“Lưu trữ” (at rest) chỉ có nghĩa là “không di chuyển”. Bản quét hộ chiếu của bạn trong một thư mục là dữ liệu lưu trữ. Cùng bản quét đó đính kèm email, bay qua internet, là “đang truyền”. Giới bảo mật quan tâm đến sự khác biệt vì mối đe dọa khác nhau: ai đó chặn kết nối là một vấn đề, ai đó nhặt được điện thoại bị mất hoặc trộm máy tính xách tay là vấn đề khác.
Điện thoại là nơi thẻ bảo hiểm, hợp đồng thuê nhà và ảnh tờ khai thuế của bạn cuối cùng nằm lại, và điện thoại thì hay bị mất. Mã hóa dữ liệu lưu trữ là ổ khóa trên ngăn kéo đó.
Mã hóa dữ liệu lưu trữ là gì
NIST, cơ quan tiêu chuẩn của Mỹ, định nghĩa mã hóa là việc chuyển đổi dữ liệu đọc được, gọi là bản rõ, thành một dạng, gọi là bản mã, che giấu ý nghĩa ban đầu của dữ liệu để ngăn nó bị biết hoặc bị sử dụng. Nếu việc chuyển đổi có thể đảo ngược, việc đảo ngược gọi là giải mã. Khóa là thứ làm nó đảo ngược được: không có khóa, không đọc được.
Hướng dẫn của NIST về mã hóa bộ nhớ trên thiết bị người dùng cuối, SP 800-111, mô tả nó là việc dùng mã hóa và xác thực để hạn chế truy cập và sử dụng thông tin đã lưu. Hướng dẫn nêu ba cách tiếp cận phổ biến: mã hóa toàn bộ ổ đĩa, mã hóa phân vùng và ổ đĩa ảo, và mã hóa tệp hoặc thư mục. Lựa chọn đúng, theo hướng dẫn, chủ yếu phụ thuộc vào loại bộ nhớ, lượng thông tin cần bảo vệ, nơi cất giữ bộ nhớ, và các mối đe dọa bạn muốn ngăn chặn.
Cách tiếp cận của Apple trên iPhone là loại theo tệp. Hướng dẫn bảo mật của Apple nói Data Protection gán mỗi tệp vào một lớp, và khả năng truy cập tệp phụ thuộc vào việc khóa của lớp đó đã được mở hay chưa. Mỗi khi một tệp được tạo trên phân vùng dữ liệu, Data Protection tạo một khóa 256-bit mới cho nó và giao cho bộ mã hóa phần cứng, bộ này mã hóa tệp khi ghi vào bộ nhớ flash.
Trông nó như thế nào
Mã hóa dữ liệu lưu trữ không phải thứ bạn nhìn thấy. Nó xuất hiện ở vài chỗ, và bảng dưới đây tách bạch những gì nó bao phủ và không bao phủ.
| Tình huống | Có được mã hóa dữ liệu lưu trữ bảo vệ không? | Cần kiểm tra gì |
|---|---|---|
| Điện thoại bị mất hoặc bị trộm khi đang khóa | Có, đó là trường hợp nó được thiết kế cho | Dùng mật mã mạnh và thời gian tự khóa ngắn |
| Đưa điện thoại cho người khác khi đang mở khóa | Không | Tự khóa ngắn; Face ID cho ứng dụng nhạy cảm |
| Tệp gửi email hoặc tải lên | Không (đó là mã hóa khi truyền) | Dùng liên kết an toàn hoặc tệp đính kèm đã mã hóa |
| Ổ đĩa máy tính xách tay bị tháo ra và đọc ở nơi khác | Có, nếu bật mã hóa toàn bộ ổ đĩa | Xác nhận đã bật trong cài đặt hệ thống |
| Sao lưu hoặc đồng bộ đám mây | Tùy nhà cung cấp và cài đặt | Đọc mô tả của nhà cung cấp về những gì được mã hóa |
| Bản in giấy | Không | Hủy bằng máy hủy giấy (hủy tài liệu) |
Giới hạn thẳng thắn nằm ở hàng thứ hai. Mã hóa dữ liệu lưu trữ bảo vệ dữ liệu đã lưu khỏi người có thiết bị hoặc bộ nhớ nhưng không có khóa. Nó không làm gì được với người đã ở trong một phiên đã mở khóa, hoặc với người bạn đã đưa tệp cho.
Cần giữ lại gì và trong bao lâu
Mã hóa không phải tài liệu, nên không có gì để lưu hồ sơ. Thứ đáng giữ là thói quen và vài điều cần nhớ.
- Mật mã và thông tin khôi phục của bạn. Nếu mất khóa, dữ liệu đã mã hóa có thể mất vĩnh viễn. Cất thông tin khôi phục ở nơi an toàn và riêng biệt, chẳng hạn hồ sơ khẩn cấp kỹ thuật số của bạn.
- Một bản sao lưu đã mã hóa. Mã hóa không thay thế được sao lưu. Xem cách sao lưu giấy tờ quan trọng.
- Ghi chú về nơi lưu các tệp nhạy cảm, và ứng dụng nào bảo vệ chúng. Giữ chính các tài liệu trong bao lâu là câu hỏi riêng: xem thời hạn lưu giữ tài liệu.
Một mẹo đáng biết: một số định dạng được thiết kế để vẫn đọc được sau nhiều thập kỷ và cấm mã hóa bên trong tệp. PDF/A, tiêu chuẩn PDF lưu trữ, là một ví dụ. Câu trả lời thường gặp là bảo vệ bộ nhớ, không phải tệp.
Paperlock nằm ở đâu trong bức tranh này: tài liệu của ứng dụng được lưu mã hóa trên điện thoại bằng iOS Data Protection, và ứng dụng thêm một lớp khóa Face ID hoặc mật mã bên trên. Đó chính là lớp mã hóa dữ liệu lưu trữ mô tả ở trên, cộng thêm ổ khóa cho trường hợp điện thoại đã mở khóa.