Chiffrement des sauvegardes 101 : lignes directrices et meilleures pratiques

La définition d’une sauvegarde chiffrée

En soi, le chiffrement n’est pas un terme très compliqué – il s’agit d’une méthode de sauvegarde des données, qui consiste à réorganiser ou à brouiller les données de manière à ce que seules les parties autorisées puissent les remettre dans leur état d’origine, c’est-à-dire normal. L’objectif principal du chiffrement est de cacher ou de rendre inaccessible l’information originale contenue dans les données chiffrées. Dans ce contexte, chiffrer les sauvegardes de données est l’une des mesures de protection les plus simples contre la cybercriminalité, mais elle n’est pas non plus sûre à 100 %.

Le chiffrement protège les données en les transformant de leur format texte clair (texte lisible) en texte chiffré (format illisible) à l’aide d’algorithmes mathématiques sophistiqués et de clés de chiffrement. L’objectif est que le décryptage des données ne soit accessible qu’aux utilisateurs censés y avoir accès en premier lieu.

Il existe de nombreux exemples où le chiffrement des données a été mis en œuvre à grande échelle. Certains de ces exemples n’ont utilisé le chiffrement qu’après qu’ une violation massive de données se soit déjà produite. Le détaillant Target a vu les informations personnelles de plus de 70 millions de ses utilisateurs compromises par une attaque de pirates informatiques en 2013. Il a dû payer une somme colossale dans le cadre d’un règlement relatif à une violation de la sécurité. Le renforcement de la sécurité des données (avec l’ajout du chiffrement) faisait également partie de ce règlement. La Bank of America, quant à elle, a mis en place un cadre de chiffrement clair il y a quelque temps en raison d’exigences de conformité financière (en l’occurrence, la conformité PCI DSS, dont il est question plus loin dans l’article).

L’algorithme de chiffrement le plus répandu à l’heure actuelle est l’AES (Advanced Encryption Standard). Il a été développé à l’origine pour remplacer le DES, ou Data Encryption Standard (devenu beaucoup trop vulnérable au fil du temps). L’AES peut fonctionner avec trois longueurs de clé principales : 256 bits, 192 bits et 128 bits. L’AES-256 est largement considéré comme la méthode de chiffrement la plus sûre qui soit, combinant à la fois la résistance aux cyberattaques et la vitesse de chiffrement/déchiffrement.

Tous les chiffrages ne sont pas bénéfiques pour les utilisateurs ordinaires – en fait, ils peuvent être utilisés pour des actions nuisibles et illégales. L’un des types de cyberattaques les plus courants de nos jours est le ransomware (68,42 % de toutes les cyberattaques en 2022), qui utilise les mêmes techniques de chiffrement pour modifier des fichiers non protégés et demander une rançon à leurs propriétaires en échange du déchiffrement des données.

Il existe également une séparation nette entre le chiffrement et le hachage – le premier étant un processus unilatéral et irréversible de transformation des informations en une séquence illisible de symboles. S’il est vrai que de nombreux utilisateurs professionnels ont tendance à confondre ces termes, la grande différence entre les deux est suffisamment simple pour qu’on s’en souvienne facilement.

Les cas d’utilisation de ces deux technologies tendent également à différer dans une certaine mesure. Le hachage est surtout utilisé dans le contexte des blockchains, des contrôles d’intégrité et des processus de validation des mots de passe, tandis que le chiffrement est un terme beaucoup plus répandu, utilisé sous de nombreuses formes et dans de nombreuses situations, de la sécurité des données aux activités cybercriminelles.

Avantages de la sauvegarde chiffrée

Le chiffrement des sauvegardes peut offrir une pléthore d’avantages à ses utilisateurs, les exemples les plus notables étant mis en évidence dans la liste ci-dessous.

• Protection contre la falsification et la corruption pour une meilleure sécurité des données.
• Protection contre le chantage et l’usurpation d’identité.
• Capacité générale de protection des données.
• Amélioration de la conformité réglementaire.
• Impossibilité d’accéder aux informations sans la clé de décryptage, même si le dispositif de stockage lui-même a été volé ou compromis.

Types de chiffrement

L’absence de chiffrement des données en tant que mesure de sécurité pour vos sauvegardes est pratiquement inacceptable à l’heure actuelle et peut entraîner de nombreux problèmes si elle n’est pas résolue. Cependant, le sujet du chiffrement dans son ensemble peut également être modérément difficile pour les nouveaux utilisateurs, avec différentes méthodes de chiffrement et d’autres termes compliqués.

Le choix d’une méthode et d’un type de chiffrement en tant qu’option principale pour votre entreprise peut également s’avérer quelque peu difficile, car vous devez prendre en compte les éléments suivants :

• Les types de données de l’entreprise
• Les exigences en matière d’infrastructure
• Les capacités techniques des employés
• Limites budgétaires
• Les exigences en matière de sécurité
• Options d’évolutivité, etc.

Le chiffrement des sauvegardes peut être réalisé selon différentes approches. Pour commencer, il y a deux principaux types de chiffrement à garder à l’esprit : le chiffrement asymétrique et le chiffrement symétrique.

Chiffrement asymétrique

Une méthode de chiffrement asymétrique est basée sur deux clés de chiffrement asymétriques – d’où le nom de cette approche. Cette paire de clés comprend une clé publique et une clé privée qui sont mathématiquement liées l’une à l’autre.

