  « Que se passe-t-il si vos serveurs, ordinateurs portables ou disques durs sont volés ? Les données sont-elles toujours accessibles ? La réponse est non si vous avez correctement configuré le chiffrement intégral du disque. »  Dans le contexte actuel des menaces, le chiffrement des données n'est pas facultatif ; il est fondamental. Bien que différents cas d'utilisation et applications nécessitent différents niveaux de chiffrement, le chiffrement au niveau du disque, également appelé   est devenu la norme de facto pour sécuriser les données au repos. Imaginez que vous utilisiez des systèmes Linux ou des charges de travail Big Data. Dans ce cas, vous avez probablement entendu parler de   ou même de   . Voyons ce que sont ces technologies, leur importance et quand les utiliser. FDE (Full Disk Encryption), LUKS (Linux Unified Key Setup), dm-crypt (device mapper encryption) NBDE (Network Bound Disk Encryption)  Quels sont les différents types de cryptage ?   Cryptage des données au niveau de l'application  C'est le moyen sécurisé le plus privilégié pour crypter les données sensibles à l'aide de clés de cryptage avant de stocker les données sur un disque ou des bases de données.  Les clés de chiffrement sont gérées de manière sécurisée dans un système distinct, tel qu'un système de gestion de clés (KMS), pour isoler le stockage des clés des données chiffrées.  Cette approche permet de protéger les données même si un attaquant accède au niveau de l’administrateur du système, du système de fichiers ou de la base de données, car les données restent cryptées sans les clés.  Logique supplémentaire au niveau de la couche application pour gérer le chiffrement ou le déchiffrement.  Convient pour protéger les données sensibles afin de satisfaire aux différentes exigences de conformité du secteur.    Prénom, nom, adresses, numéros de téléphone, adresses e-mail, SSN, etc. PII (informations d'identité personnelle) -    Numéros de carte de crédit, codes CVV, dates d'expiration, etc. PCI-DSS (Payment Card Industry - Data Security Standards) -    - Dossiers médicaux, diagnostics, informations de traitement, résultats de laboratoire, détails d'assurance et autres informations de santé des patients couvertes par  PHI (Informations de santé protégées) la loi HIPAA    secrets commerciaux, propriété intellectuelle, dossiers financiers, documents juridiques ou toute donnée qui, si elle était exposée, pourrait entraîner des violations de conformité ou une atteinte à la réputation. Autres données sensibles ou réglementées :   Cryptage de la base de données  Chiffre les données   dans le système de base de données (par exemple,   ) au repos chiffrement transparent des données (TDE)  Chiffre généralement automatiquement l'intégralité du fichier de base de données, de la table, de la colonne ou de l'espace table,  sans que l'application ne gère directement le chiffrement.  Les clés sont gérées par le moteur de base de données ou un KMS intégré.    , mais pas contre les utilisateurs privilégiés (par exemple, les administrateurs de bases de données) qui peuvent interroger les données déchiffrées s'ils y ont accès. Protège contre les menaces telles que les disques volés ou l'accès non autorisé aux fichiers  Cryptage au niveau du système de fichiers  Convient au cryptage de fichiers/dossiers/volumes.  La gestion des clés peut être effectuée au niveau du système d'exploitation, TPM/HSM, KMS  Protège contre le vol/la perte physique  Idéal pour la sécurité des terminaux et des périphériques de stockage   Chiffrement complet du disque (FDE)  Chiffre les données au repos au niveau du disque ou au niveau du mappeur de périphériques et offre    : si un attaquant accède directement au disque, les données restent illisibles. De nombreux cas, notamment dans le secteur financier, ont été touchés par ce type d'attaques. Protection contre les menaces internes    : stockez des données non structurées et les clusters qui ne peuvent pas fonctionner sur des charges utiles chiffrées au niveau de la couche applicative bénéficient toujours du chiffrement au repos. Essentiel pour les systèmes Big Data    - Souvent plus rapide que le chiffrement complexe et distribué au niveau des applications dans certains scénarios. Performances et rentabilité  Le FDE   le chiffrement au niveau de l'application ; il complète ou augmente plutôt la posture de sécurité des données au repos. ne convient pas et ne remplace pas  Dans les sections suivantes, nous discuterons du chiffrement complet du disque avec   et le renforcerons à l'aide de  LUKS (Linux Unified Key Setup) NBDE (Network Based Disk Encryption).  