Sõjaväeklassi krüptimine pilvesalvestuses

Informatec Digital » Ressursid » Sõjaväeklassi krüptimine pilvesalvestuses

Kui salvestate pilves isikuandmeid, maksuteavet, privaatseid fotosid või ettevõtte teavet , on ainuüksi paroolile lootmine nagu vene ruleti mängimine oma privaatsusega. Iga päev ilmnevad uued turvarikkumised, lunavararünnakud ja andmelekked, mis näitavad, et tugeva krüptimiseta veebipõhine salvestusruum kujutab endast märkimisväärset ohtu.

Niinimetatud „sõjaväeklassi krüptimisest“ on saanud tõeliselt tundliku teabe pilves kaitsmise kuldstandard . Kuid selle turundussildi taga peituvad ametlikud eeskirjad, väga spetsiifilised algoritmid , sertifikaadid nagu FIPS ja „nullteadmiste“ turbemudelid, mis teevadki lihtsa pilvedraivi ja tõeliselt turvalise lahenduse vahe.

Mida tegelikult tähendab sõjaväeklassi krüptimine pilves?

Kui müüja räägib "sõjaväelise taseme krüptimisest", peab ta peaaegu alati silmas AES-256 kasutamist peamise krüpteerimisalgoritmina – sama standardit, mille NSA heaks kiidab USA valitsuses TOP SECRETiks liigitatud teabe kaitsmiseks.

Praktikas tähendab see, et teie failid krüpteeritakse 256-bitiste võtmetega , mis loob nii hiiglasliku otsinguruumi, et isegi praeguse ja tulevase arvutusvõimsuse juures oleks jõhkra jõu rünnak igas realistlikus stsenaariumis teostamatu.

Lisaks võtme suurusele tulevad mängu ka tehnilised üksikasjad, näiteks krüpteerimisrežiim (nt XTS või CFB), juhuslike initsialiseerimisvektorite kasutamine ja terviklikkuse mehhanismid, näiteks HMAC-SHA-512, mis võimaldavad krüpteeritud faili ühe biti mis tahes muudatuste kohest tuvastamist.

Turvalise salvestuse valdkonnas ei piirdu sõjaväeklassi krüptimine ainult pilvega: see kehtib ka riistvaraliselt krüptitud USB-draivide , kaitstud väliste kõvaketaste ja hübriidvarunduslahenduste kohta, mis ühendavad pilve- ja füüsilisi seadmeid.

FIPS-i standardid, tasemed ja mis eristab sõjaväe ärist

Lisaks algoritmile näitavad tühja turunduse ja tõsise turvalisuse erinevust sellised sertifikaadid nagu FIPS 197 ja FIPS 140-2/140-3 , mis on välja antud NISTi (Riikliku Standardite ja Tehnoloogia Instituudi) raames.

FIPS 197 sertifikaat kinnitab, et AES-i (sh AES-256) rakendamine on tehtud õigesti, näiteks XTS-režiimis andmete kaitsmiseks salvestusseadmetes, mis on kriitilise tähtsusega krüpteeringu peensuste puudumise tagamiseks.

FIPS 140-2 ja FIPS 140-3 3. taseme standardid lähevad sammu võrra kaugemale: need ei nõua mitte ainult korrektset AES-i, vaid hindavad krüptograafilist moodulit tervikuna, sealhulgas võtmehaldust, autentimist, füüsilise riistvara rikkumisevastast kaitset ja turvaprotsessori rangeid töönõudeid.

Tootjad nagu Kingston oma IronKey ja VP50 tootesarjadega läbivad nende sertifikaatide saamiseks mitmeaastase arendus- ja testimistsükleid , mis hõlmavad koodiauditeid, katseid NIST-i akrediteeritud laborites ning korpuste ja epoksüüdkapselduste füüsilisi käsitsemiskatseid.

Samal ajal hõlmab "ettevõtte tasemel" turvalisus sageli head krüpteerimist ja sõltumatut läbitungimistesti (näiteks SySS-i poolt teatud USB-draividel teostatavat), kuid see ei ulatu alati range valitsuse või sõjaväe keskkonna nõutava füüsilise varjestuse ja sertifitseerimise tasemeni.