L’objectif d’une clé publique est de chiffrer des informations et rien d’autre, c’est pourquoi elle peut être révélée au public sans difficulté. La clé privée, quant à elle, est le seul moyen de décrypter les informations chiffrées avec une clé de chiffrement associée – ce qui limite considérablement le nombre d’utilisateurs capables de décrypter les informations dans ces situations.

L’analogie la plus évidente pour un tel type de chiffrement est une boîte aux lettres de la vie réelle. La boîte aux lettres peut recevoir des informations de n’importe qui sous la forme de lettres qui y sont déposées, mais ces lettres ne peuvent être acquises que par une personne possédant la bonne clé de boîte aux lettres, ce qui n’est généralement le cas que d’une ou deux personnes.

Chiffrement symétrique

Les algorithmes à clé symétrique représentent une classe d’algorithmes cryptographiques qui utilisent la même clé pour décrypter le texte chiffré (données chiffrées illisibles) et pour chiffrer le texte en clair (données lisibles). En termes plus simples, ils reposent sur une clé secrète partagée qui fait office à la fois de serrure et de clé, permettant à la fois le chiffrement et le déchiffrement des informations.

Tout type de serrure réelle est un exemple pratique de chiffrement symétrique. Le verrouillage et le déverrouillage de la serrure s’effectuent à l’aide de la même clé, et les informations protégées par le chiffrement symétrique peuvent être déchiffrées à l’aide de la même clé que celle avec laquelle elles ont été chiffrées.

Les méthodes de mise en œuvre du chiffrement changent également de manière assez radicale en fonction de l’état des données en question. En suivant une idée similaire à la précédente, nous pouvons présenter deux catégories de chiffrement : au repos et en transit.

Chiffrer au repos

L’information étant la ressource la plus précieuse de toute entreprise, elle doit être suffisamment protégée pendant son état de stockage inactif. Le chiffrement au repos est conçu pour résoudre ce problème précis, en fournissant une approche sophistiquée de la sécurité des données afin d’en garantir l’intégrité. Le terme « au repos » désigne l’état de l’information lorsqu’elle n’est pas transférée vers un autre emplacement.

Une analogie courante pour ce type d’approche du chiffrement peut être tirée de l’acte littéral de sauvegarde – mettre des objets de valeur dans un coffre-fort sous une serrure. Dès que les objets de valeur se trouvent dans un coffre-fort verrouillé dont vous êtes le seul à connaître le code, ils ne peuvent en aucun cas être volés.

L’objectif principal du chiffrement au repos est de servir de ligne de défense contre les menaces qui ont réussi à violer la sécurité globale de l’entreprise d’une manière ou d’une autre. Il s’agit d’une approche très utile, compte tenu de l’inutilité du vol ou de la publication de données si celles-ci ne peuvent être décryptées sans une clé de chiffrement appropriée.

Encryption at Rest, c’est aussi ainsi que Google Cloud Platform appelle son itération de Server-Side Encryption en tant que fonctionnalité. Bien que la nature de ce service soit identique au « chiffrement au repos » en tant que terme, cela rend la question de la distinction entre les deux légèrement confuse.

D’autres entreprises disposent également de technologies similaires, bien que leurs noms soient nettement différents – Server-Side Encryption (fonctionnalité) pour Microsoft et Storage Service Encryption pour Amazon. En même temps, il serait juste de mentionner que le SSE en tant que fonctionnalité est principalement appliqué aux fournisseurs de stockage en nuage, ce qui rend sa cible potentielle plus large lorsque comparée au « chiffrement au repos » en tant que fonctionnalité qui peut également fonctionner avec des environnements sur site.

Chiffrement en cours de route

Le chiffrement en milieu de transit est souvent considéré comme l’antithèse du chiffrement au repos, puisque cette méthode est censée protéger les informations pendant leur transport d’une zone de stockage à une autre.

Si vous envoyez un objet de valeur dans la vie réelle en utilisant une mallette verrouillée, le fonctionnement du chiffrement en transit est proche de celui du chiffrement au repos, qui protège l’intégrité et la valeur des informations stockées à l’intérieur. Toutes les méthodes existantes de chiffrement en transit offrent un moyen sûr de protéger les données pendant leur processus d’exportation d’un endroit à un autre (disque vers le nuage, nuage vers NAS, bande vers VM, et bien d’autres exemples).

E2EE, ou chiffrement de bout en bout

Le chiffrement de bout en bout, ou E2EE, est un outil de sécurité avancé qui aide à la protection des données pendant leur transfert d’un utilisateur à un autre. L’objectif de l’E2EE est d’empêcher toute personne autre que le destinataire des données d’accéder aux informations qui ont été envoyées, puisque l’appareil de l’expéditeur chiffre le message à l’aide d’une clé de chiffrement unique que seul le destinataire connaît.

L’existence d’une clé de chiffrement unique accessible à deux personnes ne fait qu’améliorer considérablement la sécurité du processus de transfert de données, en créant un bouclier pratiquement impénétrable autour des informations qui ont été envoyées. Aucun fournisseur de services d’application, pirate informatique ou FAI n’a accès aux informations en question – et il en va de même pour la plateforme qui offre les services de chiffrement.

