Руководство администратора Backup Exec 21.4

Использование шифрования в Backup Exec

Backup Exec позволяет зашифровывать данные. Шифрование позволяет защитить данные от несанкционированного доступа. Для доступа к зашифрованным данным необходим ключ шифрования. Backup Exec поддерживает программное шифрование, а также ряд устройств, обеспечивающих аппаратное шифрование по стандарту T10. Шифрование в Backup Exec настраивается во время выбора устройств хранения, которые будут использоваться в задании резервного копирования.

Backup Exec поддерживает два уровня защиты шифрования: 128-разрядный Advanced Encryption Standard (AES) и 256-разрядный AES. При использовании 256-разрядного уровня шифрования AES Backup Exec предоставляет два способа формирования ключей для введенной парольной фразы. Первый - существующее 256-разрядное шифрование AES, использующее алгоритм SHA-2 (ранее назывался 256-разрядным шифрованием AES), и второй - использование PBKDF2, представляющего расширенный алгоритм функции формирования ключа на основе пароля.

256-разрядное шифрование AES обеспечивает более надежную защиту, так как в нем используются более длинные ключи, чем при 128-разрядном шифровании AES. Однако при использовании 128-разрядного шифрования AES задания резервного копирования выполняются быстрее. При аппаратном шифровании по стандарту T10 применяются 256-разрядные ключи AES. В случае PBKDF2 в дополнение к парольной фразе Backup Exec использует случайную соль, которая делает ключ шифрования более безопасным.

При запуске задания дублирования данных резервного копирования все наборы данных резервного копирования, которые уже были зашифрованы, останутся зашифрованными, независимо от выбранного варианта шифрования. Однако все незашифрованные наборы данных резервного копирования можно зашифровать.

Для получения информации о рекомендуемых подходах к программному шифрованию Backup Exec см. Практические советы по Backup Exec.

В этом разделе содержится следующая информация:

Программное шифрование

Аппаратное шифрование

Ключи шифрования

Секретные и общие ключи

Парольные фразы

Инструменты шифрования устанавливаются вместе с программой Backup Exec на сервер Backup Exec и все удаленные компьютеры, использующие агент Backup Exec. Backup Exec может зашифровывать данные на компьютере с агентом Backup Exec и передавать их в зашифрованном виде на сервер Backup Exec. Backup Exec последовательно записывает наборы зашифрованных данных на магнитную ленту или на дисковое хранилище.

Backup Exec не поддерживает шифрование метаданных Backup Exec и информации о файлах и каталогах из каталога на диске.

В задании резервного копирования вместе с шифрованием может применяться программное сжатие данных. В этом случае программа Backup Exec вначале сжимает файлы, а затем зашифровывает их. Однако при этом увеличится время выполнения задания резервного копирования.

Не рекомендуется использовать аппаратное сжатие одновременно с программным шифрованием. Аппаратное сжатие выполняется после шифрования. Шифрование приводит к рандомизации данных. Сжатие рандомизированных данных выполняется неэффективно.

Backup Exec поддерживает аппаратное шифрование для любых устройств хранения, использующих стандарт шифрования T10. При аппаратном шифровании данные передаются с хоста на устройство хранения, на котором и происходит их шифрование. Программа Backup Exec управляет ключами шифрования, применяемыми для доступа к зашифрованным данным.

Backup Exec поддерживает только те устройства, которые утверждены для применения шифрования T10.

Чтобы использовать шифрование в Backup Exec, необходимо создать ключи шифрования. Когда пользователь создает ключ шифрования, программа Backup Exec присваивает ему идентификатор, основанный на идентификаторе защиты пользователя. Создавший ключ пользователь становится его владельцем.

При шифровании синтетических резервных копий следует применять один и тот же ключ шифрования во всех связанных резервных копиях. Не меняйте ключ шифрования после создания основной резервной копии. Ключ шифрования, выбранный для основной резервной копии, автоматически применяется ко всем связанным резервным копиям.

При восстановлении зашифрованных данных программа Backup Exec проверяет наличие в базе данных ключей шифрования для этих данных. Если какие-либо ключи недоступны, Backup Exec предложит восстановить эти ключи. Если ключ был удален после того, как был запланирован запуск задания, то задание не выполняется.

Если программе Backup Exec не удастся найти ключи шифрования в процессе выполнения задания составления каталога, она отправит предупреждение. Вы можете восстановить отсутствующий ключ шифрования, зная парольную фразу. Если оповещение Backup Exec содержит данные соли, необходимо ввести ту же соль для повторного создания отсутствующего ключа шифрования.

Компонент "Упрощенное аварийное восстановление" поддерживает восстановление компьютеров из зашифрованных наборов данных резервного копирования. Если резервные копии, созданные компонентом упрощенного аварийного восстановления, являются зашифрованными, то для восстановления данных Мастер восстановления компьютера предложит ввести парольную фразу для каждого из зашифрованных наборов данных резервного копирования.

См. Управление ключами шифрования.

Backup Exec поддерживает следующие типы ключей шифрования:

С ключом шифрования связана парольная фраза, аналогичная паролю. Обычно парольные фразы шифрования длиннее обычных паролей и представляют собой несколько слов или фрагмент текста. Рекомендуемая длина парольной фразы - от 8 до 128 символов. Для 128-разрядного шифрования AES минимальная длина кодового слова составляет 8 символов. Для 256-разрядного шифрования AES (SHA-2) и 256-разрядного шифрования AES (PBKDF2) минимальная длина кодового слова составляет 16 символов. Рекомендуется использовать более длинные кодовые слова.

Кроме того, надежная парольная фраза должна содержать как прописные, так и строчные буквы, цифры и специальные символы. В качестве парольной фразы не рекомендуется использовать цитаты.

Для 256-разрядного шифрования AES PBKDF2 парольная фраза должна содержать хотя бы одну заглавную букву, одну строчную букву, одну цифру и один специальный символ.

Парольная фраза должна содержать только печатные символы ASCII, то есть символы с кодами от 32 до 126. Символ ASCII с кодом 32 - это пробел, который вводится нажатием клавиши пробела на клавиатуре. Символы ASCII с кодами от 33 до 126 представляют собой следующее:

!"#$%&'()*+,-./0123456789:;<=>?@ABCDEFGHIJKLMNOPQRSTUVWXYZ

[\]^_'abcdefghijklmnopqrstuvwxyz{|}~

См. Управление ключами шифрования.