Nullteadmised ja otsast lõpuni krüptimine: tõeline hüpe edasi turvalisuses

Pilve kontekstis on sõjaväelise krüpteeringu kohta rääkimine ilma nullteadmiste mudelit mainimata ebatäiuslik. Algoritm võib küll olla veatu, aga kui pakkuja kontrollib teie võtmeid, saab ta teie andmeid lugeda.

Nullteadmiste teenus toimib nagu seif seifis: pakkuja pakub seifi, kuid teie hoiate ainult võtit . Failid krüpteeritakse teie seadmes enne lahkumist ja võtmeid ei edastata ega salvestata kunagi serverites.

Tüüpilises otsast lõpuni pilve krüpteerimisskeemis krüpteeritakse iga fail lokaalselt AES-256 krüpteeringuga , allkirjastatakse või kaitstakse selle terviklikkust HMAC-iga ja saadetakse turvalise TLS-ühenduse kaudu, mille tulemuseks on omamoodi "topelt"krüptimine: üks sisu ja teine ​​kanali jaoks.

Failide jagamisel tuleb mängu asümmeetriline krüptimine: faili sümmeetriline võti on kaitstud RSA-2048 või RSA-4096 krüpteeringuga või moodsate elliptiliste kõveratega, kasutades turvalisi täiteskeeme nagu OAEP, nii et ainult saaja saab oma privaatvõtmega failivõtme avada.

Sellel lähenemisviisil on kasutaja jaoks oluline tagajärg: kui unustate oma peaparooli ja teil pole taastevõtme koopiat, ei saa keegi teie andmeid kätte , isegi mitte teenusepakkuja, sest neil puudub tehniline tagauks.

Krüpteeritud pilvesalvestusteenused: praegune ülevaade

Nullteadmiste mudelitega krüpteeritud pilvesalvestust pakkuvate pakkujate turg on viimastel aastatel plahvatuslikult kasvanud, pakkudes nii tasuta kui ka tasulisi valikuid ja laia valikut tehnilisi lähenemisviise.

Tasuta pakettide hulgast leiame lahendusi, mis ulatuvad detsentraliseeritult keskendunud valikutest, nagu teatud hajusplatvormid, kuni klassikalisemate teenusteni nagu MEGA, Proton Drive, NordLocker, Sync.com või Internxt , millel kõigil on ühine nimetaja: kliendipoolne krüptimine ja rõhuasetus privaatsusel.

Tasuta paketid jäävad tavaliselt vahemikku 1–20 GB , mis on piisav oluliste dokumentide, oluliste fotode ja tööfailide jaoks , kuid muutub kiiresti ebapiisavaks intensiivseks professionaalseks kasutamiseks või suurte multimeediakogude jaoks, kus tuleb üle minna tasulistele pakettidele.

Lisaks neile on olemas lahendused, mis on spetsiaalselt positsioneeritud turvaliste alternatiividena sellistele hiiglastele nagu Dropbox või OneDrive, ja teistele, näiteks Tresorit, mis uhkeldavad sertifitseeritud sõjaväelise krüpteeringu, range nullteadmiste arhitektuuri ja väliste audititega, mis kinnitavad, et nad ei pääse ligi kasutaja sisule.

Tugeva krüptimisega ja nullteadmistega teenused: silmapaistvad näited

Krüpteeritud pilvesalvestuse pakkujate seas korratakse mõningaid nimesid, kui räägitakse täiustatud turvalisusest ja tegelikust privaatsusest nii Hispaanias kui ka rahvusvaheliselt.

MEGA pakub üht heldeimat tasuta salvestusruumi (20 GB) otsast lõpuni krüptimise ja kasutaja kontrollitavate võtmetega, krüptitud vestluse ja videokõnedega, parooliga kaitstud linkidega ning kahefaktorilise autentimisega volitamata juurdepääsu vältimiseks.

Šveitsis asuv Proton Drive laiendab krüptimist mitte ainult failide sisule, vaid ka nende nimedele ja peamistele metaandmetele , integreerudes Proton Maili ja ülejäänud Protoni ökosüsteemiga, et pakkuda täielikku digitaalset privaatsuskeskkonda väga kaitsvate Šveitsi seaduste alusel.