La sécurité de l’E2EE ne fait aucun doute, ce qui explique sa popularité dans de multiples messageries et autres applications telles que Facebook, Whatsapp, Zoom, etc. En même temps, ce type d’absence totale d’accès soulève un certain nombre de questions légitimes, principalement de la part des autorités qui ne seraient pas en mesure de mener des enquêtes si la messagerie était effectuée avec ce type de chiffrement. Il s’agit d’une fonctionnalité relativement nouvelle que de nombreuses solutions de sécurité tentent d’introduire dès que possible, compte tenu de la sécurité qu’elle peut offrir.

L’E2EE est un type de chiffrement particulier pour lequel il est difficile de trouver une analogie dans la vie réelle. Imaginons que vous possédiez un cadenas ou un agenda d’un genre particulier, muni de deux clés. La première clé sert à verrouiller la boîte, la seconde à la déverrouiller. Vous avez la première clé, tandis que votre ami a la seconde. C’est la façon la plus proche d’imaginer comment l’E2EE pourrait fonctionner dans le monde réel.

Clés de chiffrement et services de gestion des clés

Les clés de chiffrement ont déjà été mentionnées dans cet article, leur définition exacte ne devrait donc pas être difficile à comprendre. Il s’agit d’un élément de données utilisé en cryptographie pour effectuer une opération de décryptage, une opération de chiffrement, ou les deux. Les capacités d’une clé de chiffrement dépendent entièrement du type de chiffrement choisi – il n’y a qu’une seule clé de chiffrement pour un type de chiffrement symétrique, tandis que le type asymétrique a toujours une paire de clés (clés publique et privée).

Une clé de chiffrement est aussi forte qu’elle est longue – les clés plus longues sont plus difficiles à décrypter, mais nécessitent également une plus grande puissance de traitement pour effectuer l’opération de décryptage/chiffrement. En raison de leur nature extrêmement sensible, il est tout à fait naturel qu’un système dédié soit créé spécifiquement pour le stockage des clés de chiffrement – et il existe de nombreux services de ce type.

Les environnements de gestion des clés sont l’analogue numérique d’un trousseau de clés réel. Il est essentiel de les conserver en toute sécurité pour pouvoir accéder à différents endroits, qu’il s’agisse de votre domicile, de votre voiture, de votre boîte aux lettres, etc. Quant au service de gestion de clés, il peut être comparé à un coffre-fort ou à un anneau de clés sécurisé qui renforce la sécurité du trousseau sans en affecter l’utilité.

Les services de gestion de clés (tels que Google Cloud Key Management, Azure Key Vault, AWS Key Management Service, etc.) offrent un moyen simple de gérer et de sauvegarder les clés de chiffrement/déchiffrement. Il n’est pas rare que ces services de gestion de clés valident les clés de chiffrement à l’aide du programme de validation des modules cryptographiques FIPS 140-2 et emploient des modules de sécurité matériels (HSM) pour une meilleure gestion des clés pour ses clients.

Les services de gestion des clés peuvent offrir une série d’avantages, notamment

• Assurance de la conformité : Les enregistrements inviolables permettent de passer facilement les audits de conformité.
• Défense inébranlable : Rend l’accès non autorisé aux données extrêmement difficile, en exigeant des intrus qu’ils compromettent à la fois la clé et l’emplacement des données.
• Rotation des clés : La rotation régulière des clés garantit que les pirates disposent d’un temps limité pour exploiter les vulnérabilités.
• Sécurité multicouche : Pour voler des informations, il faut compromettre le fournisseur de la solution, le fournisseur de services en nuage et le client, ce qui augmente considérablement le niveau de difficulté.

Exigences légales et cadres de travail qui exigent le chiffrement.

Le nombre total de diverses exigences légales et/ou cadres qui exigent le chiffrement des données d’une manière ou d’une autre est extrêmement élevé, c’est pourquoi nous n’allons présenter qu’une petite sélection des réglementations les plus connues :

• GDPR, ou General Data Protection Regulation (règlement général sur la protection des données).

L’article 32, paragraphe 1, point a), souligne l’intérêt d’adopter des mesures de sécurité spécifiques afin de protéger les informations considérées comme sensibles. Le chiffrement est l’une des nombreuses méthodes de sécurité des données qui peuvent être envisagées dans ce cas, en fonction du niveau de risque, de l’étendue du traitement, etc.

• HIPAA, ou Health Insurance Portability and Accountability Act (loi sur la portabilité et la responsabilité en matière d’assurance maladie).

Le § 164.312(a)(2)(iv) du 45 CFR met en évidence le nombre d’exigences en matière de sécurité qui relèvent de cette loi. Il s’agit principalement d’appliquer des ensembles de règles de chiffrement et de déchiffrement avec un mécanisme transparent sur toutes les informations qui peuvent être considérées comme des ePHI (informations électroniques protégées sur la santé). Ce n’est cependant pas la seule exigence, puisque vous pouvez en trouver d’autres dans le document HIPAA Security Rule, et que la définition de l’ePHI est également sujette à débat dans certains cas d’utilisation.

• PCI DSS, ou Payment Card Industry Data Security Standard (norme de sécurité des données de l’industrie des cartes de paiement).

L’exigence 3.4 facilite la nécessité de rendre tous les numéros de compte primaires illisibles lorsqu’ils sont stockés – y compris les journaux, les supports de sauvegarde, les supports numériques portables, etc. Cette exigence est très stricte en ce qui concerne les mesures de sécurité, avec une cryptographie forte, des pratiques de gestion des clés robustes, ainsi que des jetons/cadres d’indentification, un hachage unidirectionnel, une troncature et d’autres mesures.

