Κρυπτογράφηση δίσκου σε μηχάνημα που δεν σας ανήκει

Κάθε πάροχος που πουλά απόρρητο λέει ότι οι δίσκοι είναι κρυπτογραφημένοι. Συνήθως αληθεύει, και συνήθως απαντά σε μια ερώτηση που κανείς δεν έθεσε. Η κρυπτογράφηση έχει τρεις καταστάσεις που αξίζει να προσέξετε, και ένας διακομιστής περνά ολόκληρη τη ζωή του λειτουργίας στην κατάσταση που η πλήρης κρυπτογράφηση δίσκου δεν καλύπτει. Εδώ πέφτει πραγματικά η γραμμή, τι βρίσκεται σε κάθε πλευρά της, και ποια από τις δύο ρυθμίσεις που πωλούνται με τις ίδιες τέσσερις λέξεις είναι εκείνη όπου το κλειδί το κατέχετε εσείς.

Τρεις καταστάσεις, και αυτή που κανείς δεν κρυπτογραφεί

Τα δεδομένα περιγράφονται ως ευρισκόμενα σε μία από τρεις καταστάσεις, και ο κλάδος έχει λύσει πειστικά τις δύο από αυτές. Σε ηρεμία είναι τα δεδομένα που κάθονται σε έναν δίσκο που κανείς δεν διαβάζει αυτή τη στιγμή: λύση δίνει η πλήρης κρυπτογράφηση δίσκου, μαζί με κρυπτογράφηση βάσης δεδομένων ή object-store πάνω από αυτήν. Σε μεταφορά είναι τα δεδομένα που διασχίζουν ένα δίκτυο: λύση δίνει το TLS, τόσο διεξοδικά ώστε ένα λανθασμένα εκδοθέν πιστοποιητικό να αποτελεί πλέον είδηση. Σε χρήση είναι τα δεδομένα φορτωμένα στη μνήμη μιας διεργασίας που εκτελείται — εκεί όπου κάθε byte που εξυπηρετεί ο διακομιστής σας πρέπει να βρεθεί, όσο σύντομα κι αν είναι, για να εξυπηρετηθεί καν.

Η φράση κρυπτογράφηση σε ηρεμία είναι ακριβής, και είναι ακριβής με έναν τρόπο που περνά εύκολα απαρατήρητος. Περιγράφει την κατάσταση των δεδομένων σας όσο το μηχάνημα είναι κλειστό. Ένας διακομιστής είναι ένα μηχάνημα του οποίου όλη η δουλειά είναι να μην είναι κλειστό. Για τους μήνες που περνά σε λειτουργία, οι τόμοι του είναι ανοιχτοί, τα αρχεία της βάσης δεδομένων του είναι αναγνώσιμα από κάθε διεργασία που εκτελείται με τον σωστό χρήστη, και η κρυπτογράφηση δεν κάνει τίποτα άλλο από το να περιμένει μια διακοπή ρεύματος.

Το δεύτερο πράγμα που κρύβουν αυτές οι τέσσερις λέξεις είναι σε ποιον ανήκει το κλειδί. Δύο εντελώς διαφορετικές ρυθμίσεις πωλούνται κάτω από αυτές. Ένας πάροχος μπορεί να κρυπτογραφήσει το επίπεδο αποθήκευσης με κλειδιά που διαχειρίζεται ο ίδιος: αυτό προστατεύει τη διαδικασία απόσυρσης του παρόχου και μειώνει τη δική του έκθεση σε παραβίαση, και όντως σας προστατεύει από έναν δίσκο που φεύγει από το κτίριο — όμως το μέρος που κατέχει το κλειδί είναι ακριβώς αυτό για το οποίο ρωτούσατε. Ή ο τόμος μπορεί να κρυπτογραφηθεί μέσα στο δικό σας μηχάνημα, με ένα κλειδί που δεν υπάρχει πουθενά αλλού παρά στο μυαλό σας και στη μνήμη ενός πυρήνα που εκτελείται. Μόνο η δεύτερη ρύθμιση αλλάζει τι μπορεί να αποκτήσει ένα τρίτο μέρος, και μόνο η δεύτερη είναι αυτό που εννοεί ο υπόλοιπος οδηγός.