Configuration de clé unifiée Linux (LUKS)  Norme de facto pour le chiffrement complet du disque (FDE), qui utilise le système de noyau de mappage de périphériques existant (alias dm-crypt)  La clé de chiffrement du disque peut être chiffrée à l'aide d'un texte/bibliothèque aléatoire  Le matériel de cryptage de clé se trouve dans un fichier (alias keyFile) protégé par des autorisations au niveau du système d'exploitation  KeyFile sera conservé sur un disque différent du disque protégé par LUKS  Jusqu'à 8 comptes de niveau système d'exploitation peuvent être configurés pour accéder au même disque avec 8 emplacements dans LUKS. LUKS2, quant à lui, offre 32 emplacements.  LUKS est souvent considéré comme un chiffrement de disque intégral standard, car les fabricants de puces utilisent nativement la norme AES-NI (AES-New Instructions). Son impact sur le processeur est donc moindre.  Le chiffrement par défaut est AES-CBC-ESSIV:SHA256 ou AES-XTS-PLAIN64 selon l'installation du système d'exploitation  La taille de clé par défaut pour LUKS est de 256 bits et de 512 bits avec Anaconda Installer (mode XTS)   Fig : LUKS – Chiffrement complet du disque  Configuration LUKS  La documentation suivante présente des instructions étape par étape pour configurer LUKS sur les systèmes Redhat Linux.   https://www.redhat.com/en/blog/disk-encryption-luks  À quoi LUKS ne convient-il pas ?  Considérez LUKS comme un mécanisme de chiffrement complémentaire au niveau du disque, parallèlement au chiffrement au niveau de l'application. Cependant, il ne remplace pas le chiffrement au niveau de l'application, de la base de données ou du système de fichiers.  LUKS est une couche de commodité supplémentaire qui stocke toutes les informations de configuration nécessaires pour dm-crypt sur le disque lui-même et fait abstraction de la gestion des partitions et des clés dans le but d'améliorer la facilité d'utilisation et la sécurité cryptographique.  Le mode dm-crypt simple, ancienne fonctionnalité du noyau, n'utilise pas la couche de commodité. Il est donc plus difficile d'appliquer la même puissance cryptographique avec ce mode. Examinons les différences entre LUKS et dm-crypt.  Différences entre LUKS et dm-crypt          Ajouter une ligne Supprimer une ligne Ajouter une colonne Supprimer une colonne         Ajouter une ligne Supprimer une ligne Ajouter une colonne Supprimer une colonne         Ajouter une ligne Supprimer une ligne Ajouter une colonne Supprimer une colonne  LUKS  dm-crypt  Licence GPL  Oui  Oui  Changer le mot de passe sans recrypter  Oui  Non  Défense contre les phrases secrètes à faible entropie (contre les attaques par dictionnaire) Salage et hachage  Oui  Non  Plusieurs clés de déchiffrement pour les mêmes données chiffrées  Oui  Non  Mécanisme de récupération des clés  Oui  Non  Enregistrer les paramètres de cryptage  Oui  Non         Ajouter une ligne Supprimer une ligne Ajouter une colonne Supprimer une colonne  Fichiers de clés sécurisés  Intégration TPM 2.0 (Trusted Platform Module)  Intégration avec un stockage de clés personnalisé  Différents disques/points de montage ou le disque principal. Et bien sûr, cela ne peut pas être retiré facilement.  HSM (module de sécurité matérielle)  NBDE (Network Bound Disk Encryption). Il s'agit de la méthode privilégiée, sécurisée et automatisée pour les systèmes de production. NBDE est disponible à partir de RHEL 7.4.  Chiffrement de disque lié au réseau (NBDE) :  NBDE propose une cryptographie asymétrique. Elle permet à une machine dotée d'un disque chiffré de démarrer sans le chiffrement du disque, la clé devant être saisie au démarrage. Cependant, la machine doit être connectée au réseau approprié, sans stocker la clé de chiffrement en clair, ni la stocker hors de la machine, ni transmettre des données sur le réseau de manière à ce qu'un voleur puisse les utiliser.    