NordLocker esitleb end pigem krüpteerimisteenusena kui lihtsa pilvena: see kasutab allkirjade jaoks AES-256, XChaCha20-Poly1305 ja Ed25519 kombinatsiooni, valikulise pilvesalvestuse ja mudeliga, kus ainult NordLockeri kasutajad saavad omavahel sisu jagada.

Kanadas asuv Sync.com on pühendunud vaikimisi lubatud teadmistevabale süsteemile ja selliste eeskirjade järgimisele nagu GDPR ja PIPEDA , lisades varundamise, turvalise jagamise ja sünkroonimise funktsioone ilma täiendavate valikute konfigureerimise vajaduseta.

Internxt mängib omalt poolt postkvantkrüptograafia kaarti, lisades selliseid algoritme nagu Kyber-512, mis on loodud tulevaste kvantarvutite rünnakutele vastu seisma, ohverdades teatud funktsionaalsuse tulevasteks aastakümneteks ettevalmistatud turvalisuse kasuks.

Sõjaväeklassi krüptimine sellistes lahendustes nagu Tresorit

Üks huvitavamaid juhtumeid termini "sõjaväelise krüptimise" analüüsimisel on Tresorit , teenus, mis on läbinud tehnilise kontrolli ja auditid ning mille arhitektuur põhineb täpselt valitsuste ja kõrgetasemeliste organisatsioonide kasutatavatel standarditel.

Tresorit'is krüpteeritakse failid lokaalselt AES-256 krüpteeringuga CFB-režiimis , juhuslike 128-bitiste krüpteeringutega iga failiversiooni kohta ja täiendava HMAC-SHA-512 kihiga, et tagada andmete terviklikkuse muutumatus ilma seda tuvastamata.

Kasutajate vahelist võtmevahetust sisu jagamiseks haldab RSA-4096 koos OAEP-ga , samas kui paroole tugevdatakse Scryptiga (parameetrid on kohandatud protsessori ja mälu kulukaks), millele järgneb HMAC SHA-256-ga peavõtmete tuletamiseks.

Kliendi ja serverite vahelist ühendust kaitseb TLS 1.2 või uuem , nii et isegi liikluse pealtkuulamise korral oleksid nähtavad ainult enne TLS-tunnelisse sisenemist juba krüpteeritud andmeblokid, mis tugevdab veelgi konfidentsiaalsust.

Seda nullteadmistel põhinevat disaini on läbi vaadanud välised ettevõtted, näiteks Ernst & Young, ja avalikult vaidlustanud selle tasulise häkkimisväljakutsega , mida ükski osaleja enam kui aasta jooksul ei lahendanud, hoolimata tippülikoolide ekspertide osalemisest.

pCloud, NordLocker ja MEGA: kolm pilvekrüptimise liidrit

Neile, kes otsivad tugevat krüptimist ilma asju üleliia keeruliseks ajamata, on võrdluste juures tavaliselt kolm nime: pCloud, NordLocker ja MEGA , millel kõigil on oma nüansid ja eelised.

pCloud on väga mitmekülgne platvorm, mille paketid jäävad vahemikku 500 GB kuni 10 TB ja mille ainulaadseks omaduseks on tasulise lisandmoodulina pakutav nullteadmiste krüptimine (pCloud Crypto), mis lisab standardkontole "turvalise kausta".

See lisafunktsioon võimaldab teatud faile kaitsta sõjaväelise krüptimisega, säilitades samal ajal klassikalise pilvekeskkonna integreeritud multimeedia voogesituse, video- ja helipleieri, esitusloendite halduse ja failiversioonidega.

NordVPN meeskonna loodud NordLocker töötab nagu "krüpteerimiskast", kus saate faile lokaalselt kaitsta ja neid pilvega sünkroonida, pakkudes tasuta 3 GB paketti ja tasulisi valikuid, mis skaleeruvad kuni 2 TB-ni üsna mõistliku hinnaga.

Selle tugevus seisneb lihtsuses: lohistamisega krüpteerimine, puhas liides, kaasaegne krüptimine ja Panamast pärit logimisvaba poliitika, mis muudab selle väga atraktiivseks kõigile, kes soovivad kaitsta töödokumente, lepinguid või kliendiandmeid.