Type de chiffrement BYOK

Bring Your Own Key (BYOK) est un modèle de cloud computing hautement sécurisé qui permet aux utilisateurs finaux de travailler avec leurs propres logiciels de chiffrement et solutions de gestion des clés. Il s’agit d’un contraste frappant avec les méthodes traditionnelles de services en nuage qui s’appuient généralement sur leurs propres méthodes de chiffrement et stockages de clés en interne.

Les avantages les plus notables de la mise en œuvre de BYOK sont les suivants :

• BYOK accorde aux utilisateurs la propriété et le contrôle complets de leurs clés de chiffrement, ce qui garantit la souveraineté des données et la conformité aux réglementations et exigences spécifiques.
• L’utilisation de votre propre logiciel et de vos propres clés de chiffrement de confiance ajoute une couche de protection supplémentaire, augmentant de manière significative la difficulté d’un accès non autorisé.
• Le fait d’avoir le contrôle total de vos clés de chiffrement est la preuve d’une sécurité renforcée, ce qui peut être nécessaire pour rester en conformité avec certaines réglementations sur les données sensibles.

La plupart des étapes de mise en œuvre de BYOK sont simples et évidentes :

1. Assurez-vous que le fournisseur de services de chiffrement ou la solution cloud que vous utilisez prend en charge BYOK. Parmi les exemples les plus courants de tels services, citons Google Cloud KMS, Azure Key Vault et AWS KMS.
2. Générez vos clés de chiffrement de manière sécurisée, que ce soit via un processus de génération dédié ou à l’aide d’un HSM (module de sécurité matériel).
3. Les clés de chiffrement doivent ensuite être téléchargées vers le KMS d’un fournisseur de services. N’oubliez pas de configurer des politiques de contrôle d’accès et de rotation des clés.
4. Les clés téléchargées peuvent maintenant être utilisées pour chiffrer les informations dans différents états afin de garantir une sécurité totale de vos données sensibles.
5. L’utilisation des clés de chiffrement doit être constamment surveillée et analysée afin de détecter les anomalies ou les utilisations abusives ; il s’agit d’une nécessité à des fins de sécurité et de conformité.

BYOK permet aux utilisateurs de choisir le logiciel de chiffrement qui s’intègre le mieux à leur infrastructure existante, ce qui élimine les problèmes de compatibilité et favorise une plus grande flexibilité. Il s’agit d’une option intéressante pour les entreprises qui ne souhaitent pas dépendre des services cloud pour stocker leurs clés de chiffrement, mais elle n’est pas sans poser de problèmes ; il est donc fortement recommandé de faire des recherches sur le sujet avant de s’engager dans la mise en œuvre d’un tel système.

Stratégie de mise en œuvre du chiffrement

Bien que les étapes de la mise en œuvre du chiffrement dans votre environnement diffèrent considérablement d’une situation à l’autre, nous pouvons vous proposer un certain nombre d’étapes claires et réalisables qui peuvent être suivies dans la plupart des situations pour tirer le meilleur parti de votre configuration de chiffrement :

Effectuez un processus d’identification des données

La sensibilité des données est un facteur clé qui peut être utilisé pour différencier les informations en certains groupes. Ce type d’identification et de tri doit constituer la première étape de la mise en œuvre d’une stratégie de chiffrement, quelle qu’elle soit. En étant capable d’identifier l’emplacement des informations qui ont beaucoup plus de valeur que les autres, vous augmentez les chances de couvrir toutes vos informations sensibles avec une stratégie de chiffrement, qu’il s’agisse de données financières, de propriété intellectuelle, d’informations personnelles identifiables (PII) ou de toute autre donnée qui doit être protégée pour des raisons de sensibilité ou de conformité.

Choisissez l’approche de chiffrement préférée

Le choix entre différentes approches de chiffrement dépend entièrement de la nature de l’entreprise. Il n’y a pas non plus de pression pour sélectionner une seule méthode – les solutions les plus compétentes combinent plusieurs types de chiffrement en fonction de la sensibilité des informations. Ainsi, le chiffrement asymétrique peut être utilisé pour échanger des informations sensibles en toute sécurité, tandis que le chiffrement symétrique sera le plus efficace pour les gros volumes de données.

Examinez les pratiques de gestion des clés que vous souhaitez mettre en œuvre

Il est fortement recommandé d’utiliser un service de gestion des clés flexible et puissant pour gérer les clés existantes et en générer de nouvelles si nécessaire. Azure Key Vault et AWS KMS sont des exemples courants de ces services.

Veillez à la rigueur du processus de chiffrement

Le chiffrement doit être appliqué à la fois en transit et au repos, sans aucune exception. Le chiffrement AES est un exemple courant de stratégie pour la protection au repos, tandis que TLS/SSL est préférable pour les informations en transit.

Effectuez des audits réguliers des protocoles de chiffrement

À l’instar de la plupart des environnements technologiques existants, les protocoles et les normes de chiffrement ont tendance à se mettre à niveau et à évoluer au fil du temps. En tant que tel, l’examen et la mise à jour de vos stratégies de chiffrement à l’aide d’audits programmés est le meilleur moyen d’effectuer ce type de mises à jour régulièrement avec une certaine cohérence et selon un calendrier précis.

