Dinlenimdeki veriyi şifreleme
Giriş
ONLYOFFICE Apps'in sunduğu Dinlenimdeki veriyi şifrele özelliği, çalışma alanınızdaki hassas verilerin güvenliğini sağlamanıza olanak tanır.
Şifreleme, diskte depolanan verilerin gizliliğini korumak amacıyla bilginin geri döndürülebilir biçimde dönüştürülmesidir. Böylece saldırganlar sabit diskte depolanan verilere erişmeyi başarsalar bile şifreli oldukları için bu verileri okuyamazlar.
Şifreleme, ONLYOFFICE örneğindeki tüm veri gövdesinin Encrypt-then-MAC türünde şifrelenmesine (AES-256-CBC + HMAC-SHA256) dayanır ve AES-256 uluslararası veri şifreleme standardına uygundur. ONLYOFFICE Apps'te verileri şifrelemek için CipherMode.CBC simetrik algoritmasıyla AES-256 şifreleme türü kullanılır; şifrelenen verilerin bütünlüğünü ve özgünlüğünü ise HMAC ileti kimlik doğrulama koduyla eşleştirilmiş SHA256 karma işlevi doğrular.
Bu özellik yalnızca sunucu sürümleri için kullanılabilir. Yalnızca DiscDataStore ile çalışır (yalnızca yerel disk. s3 ve diğer bulut hizmetleri için uygulanmamıştır).
Güvenlik nedeniyle şifrelenmiş verilerin ve şifreleme anahtarlarının aynı makinede saklanması önerilmez. Bu nedenle ONLYOFFICE Apps hizmetlerini ve disk depolamasını farklı makinelere dağıtmanız gerekir. Tek seçenek, başka bir makineyi harici sürücü olarak bağlamaktır.
Uzak makine diskini SSHFS ile bağlama
ONLYOFFICE Apps'in DEB paketleriyle kurulduğu durumda Linux'ta diski bağlama seçeneğini ele alalım.
SSHFS (Secure SHell FileSystem), SSH protokolü (daha doğrusu SFTP uzantısı) üzerinden dosyaları yerel bilgisayardaymış gibi uzaktan yönetmek için kullanılan, Linux için (ve FUSE (Filesystem in Userspace) uygulaması bulunan diğer işletim sistemleri için) bir istemci programıdır.
- HostA, ONLYOFFICE Apps'in bulunduğu uygulama sunucusu ana makinesidir
- HostB, dosya depolama ana makinesidir
- /var/www/onlyoffice/Data/, HostA üzerindeki veri klasörünün yoludur
- /app/onlyoffice/data, HostB üzerindeki veri klasörünün yoludur
- apps, HostA üzerindeki ayrıcalıksız kullanıcının adıdır
- datauser, HostB üzerindeki ayrıcalıksız kullanıcının adıdır
1. Adım. HostB'yi ayarlama
Sistemdeki güncellemeleri yükleyin ve yeniden başlatın:
sudo su
apt update
apt upgrade
reboot
Ayrıcalıksız kullanıcıyı ve hedef klasörü oluşturup yapılandırın:
sudo su
adduser datauser
mkdir /app/onlyoffice/data
chown datauser:datauser /app/onlyoffice/data
2. Adım. HostA'yı ayarlama
Sistemdeki güncellemeleri ve gerekli paketleri yükleyin ve yeniden başlatın:
sudo su
apt update
apt upgrade
apt install sshfs
reboot
ONLYOFFICE Apps hizmetlerini durdurun:
sudo systemctl stop 'apps-*' --all
Bağlamadan önce kaynak dizinin boş olması için ONLYOFFICE Apps verilerini geçici bir dizine taşıyın:
mkdir /var/www/onlyoffice/tmp
mv /var/www/onlyoffice/Data/* /var/www/onlyoffice/tmp/
Ayrıcalıksız kullanıcıyı oluşturun, anahtarları üretin ve bağlama noktasını hazırlayın:
sudo su
adduser apps
ssh-keygen -t ed25519 -f /root/.ssh/id_ed25519 -C "key_for_hostb_connection"
HostB'ye kopyalamak üzere genel anahtarı HostA ekranında görüntüleyin:
sudo su
cat /root/.ssh/id_ed25519.pub
Çıktı örneği:
root@sftp-test-01:~# cat /root/.ssh/id_ed25519.pub
ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIBsDV25Pg8yB1QHeTZXJGphGTDhfqQQKVetcqvhk0dkf key_for_hostb_connection
cat komutunun çıktısı olan anahtar kopyalanıp HostB üzerindeki /home/datauser/.ssh/authorized_keys dosyasına yapıştırılmalıdır.
HostA'dan HostB'ye anahtarı kullanarak bağlantıyı sınayın:
ssh -i /root/.ssh/id_ed25519 datauser@hostB
Önceki adımı doğru tamamladıysanız HostB'ye bir bağlantı açılmalıdır. Bağlantıyı exit komutuyla kapatabilirsiniz.
Bağlamayı sınayın:
sshfs -o reconnect,ServerAliveInterval=15,ServerAliveCountMax=3 datauser@hostB:/app/onlyoffice/data/ /var/www/onlyoffice/Data/
touch /var/www/onlyoffice/Data/test.txt
umount /var/www/onlyoffice/Data
Bu komutları çalıştırdıktan sonra test.txt dosyası HostB üzerindeki /app/onlyoffice/data klasöründe görünmelidir. Dosya görünüyorsa bağlama doğru çalışıyordur ve son yapılandırmaya geçebilirsiniz.
