磁帶加密管理和最佳實踐

我想在我的所有備份磁帶上啟用加密。我或多或少知道如何在技術上做到這一點，但實現這一點的程序和人為因素是棘手的。

我使用帶有 bacula 的 HP LTO4 驅動器，它沒有任何密鑰管理功能。事實上，它對硬體加密的支持是呼叫一個外部腳本，在讀寫之前在驅動器上設置密鑰。

我的問題：

1. 我應該如何跟踪哪些磁帶已加密？我已經有幾百個沒有加密的磁帶了。即使我花時間用加密重寫它們，也會有幾個月的重疊，有些人有，有些人沒有。bacula 如何在讀取給定磁帶之前知道是否設置密鑰？即使設置了密鑰，驅動器是否足夠智能以讀取未加密的磁帶？
2. 如果密鑰被洩露，我們將不得不更改它，我們將遇到與 #1 相同的問題。
3. 如果密鑰失去，我們實際上失去了所有備份。我怎樣才能在不增加它被破壞的風險的情況下減輕這種情況？
4. 密鑰是否應該定期更換？一年一次？最佳做法是什麼？
5. 大型 ISV 備份系統如何處理這些問題？

非常好的問題。我也希望看到比我了解更多的人的好答案。:-)

3 如果密鑰失去，我們實際上失去了所有備份

準確地說，這就是為什麼許多或大多數人不使用加密備份的原因。

一種可能的方法是建構幾個“救生艇”，即包含安裝媒體、使用者名和密碼的軟體包，用於備份、Active Directory 等基本系統（即，如果主站點已經在火災中完全被燒毀，但備份數據本身沒有）。您應該將這些救生艇安全地存放在場外，例如在銀行保險庫中，或在帶有警報系統的遠端辦公室的高度安全的保險箱中。最後記錄下來，以便其他人可以在你離開公司後弄清楚如何使用救生艇，如果需要的話。

4 是否應該定期更換密鑰？一年一次？最佳做法是什麼？

從實際的角度來看，我會說不要更改密鑰，因為如果你這樣做，它很快就會變得難以管理。如果您擔心備份安全性不夠好，那麼可以通過使用Iron Mountain 等服務或自己建構具有良好物理安全性的儲存系統來加強磁帶周圍的物理安全性。

**最後：**我希望在一個系統中進行所有加密和備份處理，因此恢復無法正常工作的風險較小。我的意思是使用 Retrospect 或 Backup Exec 等軟體中的內置加密，而不是驅動器級加密。

引用自：https://serverfault.com/questions/68487