Podstawowym zadaniem backupu jest zabezpieczenie danych użytkownika na wypadek awarii, ataku wirusa lub przypadkowego skasowania dokumentów. Realizuje się to przez programy do backupu, takie jak np. Xopero Backup & Restore czy Xopero Cloud. Szyfrowanie danych to z kolei doskonała odpowiedź na pytanie o to, jak zabezpieczyć kopię zapasową przed niepowołanym dostępem.W wielu opracowaniach i artykułach o zabezpieczaniu firmowych informacji bardzo często pomija się problem bezpieczeństwa kopii danych z backupu. Oczywiście samo fizyczne bezpieczeństwo nie jest skomplikowane. W zasadzie realizowane jest na trzy sposoby.
Replikacja danych
Pierwszym z nich jest standardowy mechanizm replikacji danych. Po prostu wszystkie dane, które gromadzi się na urządzeniu storage’owym automatycznie replikowane są do innej lokalizacji. Tak, aby były dostępne nawet w momencie fizycznego zniszczenia podstawowej kopii zapasowej. Replikacja może wykonywać się automatycznie, przez oprogramowanie do backupu, albo przez oprogramowanie zarządzające (wewnętrzne lub zewnętrzne) działaniem systemu storage. Taka replikacja może być wykonywana na inny dysk sieciowy, taśmy DAT, zewnętrzny, znajdujący się poza siedzibą firmy serwer lub po prostu do chmury.
Backup
Drugim mechanizmem jest mechanizm… backupu. Innymi słowy backupujemy zbackupowane wcześniej dane. Z takim duplikującym zabezpieczeniem danych mamy m.in. do czynienia w sytuacji, gdy nasza kopia bezpieczeństwa trafia na znajdujący się w zewnętrznym, niezależnym od nas, centrum danych serwer lub do chmury. Wówczas usługodawca ma obowiązek zabezpieczyć wszystkie dane klientów, a najlepszym sposobem ich zabezpieczenia jest właśnie backup. W ten sposób, niejako z automatu, nasza kopia bezpieczeństwa jest backupowana.
Ochrona zbackupowanych danych
Trzecią metodą jest stworzenie kopii zapasowej, chroniącej uzyskane z backupu dane. Kopię taką można nagrać np. na drugi, znajdujący się w firmie serwer NAS lub na trwały nośnik, czyli płyty Blu-ray bądź DVD, które należy później umieścić ze względów bezpieczeństwa w ognioodpornej szafie pancernej – zabezpieczając je przed pożarem i nieuprawnionym dostępem.
Szyfrowanie danych
Jednak samo fizyczne zabezpieczenie kopii bezpieczeństwa, które ma uchronić nas przed utratą danych związaną z uszkodzeniem nośnika to zbyt mało, aby nasze pliki były bezpieczne. Wszystkie krytyczne dane firmowe, a także wszelkie informacje poufne powinny być zabezpieczone przed dostępem do nich osób niepowołanych. Trudno jednak w stu procentach zabezpieczyć firmową sieć przed włamaniem, wyciekiem danych czy choćby fizyczną kradzieżą niewielkiego serwera NAS. Wówczas wszystkie, pochodzące ze wszystkich chronionych komputerów i serwerów, istotne dla działania firmy dane w postaci niezabezpieczonej kopii bezpieczeństwa dostają się w niepowołane ręce.
Najlepszym sposobem na to, aby zabezpieczyć wszystkie krytyczne i poufne dane, jest ich zaszyfrowanie. Oczywiście, można zaszyfrować całe woluminy, na które trafiają kopie bezpieczeństwa ze wszystkich komputerów, ale jest to wyjątkowo niewygodna metoda w wypadku backupu. Po pierwsze każdy odczyt i zapis danych wymaga odszyfrowywania, a następnie szyfrowania na nowo danych. Takie działanie znacząco spowalnia wszystkie operacje odczytu i zapisu, a także jest dość niewygodne w implementacji i użytkowaniu. Ponadto utrudniona jest również replikacja danych, gdzie pojawia się od razu pytanie co replikujemy – pojedyncze pliki, które przy przenoszeniu do drugiej lokalizacji zostaną automatycznie odszyfrowane, czy też całe zaszyfrowane woluminy, co z kolei zmusza nas do przesyłania przez sieć ogromnych ilości danych.
Dlatego w systemach backupu wykorzystuje się szyfrowanie pojedynczych plików, które tworzone są w kolejnych sesjach. Stosuje się tu dwa rozwiązania techniczne – szyfrowanie po stronie klienta i szyfrowanie po stronie serwera backupu. Ale o tym za chwilę.
