  O que acontece se seus servidores, laptops ou discos forem roubados? Os dados ainda poderão ser acessados? A resposta é "Não" se você tiver a criptografia completa do disco configurada corretamente.  No cenário de ameaças atual, criptografar dados não é opcional; ao contrário, é fundamental. Embora diferentes casos de uso e aplicações exijam vários níveis de criptografia, a criptografia em nível de disco, também conhecida como   tornou-se o padrão de fato para proteger dados em repouso. Suponha que você execute sistemas Linux ou qualquer carga de trabalho de big data. Nesse caso, você provavelmente já ouviu falar de   ou mesmo   . Vamos analisar o que são, por que são importantes e quando você deve usá-los. FDE (Full Disk Encryption), LUKS (Linux Unified Key Setup), dm-crypt (criptografia de mapeador de dispositivos) NBDE (Network Bound Disk Encryption)  Quais são os diferentes tipos de criptografia?   Criptografia de dados em nível de aplicativo  É a maneira mais segura e preferida de criptografar dados confidenciais usando chaves de criptografia antes de armazenar dados em disco ou bancos de dados.  As chaves de criptografia são gerenciadas com segurança em um sistema separado, como um Sistema de Gerenciamento de Chaves (KMS), para isolar o armazenamento de chaves dos dados criptografados.  Essa abordagem ajuda a proteger os dados mesmo que um invasor obtenha acesso no nível do sistema, do sistema de arquivos ou do administrador do banco de dados, pois os dados permanecem criptografados sem as chaves.  Lógica extra na camada de aplicação para lidar com criptografia ou descriptografia.  Adequado para proteger dados confidenciais para atender a diferentes requisitos de conformidade do setor.    Nome, sobrenome, endereços, números de telefone, endereços de e-mail, SSN, etc. PII (Informações de Identidade Pessoal) -    Números de cartão de crédito, códigos CVV, datas de validade, etc. PCI-DSS (Payment Card Industry - Data Security Standards) -    - Registros médicos, diagnósticos, informações de tratamento, resultados de laboratório, detalhes do seguro e outras informações de saúde do paciente cobertas pela  PHI (Informações de saúde protegidas) HIPAA.    segredos comerciais, propriedade intelectual, registros financeiros, documentos legais ou quaisquer dados que, se expostos, possam resultar em violações de conformidade ou danos à reputação. Outros dados sensíveis ou regulamentados:   Criptografia de banco de dados  Criptografa dados   no sistema de banco de dados (por exemplo,   ) em repouso Criptografia Transparente de Dados (TDE)  Geralmente criptografa todo o arquivo de banco de dados, tabela, coluna ou espaço de tabela automaticamente,  sem que o aplicativo manipule a criptografia diretamente  As chaves são gerenciadas pelo mecanismo de banco de dados ou por um KMS integrado.    , mas não contra usuários privilegiados (por exemplo, administradores de bancos de dados) que podem consultar dados descriptografados se tiverem acesso. Protege contra ameaças como discos roubados ou acesso não autorizado a arquivos  Criptografia em nível de sistema de arquivos  Adequado para criptografia de arquivos/pastas/volumes.  O gerenciamento de chaves pode ser feito no nível do sistema operacional, TPM/HSM, KMS  Protege contra roubo/perda física  Melhor para segurança de endpoint/dispositivo de armazenamento   Criptografia de disco completo (FDE)  Criptografa dados em repouso no nível do disco ou do mapeador de dispositivos e oferece    - Se um invasor obtiver acesso direto ao disco, os dados permanecerão ilegíveis. Há muitos casos, incluindo o setor financeiro, que foram afetados por esse tipo de ação. Proteção contra ameaças internas    - Armazene dados não estruturados e clusters que não podem operar em cargas criptografadas na camada de aplicativo ainda se beneficiam da criptografia em repouso. Essencial para sistemas de big data    - Geralmente mais rápido do que a criptografia complexa e distribuída em nível de aplicativo em determinados cenários. Desempenho e eficiência de custos  O FDE   a criptografia em nível de aplicativo; em vez disso, ele complementa ou aumenta a postura de segurança de dados em repouso. não é adequado nem substitui  Nas seções a seguir, discutiremos a criptografia de disco completo com   e a fortaleceremos usando  LUKS (Linux Unified Key Setup) NBDE (Network Based Disk Encryption).  Configuração de chave unificada do Linux (LUKS)  Padrão de fato para Criptografia de Disco Completo (FDE), que usa o sistema de kernel do mapeador de dispositivos existente (também conhecido como dm-crypt)  A chave de criptografia do disco pode ser criptografada usando um texto/biblioteca aleatório  O material de criptografia da chave está em um arquivo (também conhecido como keyFile) protegido por permissões de nível de sistema operacional  O KeyFile será mantido em um disco diferente do disco protegido por LUKS  Até 8 contas de nível de sistema operacional podem ser configuradas para acessar o mesmo disco com 8 slots no LUKS. Enquanto o LUKS2 oferece 32 slots  LUKS é frequentemente considerado como criptografia padrão de disco completo, já que os fabricantes de chips seguem AES-NI (AES-Novas Instruções) nativamente. Portanto, há menos impacto na CPU.  