Crittografia prima di eseguire il backup su Cloud

Naviga le tue risposte
2

Ho raccolto molti dati (circa 3TB) in foto e video nel corso degli anni, ho aggiornato a dischi rigidi più recenti e più grandi e fortunatamente non hanno fallito con me. Mi sono reso conto che il mio pattern di accesso è scritto una sola volta e letto molto raramente, penso che AWS Glacier sia adatto per il mio caso di utilizzo.

All'inizio pensavo di andare con la loro offerta BYOK per crittografare i miei dati, ma dopo aver fatto un po 'di lettura sembra che BYOK abbia zero vantaggi per la sicurezza ed è solo uno stratagemma di marketing. Dato che il cloud provider avrebbe accesso alla mia chiave, potrebbero teoricamente (anche in pratica) accedere ai miei dati senza il mio consenso.

Quindi penso che sarebbe più ragionevole per me criptare i miei dati prima di caricare i dati in Glacier. Sto facendo ancora un po 'di lettura e sembra che ho due scelte usando -

  1. Chiave simmetrica con AES e simili
  2. Chiave asimmetrica con RSA o GPG

Non voglio memorizzare le chiavi / password che uso sulla mia macchina più a lungo del necessario e mi chiedo se potrei usare un Yubikey per decodificare i dati quando necessario.

Non sono abbastanza sicuro di come Yubikey si adatta alle due scelte e qual è quella migliore?

Ho intenzione di archiviare la chiave privata / password su un altro cloud storage come Dropbox o così per tenerli a una certa distanza, idealmente avrei solo bisogno di accedervi se il mio Yubikey va male. Mi rendo conto che questo potrebbe non essere perfetto, ma senza poter accedere ai dati in caso di un errore catastrofico, si potrebbe annullare lo scopo del backup. I dati conterranno foto personali, video e alcuni documenti se questo è importante nella scelta della strategia appropriata.

Le domande principali che ho sono -

  1. Qual è la scelta più appropriata per la mia situazione?
  2. Qual è la chiave giusta per la scelta? La mia comprensione è il più grande è il migliore Dal momento che non ho bisogno di accedere a questi dati frequentemente Sono contento che la crittografia / decrittografia richieda più tempo.
  3. Eventuali aneddoti o consigli personali che potresti avere per me questo mi aiuterà a proteggere i dati ea bilanciare la sicurezza e l'usabilità?
posta nikhil 10.07.2018 - 02:44
fonte

2 risposte

2

it seems that I have two choices using -

  1. Symmetric Key with AES and the like
  2. Asymmetric Key with RSA or GPG

Probabilmente non vorresti utilizzare la crittografia a chiave asimmetrica direttamente perché è molto lenta rispetto a quella simmetrica.

Senza saperne di più su come sono strutturati i tuoi dati, sarebbe difficile dire esattamente quale sia la via migliore.

Se i tuoi dati sono un gruppo di file , basta generare una chiave AES casuale e crittografare ogni file usando una moderna modalità AES (ad esempio, GCM non ECB, almeno qualcosa che usa un IV casuale) sembra che potrebbe funzionare per te.

The main questions that I have are -

  1. What is the more appropriate choice for my situation?

simmetrica.

  1. What is the right keysize for the choice? My understanding is the bigger the better. Since I don't need to access this data frequently I'm happy with the encryption/decryption taking longer.

La chiave simmetrica a 256 bit è probabilmente abbastanza grande. ad esempio, AES 256.

  1. Any personal anecdotes or recommendations that you may have for me that will help me secure the data and balance security and usability?

Potrebbe essere utile esaminare se i costi associati alle misure di sicurezza dei dati sono ragionevoli in relazione al valore dei dati.

Aggiornamento per indirizzare i commenti:

Se la singola chiave AES viene tenuta al sicuro, non c'è bisogno di più di una volta che usi una moderna modalità AES che include l'uso di una IV casuale (e in modo che IV sia diversa per ogni file).

Se sei preoccupato di mantenere la singola chiave AES sicura, allora potresti usare un metodo alternativo (che viene utilizzato anche da alcuni ransomware). Questo metodo consiste in: (1) Generare una singola coppia di chiavi pubblica / privata e mantenere privata la chiave privata ; (2) generare un tasto AES casuale per ciascun file ; (3) Criptare ogni file con la propria chiave AES casuale; (4) Criptare ogni chiave AES casuale con la singola chiave pubblica; (5) memorizzare il file crittografato AES e la chiave AES crittografata a chiave pubblica insieme come un nuovo file / blob. In questo caso devi ancora preoccuparti di mantenere la chiave privata al sicuro, ma è un po 'più facile che proteggere una singola chiave AES che deve spostarsi ed esistere sulla macchina reale eseguendo la crittografia (mentre con lo schema asimmetrico solo il pubblico la chiave deve muoversi).

    
risposta data 10.07.2018 - 04:04
fonte
0

Secondo me l'utilizzo di AWS KMS per gestire le tue chiavi di crittografia è sicuro. Il KMS è ben controllato nella comunità di sicurezza. Confrontalo con i rischi di gestire le tue chiavi di crittografia e di perderle, raccomando KMS o CloudHSM ogni volta.

La crittografia asimmetrica non viene normalmente utilizzata per crittografare i dati basati su file. Per questo usa la crittografia simmetrica. Oggi AES-128 o AES-256 va bene.

Queste sono le mie opzioni che utilizzano AWS da 12 anni, da 30 anni in Security Forensics, MVP in Security e ho la certificazione AWS Security Specialty (insieme ad altri sette certificati AWS) e molti dei miei clienti sono governativi in cui la sicurezza è molto importante.

    
risposta data 18.07.2018 - 23:18
fonte

Leggi altre domande sui tag

A chi segnalare questo comportamento bizzarro (possibilmente dirottato sul sito web o DNS highjack)? E 'possibile verificare se il firmware di una USB non è modificato quando è collegato?