Τίποτα από αυτά δεν αποτελεί επιχείρημα κατά της κρυπτογράφησης δίσκων. Είναι επιχείρημα υπέρ του να γνωρίζετε ποια από τα οκτώ σενάρια παρακάτω έχετε καλύψει και ποια όχι. Μια κρυπτογράφηση που σταματά ένα πραγματικό πράγμα αξίζει τον κόπο· μια κρυπτογράφηση που πιστεύετε ότι σταματά οκτώ είναι χειρότερη από καμία, επειδή η πεποίθηση τερματίζει τη συζήτηση.

Πού βρίσκεται το κλειδί όσο το μηχάνημα λειτουργεί

Όταν ξεκλειδώνετε έναν τόμο LUKS, η κωδική φράση που πληκτρολογείτε δεν είναι το κλειδί. Ξετυλίγει ένα κύριο κλειδί αποθηκευμένο στην κεφαλίδα του τόμου, και αυτό το κύριο κλειδί κρατείται στη συνέχεια στη μνήμη του πυρήνα μέχρι να κλείσει ο τόμος ή το μηχάνημα να χάσει ρεύμα. Κάθε ανάγνωση και κάθε εγγραφή περνά από αυτό. Δεν υπάρχει διαμόρφωση λειτουργικού κρυπτογραφημένου δίσκου στην οποία το κλειδί βρίσκεται αλλού όσο ο δίσκος χρησιμοποιείται — αυτό δεν είναι μια λεπτομέρεια υλοποίησης που θα μπορούσε κανείς να διορθώσει, είναι αυτό ακριβώς που σημαίνει η χρήση ενός κρυπτογραφημένου δίσκου.

Σε υλικό που κατέχετε εσείς, αυτή η μνήμη βρίσκεται μέσα σε ένα κουτί, σε ένα δωμάτιο που ελέγχετε, και η επίθεση εναντίον της είναι εξωτική: φυσική παρουσία, και τα δευτερόλεπτα υπολειμματικών δεδομένων που κρατούν τα τσιπ μνήμης μετά τη διακοπή ρεύματος. Σε έναν εικονικό διακομιστή η κατάσταση διαφέρει σε είδος και όχι μόνο σε βαθμό. Η μνήμη του πυρήνα σας είναι μια περιοχή της μνήμης του host. Ο hypervisor μπορεί να τη διευθυνσιοδοτήσει εξ ορισμού, επειδή το να τη διευθυνσιοδοτεί είναι ακριβώς ο τρόπος με τον οποίο σας την έδωσε αρχικά. Τρεις εντελώς συνηθισμένες λειτουργίες τη διαβάζουν:

• Μια live migration. Η μετακίνηση ενός εικονικού μηχανήματος που λειτουργεί μεταξύ φυσικών host αντιγράφει τη μνήμη του ενόσω αυτό λειτουργεί. Πρόκειται για δυνατότητα — έτσι συντηρείται ένα host χωρίς να χρειάζεται επανεκκίνηση για εσάς — και το κύριο κλειδί σας βρίσκεται μέσα στις σελίδες που αντιγράφονται.
• Ένα snapshot που περιλαμβάνει τη μνήμη. Ένα snapshot μόνο δίσκου ενός τόμου που κρυπτογραφήσατε εσείς οι ίδιοι περιέχει κρυπτοκείμενο και τίποτα άλλο. Ένα snapshot που επιτρέπει στο μηχάνημα να συνεχίσει ακριβώς από εκεί που ήταν περιέχει το κλειδί, επειδή το κλειδί αποτελεί μέρος αυτού που σημαίνει «ακριβώς από εκεί που ήταν».
• Ένα memory dump. Η μνήμη του guest σας ζει μέσα στον χώρο διευθύνσεων μιας διεργασίας πάνω στο host. Η ανάγνωση της μνήμης αυτής της διεργασίας είναι μια συνηθισμένη λειτουργία αποσφαλμάτωσης, και τα εργαλεία έρχονται μαζί με τη στοίβα εικονικοποίησης αντί να χρειάζεται να περασθούν λαθραία.