A cifra padrão é AES-CBC-ESSIV:SHA256 ou AES-XTS-PLAIN64 dependendo da instalação do sistema operacional  O tamanho da chave padrão para LUKS é 256 bits e 512 bits com o instalador Anaconda (modo XTS)   Fig: LUKS - Criptografia de disco completo  Configuração LUKS  A documentação a seguir mostra orientações passo a passo para configurar o LUKS em sistemas Redhat Linux.   https://www.redhat.com/en/blog/disk-encryption-luks  Para que o LUKS não é adequado?  Trate o LUKS sempre como um mecanismo de criptografia complementar no nível do disco, juntamente com a criptografia no nível do aplicativo. Mas ele não substitui a criptografia no nível do aplicativo/banco de dados ou sistema de arquivos.  LUKS é uma camada de conveniência adicional que armazena todas as informações de configuração necessárias para o dm-crypt no próprio disco e abstrai o gerenciamento de partições e chaves em uma tentativa de melhorar a facilidade de uso e a segurança criptográfica.  O modo dm-crypt simples, sendo a funcionalidade anterior do kernel, não utiliza a camada de conveniência. É mais difícil aplicar a mesma força criptográfica com ele. Vejamos as diferenças entre LUKS e dm-crypt.  Diferenças entre LUKS e dm-crypt          Adicionar linha Remover linha Adicionar coluna Remover coluna         Adicionar linha Remover linha Adicionar coluna Remover coluna         Adicionar linha Remover linha Adicionar coluna Remover coluna  LUKS  dm-crypt  Licença GPL  Sim  Sim  Alterar senha sem criptografar novamente  Sim  Não  Defesa contra senhas de baixa entropia (contra ataques de dicionário) Salting e Hashing  Sim  Não  Várias chaves de descriptografia para os mesmos dados criptografados  Sim  Não  Mecanismo de recuperação de chaves  Sim  Não  Configurações de criptografia da loja  Sim  Não         Adicionar linha Remover linha Adicionar coluna Remover coluna  Arquivos de chave segura  Integração TPM 2.0 (Trusted Platform Module)  Integrar com armazenamento de chaves personalizado  Discos/pontos de montagem diferentes ou o disco principal. E, claro, isso não pode ser removido facilmente.  HSM (Módulo de Segurança de Hardware)  NBDE (Network Bound Disk Encryption). É a forma preferencial, segura e automatizada para sistemas de produção. O NBDE está disponível a partir do RHEL 7.4.  Criptografia de disco vinculado à rede (NBDE):  A NBDE oferece criptografia assimétrica, permitindo que uma máquina com um disco criptografado inicialize sem a criptografia do disco, onde a chave precisa ser inserida no momento da inicialização. Mas somente quando a máquina está na rede correta e sem armazenar a chave de criptografia em texto simples, armazená-la fora da máquina ou transmitir dados pela rede de forma que um ladrão possa usá-los.    oferece mais segurança com uma maneira automática/mais fácil de gerenciar criptografia/descriptografia de disco na inicialização em alto nível. O NBDE tem os seguintes conceitos. LUKS + NBDE    - Estrutura plugável para descriptografia automatizada. Em NBDE, Clevis fornece desbloqueio automatizado de volumes LUKS CLEVIS    - é um plug-in para o framework Clevis. Implementa interações com o servidor TANG. CLEVIS Pin    - Serviço de recuperação de dados baseado em rede, seguro e sem estado. TANG não é um servidor de custódia, nada é salvo no servidor.  TANG Fig.: Criptografia de disco vinculado à rede (NBDE)  Pontos-chave    O sistema utiliza criptografia assimétrica para que a descriptografia do disco só seja possível quando a máquina estiver conectada à rede correta (onde o servidor Tang estiver acessível), sem precisar armazenar chaves de descriptografia localmente ou transmiti-las de forma insegura. Modelo de segurança:    o NBDE permite o desbloqueio automatizado de volumes criptografados na inicialização, reduzindo a intervenção manual e melhorando a segurança de dados em repouso em ambientes de servidores autônomos. Automação:    O Clevis foi projetado como uma estrutura flexível, permitindo outros pinos (não apenas o Tang) para diferentes cenários de desbloqueio ou integrações de hardware. Modularidade:    o servidor Tang não retém nenhum segredo ou chave de custódia, protegendo contra comprometimento do servidor central. Ausência de estado:  Fluxo de trabalho em camadas  O cliente (Clevis) inicia o desbloqueio durante a inicialização.  O Clevis usa o pino Tang para se comunicar com o servidor Tang e realizar uma troca de chaves segura.  As operações criptográficas (JOSE) gerenciam o material de chave efêmera segura.  LUKSMeta armazena a lógica de vinculação e desbloqueio.  Após uma troca bem-sucedida, Clevis descriptografa a chave mestra e desbloqueia o volume criptografado por LUKS.  NBDE - Vantagens  Não há necessidade de inserir senhas manualmente na inicialização/reinicialização do sistema (se o root também estiver criptografado)  Não há necessidade de manter frases-senha em KeyFiles  Nenhum compartilhamento de chaves públicas ou privadas entre o servidor TANG e a estrutura CLEVIS  Chamadas remotas automatizadas para o servidor TANG (atua como um servidor de chave de descriptografia)  Utiliza chaves assimétricas (Algoritmo de Troca de MR)  Opção escalável com crescentes implantações de servidores.  Conclusão:  Se sua organização lida com dados confidenciais ou opera em setores regulamentados,   oferece uma solução poderosa, automatizada e segura para proteção de dados em repouso. o FDE com LUKS + NBDE

