Protejați documentele Collabora CODE în repaus cu criptarea spațiului de stocare

Pentru a cripta documentele aflate în repaus atunci când utilizați Collabora Online Development Edition (CODE), activați criptarea în platforma de stocare a fișierelor sau pe discul subiacent - nu în editorul CODE. Collabora deschide documentele furnizate de o gazdă de stocare WOPI, în timp ce gazda este responsabilă pentru protejarea copiilor salvate. Rezultatul ar trebui să fie spațiu de stocare criptat, editări funcționale și fișiere recuperabile.

Identificați sistemul care stochează de fapt fișierele

O implementare tipică utilizează Nextcloud sau un alt serviciu compatibil cu WOPI pentru stocarea fișierelor și CODE pentru editarea bazată pe browser. Un document se mișcă între aceste componente în timpul unei sesiuni de editare autorizate; activarea HTTPS protejează conexiunea respectivă, dar nu criptează copia stocată. Prezentarea generală a securității Collabora descrie stocarea ca fiind controlată prin integrare, în timp ce șablonul său de configurare a serverului documentează WOPI, TLS și setările opționale de cache și carantină.

Înainte de a modifica orice, înregistrați unde scrie fișierele documente gazda WOPI, dacă utilizează discuri locale sau spațiu de stocare extern pentru obiecte și unde rulează CODE în sine. Includeți copii de rezervă, instantanee, previzualizări, volume swap și container: copiile din afara directorului principal pot rămâne neprotejate.

Alegeți criptarea care corespunde riscului

Pentru documentele de pe discul local al unui server Linux, criptarea discului sau a volumului, cum ar fi LUKS, este de obicei opțiunea simplă. Aceasta protejează spațiul de stocare subiacent atunci când volumul este blocat, inclusiv împotriva furtului unei unități oprite. Documentația Ubuntu privind criptarea completă a discului descrie LUKS ca criptare la nivel de bloc, nu o setare a aplicației. Folosiți un volum criptat nou sau o migrare testată: inițializarea LUKS poate distruge datele existente.

Dacă Nextcloud stochează fișiere pe stocări terțe și furnizorul de stocare nu trebuie să le citească conținutul, criptarea pe server (SSE) de la Nextcloud ar putea fi o opțiune mai potrivită. Aceasta criptează conținutul fișierelor acceptate înainte de a le salva în spațiul de stocare backend. Cheile sale rămân în Nextcloud, astfel încât un server sau un administrator compromis poate accesa fișierele decriptate. Nextcloud recomandă luarea în considerare a criptării discului pentru stocarea locală.

Dacă nici măcar administratorul aplicației nu poate citi un document, nici criptarea pe disc deblocat, nici SSE obișnuit nu îndeplinesc această cerință. Evaluați un flux de lucru de criptare client-side sau end-to-end acceptat și confirmați că editarea în browser rămâne disponibilă; nu presupuneți că fiecare document criptat poate fi deschis în mod colaborativ în CODE.

Activați criptarea pe gazda de stocare

Opțiunea A: Criptați volumul local

Pentru o nouă implementare Linux, furnizați datele fișierelor și volumele de servicii relevante pe un spațiu de stocare criptat înainte de a importa documente. Păstrați secretul de deblocare și informațiile de recuperare în afara serverului, restricționați accesul administrativ și testați procedura de repornire sau deblocare. Pentru sistemele existente, verificați copiile de rezervă și migrați în timpul perioadelor de nefuncționare. Configurați criptarea pentru volumele în cloud sau stocarea obiectelor cu furnizorul.

Se utilizează lsblk -fpentru a identifica tipurile de dispozitive bloc și findmnt -T /path/to/document/datapentru a identifica sistemul de fișiere care susține directorul de date real. Verificați calea de la directorul de date la dispozitivul criptat: instalarea cryptsetupsingură nu criptează un sistem de fișiere.

Opțiunea B: Activați criptarea pe server Nextcloud

Când Nextcloud SSE este potrivit, urmați ghidul său de criptare pe server . Faceți o copie de rezervă a configurației Nextcloud, a bazei de date, a fișierelor și a cheilor de criptare înainte de a face modificări. Decideți asupra modului de cheie înainte de a cripta conținutul; ghidul actual descrie o cheie principală controlată de server ca fiind implicită pentru majoritatea implementărilor.