Τίποτα από αυτά δεν ισχυρίζεται ότι ο πάροχός σας κάνει κάτι τέτοιο. Ισχυρίζεται ότι αυτές οι ενέργειες δεν απαιτούν καμία συνεργασία από εσάς, δεν αφήνουν κανένα ίχνος σε οτιδήποτε μπορείτε να δείτε, και δεν διακρίνονται από τη συνήθη συντήρηση της πλατφόρμας. Αυτή είναι η μόνη ιδιότητα που αξίζει να γραφτεί σε ένα μοντέλο απειλών: όχι τι κάνει κάποιος, αλλά τι μπορεί να κάνει χωρίς να το μάθετε. Η ίδια λογική ένα επίπεδο πιο έξω εξηγεί γιατί το registry και ο proxy μπροστά σας ανήκουν στην ίδια λίστα με το host.

Το πρόβλημα της επανεκκίνησης, και η συντόμευση που το ακυρώνει

Ένας κρυπτογραφημένος τόμος root πρέπει να ξεκλειδωθεί προτού το σύστημα εκκινήσει αρκετά ώστε να δεχτεί σύνδεση SSH. Σε ένα laptop πληκτρολογείτε την κωδική φράση στο πληκτρολόγιο. Σε ένα μηχάνημα δύο χιλιάδες χιλιόμετρα μακριά, σε ένα κτίριο όπου δεν έχετε πατήσει ποτέ, δεν υπάρχει πληκτρολόγιο που να μπορείτε να φτάσετε τη στιγμή που χρειάζεται. Κάθε πρακτική απάντηση σε αυτό είναι ένας συμβιβασμός — και μία από τις τέσσερις παρακάτω δεν αποτελεί καθόλου συμβιβασμό, αλλά έναν τρόπο να φαίνεται ότι έγινε ένας.

Τέσσερις τρόποι για να ξεκλειδώσετε έναν κρυπτογραφημένο τόμο root σε ένα απομακρυσμένο μηχάνημα

Μέθοδος	Αυτόματη επανεκκίνηση	Σταματά έναν κλεμμένο δίσκο	Τι σας κοστίζει
SSH μέσα στην εικόνα εκκίνησης	Όχι	Ναι	Ένας ελάχιστος SSH server μέσα στο initramfs σάς επιτρέπει να συνδεθείτε και να πληκτρολογήσετε την κωδική φράση. Το μηχάνημα παραμένει εκτός λειτουργίας μέχρι κάποιος άνθρωπος να είναι ξύπνιος και διαθέσιμος. Αυτή είναι η ειλικρινής επιλογή, και το κόστος είναι πραγματικό: μια επανεκκίνηση στις τέσσερις το πρωί είναι διακοπή λειτουργίας μέχρι κάποιος να το προσέξει.
Κλειδί δεσμευμένο στο δίκτυο	Ναι	Εν μέρει	Το μηχάνημα ανακτά το κλειδί ξεκλειδώματός του κατά την εκκίνηση από έναν διακομιστή που τρέχετε αλλού, και μπορείτε να αρνηθείτε να δώσετε κλειδί σε ένα μηχάνημα που έχει μετακινηθεί ή που δεν έχετε επανεκκινήσει εσείς. Ο διακομιστής κλειδιών πρέπει να παραμένει ενεργός, και πρέπει να βρίσκεται κάπου όπου δεν φτάνει η ίδια εντολή — αλλιώς έχετε μοιράσει το κλειδί σε δύο πόρτες με μία κλειδαριά.
Αρχείο κλειδιού στην εικόνα εκκίνησης	Ναι	Όχι	Το κλειδί βρίσκεται στο initramfs, το initramfs βρίσκεται σε ένα μη κρυπτογραφημένο τμήμα εκκίνησης, και το τμήμα εκκίνησης βρίσκεται πάνω στον δίσκο που προσπαθούσατε να προστατέψετε. Όποιος πάρει τον δίσκο παίρνει και το κλειδί μαζί του. Αυτή η διαμόρφωση είναι συνηθισμένη, εκκινεί άψογα, και δεν προστατεύει απολύτως από τίποτα.
Σφραγισμένο σε TPM	Ναι	Εν μέρει	Σε υλικό που κατέχετε εσείς, ένα πραγματικό chip ασφαλείας απελευθερώνει το κλειδί μόνο σε μια αλυσίδα εκκίνησης που δεν έχει τροποποιηθεί. Σε έναν εικονικό διακομιστή αυτό το chip προσομοιώνεται από το host, οπότε η σφράγιση ενός κλειδιού σε αυτό παραδίδει το κλειδί ακριβώς στο μέρος από το οποίο προσπαθούσατε να το κρύψετε.

