Backup Encryption คืออะไรและมีความสำคัญอย่างไรต่อภาพรวมด้านความปลอดภัยของแบ็คอัพของคุณ
การเข้ารหัสข้อมูลสำรอง (Backup Encryption)
การเข้ารหัส (Encryption) ถูกนำมาใช้อย่างแพร่หลายเพื่อวัตถุประสงค์ด้านความปลอดภัย เนื่องจากช่วยป้องกันไม่ให้บุคคลภายนอกที่ไม่ได้รับอนุญาตสามารถเข้าถึงหรือเผยแพร่ข้อมูลส่วนตัวได้ ข้อมูลสำรอง (Backup) ก็เช่นเดียวกัน เพราะมักตกเป็นเป้าหมายของการโจมตี และทำให้เกิดการรั่วไหลของข้อมูล
การนำ Backup Encryption มาใช้เป็นส่วนหนึ่งของกลยุทธ์การปกป้องข้อมูล จะช่วยเพิ่มชั้นความปลอดภัยให้กับข้อมูลสำรอง และทำให้โครงสร้างพื้นฐานของระบบสำรองข้อมูล (Backup Infrastructure) มีความมั่นคงปลอดภัยมากยิ่งขึ้น
Backup Encryption คืออะไร
Backup Encryption คือกระบวนการแปลงข้อมูลสำรองจากรูปแบบที่มนุษย์สามารถอ่านได้ (Readable Format) ให้กลายเป็นข้อมูลที่อยู่ในรูปแบบเข้ารหัส ซึ่งไม่สามารถอ่านหรือใช้งานได้ หากไม่มี กุญแจถอดรหัส (Decryption Key) หรือ รหัสผ่าน (Password) ที่ถูกต้อง
ด้วยเหตุนี้ แม้ว่าข้อมูลสำรองจะถูกขโมยหรือเข้าถึงโดยผู้ที่ไม่มีสิทธิ์ ข้อมูลดังกล่าวก็จะไม่สามารถถูกเปิดอ่าน นำไปใช้ หรือเปิดเผยได้ เว้นแต่ผู้ใช้นั้นจะมีกุญแจถอดรหัสที่ถูกต้อง ซึ่งกุญแจดังกล่าวควรถูกเก็บไว้เฉพาะสำหรับผู้ที่ได้รับอนุญาตเท่านั้น
ดังนั้น Backup Encryption จึงถือเป็นมาตรการสำคัญในการป้องกันข้อมูลสำคัญจากการถูกขโมย สูญหาย หรือรั่วไหล ทั้งในระหว่างการจัดเก็บและการรับส่งข้อมูล
ตัวอย่างของการเข้ารหัสข้อมูล
ตัวอย่างง่าย ๆ ของการเข้ารหัส คือการนำข้อความธรรมดา (Plain Text) ที่ทุกคนสามารถอ่านได้ มาแปลงเป็นข้อความที่ถูกเข้ารหัส (Cipher Text) เมื่อเปิดไฟล์ดังกล่าวด้วยวิธีปกติ จะไม่สามารถเข้าใจเนื้อหาได้ เนื่องจากข้อมูลถูกแปลงด้วยอัลกอริทึมเข้ารหัสและกุญแจลับ (Secret Key) เฉพาะผู้ที่มีกุญแจถอดรหัสเท่านั้น จึงจะสามารถแปลงข้อมูลกลับมาเป็นข้อความต้นฉบับได้
ความสำคัญของการเข้ารหัสข้อมูลสำรอง
การเข้ารหัสข้อมูลสำรองมีความสำคัญอย่างมากในการป้องกันการขโมยข้อมูลและการรั่วไหลของข้อมูลจากบุคคลที่ไม่ได้รับอนุญาต อาชญากรไซเบอร์สามารถขโมยข้อมูลขององค์กรเพื่อนำไปขายให้คู่แข่ง หรือเผยแพร่ข้อมูลบนอินเทอร์เน็ตเพื่อสร้างความเสียหายเพิ่มเติม ซึ่งอาจส่งผลกระทบอย่างรุนแรงทั้งต่อชื่อเสียงและความเสียหายทางการเงินขององค์กร
ในปัจจุบัน มัลแวร์ สปายแวร์ และแรนซัมแวร์ (Ransomware) มีความสามารถสูงขึ้นและถูกใช้งานอย่างแพร่หลายในการโจมตีองค์กร นอกจากการป้องกันการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาตแล้ว การเข้ารหัสข้อมูลสำรองยังมีข้อดีอื่น ๆ อีกหลายประการ ได้แก่
