Encryptie vs beschikbaarheid backup

[ktf]

Goedemorgen,

Momenteel ben ik een backup structuur aan het inrichten op Amazon S3, en zit te peinzen wat ik ga doen qua encryptie. Bij het gebruik van encryptie ben ik altijd bang de sleutel te verliezen op het moment dat ik de backup nodig heb. Ik voorzie de volgende scenario's

1. Ik gebruik server-side asymmetrische encryptie. Ik zie de meerwaarde daar niet van in: als iemand (onverhoopt) bij mijn amazon data kan, maakt het bij server-side encryptie niet meer uit of deze versleuteld is of niet. Of zie ik hier iets over het hoofd?
2. Ik gebruik asymmetrische encryptie op mijn server. Als mijn server crasht of wordt ingenomen door ransomware ben ik de sleutel kwijt en kan ik niet bij mijn data
3. Ik gebruik symmetrische encryptie met een lange passphrase die ik uit mijn hoofd leer. De kans is dat ik deze vergeet
4. Ik gebruik symmetrische encryptie met een lange passphrase die ik opschrijf en naar mezelf e-mail: ik verwacht niet dat mijn gmail en amazon s3 login tegelijk door dezelfde entiteit te bereiken zijn (indien dat wel het geval is, is daar niets tegen opgewassen)
5. Ik gebruik geen encryptie (enkel de standaard in-flight) en vertrouw op amazon

Wat denken/doen jullie?

[F_J_K]

Niet alleen onthouden. Mailen lijkt me ook niet handig. Of iig niet zodanig dat de context duidelijk is. (En als die dat niet is, veel succes met terugvinden over een paar jaar).

Backup de sleutel op een vertrouwde offsite locatie. Bijvoorbeeld usb stick (of printje) in dichte envelop bij familie. Of opgeslagen in je password manager. Dat verlegt het probleem, maar je passwordmanager-password zal je dagelijks gebruiken en dus niet zomaar vergeten.

Naast versleuteling overigens ook nadenken over de logingegevens van de account met toegang (en daarbij goed password en 2FA). Ik heb zelf een password manager waar het password file via eigen opslag wordt gesynct op m’n devices.

[Malantur]

Ik heb optie 4, in combinatie met 'Security through obscurity'.
Het wachtwoord staat 'plain tekst'* opgeslagen in dropbox, maar in een document dat op zich niets te maken heeft met wachtwoorden. Ik weet in welk document en kan hem gewoon overtypen.
Document kan bijvoorbeeld een gedichtje zijn waarin 1 zin met een enter boven en onder gescheiden is, ik zeg maar iets

*: Niet letterlijk plain tekst. Bepaalde dingen zijn afgekort.
Bijvoorbeeld: als ik het geboortejaar van mijn vader in de zin verwerkt, dan weet ik dat ik de dag en maand moet toevoegen. Hetzelfde met 06 nummers die eventueel achterstevoren genoteerd zijn, bijnamen die je moet vervangen door de voornaam van een vriend, ... Alles wat je kan verzinnen waar je vanuit kan gaan dat je het niet zal vergeten, en wat Amazon en/of een hacker niet meteen kan weten. Je kan het zo moeilijk of gemakkelijk maken als je zelf wil.

[CAPSLOCK2000]

ktf schreef op maandag 28 oktober 2019 @ 09:41:
Goedemorgen,

Momenteel ben ik een backup structuur aan het inrichten op Amazon S3, en zit te peinzen wat ik ga doen qua encryptie. Bij het gebruik van encryptie ben ik altijd bang de sleutel te verliezen op het moment dat ik de backup nodig heb. Ik voorzie de volgende scenario's

Wat denken/doen jullie?

Zet de key op een USB-stok én print de key uit op papier. Sla die veilig op, bij voorkeur in een brandkast buiten de deur (zodat je niet alles kwijt raakt als je huis afbrandt) bij vrienden/kennissen/collega's die je vertrouwt. Als bedrijf huur je een kluisje bij een bank.

Als het nodig is kun je de key terughalen van de USB-stok en als het echt niet anders gaat kun je de key overtikken (of inscannen) van papier.

100% veilig is dat niet, de politie (of mannen in zwarte helikopters, als dat je ding is) gaan zo'n USB-stok gewoon ophalen als het nodig is, en er is altijd een kans dat jouw huis én dat van je vriend tegelijk afbrandt, maar je moet ergens een grens trekken.
Als je meer zekerheid wil zoek je meer plekken om een reserve sleutel op te slaan.

[ktf]

Oke, in alledrie deze gevallen zou symmetrische encryptie (met een salted passphrase) wel het meest voor de hand liggen, dat gaat wel een stuk makkelijker op een printje dan een RSA sleutel.

In ieder geval bedankt, ik ben nu van plan sowieso een U2F key te kopen voor aanvullende inlogbescherming bij Amazon, en ik houd de symmetrische encryptie aan met passphrase zoals ik die nu heb. Ik zal de sleutel alleen inderdaad hardcopy bewaren.