Η τρίτη γραμμή αξίζει μια προσεκτική ματιά. Εκεί καταλήγετε όταν η απαίτηση γράφτηκε ως οι δίσκοι πρέπει να είναι κρυπτογραφημένοι και κανείς δεν ρώτησε για ποιον λόγο. Ο έλεγχος περνά. Η συσκευή block είναι πράγματι κρυπτογραφημένη. Το κλειδί ταξιδεύει πάνω στο ίδιο κομμάτι μετάλλου, μέσα σε ένα αρχείο που ένα recovery shell θα διαβάσει σε περίπου τέσσερα δευτερόλεπτα.

Αυτή είναι επίσης η σαφέστερη πρακτική διαφορά ανάμεσα σε ένα ενοικιαζόμενο εικονικό μηχάνημα και ένα δικό σας μηχάνημα. Σε αποκλειστικό υλικό η διεπαφή διαχείρισης out-of-band σάς δίνει μια κονσόλα που επιβιώνει από μια επανεκκίνηση, οπότε η πρώτη γραμμή παύει να είναι διακοπή λειτουργίας και γίνεται μια διακοπή δύο λεπτών — και το πρόβλημα του προσομοιωμένου chip στην τέταρτη γραμμή εξαφανίζεται, επειδή το chip είναι συγκολλημένο σε μια πλακέτα αντί να είναι γραμμένο σε λογισμικό από το μέρος απέναντι στο οποίο αμύνεστε.

Τι πραγματικά προσφέρει η πλήρης κρυπτογράφηση δίσκου

Το ίδιο ερώτημα, τιθέμενο με οκτώ τρόπους. Η στήλη που έχει σημασία είναι η τελευταία, επειδή σε κάθε γραμμή όπου η κρυπτογράφηση δεν βοηθά, κάτι άλλο βοηθά — και το να ονοματίσετε αυτό το κάτι είναι όλη η αξία της άσκησης.

