Flujo de trabajo de cifrado de datos personales

Truecrypt es una opción que puede explorar. Los clientes de Truecrypt están disponibles para Linux / Windows / Mac.

Personalmente, tengo un contenedor TC que se asigna como una unidad a mi máquina con Windows. Para hacer una copia de seguridad, la respaldo en una máquina Linux remota (a través de rsync) y funciona bastante bien para mis necesidades personales.

En la medida en que tengas una frase de contraseña bastante buena (larga), será muy difícil que la fuerza bruta.

Si es un usuario de Ubuntu, puede elegir Trivialmente Cifrar su Directorio de Inicio durante la instalación, y esto asegurará que todos los datos que almacene en su directorio $HOME siempre estén encriptados usando eCryptfs antes de escribirse en el disco.

En cuanto a la copia de seguridad de sus datos, si desea hacer copias de seguridad de los archivos de texto simple, simplemente necesita hacer una copia de seguridad de $HOME mientras está conectado al sistema. Por otro lado, si desea copias de seguridad de los datos cifrados, necesita hacer una copia de seguridad de $HOME/.Private .

También es muy importante que también almacenes una copia de la clave, que puedes recuperar ejecutando ecryptfs-unwrap-passphrase .

Se han hecho muchas recomendaciones aquí para cifrar archivos específicos, pero nada realmente sobre el cifrado completo del disco. Si no usa el cifrado de disco completo, sus datos son vulnerables si el atacante tiene acceso a su máquina. La mayoría de los programas que usaría para interactuar con los datos (incluido el sistema operativo) crearán archivos temporales, etc., que dejarán fragmentos de sus datos en áreas no cifradas del disco duro donde un atacante puede recuperarlos. Si piensa que un atacante podría tener acceso físico a su máquina, debe usar el cifrado completo del disco. La forma más fácil de hacer esto es usar TrueCrypt en Windows. Ubuntu Linux le permitirá realizar el cifrado completo del disco si utiliza el instalador alternativo. Este tutorial no es para la última versión de Ubuntu, pero es más que suficiente para que comiences.

Hacer copias de seguridad en una ubicación remota hace que las cosas sean difíciles. Es absolutamente necesario cifrar todos los datos antes de que alguna vez toque la red o un servicio de terceros. Los sitios como Carbonite, Backblaze, Dropbox, etc. ofrecen encriptación, pero aún así mantienen una copia de sus claves para que pueda restaurar sus datos desde una interfaz web y no se pueda confiar en ellos para asegurar sus datos completamente. Recomendaría almacenar todos sus datos en un volumen encriptado (nuevamente, Truecrypt es una buena opción para hacer esto) y luego hacer una copia de respaldo de todo el volumen de una vez.

Para resumir, el flujo de trabajo se vería así:

1. Cifre completamente su computadora usando Truecrypt (Windows) o LVM (Linux)
2. En su computadora ahora totalmente encriptada, cree un volumen encriptado local usando Truecrypt para almacenar datos de los que se necesita hacer una copia de seguridad.
3. hacer el trabajo
4. Desmonte / cierre el volumen cifrado para que las claves ya no estén en la memoria y luego empuje el volumen local totalmente cifrado a un sitio remoto.
5. Apaga tu máquina cuando hayas terminado. No utilice suspender ya que dejará las claves de cifrado residentes en la memoria.

Si eres excepcionalmente paranoico, la computadora en la que trabajas no debería tener acceso a Internet. Para hacer una copia de seguridad de los datos, querría grabar el volumen local cifrado en un CD, trasladarlo a otra computadora segura con acceso a Internet y luego hacer una copia de seguridad desde allí.

Además, todos los pasos anteriores suponen que utiliza contraseñas / frases de contraseña buenas y seguras para todo el cifrado. Todos deben ser diferentes y contener letras (mayúsculas y minúsculas), números y símbolos para que sean difíciles de adivinar.

Para su trabajo en el sitio, la seguridad física debe ser su primera línea de defensa. Si las personas no pueden acceder físicamente a su computadora, no pueden hackearla. Si, por otro lado, alguien pudiera robar físicamente tu computadora, entonces podrían demorar todo el tiempo que quieran intentar piratearla.

En cuanto a lo que envía fuera del sitio, nunca envíe todos los datos a un solo lugar. Una forma de hacer esto sería que su dispositivo de copia de seguridad sea una implementación RAID 2 con siete (7) discos. Dado que la única forma de obtener los datos de una matriz RAID 2 de este tipo sería tener una posesión física de seis (6) discos como mínimo, asegúrese de que ningún sitio o persona tenga acceso a más de uno de ellos. Los siete discos de copia de seguridad.

Una vez que tenga esta seguridad física en su lugar, siga adelante con cualquier tipo de cifrado que lo haga sentir más cómodo.

EDITAR: Si instala y habilita una tarjeta de red en esta computadora, ha aumentado considerablemente la posible venerabilidad de sus datos. Las razones para esto son muchas, pero como mínimo incluyen:

1) El controlador de la tarjeta de red al enviar y recibir paquetes necesitará leer y escribir datos en la memoria.

2) Independientemente del hecho de que los datos estén encriptados en el disco, deben estar sin cifrar en la memoria para ser procesados o mostrados.

Si, mientras sus datos confidenciales existen sin cifrar en la memoria, los paquetes de redes se envían y reciben simultáneamente de la memoria; ¿Cómo puedes garantizar que la memoria se mantenga completamente aislada una de otra? En otras palabras, ¿cosas como la saturación de búfer, por ejemplo, nunca ocurren?

Aquí hay un document que recomienda:

  

Siempre que sea posible, evite almacenar datos confidenciales del cliente en una computadora   con una conexión a internet.

Para una discusión técnica de los riesgos asociados con una conexión de red, vea esto Informe del Instituto SANS .