了解備份加密選項

資料備份對於防止資料遺失及快速還原至關重要。作為安全且具韌性的資料保護策略的一部分,備份加密能有效防止資料外洩,並阻止未經授權者存取資料。本文將探討根據資料加密位置所區分的加密類型,並說明如何運用特定方法來制定有效的備份加密策略。

使用 NAKIVO 拒絕支付贖金

利用備份在遭受勒索軟體攻擊後快速還原資料。提供多種還原選項、不可變動的本地與雲端儲存、自動還原特點等。

探索解決方案

備份加密的類型

加密可根據加密演算法、金鑰長度以及執行加密的位置,分為不同的類別。"來源端加密"與"目標端加密"是數據加密領域中常用的術語,特別是在系統間傳輸數據時,例如雲端儲存或數據備份的情境。這些術語指的是加密與解密過程發生的位置。

源端加密

源端加密(亦稱客戶端加密)是指在資料傳輸至其他系統(例如雲端儲存服務或遠端伺服器)之前,先在客戶端(源端)系統上對資料進行加密。此過程確保資料自離開客戶端控制之際即受到保護,並在傳輸與儲存的整個過程中維持其機密性與完整性。

註: 源端加密與常被稱為"客戶端加密"的概念密切相關。事實上,這兩個術語經常被互換使用,儘管根據具體的應用程式或系統不同,其語境可能有所差異。

來源端加密的運作原理

當使用者或應用程式在裝置(例如電腦或伺服器)上產生資料時,該資料會先在該裝置上進行本地加密。加密過程採用強效的加密演算法(例如 AES,即"進階加密標準"),將可讀取的資料轉換為加密格式,若無對應的解密金鑰,則無法讀取該資料。 此加密金鑰通常由客戶端管理,這意味著只有客戶端——或擁有金鑰存取權限的授權實體——才能解密並存取原始資料。

資料加密完成後,便會傳輸至目標系統。在傳輸過程中,資料始終保持加密狀態,即使遭到攔截,也能降低資料外洩的風險。 由於資料在離開客戶端環境前已加密,接收系統無需知曉其內容,亦無需具備解密能力。

資料抵達目標系統後,將以加密狀態儲存。伺服器或儲存服務僅持有加密資料,通常無法取得解密金鑰,這意味著其無法自行解密資料。 此架構確保即使儲存系統遭到入侵,資料仍能保持安全,因為若無正確的解密金鑰,便無法讀取資料。

當客戶端或授權使用者需要存取儲存的資料時,系統會從目標系統擷取加密資料並傳回客戶端(來源系統)。接著,客戶端會使用原始的解密金鑰在本地端解密資料,將其轉換回原始的可讀形式。 此解密過程完全在客戶端系統上進行,確保資料在其整個生命週期中始終處於客戶端的控制之下。

來源端加密在客戶端希望維持對資料安全控制的場景中尤為重要,例如在雲端環境中儲存敏感資訊時。然而,這也要求客戶端必須安全地管理加密金鑰,因為一旦遺失這些金鑰,資料將變得永久無法存取。此方法提供了強大的資料保護層級。

源端加密的優勢

源端加密讓客戶能夠完全掌控加密流程,包括加密金鑰。此方法確保資料在離開客戶環境之前即受到保護,從而提供更高的信任度與自主性。客戶可根據具體的安全與合規需求,量身訂製加密方法與金鑰管理策略,因此此方法對於敏感資料或受監管的資料尤為有益。

安全

源端加密的主要安全優勢之一在於,資料是在來源端進行加密,這意味著資料在傳輸過程中及靜止狀態下皆能受到保護。由於加密金鑰由客戶端掌控,任何未持有金鑰者(包括服務供應商或第三方)皆無法存取資料。因此,即使儲存系統遭到入侵,未經授權存取或資料外洩的風險仍能大幅降低。 此外,此加密機制採端對端加密,確保資料在其整個生命週期中始終受到保護。

演出

源端加密可能會對效能造成顯著影響,因為加密與解密過程皆發生在客戶端(來源)裝置上。視資料的大小與複雜程度而定,此過程可能需要大量的運算資源,進而導致操作速度變慢,對於大型資料集或資源受限的裝置而言更是如此。此外,金鑰管理也會增加複雜度,必須謹慎處理,以避免因金鑰處理不當而造成效能瓶頸或潛在的資料遺失。

