Criptografia & TLS

O NGBackup protege os dados em trânsito e em repouso.

Dados em repouso

• Criptografia AES-CBC dos dados de backup, feita pelo File Daemon: os dados saem do cliente já criptografados. O padrão é AES-128; use Pki Cipher = aes192 ou Pki Cipher = aes256 no File Daemon para chaves maiores (os valores legados blowfish/3des são recusados na inicialização).
• Gestão de chaves por PKI — cada cliente tem um par de chaves master/dados; só quem tem a chave privada restaura.
• Funciona junto com deduplicação e compressão.

Dados em trânsito

• TLS entre todos os componentes (Director, Storage Daemon, File Daemon, Console).
• TLS Authenticate para autenticação mútua entre daemons.
• O tráfego de chunks da deduplicação usa a mesma sessão File Daemon para Storage Daemon, protegida pelo canal TLS-PSK (ou TLS com certificado) dessa sessão.

Todas as diretivas de TLS e PKI estão nas referências Director, Client e Storage.

Cuidado

Guarde e faça backup das chaves privadas da PKI separadamente — sem elas, backups criptografados não podem ser restaurados. Esse é o ponto da criptografia forte, e também sua responsabilidade.