ปกป้องเอกสาร Collabora CODE ที่จัดเก็บไว้ด้วยการเข้ารหัสพื้นที่จัดเก็บข้อมูล

ในการเข้ารหัสเอกสารขณะจัดเก็บเมื่อใช้ Collabora Online Development Edition (CODE) ให้เปิดใช้งานการเข้ารหัสในแพลตฟอร์มจัดเก็บไฟล์หรือบนดิสก์ที่อยู่เบื้องหลัง ไม่ใช่ในโปรแกรมแก้ไข CODE Collabora เปิดเอกสารที่จัดหาโดยโฮสต์จัดเก็บข้อมูล WOPI โดยที่โฮสต์มีหน้าที่รับผิดชอบในการปกป้องสำเนาที่บันทึกไว้ ผลลัพธ์ที่ได้คือพื้นที่จัดเก็บข้อมูลที่เข้ารหัส การแก้ไขที่ใช้งานได้ และไฟล์ที่สามารถกู้คืนได้

ระบุว่าระบบใดเป็นผู้จัดเก็บไฟล์จริง ๆ

โดยทั่วไปแล้ว การใช้งานจะใช้ Nextcloud หรือบริการอื่นที่เข้ากันได้กับ WOPI สำหรับการจัดเก็บไฟล์ และใช้ CODE สำหรับการแก้ไขผ่านเว็บเบราว์เซอร์ เอกสารจะย้ายไปมาระหว่างส่วนประกอบเหล่านี้ในระหว่างเซสชันการแก้ไขที่ได้รับอนุญาต การเปิดใช้งาน HTTPS จะช่วยปกป้องการเชื่อมต่อ แต่จะไม่เข้ารหัสสำเนาที่จัดเก็บไว้ ภาพรวมด้านความปลอดภัย ของ Collabora อธิบายว่าการจัดเก็บข้อมูลนั้นถูกควบคุมโดยการผสานรวม ในขณะที่เทมเพลตการกำหนดค่าเซิร์ฟเวอร์จะอธิบายเกี่ยวกับ WOPI, TLS และการตั้งค่าแคชและการกักกันเพิ่มเติม

ก่อนทำการเปลี่ยนแปลงใดๆ โปรดจดบันทึกว่าโฮสต์ WOPI บันทึกไฟล์เอกสารไว้ที่ใด ไม่ว่าจะเป็นดิสก์ภายในเครื่องหรือที่เก็บข้อมูลภายนอก และ CODE ทำงานอยู่ที่ใด รวมถึงไฟล์สำรอง สแนปช็อต ตัวอย่าง ไฟล์สวอป และวอลุ่มคอนเทนเนอร์ด้วย: สำเนาที่อยู่นอกไดเร็กทอรีหลักอาจไม่ได้รับการปกป้อง

เลือกวิธีการเข้ารหัสที่เหมาะสมกับระดับความเสี่ยง

สำหรับเอกสารที่จัดเก็บอยู่บนดิสก์ภายในเครื่องเซิร์ฟเวอร์ Linux การเข้ารหัสดิสก์หรือวอลุ่ม เช่น LUKS มักเป็นตัวเลือกที่ตรงไปตรงมาที่สุด วิธีนี้จะปกป้องพื้นที่จัดเก็บข้อมูลเมื่อวอลุ่มถูกล็อก รวมถึงป้องกันการขโมยไดรฟ์ที่ปิดเครื่องอยู่ด้วยเอกสารเกี่ยวกับการเข้ารหัสทั้งดิสก์ ของ Ubuntu อธิบายว่า LUKS เป็นการเข้ารหัสระดับบล็อก ไม่ใช่การตั้งค่าแอปพลิเคชัน ควรใช้วอลุ่มที่เข้ารหัสใหม่หรือการย้ายข้อมูลที่ผ่านการทดสอบแล้ว: การเริ่มต้นใช้งาน LUKS อาจทำลายข้อมูลที่มีอยู่ได้

