóór de sleuteluitwisseling. "Anoniem" wordt standaard gebruikt als de verificatiemodus niet is opgegeven.

Vraag: Werkt sleutelrotatie zonder dat het bestandssysteem opnieuw moet worden opgestart met alle typen replicatie?

Antwoord: Sleutelrotatie zonder dat het bestandssysteem opnieuw moet worden opgestart, werkt met alle typen replicatie, behalve directoryreplicatie (die niet meer wordt ondersteund) en deltareplicatie (ook bekend als Low-Bandwidth Optimization of LBO).

Vraag: Hoe wordt de coderingssleutel van de bestemming beschermd tijdens de sleuteluitwisseling bij afwezigheid van certificaten of PKI-sleutelparen?

Antwoord: Er is een gedeeld geheim tussen alle Data Domain-replicatieparen dat wordt gebruikt om een gedeelde sessiesleutel tot stand te brengen met behulp van een Diffie-Hellman-sleuteluitwisseling. Die gedeelde sleutel wordt gebruikt om de versleutelingssleutel van de bestemming te versleutelen.

Er is een verschil tussen het gedeelde geheim dat wordt gebruikt voor replicatieverificatie en de gedeelde sessiesleutel, die wordt toegewezen met behulp van het Diffie-Hellman-sleuteluitwisselingsprotocol. Het gedeelde geheim dat wordt gebruikt voor replicatieverificatie wordt vastgesteld door de Data Domain-software wanneer twee Data Domains voor het eerst een replicatiecontext willen instellen. Het wordt ook overeengekomen via een Diffie-Hellman-uitwisseling met behulp van parameters die in de code zijn ingebed. Dit wordt permanent opgeslagen in de systemen om elke replicatiesessie tussen de twee systemen te verifiëren. De replicatiesessiesleutel (de sleutel die wordt gebruikt om de versleutelingssleutel van de bestemming te versleutelen) wordt tot stand gebracht met behulp van een andere Diffie-Hellman-uitwisseling met het eerder vastgestelde gedeelde geheim, waardoor het veilige sleuteluitwisselingsprotocol wordt aangestuurd. Deze sleutel is niet permanent en bestaat alleen wanneer de replicatiecontext actief is.

Vraag: Moeten beide systemen in een replicatiepaar dezelfde oplossing voor externe sleutelbeheer (zoals KMIP-sleutelbeheer) gebruiken, of kan een van de systemen extern sleutelbeheer gebruiken en kan een ander systeem geïntegreerd sleutelbeheer gebruiken?

Antwoord: Afgezien van verzamelingsreplicatie is het niet nodig dat beide systemen binnen een replicatiepaar dezelfde sleutelbeheerder gebruiken.

Bij verzamelingsreplicatie moeten beide Data Domain-systemen worden geconfigureerd met dezelfde sleutelmanager. Alleen de bron synchroniseert echter sleutels met de sleutelbeheer, en deze sleutels worden ook naar de bestemming verzonden. Bij andere replicatietypen kunnen verschillende sleutelmanagers worden gebruikt met de bron en bestemming.

Versleuteling en migratie

Vraag: Wordt datamigratie ondersteund op systemen waarop DARE is ingeschakeld?

Antwoord: Ja, datamigratie wordt ondersteund op systemen waarop versleuteling is ingeschakeld. Versleutelingsconfiguratie op bron- en doelsystemen moet als voorwaarde worden afgestemd voordat datamigratie wordt gestart. Het wordt ook aanbevolen om versleutelingssleutels op het bronsysteem te exporteren en er een back-up van te maken voor DIA-doeleinden voordat de migratie wordt gestart.

Vraag: Wordt datamigratie op zowel actieve laag als cloudlaag ondersteund als DARE is ingeschakeld?

Antwoord: Ja, datamigratie wordt ondersteund voor migratie van zowel de actieve laag als de cloudlaag voor systemen met versleuteling. De lijst met vereiste kenmerken die is ingeschakeld, wordt toegepast op basis van het niveau waarop versleuteling is ingeschakeld.

Vraag: Welke versleutelingsinstellingen blijven behouden als onderdeel van de migratie?

Antwoord: Versleutelde data en versleutelingssleutels worden ongewijzigd gemigreerd, maar instellingen zoals de sleutelbeheerder, de systeemwachtwoordzin en andere versleutelingsconfiguraties moeten handmatig worden geverifieerd en gematcht voor een succesvolle datamigratie. Eventuele bestaande sleutelbeheercertificaten worden ook overgebracht naar het doelsysteem. De configuratie van Encryption Key Manager moet na de migratie opnieuw worden ingesteld op het doelsysteem.

Vraag: Welke compatibiliteitscontroles voor versleuteling worden uitgevoerd tussen bron en bestemming tijdens de migratie?

