Administratorhandbuch zu Backup Exec 21.3

Verwendung von Verschlüsselung mit Backup Exec

In Backup Exec können Sie Daten verschlüsseln. Durch Verschlüsseln von Daten werden diese vor unerlaubtem Zugriff geschützt. Für den Zugriff ist der von Ihnen erstellte Schlüssel erforderlich. Backup Exec bietet sowohl Softwareverschlüsselung als auch einige Geräte mit Hardwareverschlüsselung nach dem T10-Standard. Backup Exec konfiguriert die Verschlüsselung, wenn Sie die Speichergeräte, die Sie für einen Backup-Auftrag verwenden möchten, angeben.

Backup Exec unterstützt bei der Verschlüsselung zwei Sicherheitsstufen: 128-Bit Advanced Encryption Standard (AES) und 256-bit AES. Innerhalb der 256 Bit-AES-Verschlüsselungsstufe bietet Backup Exec zwei Methoden der Schlüsselableitung für die Passphrase, die Sie eingegeben haben. Die eine ist die bestehende AES-256-Bit-Methode, bei der ein SHA-2-Algorithmus verwendet wird (früher als 256-Bit AES bezeichnet), und bei der zweiten wird PBKDF2 verwendet, also der erweiterte Algorithmus der kennwortbasierten Schlüsselableitungsfunktion.

Mit 256-Bit AES wird eine höhere Sicherheitsstufe erreicht, da der Schlüssel bei 256-Bit AES länger als der Schlüssel bei 128-Bit AES ist. Mit 128-Bit AES-Verschlüsselung können Backup-Aufträge jedoch schneller verarbeitet werden. Für die Hardwareverschlüsselung nach dem T10-Standard ist 256-Bit AES erforderlich. Bei PBKDF2 verwendet Backup Exec zusätzlich zur Passphrase zufällig generierte Salts, was den Verschlüsselungsschlüssel sicherer macht.

Wenn Sie einen duplizierten Backup-Auftrag ausführen, bleiben alle bereits verschlüsselten Backup-Sätze ungeachtet der ausgewählten Verschlüsselungsoption verschlüsselt. Unverschlüsselte Backup-Sätze können dagegen verschlüsselt werden.

Informationen zu den Best Practices zur Softwareverschlüsselung von Backup Exec finden Sie unter Best Practices für Backup Exec.

Dieses Thema enthält folgende Informationen:

Softwareverschlüsselung

Hardwareverschlüsselung

Verschlüsselungen

Eingeschränkte Schlüssel und gemeinsame Schlüssel

Passphrasen

Wenn Sie Backup Exec installieren, installiert das Installationsprogramm Verschlüsselungssoftware auf dem Backup Exec-Server und auf allen Remote-Computern, die einen Backup Exec Agent verwenden. Backup Exec kann Daten auf einem Computer verschlüsseln, der Backup Exec Agent verwendet, und diese dann an den Backup Exec-Server übertragen. Anschließend schreibt Backup Exec die verschlüsselten Daten Satz für Satz auf ein Bandmedium oder in einen Festplattenspeicher.

Backup Exec kann keine Backup Exec-Metadaten oder Informationen zu Katalogdateien und Verzeichnissen auf der Festplatte verschlüsseln.

Bei Backup-Aufträgen können Sie für die Verschlüsselung Softwarekomprimierung nutzen. Dabei komprimiert Backup Exec die Dateien und verschlüsselt sie anschließend. Backup-Aufträge, für die sowohl Verschlüsselung als auch Softwarekomprimierung genutzt werden, nehmen jedoch mehr Zeit in Anspruch.

Es wird empfohlen, in Verbindung mit der Softwareverschlüsselung keine Hardwarekomprimierung zu verwenden. Die Hardwarekomprimierung erfolgt nach der Verschlüsselung. Während des Verschlüsselungsvorgangs werden die Daten randomisiert. In Verbindung mit randomisierten Daten funktioniert die Komprimierung nicht einwandfrei.

Backup Exec unterstützt die Hardwareverschlüsselung für Speichergeräte mit dem T10-Verschlüsselungsstandard. Bei der Hardwareverschlüsselung werden die Daten vom Hostcomputer an das Speichergerät übermittelt und dort verschlüsselt. Die Schlüssel für den Zugriff auf die verschlüsselten Daten werden in Backup Exec verwaltet.