หาก Nextcloud จัดเก็บไฟล์ไว้ในพื้นที่จัดเก็บข้อมูลของบุคคลที่สาม และผู้ให้บริการจัดเก็บข้อมูลนั้นไม่ควรเข้าถึงเนื้อหาของไฟล์ การเข้ารหัสฝั่งเซิร์ฟเวอร์ (SSE) ของ Nextcloud อาจเหมาะสมกว่า SSE จะเข้ารหัสเนื้อหาไฟล์ที่รองรับก่อนที่จะบันทึกไปยังพื้นที่จัดเก็บข้อมูลแบ็กเอนด์ กุญแจในการเข้ารหัสจะยังคงอยู่ใน Nextcloud ดังนั้นเซิร์ฟเวอร์หรือผู้ดูแลระบบที่ถูกบุกรุกจึงสามารถเข้าถึงไฟล์ที่ถอดรหัสแล้วได้ Nextcloud แนะนำให้พิจารณาการเข้ารหัสดิสก์สำหรับพื้นที่จัดเก็บข้อมูลภายในเครื่อง

หากแม้แต่ผู้ดูแลระบบแอปพลิเคชันก็ไม่สามารถอ่านเอกสารได้ การเข้ารหัสดิสก์ที่ไม่ได้ล็อกหรือ SSE ทั่วไปก็ไม่สามารถตอบสนองความต้องการนั้นได้ ประเมินเวิร์กโฟลว์การเข้ารหัสฝั่งไคลเอ็นต์หรือแบบ end-to-end ที่รองรับ และยืนยันว่าการแก้ไขผ่านเบราว์เซอร์ยังคงใช้งานได้ อย่าคิดว่าเอกสารที่เข้ารหัสทุกฉบับจะสามารถเปิดร่วมกันได้ใน CODE

เปิดใช้งานการเข้ารหัสบนโฮสต์จัดเก็บข้อมูล

ตัวเลือก A: เข้ารหัสไดรฟ์ภายในเครื่อง

สำหรับการติดตั้งระบบ Linux ใหม่ ให้จัดเตรียมข้อมูลไฟล์และวอลุ่มบริการที่เกี่ยวข้องไว้ในพื้นที่จัดเก็บข้อมูลที่เข้ารหัสก่อนนำเข้าเอกสาร เก็บข้อมูลการปลดล็อกและข้อมูลการกู้คืนไว้ภายนอกเซิร์ฟเวอร์ จำกัดการเข้าถึงของผู้ดูแลระบบ และทดสอบขั้นตอนการรีบูตหรือการปลดล็อก สำหรับระบบที่มีอยู่แล้ว ให้ตรวจสอบการสำรองข้อมูลและย้ายข้อมูลในช่วงเวลาที่ระบบหยุดทำงาน กำหนดค่าการเข้ารหัสสำหรับวอลุ่มบนคลาวด์หรือพื้นที่จัดเก็บข้อมูลแบบอ็อบเจ็กต์กับผู้ให้บริการ

ใช้lsblk -fเพื่อระบุประเภทของอุปกรณ์บล็อกและfindmnt -T /path/to/document/dataระบุระบบไฟล์ที่รองรับไดเร็กทอรีข้อมูลจริงของคุณ ตรวจสอบเส้นทางจากไดเร็กทอรีข้อมูลไปยังอุปกรณ์ที่เข้ารหัส: การติดตั้งcryptsetupเพียงอย่างเดียวไม่ได้เข้ารหัสระบบไฟล์

ตัวเลือก B: เปิดใช้งานการเข้ารหัสฝั่งเซิร์ฟเวอร์ของ Nextcloud

เมื่อใช้งาน Nextcloud SSE ได้อย่างเหมาะสม ให้ปฏิบัติตามคู่มือการเข้ารหัสฝั่งเซิร์ฟเวอร์ ของ Nextcloud สำรองข้อมูลการตั้งค่า Nextcloud ฐานข้อมูล ไฟล์ และคีย์การเข้ารหัสก่อนทำการเปลี่ยนแปลงใดๆ ตัดสินใจเลือกโหมดคีย์ก่อนเข้ารหัสเนื้อหา โดยคู่มือฉบับปัจจุบันระบุว่าคีย์หลักที่ควบคุมโดยเซิร์ฟเวอร์เป็นค่าเริ่มต้นสำหรับการใช้งานส่วนใหญ่