Walkthroughs, tutorials, guides, and tips. This story will teach you how to do something new or how to do something better.

This story contains AI-generated text. The author has used AI either for research, to generate outlines, or write the text itself. 

Read My Stories

Este áudio é produzido no idioma original da história!

Protegendo dados em repouso: de LUKS a NBDE - Um guia de criptografia moderno

About Author

COMENTARIOS

Rótulos

ESTE ARTIGO FOI APRESENTADO EM

Related Stories

Toque para ganhar: Telegram pode integrar os próximos 10 bilhões de usuários criptográficos antes de Solana

Uma breve introdução à teoria do cérebro de Boltzmann

Guia do arquiteto para construir arquitetura de referência para um Datalake de IA/ML

Quer ganhar um concurso de redação do HackerNoon? Aqui está o que os vencedores do concurso #crypto-api recomendam

Toque para ganhar: Telegram pode integrar os próximos 10 bilhões de usuários criptográficos antes de Solana

Uma breve introdução à teoria do cérebro de Boltzmann

Guia do arquiteto para construir arquitetura de referência para um Datalake de IA/ML

Quer ganhar um concurso de redação do HackerNoon? Aqui está o que os vencedores do concurso #crypto-api recomendam

Light-Mode

Classic

Newspaper

Dark-Mode

Neon Noir

Minty

HN StartUps