Search <book_title>...

Guide de sécurité et de chiffrement de Veritas NetBackup™

Last Published: 2017-11-16

Product(s): NetBackup & Alta Data Protection (8.1)

Gestion des fichiers de clé de chiffrement hérités

Cette rubrique décrit la gestion des fichiers de clés de chiffrement hérités.

Remarque :

Le fichier de clé doit être le même sur tous les nœuds d'un cluster.

Chaque client NetBackup qui effectue des sauvegardes chiffrées et des restaurations a besoin d'un fichier de clé. Le fichier de clé contient les données que le client utilise pour générer des clés DES pour chiffrer des sauvegardes.

Vous pouvez utiliser la commande bpkeyfile sur le client pour gérer le fichier de clé. Consultez la description de la commande bpkeyfile dans le Guide de référence des commandes NetBackup pour obtenir une description détaillée.

La première chose que vous devez faire est de créer un fichier de clés s'il n'existe pas déjà. Le fichier de clé existe si vous définissez une phrase de passe à partir de la commande bpinst -LEGACY_CRYPT depuis le serveur à ce nom de client.

Le nom de fichier devrait être identique au nom de fichier que vous avez spécifié avec l'option de configuration CRYPT_KEYFILE comme suit :

Pour des clients Windows, le nom de fichier de clé par défaut est comme suit
```
install_path\NetBackup\bin\keyfile.dat
```
Pour des clients UNIX, le nom de fichier de clé par défaut est comme suit
```
/usr/openv/netbackup/keyfile
```

NetBackup utilise une phrase de passe de fichier de clé pour générer une clé DES et utilise la clé DES pour chiffrer un fichier de clé.

Généralement, vous utilisez la phrase secrète du fichier de clé qui est codé en dur dans les applications NetBackup. Pour assurer une sécurité supplémentaire, vous pouvez toutefois utiliser votre propre phrase secrète du fichier de clé.

Se reporter à Degré de sécurité de fichier de clé hérité supplémentaire pour clients UNIX.

Remarque :

Si vous ne voulez pas utiliser votre propre phrase de passe de fichier de clé, n'entrez pas une nouvelle phrase de passe de fichier de clé. Au lieu de cela, utilisez la phrase de passe standard de fichier de clé et entrez une nouvelle phrase de passe de NetBackup.

Vous devez décider quelle phrase de passe de NetBackup à utiliser. La phrase de passe de NetBackup est utilisée pour générer les données qui sont placées dans le fichier de clé. Ces données sont utilisées pour générer des clés DES pour chiffrer des sauvegardes.

Pour créer le fichier de clé par défaut sur le client UNIX qui est chiffré avec la phrase de passe standard de fichier de clé, entrez une commande telle que la suivante :

bpkeyfile /usr/openv/netbackup/keyfile
Enter new keyfile pass phrase: (standard keyfile pass phrase)
Re-enter new keyfile pass phrase: (standard keyfile pass phrase)
Enter new NetBackup pass phrase: ***********************
Re-enter new NetBackup pass phrase: ***********************

Vous pouvez entrer de nouvelles phrases de passe NetBackup assez souvent. Des informations sur les anciennes phrases de passe sont conservées dans le fichier de clé. Cette méthode vous permet de restaurer n'importe quelle donnée qui a été chiffrée avec des clés DES générées à partir d'anciennes phrases de passe. Vous pouvez utiliser l'option -change_netbackup_pass_phrase (ou -cnpp) sur la commande bpkeyfile afin d'entrer une nouvelle phrase de passe NetBackup.

Si vous voulez entrer une nouvelle phrase secrète NetBackup sur un client Windows, entrez une commande similaire à l'exemple suivant :

bpkeyfile.exe -cnpp install_path\NetBackup\bin\keyfile.dat
Enter old keyfile pass phrase: (standard keyfile pass phrase)
Enter new NetBackup pass phrase: **********
Re-enter new NetBackup pass phrase: **********

Attention :

Vous devez vous assurer que les phrases de passe, qu'elles soient déjà utilisées ou non, sont sécurisées et peuvent être récupérées. Si l'un des fichiers de clés d'un client est endommagé ou perdu, vous avez besoin de toutes les phrases de passe précédentes pour recréer le fichier de clés. Sans ce fichier de clé, vous ne pouvez pas restaurer les fichiers qui ont été chiffrés avec les phrases de passe.

Seul l'administrateur de l'ordinateur client doit avoir accès au fichier de clé.

Pour un client UNIX, vous devez vérifier ce qui suit :

Le propriétaire est de type racine.
Les bits de mode sont 600.
Le fichier ne se trouve pas sur un système de fichiers pouvant être monté en NFS.

Vous devez considérer de sauvegarder ou non votre fichier de clé. Pour les sauvegardes chiffrées, une telle sauvegarde a peu de valeur, parce que le fichier de clé ne peut être restauré que si le fichier de clé est déjà sur le client. Au lieu de cela, vous pouvez installer une politique NetBackup qui fait les sauvegardes non chiffrées des fichiers de clés des clients. Cette politique est utile si vous avez besoin d'une restauration de secours du fichier de clé. Cependant, cette méthode signifie également que le fichier de clé d'un client peut être restauré sur un client différent.

Si vous voulez empêcher la sauvegarde du fichier de clé d'être, ajoutez le nom du chemin d'accès du fichier de clé à la liste du client.