1. การปฏิบัติตามกฎหมายและมาตรฐาน (Compliance)
หลายองค์กรจำเป็นต้องปฏิบัติตามกฎหมายหรือมาตรฐานด้านความปลอดภัยของข้อมูล เช่น
- GDPR (General Data Protection Regulation)
- PCI DSS (Payment Card Industry Data Security Standard)
- CCPA (California Consumer Privacy Act)
- HIPAA (Health Insurance Portability and Accountability Act)
- CIRCIA
- SOC 3
มาตรฐานเหล่านี้กำหนดให้องค์กรต้องมีการเข้ารหัสข้อมูล ทั้งในขณะจัดเก็บและระหว่างการรับส่งข้อมูล สำหรับในไทยเอง ก็มีกฎหมายหลายฉบับที่ออกมาเพื่อเป็นแนวทางในการรักษาข้อมูลสำหรับองค์กรที่ต้องเก็บข้อมูลลูกค้า
2. เพิ่มระดับความปลอดภัยโดยรวม
การเข้ารหัสข้อมูลสำรองช่วยเพิ่มอีกหนึ่งชั้นของการป้องกันให้กับระบบสำรองข้อมูล ตัวอย่างเช่น หากองค์กรนำฮาร์ดดิสก์ที่บันทึกข้อมูลสำรองไปเก็บยังศูนย์สำรองข้อมูล (Disaster Recovery Site) หากฮาร์ดดิสก์ดังกล่าวสูญหายหรือถูกขโมย บุคคลภายนอกก็ไม่สามารถเปิดอ่านข้อมูลภายในได้ เพราะข้อมูลทั้งหมดถูกเข้ารหัสไว้แล้ว
การเข้ารหัสข้อมูลสำรองเพื่อป้องกัน Ransomware
การสำรองข้อมูลมีวัตถุประสงค์เพื่อสร้างสำเนาของข้อมูลต้นฉบับอย่างน้อยหนึ่งชุด เพื่อให้สามารถกู้คืนข้อมูลได้อย่างรวดเร็วเมื่อเกิดเหตุการณ์ไม่คาดคิด หากข้อมูลต้นฉบับถูกลบหรือถูกเข้ารหัสโดย Ransomware ผู้ดูแลระบบก็สามารถกู้คืนข้อมูลจาก Backup ได้
อย่างไรก็ตาม ผู้โจมตีเองก็ทราบดีว่าองค์กรใช้ Backup เพื่อกู้คืนข้อมูล จึงมักพยายามเข้าถึงข้อมูลสำรองและทำลายหรือเข้ารหัสข้อมูลสำรองเหล่านั้นด้วย ก่อนที่จะลบหรือเข้ารหัส Backup ผู้โจมตีบางรายอาจทำการคัดลอกข้อมูลสำรองทั้งหมดออกไปยังเซิร์ฟเวอร์ของตนเอง เพื่อดึงข้อมูลสำคัญจาก Backup ที่ขโมยมา
การเข้ารหัส Backup ป้องกันอะไรได้บ้าง
หากไฟล์ Backup ถูกเข้ารหัสไว้แล้ว แม้ผู้โจมตีจะสามารถขโมยไฟล์ Backup ไปได้ ก็จะไม่สามารถเปิดอ่านข้อมูลภายในได้ หากไม่มีกุญแจถอดรหัส แม้ว่า Ransomware จะสามารถเข้ารหัสไฟล์ Backup ซ้ำอีกครั้ง ทำให้เจ้าของข้อมูลไม่สามารถใช้งาน Backup ได้แต่ผู้โจมตีก็ยังไม่สามารถอ่านข้อมูลที่อยู่ภายใน Backup ได้
กล่าวคือ
- Backup ที่ถูกเข้ารหัส ไม่สามารถป้องกันการถูกลบหรือถูกเข้ารหัสซ้ำโดย Ransomware
- แต่สามารถ ป้องกันการรั่วไหลของข้อมูล (Data Exfiltration) ได้อย่างมีประสิทธิภาพ
ซึ่งมีความสำคัญมาก เพราะปัจจุบันกลุ่ม Ransomware นิยมใช้วิธี
1. ขโมยข้อมูลออกไปก่อน
2. จากนั้นจึงเข้ารหัสระบบ
3. แล้วข่มขู่ว่าจะเผยแพร่ข้อมูล หากองค์กรไม่ยอมจ่ายค่าไถ่
หากข้อมูลสำรองถูกเข้ารหัสไว้อย่างปลอดภัย ข้อมูลที่ถูกขโมยไปก็แทบไม่มีประโยชน์ต่อผู้โจมตี
Hardware Encryption