1. เปิดใช้งานโมดูลการเข้ารหัสเริ่มต้นของ Nextcloudในแอป จากนั้นเปิดใช้งานการเข้ารหัสฝั่งเซิร์ฟเวอร์ในการตั้งค่าการดูแลระบบ หรือใช้occคำสั่ง ที่ระบุไว้ในเอกสาร
2. ในการติดตั้ง Linux แบบทั่วไป ให้รันคำสั่งจากไดเร็กทอรีการติดตั้ง Nextcloud โดยใช้บัญชีเว็บเซิร์ฟเวอร์: sudo -E -u www-data php occ app:enable encryptionจากนั้นsudo -E -u www-data php occ encryption:enableปรับเปลี่ยนผู้ใช้และวิธีการเรียกใช้งานให้เหมาะสมกับการจัดแพ็กเกจของคุณ การใช้งาน Docker จะใช้คำสั่งภายในคอนเทนเนอร์ที่เหมาะสม
3. เรียกใช้คำสั่งsudo -E -u www-data php occ encryption:statusเพื่อยืนยันคุณสมบัติและโมดูลที่เลือก อย่าตีความว่าการเปิดใช้งานแฟล็กเป็นการพิสูจน์ว่าไฟล์ที่มีอยู่ทั้งหมดได้รับการเข้ารหัสแล้ว
4. กำหนดช่วงเวลาการบำรุงรักษาโดยที่ผู้ใช้ไม่สามารถเข้าถึงไฟล์ได้ และเรียกใช้sudo -E -u www-data php occ encryption:encrypt-allเพื่อจัดการกับไฟล์ที่มีอยู่แล้ว การดำเนินการนี้อาจใช้เวลานาน และเอกสารอ้างอิงคำสั่งการเข้ารหัสอย่างเป็นทางการระบุว่า การดำเนินการนี้จัดการโหมดการบำรุงรักษาและต้องใช้เทอร์มินัลแบบโต้ตอบ

SSE จะไม่รวมชื่อไฟล์ โฟลเดอร์ ไฟล์ถังขยะที่มีอยู่ เวอร์ชันเก่าบางเวอร์ชัน รูปภาพขนาดย่อ ภาพตัวอย่าง ดัชนีการค้นหา และข้อมูลแอปพลิเคชันบางอย่าง ปกป้องรายการที่ยกเว้นแยกต่างหากหากจำเป็น ปกป้องข้อมูลสำรองของคีย์การเข้ารหัส การสูญเสียคีย์ที่สำคัญหรือความลับของอินสแตนซ์อาจทำให้ไม่สามารถกู้คืนได้อย่างถาวร

ปกป้องโฮสต์ของ CODE และรักษาความปลอดภัยของเส้นทางการแก้ไข

แม้ว่าโฮสต์ WOPI จะเข้ารหัสเอกสารที่จัดเก็บไว้แล้วก็ตาม ควรประเมินเครื่อง CODE อย่างอิสระ Collabora อธิบายการจัดการเอกสารแบบแอคทีฟว่าเป็นแบบเน้นหน่วยความจำ และไม่ได้กำหนดให้ CODE เป็นที่เก็บเอกสารถาวร อย่างไรก็ตามcoolwsd.xmlเทมเพลตที่เผยแพร่มีการตั้งค่าสำหรับการกักกันและการแคชไฟล์เพิ่มเติม ดังนั้นควรตรวจสอบการใช้งานจริงแทนที่จะสันนิษฐานว่าสิ่งประดิษฐ์ชั่วคราวทั้งหมดหายไป ครอบคลุมพื้นที่จัดเก็บข้อมูลรันไทม์ของคอนเทนเนอร์ วอลุ่มที่เชื่อมต่อ สวอปของระบบ ดัมพ์ข้อผิดพลาด และการสำรองข้อมูลด้วยการเข้ารหัสหรือการควบคุมการเก็บรักษาที่เหมาะสม

ควรใช้ HTTPS ระหว่างเบราว์เซอร์, CODE และบริการ WOPI และจำกัดโฮสต์ WOPI ที่สามารถเชื่อมต่อได้เอกสารการกำหนดค่า Office ของ Nextcloud แนะนำให้จำกัดคำขอ WOPI เฉพาะที่อยู่ IP ของเซิร์ฟเวอร์ Collabora ที่คาดไว้เท่านั้น การควบคุมการเข้าถึงเหล่านี้ไม่ได้ทดแทนการเข้ารหัสข้อมูลขณะจัดเก็บ แต่ช่วยป้องกันไม่ให้ระบบจัดเก็บข้อมูลที่เข้ารหัสส่งข้อมูลแบบข้อความธรรมดาไปยังผู้แก้ไขที่ไม่ได้รับอนุญาต

