Encryption at rest, depolanan verinin şifrelenerek korunmasıdır; böylece bir telefonda, dizüstüde, USB bellekte ya da sunucuda duran bir dosya doğru anahtar olmadan okunamaz.
“At rest” yalnızca “hareket etmeyen” demektir. Bir klasördeki pasaport taramanız duruyordur. Aynı tarama bir e-postaya eklenmiş, internette uçarken “in transit”, yani yoldadır. Güvenlikçiler bu ayrımı önemser; çünkü tehditler farklıdır: bir bağlantıyı dinleyen biri bir sorun, kayıp bir telefonu ya da çalınmış bir dizüstüyü eline geçiren biri başka bir sorundur.
Telefon, sigorta kartınızın, kira sözleşmenizin ve vergi beyannamenizin fotoğraflarının toplandığı yerdir; telefonlar da kaybolur. Encryption at rest o çekmecenin kilididir.
Encryption at rest nedir
ABD standartlar kurumu NIST, şifrelemeyi, düz metin denen okunabilir verinin, verinin asıl anlamını gizleyerek bilinmesini ya da kullanılmasını önleyen şifreli metin denen bir biçime dönüştürülmesi olarak tanımlar. Dönüşüm geri alınabiliyorsa geri alma işlemine şifre çözme denir. Onu geri alınabilir kılan anahtardır: anahtar yoksa okuma da yoktur.
NIST’in son kullanıcı cihazlarında depolama şifrelemesi kılavuzu SP 800-111, bunu depolanan bilgiye erişimi ve kullanımı kısıtlamak için şifreleme ve kimlik doğrulama kullanmak olarak tanımlar. Üç yaygın yaklaşım sayar: tam disk şifreleme, birim ve sanal disk şifreleme ile dosya ya da klasör şifreleme. Doğru seçim, der, esas olarak depolama türüne, korunması gereken bilgi miktarına, depolamanın nerede tutulacağına ve durdurmaya çalıştığınız tehditlere bağlıdır.
Apple’ın iPhone’daki yaklaşımı dosya düzeyindedir. Apple’ın güvenlik kılavuzu, Data Protection’ın her dosyayı bir sınıfa atadığını ve bir dosyaya erişilebilirliğin o sınıfın anahtarlarının açılıp açılmadığına bağlı olduğunu söyler. Veri biriminde her dosya oluşturulduğunda Data Protection onun için yeni bir 256 bitlik anahtar üretir ve bunu, dosyayı flash belleğe yazılırken şifreleyen bir donanım şifreleme motoruna verir.
Nasıl görünür
Encryption at rest gördüğünüz bir şey değildir. Birkaç yerde kendini gösterir; aşağıdaki tablo neyi kapsadığını neyi kapsamadığından ayırır.
| Durum | Encryption at rest kapsıyor mu? | Ne kontrol edilmeli |
|---|---|---|
| Telefon kilitliyken kayboldu ya da çalındı | Evet, tam da bunun için tasarlanmıştır | Güçlü bir parola ve kısa bir otomatik kilit kullanın |
| Telefon kilidi açıkken birine verildi | Hayır | Kısa otomatik kilit; hassas uygulamalarda Face ID |
| Dosya e-postayla gönderildi ya da yüklendi | Hayır (bu encryption in transit’tir) | Güvenli bir bağlantı ya da şifreli bir ek kullanın |
| Dizüstü sürücüsü söküldü ve başka yerde okundu | Evet, tam disk şifreleme açıksa | Sistem ayarlarında açık olduğunu doğrulayın |
| Bulut yedeği ya da eşitleme | Sağlayıcıya ve ayarlara bağlı | Sağlayıcının neyin şifrelendiğine dair açıklamasını okuyun |
| Kâğıt çıktı | Hayır | İmha edin (imha) |
Dürüst sınır ikinci satırdır. Encryption at rest, depolanan veriyi cihaza ya da depolamaya sahip olan ama anahtara sahip olmayan birine karşı korur. Zaten kilidi açık bir oturumun içindeki birine ya da dosyayı verdiğiniz bir kişiye karşı hiçbir şey yapmaz.
Ne saklamalı, ne kadar süre
Şifreleme bir belge değildir; bu yüzden dosyalanacak bir şey yoktur. Saklamaya değer olan alışkanlık ve birkaç bilgidir.
- Parolanız ve kurtarma bilgileriniz. Anahtarı kaybederseniz şifreli veri sonsuza kadar gidebilir. Kurtarma ayrıntılarını dijital acil durum dosyanız gibi güvenli ve ayrı bir yerde saklayın.
- Şifreli bir yedek. Şifreleme yedeğin yerini tutmaz. Önemli belgeleri yedekleme sayfasına bakın.
- Hassas dosyaların nerede durduğuna ve hangi uygulamaların onları koruduğuna dair bir not. Belgelerin kendisinin ne kadar süre saklanacağı ayrı bir sorudur: bkz. belge saklama.
Bilinmeye değer bir ipucu: bazı biçimler on yıllar sonra okunabilir olmak üzere yapılmıştır ve dosyanın içinde şifrelemeyi yasaklar. Arşivsel PDF standardı PDF/A bunlardan biridir. Olağan yanıt, dosyayı değil depolamayı korumaktır.
Paperlock’un yeri: belgeleri iOS Data Protection kullanılarak telefonda şifreli olarak saklanır ve uygulama bunun üstüne bir Face ID ya da parola kilidi ekler. Bu, yukarıda anlatılan aynı at-rest katmanı artı kilidi açık telefon durumu için bir kilittir.