MEGA täiendab kolmikut, pakkudes kõige rohkem vaba ruumi, radikaalselt privaatset lähenemist (kasutaja kontrollib oma pea- ja taastevõtmeid) ning lisafunktsioone, nagu turvaline vestlus, seansi ajalugu ja kahefaktoriline autentimine kahtlase juurdepääsu peatamiseks.

Sõjaväeklassi riistvara: USB-draivid ja füüsilised seadmed

Sõjaväeklassi krüptimine ei piirdu ainult pilvega: teatud USB-draivid ja välised kõvakettad on varustatud spetsiaalsete krüptograafiliste kiipide ja korpustega, mis on loodud füüsilistele rünnakutele ja võltsimisele vastu pidama.

Mudelitel nagu IronKey D500S või S1000 seeria on kriitiliste turvaparameetrite (CSP) salvestamiseks eraldi krüptokiibid , mille ränitaseme kaitse suudab võtme ise hävitada, kui nad tuvastavad mitu rünnakukatset.

Mõnel juhul saab seadet ennast konfigureerida nii, et see lukustub jäädavalt , kui see tuvastab pikaajalise jõhkra rünnaku, muutes seadme telliskiviks, selle asemel et ründajal sisemistele andmetele lähedale pääseda.

Erinevus tavalise tarkvarakrüptitud USB-mälupulgaga on tohutu: lisaks riistvaralisele AES-256 krüptimisele on sellel ka suletud korpused, võltsimiskindlad epoksüvaigud , sissetungivastased mehhanismid ja kõrgetasemelised FIPS-sertifikaadid.

See muudab need seadmed tavaliseks valitsusasutustes, sõjaväes ja ettevõtetes, mis tegelevad väga tundliku intellektuaalomandiga , kus seadme kaotamine ei saa põhjustada andmete leket.

Tasuta krüpteeritud pilvesalvestus: eelised ja piirangud

Tasuta krüpteeritud pilvesalvestusplaanid on demokratiseerinud juurdepääsu turvatehnoloogiale, mis varem oli reserveeritud suurettevõtetele , võimaldades kõigil kaitsta olulisi dokumente ilma sentigi maksmata.

Tasuta kontod pakuvad tavaliselt 1–20 GB salvestusruumi, otsast lõpuni krüptimist, kahefaktorilist autentimist ja põhilisi turvalisi jagamisvõimalusi parooliga kaitstud linkide ja aegumiskuupäevade abil.

Sellel tasuta teenusel on aga konks: salvestusruum on piiratud, mõned funktsioonid, näiteks failiversioonimine, täiustatud koostöövahendid ja prioriteetne tugi, on reserveeritud tasulistele pakettidele ning mõnikord rakendatakse kiiruse- või ribalaiuse piiranguid.

Piirangud mõjutavad ka üksikute failide suurust , sünkroonitavate seadmete arvu või automatiseeritud varundamise ja detailse taastamise valikute keerukust.

Isiklikuks või kergemaks professionaalseks kasutamiseks on tasuta paketid enam kui piisavad, kuid niipea, kui mängu tulevad töörühmad, suured andmemahud või ranged vastavusnõuded , muutub tasulisele paketi peale üleminek peaaegu kohustuslikuks.

Varundamine, koondamine ja avariitaaste

Krüpteeritud pilvesalvestuse kasutamise peamine põhjus pole mitte ainult privaatsus, vaid ka teie andmete säilimine, kui kõik muu peaks ebaõnnestuma : ketta rike, vargus, tulekahju, lunavara või lihtne inimlik eksimus.

Kuigi väline kõvaketas võib rikki minna, läbi põleda, üle ujutada või sahtlisse ununeda, pakub mitmesse andmekeskusesse kopeeritud krüptitud pilvekoopia füüsilise ja loogilise vastupidavuse kihi , mida ükski seade ei suuda võrrelda.

Parimad pakkujad säilitavad teie andmetest mitu koopiat erinevates füüsilistes asukohtades, rakendavad hetktõmmiste ja failiversioonide süsteeme ning pakuvad täielikku või valikulist taastamist soovimatute muudatuste või lunavararünnakute tühistamiseks.