Erreurs de chiffrement courantes

Les stratégies de chiffrement des sauvegardes peuvent être quelque peu difficiles à mettre en place, étant donné que de nombreux éléments différents peuvent être impliqués dans une telle stratégie. Dans la liste ci-dessous, nous présentons certaines des erreurs les plus courantes qui se produisent avant ou pendant les processus de chiffrement des sauvegardes, ainsi que des recommandations sur la façon de les résoudre.

• Des algorithmes de chiffrement faibles ou obsolètes entraînent une augmentation du nombre de faiblesses potentielles et une baisse du niveau de sécurité global. Les algorithmes de chiffrement standard tels que AES-256 sont la solution.
• Des stratégies de gestion des clés inadéquates augmentent considérablement la probabilité qu’une clé de chiffrement soit compromise d’une manière ou d’une autre. Un service de gestion des clés est recommandé à toutes les entreprises qui chiffrent régulièrement des informations.
• L’ absence de chiffrement des sauvegardes ouvre des possibilités pour que ces sauvegardes soient supprimées ou compromises d’une autre manière par un ransomware ou les actions d’un cybercriminel. Un chiffrement fort des informations au repos et en milieu de transit est fortement recommandé pour tous les environnements d’entreprise.
• Le contrôle de la conformité ouvre la voie à de multiples ramifications, qu’il s’agisse d’amendes massives, de poursuites judiciaires ou de l’impossibilité d’opérer dans une région spécifique. Toutes les normes de conformité et de réglementation, telles que HIPAA, GDPR et CCPA, doivent être suivies et révisées régulièrement.
• L’ absence de rotation des clés de chiffrement rend ces clés vulnérables au vol et à l’utilisation dans une action criminelle en quelque sorte. Des politiques automatisées de rotation des clés peuvent être mises en place dans la plupart des solutions KMS modernes.
• Une bonne formation des utilisateurs est tout aussi importante que les mesures de sécurité, car un utilisateur non formé est bien plus susceptible de ne pas se conformer à une exigence ou à une procédure quelconque et de laisser le système ouvert à une cyberattaque. Des sessions de formation régulières sur le thème du chiffrement et d’autres pratiques de sécurité devraient résoudre ce problème.

Bacula Enterprise et le chiffrement des données

Dans le paysage concurrentiel des solutions de sauvegarde et de restauration, Bacula Enterprise s’impose comme un champion inégalé de la sécurité des données. Cette prouesse de sécurité inégalée découle d’une approche à multiples facettes englobant son architecture, son ensemble de fonctionnalités, ses options de déploiement adaptables et son vaste potentiel de personnalisation. Le fait que les principaux composants de Bacula fonctionnent sur le système d’exploitation Linux, intrinsèquement plus sûr, renforce encore sa position en matière de sécurité.

La sécurité est particulièrement importante pour Bacula Systems, une valeur fondamentale qui se reflète clairement dans son produit Bacula Enterprise – avec son approche dédiée à la protection des données. Bacula transcende la notion de sécurité « suffisante ». Des fonctionnalités telles que l’authentification à deux facteurs, l’accès basé sur les rôles et les mots de passe uniques basés sur le temps (TOTP) ne sont pas seulement des ajouts optionnels – ce sont des éléments fondamentaux de l’architecture de sécurité de Bacula, représentant juste quelques-unes des bases minimales qu’une organisation devrait attendre d’une solution de sauvegarde.

Parmi les autres fonctionnalités de sécurité de Bacula Enterprise, citons un logiciel antivirus intégré, plusieurs politiques personnalisables pour le chiffrement des données de sauvegarde, le contrôle granulaire des utilisateurs, la restriction granulaire des données, le support MFA, les contrôles d’accès LDAP, le chiffrement au niveau des fichiers, le chiffrement signé, le chiffrement des communications, la détection de l’empoisonnement des données, les rapports avancés sur l’état de la sécurité, la surveillance de la corruption des données, l’intégration SIEM, et bien d’autres choses encore.

Bacula et le chiffrement des sauvegardes

En ce qui concerne les capacités centrées sur le chiffrement, il est important de noter que les options de chiffrement de Bacula sont hautement personnalisables. Bacula peut également offrir de nombreuses options pour travailler, y compris :

• Prise en charge du chiffrement des bandes.
• Le chiffrement automatique de TLS.
• Prise en charge de quatre variantes de chiffrement différentes – AES256, AES192, AES128 et blowfish.
• Deux algorithmes de résumé différents – SHA256 et SHA1.

Bacula permet de chiffrer et de signer numériquement les données avant de les envoyer à son démon de stockage. Ces signatures sont validées lors de la restauration et chaque erreur est signalée à l’administrateur. Il est essentiel que ni le Storage Daemon ni le Director n’aient accès au contenu des fichiers non chiffrés au cours de ce processus.

La PKI (Public Key Infrastructure) de Bacula Enterprise est composée de certificats publics x509 et de clés privées RSA. Elle permet de générer des clés privées pour chaque File Daemon – ainsi qu’un certain nombre de clés principales qui peuvent déchiffrer n’importe quelle sauvegarde chiffrée dans le système (elles sont également générées en tant que paire – une clé publique et une clé privée).