目標端加密

目標端加密(亦稱為伺服器端加密)是指目標系統(例如雲端供應商、遠端伺服器或資料庫)在從來源(客戶端)接收資料後,對其進行加密的過程。 此加密方法廣泛應用於雲端儲存服務、資料庫,以及其他需要在接收並儲存資料後進行保護的場景。此方法將加密與保障資料安全的責任交由伺服器(目標端)承擔,而非由客戶端(來源端)負責。

目標端加密的運作原理

當客戶端將資料傳送至目標系統時,資料通常以明文形式傳送,儘管在傳輸過程中可能會透過 TLS/SSL 等傳輸層安全協定進行保護。一旦資料抵達目標系統,伺服器便會接管加密流程。 伺服器會使用強效的加密演算法(例如 AES,即進階加密標準)將資料轉換為加密格式。此舉可確保資料受到保護,且任何可能未經授權存取伺服器儲存空間的使用者或應用程式皆無法讀取資料。

目標伺服器負責管理此流程所需的加密金鑰。這些金鑰可能由伺服器自行產生並儲存,也可能透過專用的金鑰管理服務(KMS)進行管理。 加密金鑰對於資料的加密與解密至關重要,其管理是維護加密資料安全性的核心。

資料加密後,目標伺服器會以加密形式儲存資料,無論是儲存在磁碟、資料庫或雲端儲存系統中。資料在靜止狀態下仍保持加密,這意味著即使未經授權者存取實體儲存媒體,他們也只能看到加密資料,若無解密金鑰,這些資料將毫無用處。

當授權使用者或系統請求資料時,伺服器會先將資料解密,再傳回給客戶端。此解密過程通常對客戶端不可見,客戶端甚至可能完全不知道資料在儲存期間曾被加密。客戶端收到的是原始、可讀取的資料,可立即使用。

目標端加密簡化了客戶端(來源端)的流程,因為客戶端無需擔心處理加密或管理金鑰。伺服器或雲端供應商負責處理這些事務,確保資料依照供應商的安全政策進行統一加密與保護。 然而,這也意味著客戶端必須信任伺服器能安全地管理加密金鑰,並正確執行加密與解密流程。

此方法常見於雲端儲存服務、資料庫及其他需要安全儲存大量資料的環境中。它提供了一種保護靜態資料的有效方式,因此成為希望確保資料安全,同時又不增加客戶端操作複雜度的組織的熱門選擇。

目標端加密的優勢

目標端加密透過將責任轉移至目標伺服器或雲端供應商,簡化了來源端客戶端的加密流程。客戶端無需擔心實作加密演算法或管理加密金鑰,因為這些任務均由目標系統處理。這使得加密功能更容易整合至現有工作流程中,特別是在重視易用性與可擴展性的環境中。此外,此機制也能確保伺服器上所有儲存資料均能一致地套用加密政策。

安全

雖然目標端加密能確保靜態資料受到加密保護,但這需要客戶信任伺服器或雲端供應商,由其管理加密流程並保護加密金鑰。資料的安全性取決於伺服器能否妥善管理金鑰並執行安全政策。然而,若伺服器遭到入侵,便存在未經授權的使用者可能同時取得加密資料及解密所需金鑰的潛在風險。 為減輕此風險,許多服務提供額外的安全特點,例如金鑰管理服務 (KMS) 和硬體安全模組 (HSM),以強化金鑰保護。

演出

目標端加密通常對客戶端(來源端)的效能影響較小,因為加密與解密的主要運算工作是由目標伺服器負責。這有助於提升客戶端的效能,對於處理能力有限的裝置而言尤為明顯。然而,加密與解密過程仍會消耗伺服器的資源,這可能影響伺服器的效能,特別是在需求量大的環境中。 此外,在將資料傳回客戶端之前必須先在伺服器端進行解密,這可能會引入一些延遲,儘管在經過良好優化的系統中,這種延遲通常微乎其微。