ในบางกรณี การเข้ารหัสด้วยฮาร์ดแวร์ (Hardware Encryption) อาจให้ความปลอดภัยสูงกว่า Software Encryption
ตัวอย่างของอุปกรณ์ที่ใช้เก็บกุญแจเข้ารหัส ได้แก่
- Hardware Security Module (HSM)
- PCIe Encryption Card
- USB Security Key
- Smart Card
- HASP Key
กุญแจเข้ารหัสจะถูกเก็บอยู่ภายในอุปกรณ์เหล่านี้ ทำให้ผู้โจมตีดึงกุญแจออกมาได้ยากกว่าการเก็บไว้ในซอฟต์แวร์
อย่างไรก็ตาม วิธีนี้ก็มีข้อเสีย เช่น
- ต้องติดตั้ง Driver เพิ่มเติม
- มีค่าใช้จ่ายสูงกว่า
- การจัดการซับซ้อนกว่า
Air-Gapped Storage และ Immutable Storage
สำหรับวิธีนี้เป็นวิธีที่มีการพูดถึงกันมากในช่วงหลังๆ มานี้ มันมีเพื่อป้องกัน Ransomware ควรใช้ Air-Gapped Storage ซึ่งเป็นระบบจัดเก็บข้อมูลที่ถูกตัดการเชื่อมต่อจากเครือข่ายอย่างสมบูรณ์ ทำให้ Ransomware ไม่สามารถเข้าถึงหรือแก้ไขข้อมูลสำรองได้
อีกแนวทางหนึ่งคือ Immutable Storage
ซึ่งเป็นระบบจัดเก็บข้อมูลที่ไม่อนุญาตให้ลบหรือแก้ไขข้อมูลภายในช่วงเวลาที่กำหนด แม้แต่ผู้ดูแลระบบหรือ Ransomware ก็ไม่สามารถเปลี่ยนแปลงข้อมูลได้ ซึ่งจะสะดวกกว่า Air-Gapped เพราะไม่ต้องตัดออกจากเน็ตหรือเครือข่าย ไม่ต้องย้ายที่เก็บ
ทั้ง Air-Gapped Storage และ Immutable Storage ถือเป็นแนวทางที่มีประสิทธิภาพสูงในการป้องกันข้อมูลสำรองจากการโจมตีของ Ransomware
Encryption at Rest, Encryption in Flight (in Transit) และอัลกอริทึมการเข้ารหัส
การเข้ารหัสข้อมูลขณะจัดเก็บ (Encryption at Rest) และขณะรับส่งข้อมูล (Encryption in Transit)
การเข้ารหัสข้อมูลสำรองสามารถทำได้ในสองช่วงเวลาหลัก ได้แก่
1. ระหว่างการส่งข้อมูลผ่านเครือข่าย (Encryption in Flight / in Transit)
2. ขณะจัดเก็บข้อมูลบนสื่อบันทึก (Encryption at Rest)
ทั้งสองรูปแบบมีหน้าที่และวัตถุประสงค์ที่แตกต่างกัน
Encryption in Transit/in Flight
ก่อนที่ข้อมูลจะถูกเขียนลงบนอุปกรณ์จัดเก็บข้อมูลปลายทาง ข้อมูลสำรองมักจะถูกส่งผ่านเครือข่ายเสียก่อน หากข้อมูลถูกส่งผ่านเครือข่ายโดยไม่มีการเข้ารหัส ผู้ไม่หวังดีสามารถใช้โปรแกรมดักจับข้อมูล (Packet Sniffer) เพื่อดักฟังและอ่านข้อมูลที่กำลังส่งได้
การเข้ารหัสข้อมูลระหว่างการรับส่ง (Encryption in Transit) ช่วยลดความเสี่ยงดังกล่าว โดยข้อมูลจะถูกเข้ารหัสตั้งแต่ต้นทางไปจนถึงปลายทาง ทำให้แม้ข้อมูลจะถูกดักจับ ก็ไม่สามารถอ่านได้หากไม่มีคีย์ถอดรหัส
Encryption at Rest
Encryption at Rest คือการเข้ารหัสข้อมูลหลังจากถูกบันทึกลงบนสื่อจัดเก็บข้อมูลเรียบร้อยแล้ว เช่น
- Backup Repository
- ฮาร์ดดิสก์ (HDD)
- SSD
- เทปสำรองข้อมูล (Tape)
- Cloud Storage