Algorytmy AES
Obecnie najczęściej wykorzystywanym przez oprogramowanie do backupu algorytmem szyfrującym jest AES (Advanced Encryption Standard), nazwany też od nazwiska jego twórcy Rijndael. W 2001 roku AES został przyjęty jako przemysłowy standard przez amerykańską agencję federalną NIST (National Institute of Standards and Technology) spełniająca podobną funkcję jak w polski Główny Urząd Miar. W algorytmie AES możliwe jest użycie symetrycznych kluczy szyfrujących o długościach 128, 192 i 256 bitów i operuje on na blokach danych o długości 128 bitów. Oryginalna specyfikacja Rijndael dopuszcza również użycie 192- i 256-bitowych bloków danych, ale te wielkości nie zostały ujęte w standardzie. Niekiedy stosowane są też, również będące poza oficjalnym standardem, 512- i 1024-bitowe długości kluczy szyfrujących.
Użycie 256-bitowego klucza szyfrującego oznacza, że możliwych jest 2^256 kombinacji cyfr koniecznych do sprawdzenia podczas próby złamania szyfru. Liczba ta jest większa niż liczba atomów w znanym nam wszechświecie i mimo doniesień w pismach naukowych o istnieniu możliwości złamania algorytmu AES-256 w znacznie krótszym, niż wynikałoby to z teoretycznych założeń, czasie, to w praktyce, dopóki nie będziemy dysponować komputerami kwantowymi, szyfrowanie AES-256 będzie uważane za całkowicie bezpieczny i efektywny sposób zabezpieczenia danych.
Inne algorytmy szyfrujące
W systemach backupu, oprócz AES-256, używa się również innych metod szyfrowania. Najczęściej spotkać się można z szybkim i jednocześnie dość bezpiecznym szyfrowaniem RC4 lub RC5 oraz zapewniającym duże bezpieczeństwo szyfrowaniem AES-128, w którym stosuje się 128-bitowe kluczem szyfrujące. Niekiedy spotkać się można również z bardzo silnym szyfrowaniem AES-512.
Wszystkie te wymienione algorytmy mają swoje wady i zalety. Metoda korzystająca z algorytmów RC4/RC5 to szybka metoda, w niewielkim stopniu obciążająca zasoby, ale też oferująca mniejsze bezpieczeństwo niż AES-128. Z kolei AES-128 jest dobrym kompromisem pomiędzy szybkością szyfrowania i bezpieczeństwem zakodowanych informacji. W firmowej praktyce uznaje się, że jest ona nie do złamania, ale publikacje naukowe świadczą o tym, że wykorzystanie „tylko” 128-bitowego klucza pozwala teoretycznie złamać w rozsądnym czasie szyfr AES za pomocą silnego superkomputera lub sieci, mniejszych rozproszonych maszyn. Metoda ta nie nadaje się i nie jest rekomendowana do zabezpieczania krytycznych, poufnych danych. Nie może być też stosowana w sektorze bankowo-finansowym czy w zastosowaniach rządowych i militarnych.
AES-256, oprócz tego, że jest metodą uznaną i zestandaryzowaną, pozwala pewnie zabezpieczyć wszystkie krytyczne, firmowe dane. Metoda ta jest dopuszczona do wykorzystywana w sektorze finansowym, w bankowości, w zastosowaniach wojskowych i w administracji publicznej. Trzeba jednak pamiętać, że jest ona również znacznie wolniejsza niż AES-128. Wykorzystanie algorytmu AES-256 może aż do 80% zmniejszyć szybkość prowadzenia backupu, a tym samym proporcjonalnie wydłużyć czas jego trwania. To właśnie z powodu znacznego wydłużenia czasu trwania operacji tworzenia kopii bezpieczeństwa, producenci oprogramowania do backupu niechętnie sięgają po najmocniejszy, stosowany obecnie algorytm szyfrowania AES-512. Jest on po prostu w większości backupowych zastosowań zbyt wolny.
Gdzie szyfrować?
Na koniec pozostaje odpowiedzieć sobie na pytanie gdzie powinien odbywać się proces szyfrowania danych. W większości dostępnych na rynku aplikacji do backupu, proces szyfrowania odbywa się po stronie celu, a więc na serwerze (może być to również serwer NAS) lub w centrum danych do którego trafiają nasze dane. Oznacza to możliwość przechwycenia niezaszyfrowanych, poufnych danych po drodze.
Oprogramowanie Xopero, zarówno w wersji Xopero Cloud, Xopero QNAP Appliance, jaki Xopero Backup & Restore, wykorzystuje szyfrowanie AES-256 po stronie źródła. Ocznacza to, że backupowane dane są zabezpieczone jeszcze zanim zostaną wysłane z komputera użytkownika na serwer, do centrum danych czy do dostawcy usługi chmurowej. Bez odpowiedniego klucza szyfrującego są one zatem zupełnie bez wartości – nawet jeśli po drodze uda się komuś przechwycić całą transmisję danych.