Lahendused nagu Acronis True Image viivad kontseptsiooni sammu edasi, ühendades kohalikud varukoopiad (välised draivid, NAS, USB) krüpteeritud pilvesalvestuse ja tehisintellektil põhineva aktiivse lunavarakaitsega .

Sellise kahesuunalise lähenemisviisi eesmärk on, et teie andmetest oleks alati kuskil vähemalt üks täielik ja krüpteeritud koopia, isegi kui teie peamine arvuti ja väline kõvaketas täielikult häviksid.

Välised kõvakettad vs krüpteeritud pilvetehnoloogia: kumb on turvalisem?

Välised kõvakettad on varundusmeetodina endiselt väga populaarsed, kuna need on odavad, kiired ja hõlpsasti kasutatavad , eriti kui need on ühendatud USB kaudu ja iga operatsioonisüsteem need koheselt ära tunneb.

Kuid neil kõigil on Achilleuse kand: nad kõik lakkavad varem või hiljem töötamast, olgu see siis mehaanilise kulumise, löökide, elektrilise ülekoormuse või lihtsalt vananemise tõttu, ja sageli ilma andmete taastamiseks piisavalt vara ette teatamata.

Lisaks sellele on füüsilised riskid, nagu tulekahjud, üleujutused või vargused – olukorrad, kus koopia oma kodus või kontoris omamine lakkab olemast eelis ja muutub ainsaks ebaõnnestumise kohaks.

Turvalisuse osas, kui need pole krüpteeritud selliste tööriistadega nagu BitLocker või VeraCrypt , ühenduvad enamik väliseid draive ja kuvavad oma sisu ilma igasuguse tegeliku kaitseta, mis on tõsine probleem, kui keegi seadme kätte saab.

Krüpteeritud pilv seevastu väldib paljusid neist probleemidest, pakkudes ligipääsu kõikjalt internetiühendusega, geograafilist koondamist ja tugevat krüptimist nii edastamise kui ka puhkeolekus , eeldusel, et pakkuja rakendab nullteadmiste mudelit.

Mitmekihiline pilveturvalisus: asi pole ainult algoritmis

Tõsine krüpteeritud pilvesalvestuse pakkuja ei aktiveeri lihtsalt AES-256 ja lõpeta asja ära; nad kavandavad krüptograafia ümber mitmekihilise turvastrateegia .

Esimene kiht on konto kaitse: hea paroolipoliitika (pikk, unikaalne, halduri hallatav) koos kahefaktorilise autentimisega (2FA) , kasutades TOTP-rakendusi, riistvaravõtmeid või biomeetriat.

Selle all on kliendipoolne krüptimine, mille võtmed genereeritakse ja salvestatakse lokaalselt ning mis tuletatakse paroolist selliste algoritmide abil nagu Scrypt või Argon2 , mis on loodud peatama jõhkra jõu rünnakuid isegi spetsiaalse riistvara abil.

Järgmisena tuleb transpordikiht, mis on kaitstud kaasaegse TLS-i, tugevate krüptograafiliste pakettide ja serverite rangete turvapoliitikatega , vältides vananenud protokolle või nõrku konfiguratsioone.

Ja lõpuks vastavuse ja auditi tasand: ISO 27001 sertifikaadid , koodiülevaated, perioodilised penetratsioonitestid ja vastavus sellistele määrustele nagu GDPR, Šveitsi FADP, HIPAA või muud, olenevalt sihtrühmast.

Privaatsus, jurisdiktsioonid ja regulatiivsed nõuded

Teenusepakkuja juriidiline ja füüsiline asukoht mõjutab oluliselt teie andmete õiguskaitse taset , eriti kui tegemist on isikuandmete või reguleeritud teabega.

Euroopa Liidus või Šveitsis asuvad teenused peavad järgima selliseid raamistikke nagu isikuandmete kaitse üldmäärus (GDPR) või föderaalne andmekaitseseadus (FADP) , mis kehtestavad selged kohustused nõusoleku, andmetöötluse, rikkumisest teatamise ja kasutajaõiguste osas.

Šveitsi puhul tunnustab EL seda riigina, kus andmeedastuse kaitse tase on piisav , ning selle õigusakte peetakse mõnes aspektis Euroopa õigusaktidega samaväärseks või isegi paremaks.