Antwoord: Systeemwachtwoordzin, versleutelingsstatus, configuratiegegevens van de sleutelbeheerder en FIPS-modusinstellingen van het systeem zijn enkele van de versleutelingsinstellingen die identiek moeten zijn op bron- en doelsystemen om de migratie te laten slagen. Dit artikel, Data Domain: Migratieprocedure voor cloud-enabled DD-systemen (aanmelden bij Dell Support vereist) beschrijft de stappen voor migratie tussen systemen die geschikt zijn voor cloud. Dezelfde instellingen zijn ook van toepassing op de migratie van de actieve laag.

Vraag: Wordt migratie tussen EDP-systemen ondersteund?

Antwoord: Datamigratie tussen twee systemen wordt ondersteund als beide systemen EDP zijn of beide niet-EDP. Datamigratie is toegestaan van een EDP systeem naar een niet-EDP systeem als OTW encryptie expliciet is uitgeschakeld met behulp van de MIGRATION_ENCRYPTION systeemparameter.

Versleuteling en cloudlaag

Vraag: Wordt versleuteling ondersteund voor Cloud Tier?

Antwoord: Ja, versleuteling wordt ondersteund voor cloudlaag. Dit is standaard uitgeschakeld. Het 'cloud enable' prompts om te kiezen of versleuteling al dan niet moet worden ingeschakeld op de cloudlaag.

Vraag: Worden KMIP en External Key Managers ondersteund met Cloud Tier?

Antwoord: Ja, KMIP en External Key Managers worden ondersteund met Cloud Tier vanaf DDOS 7.8.

Vraag: Met welke granulariteit kan versleuteling in de cloud worden ingeschakeld?

Antwoord: Versleuteling kan worden in- en uitgeschakeld op elke cloudeenheid en elk niveau afzonderlijk.

Vraag: Hebben cloudeenheden onafhankelijke sleutels?

Antwoord: Nee, sleutelbeheer is gemeenschappelijk voor zowel actieve als cloudlagen in Data Domain. Sleutels worden gekopieerd naar de respectieve eenheid, laag of verzamelingspartitie wanneer versleuteling is ingeschakeld. Als versleuteling is ingeschakeld op actief en niet op cloud, worden sleutels voor actieve lagen niet weergegeven in de cloud en omgekeerd. Dit geldt ook voor de cloudunits. Bijvoorbeeld: Als cp1 versleuteling heeft ingeschakeld, en cp2 Is versleuteling niet ingeschakeld, dan cp1 toetsen reflecteren niet op cp2.

Vraag: Kunnen sleutels uit de cloud worden verwijderd?

Antwoord: Nee, het verwijderen van sleutels uit de cloud wordt niet ondersteund.

Vraag: Waar worden dataversleutelingssleutels voor cloudeenheden beheerd?

Antwoord: Sleutels zijn gekoppeld aan een collection partition (CP)en elke cloudeenheid is een andere CP. Een kopie van sleutels van alle CP's wordt opgeslagen in de actieve partitie.

Vraag: Hoe cloudsleutels herstellen tijdens noodherstel?

Antwoord: De cpnameval wordt gespiegeld naar de cloud als onderdeel van het CP-herstel, en de versleutelingssleutels worden hersteld naar cpnameval. Vervolgens wordt de ddr_key_util tool wordt gebruikt om de sleutels te herstellen.

Opmerking: Voor herstel na noodgevallen is assistentie van de klantenservice vereist.

Vraag: Kan dataverplaatsing worden uitgevoerd wanneer versleuteling alleen is ingeschakeld voor de cloudlaag?

Antwoord: Nee, versleuteling moet zijn ingeschakeld in zowel de cloud als de actieve lagen om dataverplaatsing uit te voeren.

Vraag: Kan een externe sleutelbeheerder worden gebruikt met Cloud Tier?

Antwoord: Ja, extern sleutelbeheer kan worden gebruikt met cloudlaag. Deze functie wordt ondersteund vanaf DDOS 7.8. Alle bewerkingen (met uitzondering van het vernietigen of verwijderen van een sleutel die wordt gebruikt voor de actieve laag) zijn ook geldig voor cloudlaag in termen van extern sleutelbeheer.

Versleuteling en garbage collection

Vraag: Welke rol speelt het garbage collection (GC) proces in DARE? Is er een impact op de prestaties wanneer versleuteling voor het eerst wordt ingeschakeld?

Antwoord: Het voor de eerste keer inschakelen van DARE heeft invloed op de GC-prestaties. Wanneer GC wordt uitgevoerd, leest het data van bestaande containers op de schijf en schrijft deze naar nieuwe containers. Nadat DARE is ingeschakeld, moeten die data mogelijk worden gelezen, ontsleuteld en gedecomprimeerd voordat ze opnieuw worden gecomprimeerd, versleuteld en weer naar schijf worden geschreven. Wanneer versleuteling is ingeschakeld op een Data Domain dat een aanzienlijke hoeveelheid reeds bestaande gegevens bevat, en het 'filesys encryption apply-changes' wordt uitgevoerd, probeert de volgende GC-cyclus alle bestaande gegevens op het systeem te versleutelen. Dit betekent dat alle data moeten worden gelezen, gedecomprimeerd, gecomprimeerd, versleuteld en naar schijf moet worden geschreven. Als gevolg hiervan werd het eerste klassement na het lopen 'filesys encryption apply-changes' kan langer duren dan normaal. Zorg ervoor dat ze voldoende vrije ruimte op het Data Domain-systeem hebben om de opschoning volledig te laten verlopen zonder dat het Data Domain-systeem vol raakt (anders mislukken back-ups).

