Guía del administrador de Veritas Backup Exec

Usar el cifrado con Backup Exec

Backup Exec permite cifrar datos. El objetivo del cifrado es proteger los datos contra accesos no autorizados. Para acceder a los datos, será necesario conocer la clave de cifrado. Backup Exec ofrece cifrado de software. También admite algunos dispositivos que ofrecen cifrado de hardware con el estándar T10. Backup Exec configura el cifrado cuando especifica qué dispositivos de almacenamiento desea usar para un trabajo de copia de seguridad.

Backup Exec admite dos niveles de seguridad de cifrado: AES (Advanced Encryption Standard) de 128 bits y AES de 256 bits. El cifrado AES de 256 bits ofrece más seguridad, ya que la clave es más larga que la de AES de 128 bits. La ventaja del cifrado AES de 128 bits es una mayor rapidez de procesamiento de los trabajos de copia de seguridad. El cifrado de hardware mediante el estándar T10 requiere AES de 256 bits.

Cuando se ejecuta un trabajo de copia de seguridad duplicada, los conjuntos de copias de seguridad cifrados no se vuelven a cifrar. Sin embargo, se puede cifrar cualquier conjunto de copias de seguridad no cifrado.

Este tema incluye la siguiente información:

Cifrado de software

Cifrado de hardware

Claves de cifrado

Claves restringidas y claves comunes

Frases de paso

Al instalar Backup Exec, el programa de instalación instala el software de cifrado en el servidor Backup Exec y en equipos remotos que utilicen un agente de Backup Exec. Backup Exec puede cifrar datos en un equipo que utilice un Agente de Backup Exec y, a continuación, transferir los datos cifrados al servidor Backup Exec. Luego, Backup Exec escribe los datos cifrados, conjunto por conjunto, en un almacenamiento en disco o en cinta.

Backup Exec no cifra metadatos ni archivos de catálogo en cinta o información de directorios de Backup Exec.

Es posible utilizar compresión por software con el cifrado aplicado a un trabajo de copia de seguridad. Backup Exec comprime los archivos y luego los cifra. Pero téngase en cuenta que los trabajos de copia de seguridad tardarán más en completarse si se utiliza conjuntamente cifrado y compresión por software.

&Veritas recomienda evitar el uso de compresión por hardware con el cifrado de software. La compresión por hardware se realiza después del cifrado. Durante el proceso de cifrado los datos se combinan aleatoriamente. La compresión no funciona correctamente con datos combinados aleatoriamente.

Backup Exec admite el cifrado de hardware para dispositivos de almacenamiento con el estándar de cifrado T10. Cuando se utiliza el cifrado de hardware, los datos se transmiten del equipo host al dispositivo de almacenamiento y, a continuación, se cifran en dicho dispositivo. Backup Exec administra las claves de cifrado que se utilizan para acceder a los datos cifrados.

Backup Exec solo admite dispositivos aprobados para el cifrado T10.

Puede encontrar una lista de dispositivos compatibles en la siguiente URL:

http://www.veritas.com/docs/000017788

Es necesario crear claves de cifrado para utilizar el cifrado en Backup Exec. Cuando un usuario crea una clave de cifrado, Backup Exec marca la clave con un identificador basado en el identificador de seguridad del usuario que ha iniciado la sesión en curso. La persona que crea la clave se convierte en propietaria de la clave.

Si usa cifrado para copias de seguridad sintéticas, todas las copias de seguridad asociadas deben usar la misma clave de cifrado. No cambie la clave de cifrado una vez que la línea base se crea. La clave de cifrado que se selecciona para la copia de seguridad de línea base es aplicada de forma automática a todas las copias de seguridad asociadas.

Cuando selecciona datos cifrados para restaurarlos, Backup Exec verifica que las claves de cifrado de los datos estén disponibles en la base de datos. Si una de las claves no está disponible, Backup Exec pedirá que se vuelvan a crear las claves que falten. Si se elimina la clave después de haber programado la ejecución del trabajo, el trabajo fallará.

Si Backup Exec no encuentra una clave de cifrado mientras se procesa un trabajo de catálogo, emite una alerta. Si conoce la frase de paso, puede volver a crear la clave de cifrado que falta.

La Recuperación simplificada después de un desastre admite la recuperación de equipos con los conjuntos de copias de seguridad previamente cifrados. Si tiene copias de seguridad de la Recuperación simplificada después de un desastre que se cifren durante la copia de seguridad, el Asistente para recuperar este equipo le pedirá la frase de paso de cada conjunto de copias de seguridad cifradas que se necesite para completar la recuperación.

Ver Administración de claves de cifrado.

Backup Exec tiene los siguientes tipos de clave de cifrado:

Las claves de cifrado requieren una frase de paso, similar a una contraseña. Por lo general, las frases de paso son más largas que las contraseñas y se componen de varias palabras o grupos de texto. La longitud recomendada para una frase de paso es entre 8 y 128 caracteres. El número mínimo de caracteres para cifrado AES de 128 bits es ocho. El número mínimo de caracteres para cifrado AES de 256 bits es 16. &Veritas recomienda que se utilicen más caracteres que el mínimo exigido.

Además, una buena frase de paso debería contener una combinación de letras mayúsculas y minúsculas, números y caracteres especiales. Conviene evitar citas literarias en las frases de paso.

Una frase de paso puede incluir únicamente caracteres ASCII imprimibles, que son los caracteres del 32 al 126. El carácter ASCII 32 es el espacio, que se introduce utilizando la barra espaciadora del teclado. Los caracteres ASCII del 33 al 126 incluyen los siguientes:

!"#$%&'()*+,-./0123456789:;<=>?@ABCDEFGHIJKLMNOPQRSTUVWXYZ

[\]^_'abcdefghijklmnopqrstuvwxyz{|}~

Ver Administración de claves de cifrado.