Il est fortement recommandé de stocker les clés du File Daemon et les clés principales hors site, aussi loin que possible de l’emplacement de stockage d’origine. Tous les algorithmes de chiffrement/déchiffrement mentionnés ci-dessus sont également exposés à l’aide d’une API agnostique d’OpenSSL qui est complètement réutilisable. Son format de volume est ASN.1 encodé en DER, la syntaxe des messages cryptographiques de la RFC 3852 étant utilisée comme base de référence.

Bacula peut également stocker des clés de chiffrement/déchiffrement à l’aide de deux formats de fichiers différents : .CERT et .PEM. Le premier ne peut stocker qu’une seule clé publique avec le certificat x509, il est principalement utilisé pour stocker une seule clé de chiffrement spécifique. Le second est beaucoup plus complexe – c’est le format de stockage par défaut d’OpenSSL pour les clés publiques, les clés privées et les certificats, et il peut stocker plusieurs clés en même temps – une excellente option pour la génération de clés asymétriques lorsqu’il y a une paire de clés à générer en premier lieu (publique + privée).

Capacités de chiffrement dans différents logiciels de sauvegarde

Les capacités de chiffrement de Bacula sont hautement personnalisables et peuvent s’adapter aux grandes entreprises et à d’autres types d’environnement. Il offre des fonctionnalités de sauvegarde avancées, une planification étendue et d’autres avantages.

Voyons maintenant comment Bacula se comporte par rapport à plusieurs autres exemples d’environnements de sauvegarde dotés de fonctionnalités de chiffrement :

• Veeam Backup & Replication prend en charge les communications sécurisées via TLS, ainsi que l’AES-256 pour les sauvegardes au repos.
  • Veeam Backup & Replication est spécialisé dans les environnements virtuels et dispose d’une interface relativement conviviale.
  • La plupart des fonctionnalités de niveau entreprise sont cachées derrière un prix exorbitant.
• Acronis Cyber Protect prend en charge les communications sécurisées avec SSL/TLS pour les données en transit et le chiffrement AES-256 pour les données au repos.
  • Le logiciel se concentre beaucoup sur les fonctions de sécurité, en général, et peut fonctionner avec des environnements cloud hybrides.
  • Il a tendance à être exigeant en termes de ressources matérielles pendant les heures de pointe.
• Commvault fournit TLS pour les données en transit et AES-256 pour les sauvegardes au repos.
  • Il peut offrir de solides capacités d’analyse et de reporting, ainsi qu’un ensemble complet de fonctionnalités de gestion des données.
  • La mise en place de la solution en question tend à être difficile et à prendre du temps.

Par rapport à la plupart des solutions de sauvegarde, Bacula peut offrir plus de flexibilité, plus d’options de personnalisation et un coût total de possession moins élevé. D’autre part, la compatibilité avec l’infrastructure existante doit être déterminée au cas par cas, et la courbe d’apprentissage du logiciel est au moins modérément raide, avec de nombreux outils et ensembles de fonctionnalités différents à utiliser. Il est à noter que Bacula possède un avantage clé sur les autres fournisseurs de solutions de sauvegarde en ce qui concerne la question de la sécurité : son architecture unique, qui a la capacité de stopper les attaques de ransomware puisqu’un périphérique de stockage attaqué n’a pas la capacité de contrôler Bacula, même s’il est sauvegardé. De plus, la modularité de Bacula lui permet d’être architecturé de la façon dont une organisation individuelle préfère, et qui correspond à sa propre approche de la sécurité. C’est la raison pour laquelle les plus grandes organisations de sécurité en Occident font confiance à Bacula.

L’engagement de Bacula en faveur de capacités de chiffrement étendues a également été la principale raison pour laquelle il a été choisi comme solution pour sauvegarder les environnements IBM HPSS de la NASA. SSAI, un sous-traitant de la NASA à Langley, était à la recherche d’une solution de sauvegarde capable de fonctionner avec HPSS sans développement de la part d’un fournisseur. L’absence de modèle de licence basé sur la capacité, d’accès multi-utilisateurs et de niveaux de chiffrement conformes aux normes FIPS (Federal Information Processing Standards) ont été les principales raisons du choix de Bacula.

Dépendance entre les éléments de l’infrastructure d’une solution de sauvegarde et la sécurité du chiffrement

L’architecture de la solution de sauvegarde choisie joue un rôle substantiel dans les processus de gestion du chiffrement pour l’ensemble de l’environnement. Dans notre exemple, nous allons utiliser une structure typique de logiciel de sauvegarde avec un serveur de contrôle, un serveur de médias, un catalogue ou une base de données, et des serveurs de points d’extrémité.

Serveur de contrôle

Les serveurs de contrôle sont directement responsables de la bonne planification et de la gestion des tâches de sauvegarde. Il n’est pas rare que les paramètres de chiffrement soient gérés au niveau du serveur de contrôle pour les données au repos et à mi-parcours. Si la gestion centralisée des clés de chiffrement est centrée sur cet environnement, la sécurité d’un tel serveur est en corrélation directe avec la sécurité de l’ensemble de l’environnement.