源端加密 vs 目標端加密

下表列出了主要參數,用以概述源端加密與目標端加密(即客戶端加密與伺服器端加密)之間的差異。

使用 NAKIVO 進行源端備份加密

資料備份可採用來源端加密或目標端加密這兩種方式。讓我們來探討資料備份中的來源端加密。

NAKIVO Backup & Replication 這是一套支援備份加密的高階資料保護解決方案。NAKIVO 解決方案採用強大的 AES-256 演算法(加密金鑰長度為 256 位元)進行加密。使用者可在備份儲存庫層級設定加密功能(適用於儲存於該儲存庫中的所有備份) 備份儲存庫) 作為目標加密方式。另一種選擇是透過來源端加密,在備份工作層級進行加密設定。如此一來,備份資料在傳輸過程中會被加密,並以加密資料的形式儲存於備份儲存庫中。

來源端備份加密需要輸入密碼。 系統會根據您提供的密碼產生強效雜湊值,用以建立加密/解密金鑰。請務必妥善保管加密密碼,因為若遺失密碼,將無法從加密備份中還原資料。

源端加密的需求:

• NAKIVO Backup & Replication v11.0 或更新版本
• 資料儲存類型:增量備份搭配完整備份(亦支援磁帶)

設定源端加密

備份的來源端加密功能是在網頁介面中於工作層級進行設定的。

1. 前往 Options 備份工作精靈中的步驟 NAKIVO Backup & Replication 設定加密選項。
2. 設定 Backup encryption 選項為 Enabled 為備份實施源端加密。

   註: 當啟用網路加密時,備份資料會在透過網路傳輸前進行加密,並在寫入目標備份儲存庫時解密。此操作的負載 運輸業者 會增加資料加密與解密所需的運算負荷。當啟用備份加密時,資料會在來源端進行加密,以加密形式傳輸,並以加密形式儲存於備份儲存庫中。同時啟用備份加密與網路加密會因資料需進行雙重加密而增加系統負荷,因此並無必要。

   

3. 點擊 Settings 設定加密金鑰。
4. 請在設定所需的參數 Set a Password 視窗。
   • 請設定新密碼並再次輸入以確認。
   • 請輸入描述,例如: Backup encryption password.

   當你點擊 Proceed,新密碼會儲存至該的資料庫中 NAKIVO Director,日後您可將此密碼用於其他備份工作。

   

您也可以設定金鑰管理服務 (KMS),以採取額外的保護措施。 NAKIVO Backup & Replication 支援 AWS KMS。

1. 要啟用 AWS KMS,您需要 新增 AWS 帳戶 加入 NAKIVO 清單。

   

2. 若要啟用 AWS Key Management Service (KMS) 進行備份加密,請前往 Settings > General > System Settings 並切換至 Encryption 分頁。
   • 勾選"使用 AWS Key Management Service"核取方塊。
   • 請選擇已新增至 NAKIVO 清單中的 AWS 帳戶。
   • 請選擇一個 AWS 區域。
   • 請選擇一個鍵。

   

您可以前往以下位置查看加密狀態: Settings > Repositories 並選擇一個備份儲存庫(例如, Onboard repository)。點擊儲存庫名稱,即可查看該儲存庫中的備份清單。

此頁面會顯示備份名稱、加密狀態、加密密碼狀態、工作名稱及大小。

備份加密 狀態:

• 已加密
• 未加密

加密密碼狀態:

• Available – 對應的密碼雜湊值會儲存於 NAKIVO Director 的資料庫中。
• Not available – 備份(還原點)已加密,但 Director 資料庫中未儲存該加密密碼的雜湊值。
• Not applicable – 若備份的還原點未經加密,則會顯示此訊息。

您可以隨時編輯備份工作選項,並變更備份加密設定。

結論

源端加密是一種安全且有效的措施,用於在透過網路傳輸及儲存至目標備份儲存庫時,保護備份資料的安全。此類備份加密適用於多種情境,包括本地備份及備份至公有雲。使用密碼來產生加密金鑰,不僅成本低廉,且對使用者而言操作簡便。此外,可運用進階的金鑰管理服務(如 AWS Key Management Service),以避免忘記或遺失加密金鑰。

下載最新版本的 NAKIVO Backup & Replication 該解決方案支援來源端加密與目標端加密,可有效協助您落實備份策略。

試試看 NAKIVO Backup & Replication

立即申請免費試用,全面體驗本解決方案的所有資料保護特點。15 天免費試用。無功能或容量限制。無需提供信用卡資訊。

免費試用