Kuigi seadused aitavad, on teadmisteta ja sõjaväelise krüpteerimisteenuse puhul tegelikult oluline see, et isegi kohtumäärusega ei saa teenusepakkuja teie faile dekrüpteerida, kuna neil pole võtmeid.

See disain kaotab paljude juriidiliste argumentide tehnilise kaalu: kui pakkuja näeb ainult krüpteeritud juhuslikke andmeid , pole kolmandatele isikutele edastamiseks lihtsalt mingit kasulikku sisu, välja arvatud läbipaistmatud plokid ise.

Jagamine ja koostöö turvamudelit rikkumata

Üks krüpteeritud pilvega seotud suuri küsimusi on see, kuidas faile jagada või meeskonnana töötada ilma nullteadmiste mudelit ohverdamata või andmetele rakendatud sõjaväelise krüptimise nõrgestamata.

Kõige arenenumad teenused lahendavad selle krüpteeritud allalaadimislinkide abil , mis on kaitstud paroolide, aegumiskuupäevade, allalaadimispiirangute ja võimalusega igal ajal veebiliidese või rakenduste kaudu juurdepääs tühistada.

Keerukamates skeemides kasutab pakkuja iga kaastöötaja jaoks spetsiifilisi seansivõtmeid , nii et juurdepääs teatud failidele või kaustadele antakse ilma peavõtit avaldamata või kontole globaalset juurdepääsu lubamata.

Mõned süsteemid pakuvad isegi üksikasjalikke tegevuslogisid , et näha, kes on millisele failile juurde pääsenud ja millal, mis on väga kasulik funktsioon äri- ja vastavuskontekstides.

Oluline on see, et otsast lõpuni krüpteerimist säilitatakse kogu aeg ja teenusepakkuja ei pea koostöö hõlbustamiseks kunagi oma serverites olevat sisu dekrüpteerima – see eristaks tõeliselt privaatset lahendust lihtsast turvalisest pilvest.

Millal tasuta versioonilt tasulisele paketi peale üle minna

Kuigi on väga ahvatlev jääda igaveseks tasuta paketi juurde, saabub punkt, kus tegelikud vajadused salvestusruumi, jõudluse ja lisafunktsioonide järele õigustavad maksmist.

Kui teie andmete maht hakkab ületama 10–20 GB või töötate suurte failidega (video, disain, suured repositooriumid), saab tasuta paketi salvestusmaht kiiresti otsa ja peate lõpuks ruumi vabastamisega žongleerima.

Professionaalses või ärikeskkonnas on tavaliselt oluline omada jagatud meeskonnakaustu, üksikasjalikke õiguste kontrollimise võimalusi, integreerimist kontoritööriistadega ja mõistliku reageerimisajaga tehnilist tuge.

Samuti on tavaline, et tasulised paketid pakuvad kiiremat üles- ja allalaadimiskiirust, väiksemaid ribalaiuse piiranguid ja automatiseeritud varundamise võimalusi , mis muudab igapäevases kasutuses palju.

Paljude üksikkasutajate jaoks kompenseerib mõõdukas igakuine investeering sõjaväeklassi krüpteeritud salvestusteenusesse kuhjaga tundlike andmete kaotamise või lekkimise kulud (nii rahalised kui ka mainega seotud).

Maailmas, kus iga dokument, foto või vestlus läbib lõpuks kaugserveri, on sõjaväeklassi algoritmide, nullteadmiste arhitektuuri ja heade varundustavade abil krüptitud salvestusele lootmine muutunud peaaegu hädavajalikuks. Selliste siltide nagu AES-256, FIPS 140-3 või otsast lõpuni krüptimise taga peituva mõistmine võimaldab teil teha teadlikke valikuid tasuta ja tasuliste pilveteenuste, väliste kõvaketaste, varjestatud USB-draivide ja spetsialiseeritud platvormide (nt Tresorit, pCloud, NordLocker, MEGA või Proton Drive) vahel. See võimaldab teil luua andmekaitsestrateegia, kus isegi kui kõik muu ebaõnnestub, jäävad teie failid ainult teile.