Serveur de médias

Les données de sauvegarde sont l’un des types d’informations les plus remarquables stockées dans les serveurs de médias. Les informations peuvent également être chiffrées à ce stade, ce qui permet de s’assurer que les fichiers de sauvegarde et les autres informations sont chiffrés et présentent le niveau de sécurité approprié. Si le serveur de médias est basé sur du matériel, il peut améliorer la vitesse totale de chiffrement, mais il offre également beaucoup moins de contrôle sur les tâches de gestion des clés de chiffrement. Il s’agit également d’une option beaucoup moins flexible que n’importe quelle méthode de chiffrement basée sur un logiciel, en particulier si nous les comparons avec du matériel prêt à l’emploi avec prise en charge du chiffrement.

Base de données ou catalogue

Dans les environnements basés sur des catalogues, le chiffrement est une étape essentielle pour une sécurité adéquate, car la nature inhabituelle des catalogues par rapport aux approches de stockage de données traditionnelles permet aux attaquants de déduire certaines informations à partir des seuls noms de fichiers, même si les données elles-mêmes sont complètement chiffrées.

Appareils clients (serveur d’extrémité)

Le chiffrement au niveau des terminaux est également possible en tant que niveau de sécurité supplémentaire, garantissant que les informations sont protégées avant qu’elles ne quittent ce terminal spécifique. L’existence d’un chiffrement à la source réduit considérablement le risque d’interception des données lors de leur transfert vers et depuis le point final, mais il tend également à introduire une légère surcharge sur le serveur en question.

Les deux types de solutions de sauvegarde existants diffèrent sensiblement l’un de l’autre. Les appliances de sauvegarde matérielles ont des paramètres de chiffrement préconfigurés et peuvent rarement offrir une flexibilité suffisante en matière d’algorithmes de chiffrement et de gestion des clés, mais elles sont extrêmement faciles à déployer. Les sauvegardes logicielles, en revanche, sont beaucoup plus souples en termes de gestion des clés et de chiffrement, mais elles peuvent être plus difficiles à configurer et à gérer.

L’avenir du chiffrement des sauvegardes

Le processus continu d’innovation basé sur la nécessité de garder une longueur d’avance sur le développement de solutions de ransomware et d’autres stratégies cybercriminelles est le principal moteur de l’innovation pour le chiffrement des sauvegardes. Le chiffrement en tant que processus évolue constamment, offrant une protection meilleure et plus résiliente des données sauvegardées, et son potentiel ne va cesser de croître à partir de maintenant.

Les avancées les plus prometteuses dans ce secteur, qui ne manqueront pas de le modifier dans un avenir proche, sont :

• L’IA et la ML, deux éléments qui comptent actuellement parmi les plus populaires dans l’environnement technologique. Les algorithmes d’apprentissage automatique seraient en mesure d’aider à l’optimisation des tâches de routine dans le département de chiffrement tout en optimisant les processus de gestion des clés de chiffrement. L’intelligence artificielle, quant à elle, deviendrait de plus en plus efficace pour détecter les menaces et les anomalies potentielles dans l’environnement de l’entreprise.
• Les solutions de chiffrement centrées sur l’utilisateur sont assurées de devenir plus populaires qu’elles ne le sont actuellement, avec une grande liberté lorsqu’il s’agit de définir les autorisations d’accès, de surveiller les activités suspectes et de gérer les clés de chiffrement.
• Les ordinateurs quantiques sont une menace massive qui plane sur l’ensemble de l’espace de chiffrement depuis plusieurs années maintenant, avec des algorithmes résistants aux quanta développés à un rythme étonnant, CRYSTALS-KYBER et FALCON étant quelques-uns des exemples les plus connus de tels algorithmes qui existent déjà.
• La décentralisation va devenir plus populaire en tant que mesure de sécurité non conventionnelle, offrant plus de résilience que la plupart des approches de sécurité traditionnelles. La décentralisation va certainement rendre la recherche d’informations précieuses beaucoup plus problématique, et l’introduction des principes du « moindre privilège » et de l’approche de sécurité « zéro confiance » va certainement rendre la vie des cybercriminels beaucoup plus difficile.
• L’intégration du chiffrement des sauvegardes dans différents aspects des processus de transfert et de stockage des données va améliorer la situation actuelle en matière de sécurité tout en rationalisant les flux de travail de gestion des données, en supprimant la nécessité d’une intervention manuelle et en éliminant pratiquement la possibilité d’une erreur humaine.

Conclusion

De nombreux cybercriminels modernes ont appris à cibler les sauvegardes pour tenter de nuire aux capacités des entreprises à se remettre des violations de données pour avoir de meilleures chances de voir leurs demandes satisfaites. Ainsi, l’importance de la sécurité des sauvegardes est à son plus haut niveau aujourd’hui, même si elle était déjà une priorité au nom de la reprise après sinistre et de la continuité des activités.

Le chiffrement des sauvegardes est l’une des pratiques de sécurité les plus fondamentales qui peuvent réduire considérablement la possibilité d’un accès injustifié aux données. Le but du chiffrement des sauvegardes est de transformer les informations dans un format illisible qui ne peut être percé par la plupart des mesures traditionnelles, offrant ainsi un excellent niveau de sécurité. Le secteur du chiffrement évolue régulièrement, certaines solutions proposant déjà le chiffrement E2EE, un type de chiffrement avancé offrant un niveau de protection encore plus élevé, même s’il est difficile à utiliser sur de gros volumes de données.

