Backup Encryption

Backup Encryption to mechanizm zabezpieczający zawartość kopii zapasowej za pomocą szyfrowania danych.

Na czym polega szyfrowanie kopii zapasowej

Backup Encryption oznacza szyfrowanie danych zapisanych w kopii zapasowej przed ich przechowywaniem albo podczas zapisu do docelowego magazynu. Pliki, obrazy dysków, bazy konfiguracji lub inne elementy backupu są przekształcane z postaci jawnej do postaci zaszyfrowanej przy użyciu algorytmu kryptograficznego i klucza. Bez odpowiedniego klucza lub hasła odtworzenie pierwotnej treści powinno być niemożliwe w praktycznym czasie. Szyfrowanie kopii nie zmniejsza samo w sobie liczby danych i nie zastępuje harmonogramu backupu, kontroli integralności ani testów odtwarzania.

W zależności od programu szyfrowanie może obejmować cały plik obrazu, pojedyncze archiwum, wybrane katalogi albo dane przesyłane do zdalnego repozytorium. Istotne jest rozróżnienie szyfrowania podczas transmisji od szyfrowania danych przechowywanych. Połączenie zabezpieczone protokołem TLS chroni dane przed przechwyceniem w trakcie wysyłania, ale nie musi chronić już utworzonej kopii na dysku. Backup Encryption odnosi się przede wszystkim do zabezpieczenia samego zestawu danych backupowych, tak aby skopiowanie pliku kopii przez osobę nieuprawnioną nie ujawniło jego zawartości.

Algorytm, tryb pracy i kontrola integralności

Bezpieczne rozwiązanie powinno korzystać ze współczesnego, sprawdzonego szyfrowania symetrycznego, w którym ten sam tajny klucz służy do szyfrowania i deszyfrowania danych. W praktycznych systemach spotyka się między innymi AES w trybie zapewniającym poufność i uwierzytelnienie, takim jak AES-GCM, albo algorytmy uwierzytelnionego szyfrowania, takie jak ChaCha20-Poly1305. Sama nazwa AES nie opisuje jeszcze pełnej konfiguracji: znaczenie ma długość klucza, sposób generowania wektora inicjalizującego, obsługa nonce oraz weryfikacja znacznika uwierzytelniającego.

Uwierzytelnienie danych jest ważne, ponieważ backup powinien być nie tylko nieczytelny dla osoby postronnej, ale także odporny na niezauważoną modyfikację. Mechanizm AEAD dołącza do zaszyfrowanych danych znacznik, którego sprawdzenie wykrywa zmianę treści, błędny klucz lub uszkodzenie fragmentu archiwum. Program wykonujący kopię może dodatkowo obliczać sumy kontrolne albo stosować własne bloki parzystości, lecz suma kontrolna nie zastępuje szyfrowania: wykrywa zmianę, ale nie zapewnia poufności. Wybór konkretnego algorytmu i formatu zależy od używanego programu backupowego; nie należy zakładać, że zaszyfrowane archiwum jednego narzędzia da się otworzyć w innym.

Klucz szyfrujący a możliwość odtworzenia danych

Najczęstszym punktem awarii nie jest sam algorytm, lecz zarządzanie kluczem. Hasło użyte do ochrony backupu może być przekształcane w klucz za pomocą funkcji wyprowadzania klucza, na przykład PBKDF2, scrypt lub Argon2, z użyciem losowej soli i parametrów zwiększających koszt obliczeń. Jeżeli program udostępnia takie ustawienia, należy zachować informacje potrzebne do ich odtworzenia razem z dokumentacją konfiguracji. Utrata hasła, klucza prywatnego albo pliku z kluczem może uniemożliwić odzyskanie danych, nawet gdy sam plik kopii pozostaje nienaruszony.

Hasła do backupu nie powinny być zapisywane wyłącznie w tym samym katalogu co kopia, ponieważ awaria, kradzież dysku lub atak ransomware może usunąć oba elementy jednocześnie. Praktyczne postępowanie obejmuje przechowywanie danych dostępowych w menedżerze haseł, przygotowanie kontrolowanej kopii klucza oraz okresowe sprawdzenie, czy uprawniona osoba potrafi go użyć. Po zmianie hasła trzeba ustalić, czy starsze kopie nadal są możliwe do odtworzenia i czy program nie wymaga ponownego zaszyfrowania całego archiwum. Warto również ograniczyć liczbę osób mających dostęp do klucza, ale zachować procedurę awaryjną na wypadek niedostępności głównego użytkownika.

Sprawdzenie zaszyfrowanego backupu w praktyce serwisowej

Szyfrowana kopia ma wartość dopiero wtedy, gdy można z niej skutecznie odtworzyć potrzebne dane. Kontrola powinna obejmować sprawdzenie statusu zadania, rozmiaru i daty kopii, wynik weryfikacji integralności oraz próbę odczytu wybranych plików. Przy kopii obrazu dysku należy zweryfikować także możliwość uruchomienia środowiska odzyskiwania i dostęp do klucza podczas procedury restore. Sam komunikat „backup completed” nie dowodzi, że archiwum jest kompletne, klucz działa, a zapisane dane da się wykorzystać po awarii.

Podczas diagnozowania problemu z zaszyfrowanym backupem trzeba rozdzielić kilka przyczyn: błędne hasło, uszkodzenie pliku, brak wymaganej wersji programu, niedostępność nośnika, niewystarczające uprawnienia albo niezgodność formatu. Nie należy wielokrotnie nadpisywać jedynej kopii ani wykonywać eksperymentów na oryginalnym nośniku bez jego zabezpieczenia. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w ramach diagnostyki może sprawdzić stan nośnika, dostępność danych oraz poprawność konfiguracji programu używanego do tworzenia kopii. Właściciel sprzętu powinien przekazać informacje o użytym narzędziu i posiadać prawidłowe dane uwierzytelniające, ponieważ serwis nie może odtworzyć zaszyfrowanego backupu bez wymaganego klucza.