หากผู้โจมตีสามารถเข้าถึงอุปกรณ์จัดเก็บข้อมูลได้ ข้อมูลภายในก็ยังคงไม่สามารถอ่านได้ เพราะถูกเข้ารหัสไว้แล้ว
แนวทางที่ดีที่สุดคือการใช้ทั้ง
- Encryption in Transit
- Encryption at Rest
ซึ่ง Nakivo สนับสนุนทั้งสองรูปแบบ ด้วยการเข้ารหัสระดับ AES-256 Encryption
ด้วยวิธีนี้
- ข้อมูลปลอดภัยระหว่างการส่งผ่านเครือข่าย
- ข้อมูลปลอดภัยแม้ถูกขโมยจาก Backup Repository
จึงเป็นแนวทางที่ได้รับความนิยมในองค์กรขนาดใหญ่
อัลกอริทึมการเข้ารหัส (Encryption Algorithms)
การเข้ารหัสข้อมูลอาศัยอัลกอริทึมทางคณิตศาสตร์ร่วมกับกุญแจเข้ารหัส (Encryption Key) ในทางปฏิบัติ ผู้ใช้มักไม่จำเป็นต้องจำกุญแจเข้ารหัสที่มีความยาวหลายร้อยบิต เพราะซอฟต์แวร์สามารถแปลง Password หรือ Passphrase ให้กลายเป็น Encryption Key ได้โดยอัตโนมัติ
ระดับความปลอดภัยของข้อมูลขึ้นอยู่กับ
- ความแข็งแรงของอัลกอริทึม
- ความยาวของกุญแจ
- วิธีการจัดเก็บกุญแจ
ประเภทของอัลกอริทึม
อัลกอริทึมแบ่งออกเป็น 2 กลุ่มใหญ่
1. Symmetric Encryption หรือการใช้กุญแจเพียงดอกเดียว ทั้งการเข้าและถอดรหัส มันมีข้อดีคือ เร็ว ใช้ CPU น้อย เหมาะสำหรับ Backup ขนาดใหญ่
ตัวอย่าง
- AES
- DES
- 3DES
- Blowfish
- Twofish
2. Asymmetric Encryption ใช้กุญแจสองดอกคือถอดรหัสด้วย Public Key และเข้ารหัสด้วย Private Key โดยวิธีการที่ใช้เทคนิคนี้คือ
- RSA
- ECC
- DSA
- Diffie-Hellman
Asymmetric Encryption มักใช้สำหรับ
- Digital Certificate
- SSL/TLS
- Email Encryption
มากกว่าการเข้ารหัส Backup โดยตรง
AES (Advanced Encryption Standard)
AES เป็นมาตรฐานการเข้ารหัสที่ได้รับความนิยมมากที่สุดในปัจจุบัน เนื่องจาก มันเร็ว ปลอดภัยสูง และ ผ่านการทดสอบและรับรองจากสถาบันระดับโลก
ความยาวของกุญแจ
AES รองรับ AES-128, 192, 256 โดยที่ AES-256 ถือว่าเป็นมาตรฐานสูงสุดในปัจจุบัน และใช้ กุญแจขนาด 256 บิต
หากใช้การโจมตีแบบ Brute Force ต้องใช้เวลาหลายพันปีในการเดาคีย์ให้ถูก (เมื่อเทียบกับประสิทธิภาพของคอมพิวเตอร์ในปัจจุบัน) จึงเป็นเหตุผลที่ Backup Software ระดับ Enterprise ส่วนใหญ่เลือกใช้ AES-256 รวมทั้ง Nakivo เอง
การเข้ารหัสผ่านเครือข่าย
สำหรับการรับส่งข้อมูลผ่านเครือข่าย นิยมใช้ SSL/TLS ซึ่งเราคุ้นเคยจากใน HTTPS
Encryption vs Hash, ความเสี่ยงของ Backup Encryption และการจัดการกุญแจ (Key Management)
Encryption กับ Hash แตกต่างกันอย่างไร
หลายคนมักสับสนระหว่าง Encryption และ Hashing แต่ทั้งสองมีวัตถุประสงค์ต่างกัน ดังนี้
Encryption (การเข้ารหัส)
- สามารถถอดกลับเป็นข้อมูลเดิมได้
- ต้องใช้ Encryption Key
- ใช้เพื่อปกป้องความลับของข้อมูล
ตัวอย่างการใช้งาน
- Backup