Les entités commerciales, militaires et même gouvernementales reconnaissent que le chiffrement des sauvegardes est la pierre angulaire de tout système de sécurité des données. Toutefois, la mise en œuvre correcte d’un tel système peut s’avérer relativement difficile sans aide extérieure. Heureusement, il existe de nombreuses solutions tierces qui peuvent simplifier considérablement ce processus.

L’une de ces solutions est Bacula Enterprise, une plateforme polyvalente de sauvegarde et de restauration dotée de capacités de chiffrement étendues et d’un niveau de sécurité particulièrement élevé par rapport à d’autres fournisseurs de solutions de sauvegarde. Elle prend en charge de nombreux types de stockage et est même apte à travailler dans les situations les plus difficiles possibles sans perdre son haut niveau de protection contre les ransomwares, la corruption des données et d’autres types de problèmes liés aux données.

Questions fréquemment posées

Les ordinateurs quantiques peuvent-ils constituer une menace pour les méthodes de chiffrement de sauvegarde existantes ?

Les ordinateurs quantiques sont loin d’être courants en 2024, mais leur potentiel est déjà bien connu – avec la capacité d’effectuer des calculs complexes beaucoup plus rapidement que n’importe quel autre ordinateur classique. Étant donné que la majorité des méthodes de chiffrement modernes reposent sur la factorisation de grands nombres, le simple fait de choisir le bon mot de passe est un processus extrêmement long pour ces ordinateurs.

Les ordinateurs quantiques, en revanche, ont la capacité de briser la plupart des mesures de chiffrement existantes en peu de temps, et la crainte que ces ordinateurs soient capables de telles prouesses existe depuis plusieurs années déjà. Le processus de développement et de normalisation d’algorithmes de chiffrement résistants aux quanta bat son plein, ce qui rend probable que la solution sera prête au moment où les ordinateurs quantiques se normaliseront et deviendront moins coûteux à produire.

Est-il possible de restaurer des sauvegardes chiffrées en cas de perte de la clé de chiffrement ?

Les données chiffrées deviennent irrécupérables dans la plupart des cas si la clé de chiffrement est perdue ou volée. Certaines solutions de sauvegarde proposent différentes méthodes de récupération des clés, comme les services de séquestre de clés, mais tous ces problèmes peuvent être à l’origine de vulnérabilités, c’est pourquoi il convient de les utiliser avec prudence.

Le chiffrement affecte-t-il les performances des sauvegardes à grande échelle ?

Étant donné que les processus de chiffrement et de déchiffrement ajoutent une surcharge de calcul au matériel de l’entreprise, ils affectent certainement les performances globales d’un système dans une certaine mesure. Cet effet est le plus visible lorsqu’il est utilisé dans des environnements à grande échelle avec des volumes de sauvegarde importants.

L’utilisation d’algorithmes de chiffrement plus complexes, tels que l’AES-256, pèse également sur le matériel. Il est possible d’atténuer ces problèmes dans une certaine mesure en introduisant des accélérateurs de chiffrement matériel ou en optimisant les tâches de chiffrement pour qu’elles s’exécutent en même temps que d’autres processus de sauvegarde, mais ces deux méthodes doivent être utilisées avec prudence.

Le chiffrement logiciel ou le chiffrement matériel des sauvegardes est-il préférable pour les environnements d’entreprise à grande échelle ?

Comme indiqué précédemment, il existe des méthodes de chiffrement matérielles et logicielles qui peuvent être utilisées pour chiffrer les sauvegardes et d’autres données. Ces deux méthodes diffèrent sensiblement l’une de l’autre et peuvent même être utilisées en tandem, bien que ce ne soit pas une approche courante pour un certain nombre de raisons.

Le chiffrement basé sur le matériel supprime complètement le poids des processus de chiffrement et de déchiffrement sur l’infrastructure de l’entreprise, offrant ainsi de meilleures performances pour l’ensemble du système et un niveau de sécurité plus élevé du fait que les clés de chiffrement n’ont que rarement à quitter le matériel en question. En même temps, une approche matérielle du chiffrement est souvent coûteuse, même pour les grandes entreprises, et la mise à l’échelle de ces solutions commence rapidement à drainer encore plus d’argent en raison de la nécessité d’acheter davantage d’unités matérielles.

Le chiffrement par logiciel, en revanche, est beaucoup moins onéreux et convient aux entreprises qui se développent rapidement. Cette approche n’est cependant pas aussi efficace en termes de sécurité et l’impact des processus de chiffrement et de déchiffrement sur les performances de l’ensemble de l’infrastructure peut s’avérer considérable.

Comment les fonctions de compression et de déduplication sont-elles affectées par le chiffrement des sauvegardes ?

Le chiffrement étant souvent associé à la compression, il n’est généralement pas nécessaire de compresser davantage les informations chiffrées puisqu’elles sont déjà considérées comme « optimisées. » En outre, le recours à la déduplication pour trouver des blocs de données en double serait complètement paralysé par la capacité du chiffrement à transformer des informations exploitables en morceaux de données méconnaissables, ce qui rendrait beaucoup plus difficile la recherche de modèles et l’économie d’espace de stockage.

Les deux conflits peuvent être évités dans une certaine mesure, que ce soit en chiffrant les informations après les avoir compressées/dédupliquées ou en utilisant des algorithmes de chiffrement spécialisés avec lesquels le logiciel de compression/déduplication peut travailler, mais les deux méthodes nécessitent une configuration et un investissement supplémentaires pour être mises en place correctement.