1. Activați modulul de criptare implicit Nextcloud în Aplicații, apoi activați criptarea pe server în setările de administrare sau utilizați occcomenzile documentate.
2. Pe o instalare Linux convențională, executați comenzi din directorul de instalare Nextcloud ca și cont de server web: sudo -E -u www-data php occ app:enable encryption, apoi sudo -E -u www-data php occ encryption:enable. Adaptați utilizatorul și metoda de execuție la pachetul dvs.; implementările Docker utilizează comenzi în interiorul containerului corespunzător.
3. Executați sudo -E -u www-data php occ encryption:statuspentru a confirma funcția și modulul selectat. Nu interpretați un indicator activat ca dovadă că fiecare fișier preexistent este criptat.
4. Programați o fereastră de întreținere fără acces la fișierele utilizatorului și executați o funcție sudo -E -u www-data php occ encryption:encrypt-allpentru a remedia fișierele preexistente. Această operațiune poate dura timp, iar referința oficială a comenzilor de criptare menționează că gestionează modul de întreținere și necesită un terminal interactiv.

SSE exclude numele de fișiere, folderele, fișierele coș de gunoi existente, unele versiuni vechi, miniaturile, previzualizările, indexurile de căutare și anumite date ale aplicației. Protejați elementele excluse separat, dacă este necesar. Protejați copiile de rezervă ale cheilor de criptare; pierderea cheilor esențiale sau a secretelor instanței poate împiedica permanent recuperarea.

Protejați gazda CODE și mențineți calea de editare în siguranță

Chiar și atunci când gazda WOPI criptează documentele stocate, evaluați independent mașina CODE. Collabora descrie gestionarea activă a documentelor ca fiind orientată spre memorie și nu poziționează CODE ca depozit permanent de documente. Cu toate acestea, coolwsd.xmlșablonul publicat include setări pentru fișiere opționale de carantină și memorate în cache, așadar inspectați implementarea reală, mai degrabă decât să presupuneți că lipsește orice artefact temporar. Acoperiți stocarea în timpul rulării containerelor, volumele montate, swap-urile de sistem, dump-urile de eroare și copiile de rezervă cu controale adecvate de criptare sau retenție.

Păstrați HTTPS între browsere, CODE și serviciul WOPI și restricționați gazdele WOPI care se pot conecta. Documentația de configurare Office a Nextcloud recomandă limitarea solicitărilor WOPI la adresele IP așteptate ale serverului Collabora. Aceste controale de acces nu înlocuiesc criptarea în repaus, dar ajută la prevenirea transmiterii textului simplu către un editor neautorizat de către sistemul de stocare criptat.

Nu activați modul de stocare locală a sistemului de fișiere din Collabora pentru producție ca o comandă rapidă; SDK-ul său oficial descrie stocarea sistemului de fișiere ca o opțiune doar pentru testare și recomandă WOPI. Mențineți integrarea normală a stocării, astfel încât autorizarea și comportamentul de salvare ulterioară să rămână consecvente.

Verifică dacă rezultatul este suficient de bun

Folosește un fișier exemplu nesensibil pentru testul de acceptare. Încarcă-l prin serviciul de stocare, deschide-l în CODE, editează o linie, salvează, închide editorul și redeschide-l. O operațiune dus-întors reușită confirmă că editarea funcționează în continuare; nu dovedește criptarea în repaus.

• Dovada stocării: verificați dacă directorul real al documentelor se rezolvă în volumul criptat dorit sau dacă serviciul de stocare raportează configurația de criptare așteptată. Pentru SSE, verificați dacă datele deținute de backend sunt ilizibile fără cheile aplicației de stocare, utilizând un test controlat și acces autorizat din backend.
• Acoperire fișiere vechi: confirmați migrarea sau encryption:encrypt-allfinalizarea cu succes; nu testați doar un fișier nou încărcat.
• Copii secundare: verificați copiile de rezervă, instantaneele, datele de previzualizare, jurnalele și spațiul de stocare CODE gazdă în raport cu aceeași cerință de protecție.
• Recuperabilitate: restaurați un eșantion și cheile necesare într-un mediu de testare separat, apoi confirmați că documentul se deschide și se salvează prin CODE.

Abordările comutatoare se aplică dacă furnizorul sau aplicația de stocare nu trebuie să poată decripta conținutul, dacă o categorie de date protejate rămâne în afara limitei de criptare sau dacă recuperarea cheii nu poate fi demonstrată. Criptarea în repaus limitează în principal expunerea la pierderea spațiului de stocare și la citirile neautorizate din backend; nu poate împiedica în sine un server activ compromis, un utilizator autorizat care descarcă un fișier sau un cont furat să citească un document deschis.