Οκτώ σενάρια, και αν η πλήρης κρυπτογράφηση δίσκου αλλάζει την έκβαση

Σενάριο	Βοηθά η κρυπτογράφηση	Τι το κρίνει πραγματικά
Ένας δίσκος αποσύρεται, μεταπωλείται ή επιστρέφεται στο πλαίσιο εγγύησης	Ναι	Τίποτα άλλο δεν καλύπτει αυτή την περίπτωση. Οι δίσκοι φεύγουν από κέντρα δεδομένων συνεχώς, η απολύμανσή τους είναι μια διαδικασία, και οι διαδικασίες αποτυγχάνουν σιωπηλά. Αυτό είναι το σενάριο για το οποίο εφευρέθηκε η πλήρης κρυπτογράφηση δίσκου, και εναντίον του λειτουργεί ακριβώς όπως διαφημίζεται.
Το μηχάνημα κλείνει και ο δίσκος αφαιρείται	Ναι	Η ίδια προστασία με το ίδιο όριο, και το όριο είναι η λέξη κλειστό. Ένα μηχάνημα που παίρνεται ενόσω λειτουργεί είναι ένα μηχάνημα που παίρνεται ξεκλείδωτο, με τους τόμους του ανοιχτούς και το κλειδί του παρόν στη μνήμη.
Ένα αντίγραφο ασφαλείας βρίσκεται κάπου αλλού	Εν μέρει	Η κρυπτογράφηση στον τόμο πηγής δεν κάνει τίποτα για ένα αντίγραφο των δεδομένων. Αυτό που το κρίνει είναι αν το αντίγραφο ασφαλείας κρυπτογραφήθηκε προτού φύγει, με ένα κλειδί που δεν είναι αποθηκευμένο στο μηχάνημα που αντιγράφεται.
Η πλατφόρμα κάνει ένα snapshot	Εν μέρει	Ένα snapshot μόνο δίσκου ενός τόμου που κρυπτογραφήσατε εσείς οι ίδιοι είναι κρυπτοκείμενο και άχρηστο για όποιον δεν έχει την κωδική σας φράση. Ένα snapshot που καταγράφει την κατάσταση της μνήμης καταγράφει το κλειδί μαζί της. Και τα δύο ονομάζονται snapshots.
Κάποιος αποκτά shell στο μηχάνημα ενόσω λειτουργεί	Όχι	Ο τόμος είναι ήδη ανοιχτός, και ένας εισβολέας διαβάζει αρχεία και όχι blocks. Οι ενημερώσεις, τα ελάχιστα προνόμια, και τα διαπιστευτήρια που δεν επαναχρησιμοποιούνται σε πολλαπλές υπηρεσίες κρίνουν αυτή τη γραμμή, και η κρυπτογράφηση δεν συνεισφέρει τίποτα σε αυτήν.
Ο διαχειριστής του host, ή όποιος κατέχει την πρόσβασή του	Όχι	Μόνο κρυπτογράφηση της οποίας το κλειδί δεν εισέρχεται καθόλου στο μηχάνημα. Η κρυπτογράφηση μνήμης σε επίπεδο υλικού είναι η μοναδική εξαίρεση και είναι απενεργοποιημένη εξ ορισμού παντού, κάτι που καλύπτεται στην επόμενη ενότητα.
Επιδίδεται εντολή στον πάροχο	Εν μέρει	Η δικαιοδοσία κρίνει ποιος μπορεί να ζητήσει και με ποια στοιχεία· η κρυπτογράφηση κρίνει τι θα μπορούσε να περιέχει μια απάντηση. Η δημοσιευμένη μας θέση είναι δύο ξεχωριστές προτάσεις, και οι δύο έχουν σημασία: δεν κατέχουμε κλειδιά πελατών και δεν μπορούμε να τα παράξουμε, και ένας μη κρυπτογραφημένος τόμος σε έναν εικονικό διακομιστή εξακολουθεί να απαιτεί εντολή που κατονομάζει τη συγκεκριμένη υπηρεσία.
Πρέπει να γνωστοποιήσετε παραβίαση δεδομένων	Εν μέρει	Αν οι χρήστες σας βρίσκονται στην ΕΕ, το Άρθρο 32 του ΓΚΠΔ κατονομάζει την κρυπτογράφηση ανάμεσα στα μέτρα που αναμένονται από εσάς, και το Άρθρο 34 αίρει την υποχρέωση ειδοποίησης των ίδιων των ατόμων — ποτέ της εποπτικής αρχής — όταν τα δεδομένα είχαν καταστεί ακατανόητα. Αν αυτό εφαρμόζεται εξαρτάται εξ ολοκλήρου από το πού βρισκόταν το κλειδί όταν έφυγαν τα δεδομένα.

Πάνω από τον δίσκο: τι επιβιώνει από έναν εχθρικό host

Όλα όσα αναφέρθηκαν μέχρι τώρα αφορούν ένα επίπεδο που σταματά στη συσκευή block. Τρία πράγματα βρίσκονται πάνω από αυτό, και μαζί είναι οι μόνες απαντήσεις στην πέμπτη, την έκτη και την έβδομη γραμμή αυτού του πίνακα.

Κρυπτογραφήστε πάνω από την εφαρμογή, όχι από κάτω της

Η κρυπτογράφηση σε επίπεδο πεδίου σημαίνει ότι η εφαρμογή κρυπτογραφεί μια τιμή προτού αυτή φτάσει στη βάση δεδομένων και την αποκρυπτογραφεί αφού τη διαβάσει ξανά. Ένα dump της βάσης δεδομένων αποδίδει κρυπτοκείμενο, όποιος κι αν πήρε το dump και από όποια οδό. Σας κοστίζει τη δυνατότητα αναζήτησης ή ευρετηρίασης στις κρυπτογραφημένες στήλες, γι’ αυτό και ταιριάζει στα λίγα πεδία που το αξίζουν — κείμενα μηνυμάτων, ανεβασμένα έγγραφα, tokens τρίτων — και όχι σε όλα. Το τέρμα αυτού του δρόμου είναι το end-to-end: το κλειδί ανήκει στον χρήστη, ο διακομιστής δεν κατέχει ποτέ απλό κείμενο, και ένα εχθρικό host δεν αποκτά τίποτα επειδή δεν υπάρχει τίποτα εκεί προς απόκτηση. Αυτή είναι η μόνη αρχιτεκτονική σε αυτή τη σελίδα που είναι πραγματικά αδιάφορη ως προς το ποιος διαχειρίζεται το υλικό, και είναι απόφαση προϊόντος πολύ πριν γίνει απόφαση υποδομής.

