Cifrado antes de realizar la copia de seguridad en la nube

  

parece que tengo dos opciones usando -

     

1. Clave simétrica con AES y similares
  
2. Clave asimétrica con RSA o GPG
  

Probablemente no querría usar la criptografía de clave asimétrica directamente porque es muy lenta en comparación con la simétrica.

Sin saber más acerca de cómo están estructurados sus datos, sería difícil decir exactamente cuál es la mejor ruta.

Si sus datos son un conjunto de archivos , genere una clave AES aleatoria y encripte cada archivo utilizando un modo AES moderno (por ejemplo, GCM no ECB, al menos algo que utiliza un IV aleatorio) Parece que podría funcionar para ti.

  

Las principales preguntas que tengo son -

     

1. ¿Cuál es la opción más adecuada para mi situación?
  

Simétrico.

  

2. ¿Cuál es el tamaño de clave correcto para la elección? Mi entendimiento es el   más grande, mejor. Ya que no necesito acceder a estos datos frecuentemente   Estoy contento con el cifrado / descifrado que lleva más tiempo.
  

Es probable que la clave simétrica de 256 bits sea lo suficientemente grande. por ejemplo, AES 256.

  

3. Cualquier anécdota personal o recomendación que pueda tener para mí   Eso me ayudará a proteger los datos y equilibrar la seguridad y   usabilidad?
  

Podría ser bueno investigar si los costos asociados con sus medidas de seguridad de datos son razonables en relación con el valor de los datos.

Actualizar para abordar los comentarios:

Si la clave AES única se mantiene segura, entonces no hay necesidad de más de una, siempre y cuando use un modo AES moderno que incluya el uso de un IV aleatorio (y por lo tanto ese IV es diferente para cada archivo).

Si le preocupa mantener segura la clave única de AES, entonces podría usar un método alternativo (que también es empleado por cierto ransomware). El método consiste en: (1) Generar un solo par de claves pública / privada y mantener la clave privada privada ; (2) genere una clave AES aleatoria para cada archivo ; (3) Cifre cada archivo con su propia clave AES aleatoria; (4) Cifre cada clave AES aleatoria con su clave pública única; (5) almacene el archivo cifrado AES y la clave AES cifrada con clave pública como un nuevo archivo / blob. En este caso, aún debe preocuparse por mantener segura la clave privada, pero es un poco más fácil que proteger una única clave AES que tiene que moverse y existir en la máquina real que realiza el cifrado (mientras que con el esquema asimétrico, solo el público La llave tiene que moverse.

En mi opinión, el uso de AWS KMS para administrar sus claves de cifrado es seguro. KMS está bien investigado en la comunidad de seguridad. Compare esto con los riesgos de administrar sus propias claves de cifrado y perderlas, le recomiendo KMS o CloudHSM en todo momento.

El cifrado asimétrico normalmente no se utiliza para cifrar datos basados en archivos. Para ello utiliza cifrado simétrico. Hoy AES-128 o AES-256 está bien.

Estas son mis opciones, ya que he estado usando AWS durante 12 años, 30 años en seguridad forense, MVP en Seguridad y tengo la certificación de Especialidad de Seguridad de AWS (junto con otros siete certificados de AWS) y muchos de mis clientes son gobiernos donde la seguridad es muy importante.