offre plus de sécurité avec un moyen automatique/plus simple de gérer le chiffrement/déchiffrement du disque au démarrage à haut niveau, NBDE a les concepts suivants. LUKS + NBDE    - Framework enfichable pour le décryptage automatisé. Dans NBDE, Clevis permet le déverrouillage automatisé des volumes LUKS CLEVIS    : un plug-in pour le framework Clevis. Il permet d'interagir avec le serveur TANG. CLEVIS Pin    - Service de récupération de données réseau sécurisé et sans état. TANG n'est pas un serveur d'entiercement ; aucune donnée n'est enregistrée sur le serveur.  TANG Fig : Chiffrement de disque lié au réseau (NBDE)  Points clés    Le système utilise une cryptographie asymétrique de sorte que le décryptage du disque n'est possible que lorsque la machine est connectée au bon réseau (où le serveur Tang est accessible), sans avoir besoin de stocker les clés de décryptage localement ou de les transmettre de manière non sécurisée. Modèle de sécurité :    NBDE permet le déverrouillage automatisé des volumes chiffrés au démarrage, réduisant ainsi l'intervention manuelle et améliorant la sécurité des données au repos dans les environnements de serveur sans surveillance. Automatisation :    Clevis est conçu comme un cadre flexible, permettant d'autres broches (pas seulement Tang) pour différents scénarios de déverrouillage ou intégrations matérielles. Modularité :    le serveur Tang ne conserve aucun secret ni aucune clé d'entiercement, ce qui le protège contre toute compromission du serveur central. Apatridie :  Flux de travail en couches  Le client (Clevis) initie le déverrouillage lors du démarrage.  Clevis utilise le code PIN Tang pour communiquer avec le serveur Tang et effectuer un échange de clés sécurisé.  Les opérations cryptographiques (JOSE) gèrent le matériel de clé éphémère sécurisé.  LUKSMeta stocke la logique de liaison et de déverrouillage.  Après un échange réussi, Clevis décrypte la clé principale et déverrouille le volume crypté LUKS.  NBDE - Avantages  Pas besoin de saisir manuellement les phrases de passe au démarrage/redémarrage du système (si la racine est également chiffrée)  Pas besoin de conserver les phrases de passe dans les fichiers clés  Aucun partage de clés publiques ou privées entre le serveur TANG et le framework CLEVIS  Appels à distance automatisés vers le serveur TANG (agit comme un serveur de clé de décryptage)  Utilise des clés asymétriques (algorithme d'échange MR)  Option évolutive avec des déploiements de serveurs croissants.  Conclusion:  Si votre organisation gère des données sensibles ou opère dans des secteurs réglementés,   offre une solution puissante, automatisée et sécurisée pour la protection des données au repos. FDE avec LUKS + NBDE

Walkthroughs, tutorials, guides, and tips. This story will teach you how to do something new or how to do something better.

This story contains AI-generated text. The author has used AI either for research, to generate outlines, or write the text itself. 

Read My Stories

Cet audio est produit dans la langue originale de l'histoire !

Sécurisation des données au repos : de LUKS à NBDE – Guide de chiffrement moderne

About Author

COMMENTAIRES

ÉTIQUETTES

CET ARTICLE A ÉTÉ PARU DANS

Related Stories

Guide de l'architecte pour créer une architecture de référence pour un datalake IA/ML

Créer des produits cryptographiques centrés sur l'utilisateur : l'importance des retours clients

Naviguer sur les eaux : développer des applications RAG de qualité production avec des lacs de données

La fuite de l'invite du système Claude Sonnet 3.5 : une analyse médico-légale

Guide de l'architecte pour créer une architecture de référence pour un datalake IA/ML

Créer des produits cryptographiques centrés sur l'utilisateur : l'importance des retours clients

Naviguer sur les eaux : développer des applications RAG de qualité production avec des lacs de données

La fuite de l'invite du système Claude Sonnet 3.5 : une analyse médico-légale

Light-Mode

Classic

Newspaper

Dark-Mode

Neon Noir

Minty

HN StartUps