Il cloud storage è sicuro da usare se utilizzo gpg e il mio metodo è sicuro?

3

Devo eseguire regolarmente il backup dei dati e utilizzare Google Drive e, a volte, sync.com. Ho un sacco di immagini, video e fogli di calcolo e talvolta i miei backup sono 4 o 5 GB.

In genere aggiungo tutti i file a una cartella. Quindi uso tar per creare una singola sfera tar. Una volta creato il tarball, utilizzo gpg -c con crittografia AES-256. Per la password, utilizzo LastPass per generare una password di 100 caratteri composta da lettere minuscole, maiuscole, numeri e alcuni caratteri speciali. Creo una nota sicura nell'ultimo passaggio che documenta la password e il percorso del file. Quindi utilizzo il comando split per dividere il file gpg in blocchi di 50 MB anziché archiviare un file enorme.

Quindi caricare i file nella mia sincronizzazione o google drive dove ho grandi quantità di dati.

Il mio ultimo account di accesso è protetto da una passphrase di 30 caratteri che posso ricordare facilmente ma contiene alcuni numeri e caratteri speciali.

In particolare, voglio utilizzare sync.com o qualcosa di equivalente piuttosto che archiviarlo sul mio disco rigido locale perché penso che i dati abbiano meno probabilità di essere persi o danneggiati.

La procedura per proteggere i miei dati e le mie foto è sicura? Non voglio dipendenti di Google o sincronizzare i dipendenti che guardano attraverso le mie foto delle vacanze.

    
posta KennyBartMan 27.11.2016 - 01:31
fonte

2 risposte

1

Sì, protegge i tuoi dati da Google, sync.com e da chiunque tenti di prelevare i tuoi dati mentre è in transito su Google.

Tre cose su cui riflettere:

  1. La tua password lastpass è molto più breve e contiene (nel modo in cui suona) molto meno entropia rispetto a quella che protegge il tuo file tar gpg. Qualcuno che attacca questo schema quindi probabilmente attaccherà il tuo account lastpass (dato che ora è noto che la tua password è più debole).

  2. Sembra che tu stia utilizzando GPG in modalità di crittografia simmetrica (più su un'alternativa alla fine della mia risposta). Quindi: che cosa significa fermare un impiegato lastpass scontento con un po 'di conoscenza tecnica per rubare la tua password gpg e venderla a una parte interessata a Google? O se trovi questo problema troppo teorico, che dire di un attacco al servizio lastpass che ruba milioni di password utente e le pubblica? Dal momento che hai comodamente aggiunto una nota su dove si trovano i file crittografati, stai fondamentalmente consegnando i tuoi file crittografati a chiunque possa accedere al tuo account Lastpass (beh, in teoria, comunque, lui o lei deve ancora ottenere il tuo Google Drive password ...)

  3. Stai dividendo il file in più file. Perché lo stai facendo esattamente? Se ne perdi uno solo, corri il rischio di perdere tutti i tuoi dati. Diciamo che perdi il file 20 (su 200): hai perso tutto il contenuto che è stato archiviato nei file 20-200 per sempre. Mantenere tutto in un unico file potrebbe ricompensare e scaricare un po 'più difficile, ma riduce il rischio di perdere uno dei file.

Alcuni suggerimenti

Il punto 3 è anche un problema con un file enorme che accidentalmente ottiene un singolo bit capovolto durante il transito. Penserei un po 'alla ridondanza. Esistono modi per aggiungere la correzione degli errori senza dover raddoppiare la dimensione dei dati. (Penso che alcuni programmi di compressione lo supportino in modo nativo, anche se non puoi aspettarti che comprimano effettivamente il tuo file .tar.gpg ...). La riservatezza è buona, ma il tuo schema è uno schema di backup, quindi dovresti anche pensare alla disponibilità.

Suggerirei inoltre di non memorizzare la password GPG su un servizio esterno (Lastpass). Se hai paura di perdere la password di 100 caratteri, scrivilo su un foglio di carta e mettilo in una cassetta di sicurezza di una banca di cui ti fidi.

Inoltre, questo potrebbe sembrare paranoico, ma non utilizzerei più volte la stessa passphrase per crittografare i file gpg. Invece, genererei un file contenente un numero di byte veramente casuali ogni volta che dovevo caricare un nuovo backup e usarlo come chiave per il mio file tar gpg. Quindi avrei crittografato questo file casuale con la mia passphrase da 100 caratteri e conservarlo sul mio computer, inviarlo insieme per essere memorizzato su google / sync e magari farlo tornare in una posizione aggiuntiva. (Fondamentalmente, avrei creato una chiave di sessione con cui crittografare i miei dati e utilizzare la stringa di 100 caratteri come chiave master per decrittografare le chiavi di sessione). Puoi automatizzarlo in modo abbastanza indolore e ti offre la segretezza in caso di compromissione di una delle chiavi della sessione di backup e la possibilità di decrittografare qualsiasi backup specifico senza perdere il controllo sulla tua chiave master.

Infine, se in realtà utilizzi Google Drive come backup e non hai davvero bisogno di decrittografare i dati tranne in caso di emergenza, potresti pensare di utilizzare gpg nella sua modalità di crittografia a chiave pubblica. Crea una coppia di chiavi di backup e poi mantieni la tua chiave privata in sicurezza offline (in una cassetta di sicurezza, su un CD ROM, stampata su un foglio di carta da qualche parte per sicurezza) mentre usi la chiave pubblica per crittografa le tue chiavi di sessione simmetriche (usando la crittografia a chiave pubblica per cifrare con gpg farebbe sembrare ridondante il passaggio chiave di sessione manuale - lo farei ancora per una maggiore segretezza di inoltro). Quindi non dovresti mai preoccuparti che la tua chiave principale (chiave privata) venga compromessa dagli attacchi informatici, anche se hai archiviato la tua chiave pubblica su LastPass. Anche se l'hanno rubato, tutto ciò che potrebbero fare è criptare più dati; non potevano usarlo per decodificare le tue chiavi di sessione.

    
risposta data 27.11.2016 - 10:56
fonte
0

Il tuo sistema va bene (una password di 30 caratteri è adeguata per un portafoglio). Nessuno ha intenzione di potenziare i tuoi 100 archivi ppg gpg e vendere i tuoi dati su google. Ho provato a vendere i miei backup su google una volta :) :) :) Ad ogni modo, hai bisogno di una copia fisica del tuo backup, per sicurezza, su un supporto sicuro, in un luogo sicuro, offline. Vorrei usare una scatola RAID per questo - forse con LUKS / softraid se hai un PC di riserva, quindi non hai bisogno di gpg tutto il tempo. Gli SSD non necessitano di aggiornamenti magnetici ogni pochi anni, ma se sono troppo costosi usa i dischi magnetici. Conserva sempre diversi backup di dati importanti. Se un set di backup viene cancellato, usa l'altro set.

    
risposta data 27.11.2016 - 11:58
fonte

Leggi altre domande sui tag