- Database
- File Encryption
- Disk Encryption
Hash
Hash Function เป็นฟังก์ชันทางคณิตศาสตร์แบบ One-way คือ สามารถสร้าง Hash ได้ แต่ ไม่สามารถคำนวณย้อนกลับเป็นข้อมูลเดิมได้ ตัวอย่าง SHA-256 และ MD5
Hash ใช้สำหรับ
- ตรวจสอบความถูกต้องของไฟล์ (Integrity)
- เก็บ Password
- ตรวจสอบความถูกต้องของข้อมูล
ความเสี่ยงของ Backup ที่เข้ารหัส
แม้ว่าการเข้ารหัสจะเพิ่มความปลอดภัย แต่ก็เพิ่มความซับซ้อนให้กับระบบด้วย ความเสี่ยงที่สำคัญ ได้แก่
- ทำกุญแจหาย หากสูญเสีย Encryption Key หรือ Password จะไม่สามารถกู้คืน Backup ได้เลย แม้แต่ผู้ผลิตซอฟต์แวร์ Backup ก็ไม่สามารถช่วยถอดรหัสได้
- กุญแจถูกขโมย หากผู้โจมตีได้กุญแจไป Backup ที่เข้ารหัสไว้ทั้งหมด ก็สามารถถูกถอดรหัสได้ทันที
- Tape Backup LTO-4 ถึง LTO-7 รองรับ AES-256 Hardware Encryption โดยกุญแจจะถูกเก็บไว้ใน Tape Drive ไม่ใช่บน Tape หากเกิดภัยพิบัติ และ Tape Drive ถูกทำลาย แต่ไม่มีการสำรองกุญแจไว้ Backup ทั้งหมดบน Tape จะไม่สามารถกู้คืนได้
- Full Disk Encryption หากเข้ารหัสทั้ง HDD หรือ SSD เมื่อ Disk เสียหาย การกู้ข้อมูลในห้อง Lab อาจทำไม่ได้ ดังนั้น Backup ยังคงเป็นสิ่งจำเป็น
เพราะฉะนั้นเพื่อลดความเสี่ยงควรทดสอบ Backup เป็นประจำ องค์กรควรทำBackup Recovery Test เป็นประจำ
เพื่อให้มั่นใจว่า
- กุญแจยังใช้งานได้
- Password ยังถูกต้อง
- สามารถกู้คืนข้อมูลได้จริง
Key Management
การใช้ Encryption Key เพียงดอกเดียวกับข้อมูลทั้งหมด ถือว่ามีความเสี่ยงสูง หากกุญแจหลุด ข้อมูลทั้งหมดจะถูกถอดรหัสได้ทันที แนวทางที่ดีกว่า คือ ใช้หลายกุญแจ สำหรับ Backup แต่ละประเภท หรือ แต่ละระบบ หรือแต่ละหน่วยงาน
การจัดเก็บกุญแจ
ควรจัดเก็บกุญแจไว้ในสถานที่ปลอดภัย และอนุญาตให้เฉพาะผู้ที่ได้รับสิทธิ์เข้าถึงเท่านั้น ผู้ดูแลระบบควรมีแผนรองรับกรณีเกิดภัยพิบัติ เพื่อให้สามารถนำกุญแจกลับมาใช้งานได้
Key Management System (KMS)
เพื่อช่วยบริหารจัดการกุญแจตลอดวงจรชีวิต สมัยใหม่ที่ หลายองค์กรเลือกใช้
Key Management System (KMS) ช่วยให้สามารถ จัดเก็บกุญแจอย่างปลอดภัย ควบคุมสิทธิ์การเข้าถึง กำหนดนโยบายการใช้งาน รวมถึง หมุนเวียนกุญแจ (Key Rotation) เพื่อให้ท่าน
ลดความเสี่ยงจากการสูญหายหรือการรั่วไหลของกุญแจ
หนึ่งในมาตรฐานที่นิยมใช้สำหรับการแลกเปลี่ยนและบริหารจัดการกุญแจคือ KMIP (Key Management Interoperability Protocol) ซึ่งช่วยให้ระบบต่าง ๆ สามารถทำงานร่วมกันได้ นอกจากนี้ องค์กรยังนิยมใช้ Key Vaultเพื่อจัดเก็บและบริหารจัดการกุญแจเข้ารหัสอย่างเป็นศูนย์กลาง ช่วยเพิ่มทั้งความปลอดภัยและความสะดวกในการบริหารจัดการในระยะยาว.