Τα αντίγραφα ασφαλείας είναι ξεχωριστή απόφαση, όχι συνέπεια

Ο πιο συνηθισμένος τρόπος με τον οποίο δεδομένα φεύγουν από ένα κρυπτογραφημένο μηχάνημα είναι ένα αντίγραφο ασφαλείας. Ένα snapshot που στέλνεται σε object storage, ένα dump βάσης δεδομένων που συγχρονίζεται με έναν δεύτερο πάροχο, ένα αρχείο που κατεβαίνει σε έναν σταθμό εργασίας — κανένα από αυτά δεν κληρονομεί απολύτως τίποτα από τον τόμο από όπου προήλθε. Κρυπτογραφήστε τη στιγμή που τα δεδομένα γράφονται στο αντίγραφο ασφαλείας, με ένα κλειδί που φυλάσσεται κάπου όπου το ίδιο το μηχάνημα δεν μπορεί να φτάσει, ώστε ένας παραβιασμένος διακομιστής να μην μπορεί να αποκρυπτογραφήσει το δικό του ιστορικό. Στη συνέχεια επαναφέρετε ένα, σε διαφορετικό μηχάνημα, προτού το χρειαστείτε πραγματικά: ένα κρυπτογραφημένο αντίγραφο ασφαλείας που δεν μπορείτε να ανοίξετε είναι ένας ασυνήθιστα τακτοποιημένος τρόπος να χάσετε τα πάντα ταυτόχρονα. Ένα αντίγραφο σε άλλη χώρα είναι επίσης αντίγραφο υπό ένα άλλο σύνολο κανόνων, δηλαδή μια δεύτερη δικαιοδοσία που επιλέξατε χωρίς να το προσέξετε.

Κρυπτογράφηση μνήμης, και γιατί μάλλον δεν τη διαθέτετε

Η κατάσταση που κανείς δεν κρυπτογραφεί έχει όντως μια απάντηση σε επίπεδο υλικού. Οι επεκτάσεις confidential computing — το SEV-SNP της AMD, το TDX της Intel — κρυπτογραφούν τη μνήμη και την κατάσταση καταχωρητών ενός guest με ένα κλειδί που κατέχει ένας ξεχωριστός επεξεργαστής ασφαλείας και όχι ο hypervisor, ώστε ένα host που κάνει dump της μνήμης να παίρνει πίσω κρυπτοκείμενο. Είναι πραγματικό και ήδη διαθέσιμο. Είναι όμως και περιορισμένο: το SEV-SNP απαιτεί πυρίτιο EPYC τρίτης γενιάς ή νεότερο, το host πρέπει να έχει ρυθμιστεί σκόπιμα γι’ αυτό, και το guest πρέπει να πιστοποιήσει ότι το έχει αποκτήσει. Σχεδόν κανένας εικονικός διακομιστής γενικής χρήσης δεν το προσφέρει, και κανείς δεν το προσφέρει σιωπηλά. Θεωρήστε ότι δεν το διαθέτετε εκτός αν ένας πάροχος σας το δηλώνει γραπτώς και μπορεί να σας πει πώς να επαληθεύσετε ο ίδιος την πιστοποίηση.

Μια ρύθμιση ειλικρινής ως προς τα όριά της

Τίποτα από αυτά δεν καταλήγει σε μην μπαίνετε καν στον κόπο. Καταλήγει σε μια διαμόρφωση της οποίας μπορείτε να πείτε τα όρια δυνατά, χωρίς δισταγμό.

