加密的異地備份 - 在哪裡儲存加密密鑰？
除了定期的現場備份（保存在防火保險箱中）外，我們還每月一次將磁帶發送到異地，並使用 AES 加密。因此，如果有一天我們的站點被外星熱射線蒸發了，我們至少應該有一個最近的備份來恢復。
除了 128 位加密密鑰僅儲存在現場。因此，在真正發生災難的情況下，我們實際上會留下一個加密備份，而無法解密它。
**問題：**在異地儲存加密密鑰的最佳策略是什麼？
無論我們選擇哪種方法都需要通過安全審核，所以“在家保留一份”是不夠的，“與異地磁帶一起保留”顯然違背了最初加密它們的目的！我們正在考慮的幾個選項包括：
- 銀行的保險箱
- 以受密碼保護的形式儲存在雲端或地理上獨立的網路中（例如，使用 Keepass 或 Password Safe 等軟體）
當然，第二個選項提出了另一個問題：我們如何保證密碼的安全。
這將是非常主觀的。我認為我們需要更多地了解您的行業以及任何特定的監管要求才能提供好的建議。對於不受監管的行業中的小企業來說可能足夠的東西可能不適用於受監管行業中的大企業。
考慮到銀行應該對有權訪問保險箱的各方進行身份驗證（通常使用帶有照片的身份證件與授權方列表），將鑰匙放在保險箱中可能就足夠了。打開盒子還需要一把物理鑰匙。當您將這些屬性與儲存在物理安全位置的盒子結合起來時，它看起來更像是儲存密鑰的好地方。就個人而言，我更擔心磁帶在進出保險箱時失去/被盜，而不是從保險箱本身被盜。或者，您可以在另一家銀行獲得一個保險箱，其中包含不同的授權方，僅用於儲存密鑰材料。
假設您沒有內部律師，您可能希望公司法律顧問儲存密鑰。
為了獲得極客和技術性，有各種算法允許您將密鑰分解為多個部分，以便需要一些所需數量的參與方的合作來重建秘密（稱為門檻值方案）。我沒有立即意識到任何這些方案的任何實際實現，但我敢打賭，如果你足夠努力地搜尋，那裡會有一些。您可以將密鑰材料分發給多方，以便他們中的一部分在聚在一起時可以重建密鑰。任何單獨的密鑰片段（或任何少於門檻值要求的片段）的洩露都不會導緻密鑰洩露。
編輯：
快速搜尋一下sharesecret，一個 GPL 的門檻值方案實現。