Ayrıcalıksız kullanıcının kimliğini öğrenin ve /etc/fstab dosyasında değişiklik yapın:
sudo id -u apps
Bu komut, apps kullanıcısının uid değerini gösterir; bu değeri bağlama satırındaki uid ve gid parametrelerine yazmanız gerekir:
sshfs#datauser@hostB:/app/onlyoffice/data /var/www/onlyoffice/Data fuse _netdev,users,allow_other,IdentityFile=/root/.ssh/id_ed25519,ServerAliveInterval=15,ServerAliveCountMax=3,reconnect,uid=1000,gid=1000,umask=0022 0 0
Bu satır /etc/fstab dosyasına eklenmelidir. Satırı ekledikten sonra klasörü /etc/fstab üzerinden bağlayın ve sınayın:
sudo su
systemctl daemon-reload
mount -a
su apps
touch /var/www/onlyoffice/Data/test2.txt
Tüm işlemler doğru yapıldıysa test2.txt dosyası HostB üzerindeki /app/onlyoffice/data klasöründe oluşturulur.
Test dosyalarını silin ve ONLYOFFICE Apps verilerini geri yükleyin:
rm /var/www/onlyoffice/Data/test*.txt
mv /var/www/onlyoffice/tmp/* /var/www/onlyoffice/Data/
rmdir /var/www/onlyoffice/tmp
ONLYOFFICE Apps hizmetlerini başlatın:
sudo systemctl start 'apps-*' --all
Uygulamayı başlattıktan sonra çalışmayı arayüzde kontrol edin (indirme, dosya açma, avatarı değiştirme, lisans yükleme).
Benzer şekilde günlüklerin bulunduğu klasörü de bağlayabilirsiniz.
Şifreleme işlemine hazırlanma
Şifreleme işlemini başlatmadan önce bazı ön adımları gerçekleştirmeniz gerekir.
- Çalışma alanınızda sol alt köşedeki
menüsüne tıklayın ve sol paneldeki Alanlar -> Alan Yönetimi menü öğesini seçin. - Ayarlar -> Yedek bölümüne geçin ve Otomatik yedekleme özelliğini devre dışı bırakın.
- Sabit diskinizde yeterli alan olduğundan emin olun.
Yapılandırmadaki machinekey değerini kaydetmeniz önerilir. Örneğin ONLYOFFICE Apps'i yeniden kurarsanız, farklı bir machinekey ile şifrelenmiş verilere bağlanamazsınız.
ONLYOFFICE Apps DEB veya RPM paketleriyle kurulduysa core.machinekey değerini, gerçekte kurulu olan sürümü yazarak /etc/onlyoffice/apps/appsettings.<community|enterprise|developer>.json dosyasında bulun.
Ön hazırlıklar tamamlandıktan sonra bir sonraki adıma geçebilirsiniz.
Depolamayı şifreleme
-
Alan Yönetimi -> Ayarlar -> Depolama bölümüne geçin.
-
Şifreleme işlemi başladığında tüm etkin kullanıcılara e-postayla bildirim göndermek için Alanların kullanılamayacağını kullanıcılara bildirin onay kutusunu işaretleyin.
notŞifreleme işlemi başarıyla tamamlandığında tüm etkin kullanıcılar ayrıca e-posta bildirimi alır. Şifreleme sırasında bir hata oluşursa tüm yöneticiler (Kullanıcılara bildir seçeneğinden bağımsız olarak) şifrelemenin başarısız olduğuna dair e-posta bildirimi alır.
-
Şifreleme işlemini başlatmak için Depolamayı şifrele düğmesine ve ardından Tamam'a tıklayın.
İşlemin tamamlanması için gereken süre veri hacmine bağlıdır. Şifreleme işlemi sırasında tüm alanlar kullanılamaz. Şifreleme biter bitmez çalışma alanı verileri çalışmaya hazır olur.
Şifreleme her başlatıldığında yeni bir şifre oluşturulur. Şifreniz herhangi bir nedenle ele geçirilirse tüm verilerin şifresini çözmeniz ve yeniden şifrelemeniz gerekir.
Şifreleme mekanizması etkinken yeni oluşturulan veri arşivi yedek kopyası, şifresi çözülmüş dosyalar içerir. Böyle bir kopya geri yüklendiğinde dosyalar diskte yeniden şifrelenir.
Hizmet çalışırken sorunlar çıkarsa (kritik hatalar, hizmetin durması, elektrik kesintisi vb.) tüm alanlar engelli kalır. Bunlar yalnızca veritabanında elle düzeltilebilir: UPDATE tenants_tenants SET status='0' WHERE status='6';
Depolamanın şifresini çözme
Çalışma alanınızdaki verilerin şifresini çözmek için:
-
Alan Yönetimi -> Ayarlar -> Depolama bölümüne geçin.
-
Şifre çözme işlemi başladığında tüm etkin kullanıcılara e-postayla bildirim göndermek için Alanların kullanılamayacağını kullanıcılara bildirin onay kutusunu işaretleyin.
notŞifre çözme işlemi başarıyla tamamlandığında tüm etkin kullanıcılar ayrıca e-posta bildirimi alır. Şifre çözme sırasında bir hata oluşursa tüm yöneticiler (Kullanıcılara bildir seçeneğinden bağımsız olarak) şifre çözmenin başarısız olduğuna dair e-posta bildirimi alır.
-
Şifre çözme işlemini başlatmak için Depolama alanını şifrele düğmesine ve ardından Tamam'a tıklayın.
İşlemin tamamlanması için gereken süre veri hacmine bağlıdır. Şifre çözme işlemi sırasında tüm alanlar kullanılamaz. Şifre çözme biter bitmez çalışma alanı verileri çalışmaya hazır olur.