อย่าเปิดใช้งานโหมดการจัดเก็บข้อมูลระบบไฟล์ภายในเครื่องของ Collabora สำหรับการใช้งานจริงเพื่อเป็นทางลัด SDK อย่างเป็นทางการของ Collabora ระบุว่าการจัดเก็บข้อมูลระบบไฟล์เป็นตัวเลือกสำหรับการทดสอบเท่านั้น และแนะนำให้ใช้ WOPI ควรคงการผสานรวมการจัดเก็บข้อมูลแบบปกติไว้ เพื่อให้การอนุญาตและพฤติกรรมการบันทึกข้อมูลกลับมีความสอดคล้องกัน

ตรวจสอบว่าผลลัพธ์นั้นดีพอหรือไม่

ใช้ไฟล์ตัวอย่างที่ไม่ละเอียดอ่อนสำหรับการทดสอบการยอมรับ อัปโหลดไฟล์ผ่านบริการจัดเก็บข้อมูล เปิดไฟล์ใน CODE แก้ไขบรรทัดหนึ่ง บันทึก ปิดตัวแก้ไข แล้วเปิดไฟล์อีกครั้ง การส่งและรับไฟล์ที่สำเร็จจะยืนยันว่าการแก้ไขยังคงใช้งานได้ แต่ไม่ได้พิสูจน์ว่าข้อมูลมีการเข้ารหัสขณะจัดเก็บ

• การตรวจสอบความถูกต้องของการจัดเก็บ:ตรวจสอบว่าไดเร็กทอรีเอกสารจริงชี้ไปยังไดรฟ์ที่เข้ารหัสตามที่ต้องการ หรือบริการจัดเก็บข้อมูลรายงานการกำหนดค่าการเข้ารหัสที่คาดไว้ สำหรับ SSE ให้ตรวจสอบว่าข้อมูลที่เก็บไว้ในแบ็กเอนด์ไม่สามารถอ่านได้หากไม่มีคีย์ของแอปพลิเคชันจัดเก็บข้อมูล โดยใช้การทดสอบแบบควบคุมและการเข้าถึงแบ็กเอนด์ที่ได้รับอนุญาต
• การครอบคลุมไฟล์เก่า:ยืนยันการย้ายข้อมูลหรือencryption:encrypt-allเสร็จสมบูรณ์แล้ว อย่าทดสอบเฉพาะไฟล์ที่อัปโหลดใหม่เท่านั้น
• สำเนาสำรอง:ตรวจสอบข้อมูลสำรอง สแนปช็อต ข้อมูลตัวอย่าง บันทึก และพื้นที่จัดเก็บข้อมูลของโฮสต์ CODE ว่าตรงตามข้อกำหนดการป้องกันเดียวกันหรือไม่
• ความสามารถในการกู้คืน:กู้คืนตัวอย่างและคีย์ที่จำเป็นในสภาพแวดล้อมการทดสอบแยกต่างหาก จากนั้นตรวจสอบว่าเอกสารสามารถเปิดและบันทึกได้ผ่าน CODE

ควรเปลี่ยนวิธีการเข้ารหัสหากผู้ให้บริการจัดเก็บข้อมูลหรือแอปพลิเคชันไม่สามารถถอดรหัสเนื้อหาได้ หากหมวดหมู่ข้อมูลที่ได้รับการปกป้องยังคงอยู่นอกขอบเขตการเข้ารหัส หรือหากไม่สามารถแสดงการกู้คืนคีย์ได้ การเข้ารหัสขณะจัดเก็บส่วนใหญ่จะช่วยจำกัดความเสี่ยงจากการสูญหายของข้อมูลในที่จัดเก็บและการอ่านข้อมูลจากระบบแบ็กเอนด์โดยไม่ได้รับอนุญาต แต่ไม่สามารถป้องกันเซิร์ฟเวอร์ที่ใช้งานอยู่ซึ่งถูกบุกรุก ผู้ใช้ที่ได้รับอนุญาตดาวน์โหลดไฟล์ หรือบัญชีที่ถูกขโมยจากการอ่านเอกสารที่เปิดอยู่ได้ด้วยตัวเอง