Cifrado y TLS

NGBackup protege los datos en tránsito y en reposo.

Datos en reposo

• Cifrado AES-CBC de los datos de backup, realizado por el File Daemon: los datos salen del cliente ya cifrados. El valor por defecto es AES-128; usa Pki Cipher = aes192 o Pki Cipher = aes256 en el File Daemon para claves más largas (los valores heredados blowfish/3des se rechazan al arrancar).
• Gestión de claves por PKI — cada cliente tiene un par de claves master/datos; solo quien tiene la clave privada restaura.
• Funciona junto con deduplicación y compresión.

Datos en tránsito

• TLS entre todos los componentes (Director, Storage Daemon, File Daemon, Console).
• TLS Authenticate para autenticación mutua entre daemons.
• El tráfico de chunks de la deduplicación usa la misma sesión File Daemon a Storage Daemon, protegida por el canal TLS-PSK (o TLS con certificado) de esa sesión.

Todas las directivas de TLS y PKI están en las referencias Director, Client y Storage.

Precaución

Guarda y respalda las claves privadas de la PKI por separado — sin ellas, los backups cifrados no se pueden restaurar. Ese es el sentido del cifrado fuerte, y también su responsabilidad.