1. Καταγράψτε το ένα και μοναδικό σενάριο εναντίον του οποίου αμύνεστε (5 λεπτά). Έναν δίσκο που αποσύρεται, ένα μηχάνημα που κατάσχεται ενόσω λειτουργεί, ένα εχθρικό host, μια δικαστική εντολή, μια παραβίαση που πρέπει να γνωστοποιήσετε. Έχουν διαφορετικές απαντήσεις, και μια ρύθμιση που στοχεύει και στα πέντε δεν πετυχαίνει αξιόπιστα κανένα από αυτά.
2. Τοποθετήστε την κρυπτογράφηση εκεί όπου βρίσκεται το κλειδί σας (απόφαση). Αν το κλειδί το κατέχει ο πάροχος, έχετε αγοράσει προστασία μόνο κατά ενός δίσκου που φεύγει από το κτίριο και τίποτα πέρα από αυτό. Αν θέλετε κάτι παραπάνω, ο τόμος πρέπει να ξεκλειδώνεται από μέσα στο guest, από εσάς, με κάτι που η πλατφόρμα δεν βλέπει ποτέ.
3. Κρυπτογραφήστε τον τόμο δεδομένων αντί για τον root (ρύθμιση). Ένας κρυπτογραφημένος τόμος root σημαίνει ότι κάθε επανεκκίνηση περιμένει εσάς. Ένας ξεχωριστός κρυπτογραφημένος τόμος που φιλοξενεί τον κατάλογο της βάσης δεδομένων, τα ανεβάσματα και τα μυστικά επιτρέπει στο μηχάνημα να επανέλθει από μόνο του, ενώ το ευαίσθητο μέρος παραμένει κλειστό μέχρι να το ανοίξετε εσείς. Αυτός είναι ο συμβιβασμός που θα έπρεπε να κάνουν οι περισσότερες μικρές πλατφόρμες, και σχεδόν κανείς δεν τον καταγράφει.
4. Ποτέ μην αφήνετε το αρχείο κλειδιού στο μη κρυπτογραφημένο τμήμα εκκίνησης (κανόνας). Αν το μηχάνημα εκκινεί αυτόματα χωρίς διακομιστή κλειδιών και χωρίς κονσόλα, το κλειδί βρίσκεται πάνω στον δίσκο· δεν υπάρχει τρίτη δυνατότητα. Αυτός είναι ένας καλός συμβιβασμός όταν ένας κλεμμένος δίσκος είναι πράγματι όλο σας το μοντέλο απειλών, και αυταπάτη σε κάθε άλλη περίπτωση.
5. Κρυπτογραφήστε τα αντίγραφα ασφαλείας τη στιγμή της εγγραφής, με ένα κλειδί που φυλάσσεται αλλού (ρύθμιση). Στη συνέχεια επαναφέρετε ένα σε διαφορετικό μηχάνημα, μια μέρα που δεν καίγεται τίποτα.
6. Πείτε τι έχετε καλύψει, σε μία πρόταση (5 λεπτά). Κάτι κοντά στο εξής: ένας επιτιθέμενος που τραβά αυτόν τον δίσκο έξω από το rack δεν παίρνει τίποτα, και όποιος έχει root στο μηχάνημα ενόσω λειτουργεί ή στο host του παίρνει τα πάντα. Αν αυτή η πρόταση είναι δυσάρεστο να την καταγράψετε, αυτό συμβαίνει επειδή είναι αληθινή.

Δύο από αυτά τα έξι είναι αποφάσεις και τέσσερα είναι ρύθμιση. Οι αποφάσεις παίρνουν ένα απόγευμα και η ρύθμιση παίρνει μία ώρα, και η ώρα δεν αξίζει τίποτα χωρίς το απόγευμα. Το να τα κάνετε με την αντίστροφη σειρά είναι ο τρόπος με τον οποίο κάποιος καταλήγει στην τρίτη γραμμή του πρώτου πίνακα, με ένα μηχάνημα που περνά τον έλεγχο αλλά δεν προστατεύει κανέναν.

Ποιο σενάριο αντιμετωπίζετε είναι ερώτημα μοντελοποίησης απειλών προτού γίνει ερώτημα κρυπτογράφησης, και η εκδοχή της μίας ώρας αυτής της άσκησης παράγει την πρόταση του έκτου βήματος σχεδόν ως παραπροϊόν. Αν η απάντηση αποδειχθεί δικαστική εντολή αντί για δίσκο, το επίπεδο που κρίνει την έκβαση δεν βρίσκεται καθόλου στον δίσκο σας — είναι το ποιανού νόμος φτάνει στον πάροχό σας, και πώς να το ελέγξετε προτού το εμπιστευτείτε.

Γραμμένο από τους μηχανικούς που διαχειρίζονται την πλατφόρμα, και επανεξετάστηκε σήμερα. Αν κάτι εδώ είναι λάθος ή έχει ξεπεραστεί, πείτε το μέσω του πίνακα πελάτη — από εκεί προήλθαν περίπου τα μισά από αυτά.