Backup Exec unterstützt ausschließlich für den T10-Standard autorisierte Geräte.

Sie müssen Verschlüsselungsschlüssel erstellen, um Verschlüsselung in Backup Exec zu verwenden. Bei der Erstellung eines Verschlüsselungscodes durch einen Benutzer markiert Backup Exec den Schlüssel mit einer auf der Sicherheitsidentifikation des eingeloggten Benutzers basierenden ID. Der Benutzer, der den Schlüssel erstellt hat, wird als Eigentümer des Schlüssels bestimmt.

Wenn Sie Verschlüsselung für synthetische Backups verwenden, müssen alle verbundenen Backups den gleichen Verschlüsselungscode verwenden. Ändern Sie nicht den Verschlüsselungscode, nachdem die Basis erstellt ist. Der Verschlüsselungscode, den Sie für das Basis-Backup auswählen, wird automatisch auf alle verbundenen Backups angewendet.

Wenn Sie verschlüsselte Daten zum Wiederherstellen auswählen, überprüft Backup Exec, ob in der Datenbank Verschlüsselungen für die Daten verfügbar sind. Falls einer der Schlüssel nicht verfügbar ist, fordert Sie Backup Exec auf, den fehlenden Schlüssel neu zu erstellen. Wenn Sie den Schlüssel nach Einplanen des Auftrags löschen, schlägt der Auftrag fehl.

Findet Backup Exec während der Verarbeitung eines Katalogauftrags keine Verschlüsselung, wird von Backup Exec eine Meldung ausgegeben. Sie können, wenn Ihnen die Passphrase bekannt ist, den fehlenden Verschlüsselungscode dann neu erstellen. Wenn der Backup Exec-Alarm Salt-Informationen enthält, müssen Sie das gleiche Salt angeben, um den fehlenden Verschlüsselungscode neu zu erstellen.

Simplified Disaster Recovery unterstützt die Wiederherstellung von Computern mit vorher verschlüsselten Backup-Sätzen. Wenn die Simplified Disaster Recovery (SDR)-Backups während des Backups verschlüsselt werden, fordert der Assistent "Computer wiederherstellen" Sie auf, für jeden verschlüsselten Backup-Satz, der für die Wiederherstellung erforderlich ist, die Passphrase einzugeben.

Siehe Verwaltung von Verschlüsselungscodes.

Backup Exec unterstützt die folgenden Typen von Verschlüsselungscodes:

Für die Verschlüsselung sind Sicherheitsfragen erforderlich. Diese funktionieren ähnlich wie Kennwörter. Sicherheitsfragen sind normalerweise länger als Kennwörter und bestehen aus mehreren Wörtern oder Textgruppen. Eine gute Passphrase ist zwischen 8 und 128 Zeichen lang. Eine 128-Bit-AES-Verschlüsselung muss aus mindestens acht Zeichen bestehen. Eine 256-Bit-AES-Verschlüsselung (SHA-2) und eine 256-Bit-AES-Verschlüsselung (PBKDF2) müssen aus mindestens 16 Zeichen bestehen. Es wird empfohlen, mehr als nur die minimale Zeichenanzahl zu verwenden.

Wirkungsvolle Sicherheitsfragen enthalten sowohl Groß- als auch Kleinbuchstaben, Ziffern und Sonderzeichen. Zitate aus Literatur und anderen Texten sollten nicht als Sicherheitsfragen verwendet werden.

Bei 256-Bit AES PBKDF2 muss die Passphrase mindestens einen Großbuchstaben, einen Kleinbuchstaben, eine Ziffer und ein Sonderzeichen enthalten.

Eine Passphrase kann nur druckbare ASCII-Zeichen enthalten (Zeichen 32 bis 126). ASCII-Zeichen 32 ist das Leerzeichen, das über die Leertaste auf der Tastatur eingegeben wird. Die ASCII-Zeichen 33 bis 126 sind die folgenden:

!"#$%&'()*+,-./0123456789:;<=>?@ABCDEFGHIJKLMNOPQRSTUVWXYZ

[\]^_'abcdefghijklmnopqrstuvwxyz{|}~

Siehe Verwaltung von Verschlüsselungscodes.