Vraag: Is er een impact op de prestaties van lopende schone cycli?

Antwoord: Ja, er is een impact op de prestaties. De impact hangt over het algemeen af van de hoeveelheid data die wordt opgenomen en hersteld tussen schone cycli.

Vraag: Hoe lang duurt het om bestaande data te versleutelen?

Gebruik dit artikel om de tijd in te schatten: Data Domain: Berekenen hoe lang het duurt voordat versleuteling in rust is toegepast.

Encryptie en headswap

Vraag: Als een Data Domain waarvoor DARE is geconfigureerd een headswap ondergaat, zijn er dan nog schijven toegankelijk met de nieuwe head-unit?

Antwoord: De versleutelingssleutel is niet gebonden aan de Data Domain-systeemkop zelf, dus de schijven kunnen naar een andere Data Domain-kop worden verplaatst en de sleutel is daar nog steeds toegankelijk. Het bestandssysteem is vergrendeld op de nieuwe kop en moet worden ontgrendeld met de 'filesys encryption unlock' en de wachtwoordzin van het systeem.

Vraag: Wat als de wachtwoordzin verloren gaat op het moment van de headswap-bewerking?

Antwoord: Als de wachtwoordzin verloren is gegaan, sluit u de oude kop aan en werkt u samen met support om de wachtwoordzin opnieuw in te stellen. Sluit vervolgens weer aan op de nieuwe kop en voltooi de headswap-procedure.

Versleuteling en prestaties

Vraag: Wat is de waargenomen impact op het storageverbruik wanneer DARE wordt gebruikt?

Antwoord: De impact op het storageverbruik is verwaarloosbaar, met ongeveer 1% overhead voor het opslaan van sommige versleutelingsparameters bij gebruikersdata.

Vraag: Wat is de waargenomen impact op de doorvoersnelheid (schrijven en lezen) wanneer DARE wordt gebruikt?

Antwoord: De impact op de doorvoer wanneer versleuteling wordt gebruikt, kan variëren afhankelijk van het protocol en het platform. Over het algemeen zijn de volgende percentages conservatieve prestatieverminderingen in de totale doorvoer:

CBC-modus

Eerste vol: ~10% prestatievermindering bij schrijfbewerkingen
Incrementele: ~5% prestatievermindering bij schrijfbewerkingen
Herstelt: 5-20% prestatievermindering bij leesbewerkingen

GCM-modus

Eerste vol: 10-20% prestatievermindering bij schrijfbewerkingen
Incrementele: 5-10% prestatievermindering bij schrijfbewerkingen
Herstelt: 5-20% prestatievermindering bij leesbewerkingen

Deze cijfers zijn specifiek voor de overhead van versleuteling van data-at-rest. Versleuteling via de draad wordt apart verantwoord.

Best practices

Vraag: Wat zijn de best practices met betrekking tot het sleutelroulatiebeleid?

Antwoord: Beleid voor geautomatiseerde sleutelrotatie is niet standaard ingeschakeld. Het wordt aanbevolen om versleutelingssleutels regelmatig te verwisselen. Wanneer een systeem is geconfigureerd met een externe KMIP-sleutelmanager, is het raadzaam om sleutels regelmatig te draaien om toekomstige scenario's voor mogelijke gecompromitteerde sleutels aan te pakken. Wanneer KMIP is geconfigureerd met cloudlaag, is het voorgestelde toetsrotatie-interval wekelijks; Wanneer KMIP alleen voor de actieve laag is geconfigureerd, is het voorgestelde beleid voor sleutelrotatie maandelijks. Dit kan echter worden verhoogd of verlaagd op basis van de opnamesnelheid. Als de geïntegreerde sleutelbeheer is geconfigureerd, wordt een sleutelrotatiebeleid van 1-3 maanden aanbevolen.

Vraag: Wat zijn best practices met KMIP-sleutelklasse als dezelfde KMIP-server wordt gebruikt voor veel Data Domains?

Antwoord: Het wordt aanbevolen om een aparte sleutelklasse te hebben voor elk Data Domain wanneer ze dezelfde KMIP-server gebruiken. Op die manier heeft sleutelrotatie op het ene systeem geen invloed op de status van de sleutel die in andere systemen aanwezig is.

Extra informatie

Andere documentatie met betrekking tot Data Domain Encryption (Admin Guide, Command Reference Guide en Security Configuration Guide) vindt u hier: PowerProtect en Data Domain kerndocumenten

Bekijk deze video: