Prečo spájať stratégiu 3-2-1 so šifrovaním
Zálohovanie je poistka proti zlyhaniu hardvéru, ľudskej chybe, ransomvéru či živelným udalostiam. Samotná kópia však nie je cieľ: musí byť dostupná, integritná a dôverná. Práve preto sa osvedčené pravidlo 3-2-1 (tri kópie, na dvoch rôznych médiách, jedna mimo prevádzky/offsite) dopĺňa o end-to-end šifrovanie a riadenie kľúčov. Bez šifrovania záloha rozširuje útočný priestor: odcudzenie disku či prístup do cudzieho cloudu môže byť fatálne.
Pravidlo 3-2-1 (a moderné rozšírenia 3-2-1-1-0)
- 3 kópie dát: primárna + dve nezávislé zálohy (napr. lokálny NAS a cloud/offsite).
- 2 typy médií: kombinuj odlišné technológie (disky/NAS + objektový cloud, alebo disk + páska).
- 1 offsite: kópia mimo budovy/ISP/domény znižuje riziko požiaru, krádeže či rozsiahlej havárie.
Rozšírenie 3-2-1-1-0:
- +1 immutable/air-gapped kópia: nepremeniteľné „WORM“ snapshoty alebo offline médium (páska, odpojený disk).
- 0 chýb pri verifikácii: pravidelné testy obnovy a kontrolné súčty bez nezrovnalostí.
Modely hrozieb pre zálohy
- Kriminálny prístup k zariadeniu s nešifrovanou zálohou (krádež, strata).
- Účet v cloude kompromitovaný phishingom či reuse hesla.
- Ransomvér šifrujúci aj online pripojené zálohy.
- Interné zlyhania: zmazanie, prepis, chybná konfigurácia retention pravidiel.
- Technické riziká: bit-rot, „silent data corruption“, zlyhanie RAID bez kontroly integrity.
Šifrovanie: zásady a terminológia
- Šifrovanie v prenose (TLS): chráni pred odpočúvaním na sieti.
- Šifrovanie v pokoji: dáta na médiu sú šifrované; minimalizuje dopad fyzickej straty.
- End-to-end (E2EE): šifruješ pred odoslaním a kľúče ostávajú u teba; poskytovateľ nevie dešifrovať.
- Zero-knowledge model: poskytovateľ nepozná tvoju passphrase ani odvodené kľúče.
Algoritmy a režimy, ktoré dávajú zmysel
- AEAD šifry (autentizované šifrovanie): AES-GCM alebo XChaCha20-Poly1305 pre dôvernosť aj integritu.
- Derivácia kľúča z hesla: Argon2id (preferované) alebo PBKDF2 s vysokým počtom iterácií a náhodným saltom.
- Správa IV/nonce: unikátne pre každú šifrovaciu operáciu; pri GCM zabrániť reuse.
- Podpis alebo MAC metaúdajov: chráni názvy, veľkosti a strom súborov pred manipuláciou.
Riadenie kľúčov (KMS) a bezpečná passphrase
- Jedinečná, dlhá passphrase (min. 4–6 náhodných slov) uložená v správcovi hesiel alebo na papierovom trezore.
- HSM/KMS pre organizácie: auditovateľné, rotačné kľúče, oddelenie rolí (kto zálohuje ≠ kto spravuje kľúče).
- Obnova kľúčov: Shamir’s Secret Sharing pre delenie master kľúča (napr. 2 z 3 autorít).
- Životný cyklus kľúčov: rotácia, zneplatnenie, dokumentované postupy pri podozrení na kompromitáciu.
Topológie zálohovania so súkromím
- Lokálne šifrovanie → šifrovaný prenos → objektové úložisko: klient šifruje bloky/súbory ešte pred uploadom.
- NAS s E2EE klientom: šifrovanie na staniciach, NAS drží len ciphertext a kontrolné súčty.
- Pásky/offline disky: LTO s hardvérovým šifrovaním alebo softvérové E2EE + fyzická separácia (air-gap).
Typy záloh a dopad na súkromie a integritu
- Plná, inkrementálna, diferenciačná: kombinuj pre efektivitu a jednoduché obnovy.
- Deduplikácia: výkonná, ale pozor na únik informácií cez side-channels (napr. veľkosť blokov); preferuj deduplikáciu po šifrovaní s „content-defined chunking“ a per-chunk nonce.
- Versioning a snapshoty: chráni pred ransomvérom a chybou používateľa.
Integrita: viac než len „CRC“
- Silné hash funkcie (SHA-256/512) na každý súbor/blok + stromové štruktúry (Merkle) pre rýchle overenie.
- Pravidelný „scrub“ na NAS (ZFS/btrfs) odhaľuje tichú korupciu a opravuje z parity.
- End-to-end verifikácia po zálohe a pravidelné testy obnovy (sample restore).
Ransomvér: ako prežiť útok
- Offline/immutable zálohy: snapshoty s retenčnými politikami, ktoré útočník nemôže meniť.
- Oddelené účty a prístupové profily: zálohovací agent s minimálnymi právami, iné účty pre produkciu.
- Včasná detekcia anomálií: alerty na masové zmeny, nárast kompresie/entropie, prudký nárast verzovania.
Ochrana metaúdajov
Aj pri šifrovaní môžu metaúdaje (názvy, časové pečiatky, veľkosti) prezrádzať citlivé informácie. Minimalizuj ich únik:
- Archivácia do kontajnera (napr. TAR) pred šifrovaním, aby názvy a štruktúra zostali skryté.
- Padovanie veľkosti pri extrémnych modeloch hrozieb, výmena timestampov za deterministické markery.
Retenčné politiky a súlad s GDPR
- Minimalizmus údajov: nezálohuj to, čo netreba; citlivé súbory tried podľa kategórií.
- Časové retenčné obdobia: definuj RPO/RTO, legálne lehoty a mazanie (vrátane záloh) po exspirácii účelu.
- Prístup k zálohám: logovanie, audit, princíp najmenších oprávnení aj pre adminov zálohovacích systémov.
Konfigurácia: praktické odporúčania
- Predvolené E2EE: zálohovací klient šifruje lokálne; kľúče nepúšťaj poskytovateľovi.
- Argon2id s adekvátnymi parametrami (pamäť, iterácie) a unikátnym saltom; passphrase generovaná z náhodných slov.
- AEAD šifra: AES-256-GCM alebo XChaCha20-Poly1305; unikátne nonce, autentizácia tagom.
- 2FA/MFA na prístup do cloudu a na zmenu politiky retention/immutable.
- Oddelené „write“ a „delete“ roly: aby útočník s prístupom zálohy nemohol hneď zmazať.
Testovanie obnovy: jediná metrika, na ktorej záleží
- Quarterly „restore drills”: obnova náhodne vybraných adresárov na izolované prostredie a porovnanie hashov.
- Dokumentované postupy: skripty/Playbooky vrátane obnovy kľúčov a prístupov k providerom.
- Meraj RTO/RPO a upravuj plán (šírka pásma, paralelizmus, typy médií).
Domáce verzus firemné scenáre
- Domácnosti: jednoduché E2EE klientské zálohy (desktop → NAS → cloud), offsite cez rodinu/priateľa; passphrase v správcovi hesiel + papierová záloha.
- Firmy: KMS/HSM, role-based access, immutable objektové úložiská, DLP, SIEM alerty a pravidelné audity.
Checklist „3-2-1 + súkromie“
- Mám 3 kópie, 2 médiá a 1 offsite (ideálne +1 immutable)?
- Prebieha E2EE na klientovi a sú chránené aj metaúdaje?
- Je passphrase silná, unikátna a bezpečne uložená? Kľúče viem obnoviť?
- Sú zapnuté verifikácie integrity (hashy, scrub, test obnovy)?
- Mám MFA a oddelené roly pre správu a mazanie záloh?
- Existuje retencia a plán výmazu v súlade s GDPR?
Najčastejšie chyby, ktorým sa vyhnúť
- Nešifrované zálohy na prenosných diskoch či USB.
- Jedno médium (iba externý disk) a žiadny offsite.
- Online pripojené zálohy bez immutable ochrany (ľahký cieľ pre ransomvér).
- Slabá alebo zdieľaná passphrase; kľúč len v hlave jedného človeka bez núdzového prístupu.
- Žiadne testy obnovy – prvý test až pri incidente.
Zhrnutie
Efektívne zálohovanie so súkromím vzniká spojením 3-2-1 disciplíny, end-to-end šifrovania, zodpovedného riadenia kľúčov a pravidelného testovania obnovy. Ak k tomu pridáš immutable vrstvu a dôsledné retenčné politiky, výrazne znížiš riziko straty dát aj úniku citlivého obsahu – či už si jednotlivec, alebo organizácia.
