Guía del administrador de Backup Exec 24

Usar el cifrado con Backup Exec

Backup Exec permite cifrar datos. El objetivo del cifrado es proteger los datos contra accesos no autorizados. Para acceder a los datos, será necesario conocer la clave de cifrado. Backup Exec ofrece cifrado de software. También admite algunos dispositivos que ofrecen cifrado de hardware con el estándar T10. Backup Exec configura el cifrado cuando especifica qué dispositivos de almacenamiento desea usar para un trabajo de copia de seguridad.

Backup Exec admite dos niveles de seguridad de cifrado: AES (Advanced Encryption Standard) de 128 bits y AES de 256 bits. En un nivel de cifrado AES de 256 bits, Backup Exec proporciona dos métodos de derivación de claves para la frase de paso que ha introducido. Uno es el AES de 256 bits existente que utiliza el algoritmo SHA-2 (denominado anteriormente AES de 256 bits) y el otro utiliza PBKDF2, que es el algoritmo mejorado de función de derivación de claves basado en contraseñas.

El cifrado AES de 256 bits ofrece más seguridad, ya que la clave es más larga que la de AES de 128 bits. La ventaja del cifrado AES de 128 bits es una mayor rapidez de procesamiento de los trabajos de copia de seguridad. El cifrado de hardware mediante el estándar T10 requiere AES de 256 bits. Con PBKDF2, además de la frase de paso, Backup Exec utiliza un valor de sal generado aleatoriamente, lo que hace que la clave de cifrado sea más segura.

Al ejecutar un trabajo de copia de seguridad duplicado, los conjuntos de copias de seguridad que ya están cifrados permanecerán cifrados, independientemente de la opción de cifrado que seleccione. Sin embargo, se puede cifrar cualquier conjunto de copias de seguridad no cifrado.

Para obtener información sobre las prácticas recomendadas de cifrado de software de Backup Exec, consulte Prácticas recomendadas de Backup Exec.

Este tema incluye la siguiente información:

Cifrado de software

Cifrado de hardware

Claves de cifrado

Claves restringidas y claves comunes

Frases de paso

Al instalar Backup Exec, el programa de instalación instala el software de cifrado en el servidor Backup Exec y en equipos remotos que utilicen un agente de Backup Exec. Backup Exec puede cifrar datos en un equipo que utilice un Agente de Backup Exec y, a continuación, transferir los datos cifrados al servidor Backup Exec. Luego, Backup Exec escribe los datos cifrados, conjunto por conjunto, en un almacenamiento en disco o en cinta.

Backup Exec no cifra metadatos ni archivos de catálogo en cinta o información de directorios de Backup Exec.

Es posible utilizar compresión por software con el cifrado aplicado a un trabajo de copia de seguridad. Backup Exec comprime los archivos y luego los cifra. Pero téngase en cuenta que los trabajos de copia de seguridad tardarán más en completarse si se utiliza conjuntamente cifrado y compresión por software.

Se recomienda evitar el uso de compresión por hardware con el cifrado de software. La compresión por hardware se realiza después del cifrado. Durante el proceso de cifrado los datos se combinan aleatoriamente. La compresión no funciona correctamente con datos combinados aleatoriamente.

Backup Exec admite el cifrado de hardware para dispositivos de almacenamiento con el estándar de cifrado T10. Cuando se utiliza el cifrado de hardware, los datos se transmiten del equipo host al dispositivo de almacenamiento y, a continuación, se cifran en dicho dispositivo. Backup Exec administra las claves de cifrado que se utilizan para acceder a los datos cifrados.

Backup Exec solo admite dispositivos aprobados para el cifrado T10.

Es necesario crear claves de cifrado para utilizar el cifrado en Backup Exec. Cuando un usuario crea una clave de cifrado, Backup Exec marca la clave con un identificador basado en el identificador de seguridad del usuario que ha iniciado la sesión en curso. La persona que crea la clave se convierte en propietaria de la clave.

Si usa cifrado para copias de seguridad sintéticas, todas las copias de seguridad asociadas deben usar la misma clave de cifrado. No cambie la clave de cifrado una vez que la línea base se crea. La clave de cifrado que se selecciona para la copia de seguridad de línea de base se aplica de forma automática a todas las copias de seguridad asociadas.

Cuando selecciona datos cifrados para restaurarlos, Backup Exec verifica que las claves de cifrado de los datos estén disponibles en la base de datos. Si una de las claves no está disponible, Backup Exec pedirá que se vuelvan a crear las claves que falten. Si se elimina la clave después de haber programado la ejecución del trabajo, el trabajo fallará.

Si Backup Exec no encuentra una clave de cifrado mientras se procesa un trabajo de catálogo, emite una alerta. Si conoce la frase de paso, puede volver a crear la clave de cifrado que falta. Si la alerta contiene información de la sal, debe proporcionar la misma sal para volver a crear la clave de cifrado.

La Recuperación simplificada después de un desastre admite la recuperación de equipos con los conjuntos de copias de seguridad previamente cifrados. Si tiene copias de seguridad de la Recuperación simplificada después de un desastre que se cifren durante la copia de seguridad, el Asistente para recuperar este equipo le pedirá la frase de paso de cada conjunto de copias de seguridad cifradas que se necesite para completar la recuperación.

Ver Administración de claves de cifrado.

Backup Exec tiene los siguientes tipos de clave de cifrado:

Las claves de cifrado requieren una frase de paso, similar a una contraseña. Por lo general, las frases de paso son más largas que las contraseñas y se componen de varias palabras o grupos de texto. La longitud recomendada para una frase de paso es entre 8 y 128 caracteres. El número mínimo de caracteres para cifrado AES de 128 bits es ocho. El número mínimo de caracteres para cifrado AES de 256 bits SHA-2 y PBKDF2 es 16. Se recomienda utilizar más caracteres que el mínimo exigido.

Además, una buena frase de paso debería contener una combinación de letras mayúsculas y minúsculas, números y caracteres especiales. Conviene evitar citas literarias en las frases de paso.

Para PBKDF2 AES de 256 bits, la frase de paso debe contener al menos una mayúscula, una minúscula, un número y un carácter especial.

Una frase de paso solo puede incluir caracteres ASCII imprimibles, que son los caracteres del 32 al 126. El carácter 32 de ASCII es el espacio, que se introduce utilizando la barra espaciadora del teclado. Los caracteres ASCII del 33 al 126 incluyen los siguientes:

!"#$%&'()*+,-./0123456789:;<=>?@ABCDEFGHIJKLMNOPQRSTUVWXYZ

[\]^_'abcdefghijklmnopqrstuvwxyz{|}~

Ver Administración de claves de cifrado.