วิธีการเพิ่มการเข้ารหัสเอกสารขณะจัดเก็บใน Collabora CODE

Collabora CODE ไม่มีฟังก์ชันที่เข้ารหัสสำเนาเอกสารที่จัดเก็บไว้ทั้งหมด CODE เป็นเพียงโปรแกรมแก้ไขออนไลน์ในระบบ WOPI เท่านั้น แพลตฟอร์มไฟล์หรือบริการจัดเก็บข้อมูลที่เชื่อมต่ออยู่จะเป็นผู้รับผิดชอบในการบันทึกเอกสาร หากต้องการปกป้องไฟล์หลังจากบันทึกแล้ว ให้กำหนดค่าการเข้ารหัสบนเลเยอร์การจัดเก็บข้อมูลนั้น หากโฮสต์ WOPI ของคุณคือ Nextcloud การเข้ารหัสฝั่งเซิร์ฟเวอร์ของ Nextcloud ก็เป็นหนึ่งในตัวเลือก แต่หากคุณกังวลเรื่องการถูกขโมยดิสก์เซิร์ฟเวอร์ ให้ใช้การเข้ารหัสอุปกรณ์บล็อกบนพื้นที่จัดเก็บข้อมูลของโฮสต์แทน

ความแตกต่างนี้มีความสำคัญ เพราะ CODE ต้องประมวลผลเนื้อหาเอกสารในขณะที่ผู้ใช้กำลังแก้ไข Collabora กล่าวว่าเอกสารจะถูกลบออกจากหน่วยความจำเมื่อเซสชันสิ้นสุดลงและจะไม่ถูกจัดเก็บอย่างถาวรบนเซิร์ฟเวอร์ Collabora Online แต่การเข้ารหัสขณะจัดเก็บไม่ได้ซ่อนเอกสารที่เปิดอยู่จากผู้แก้ไขหรือจากแอปพลิเคชันจัดเก็บข้อมูลที่ได้รับอนุญาต คำแนะนำด้านล่างใช้ Nextcloud เป็นตัวอย่างที่เป็นรูปธรรม ownCloud, Seafile และโฮสต์ WOPI แบบกำหนดเองมีตัวควบคุมการเข้ารหัสการจัดเก็บข้อมูลของตนเอง

ควรเข้ารหัสไฟล์ที่เลเยอร์ใด?

แนวทางการบริหารจัดการปัจจุบันของ Nextcloud ระบุว่าการเข้ารหัสฝั่งเซิร์ฟเวอร์มีประโยชน์อย่างยิ่งสำหรับการจัดเก็บข้อมูลภายนอก การเข้ารหัสนี้จะเข้ารหัสเนื้อหาไฟล์ ไม่ใช่ชื่อไฟล์หรือโครงสร้างไดเร็กทอรี และคีย์จะถูกเก็บไว้บนเซิร์ฟเวอร์ของ Nextcloud อย่างไรก็ตาม การเข้ารหัสนี้ไม่สามารถใช้ทดแทนการเข้ารหัสแบบ end-to-end ได้เมื่อเป้าหมายคือการป้องกันไม่ให้ผู้ดูแลระบบ Nextcloud อ่านไฟล์ และไม่สามารถใช้ทดแทนการเข้ารหัสดิสก์ได้เมื่อเป้าหมายคือการป้องกันการโจรกรรมทางกายภาพ

ก่อนที่คุณจะเปิดใช้งานการเข้ารหัสฝั่งเซิร์ฟเวอร์ของ Nextcloud

• ระบุเส้นทางการจัดเก็บข้อมูลที่แท้จริงตรวจสอบว่า Nextcloud บันทึกไฟล์ลงในดิสก์ภายในเครื่อง ไดรฟ์ภายนอก หรือบริการจัดเก็บข้อมูลแบบอ็อบเจ็กต์ เลือกการเข้ารหัสสำหรับเลเยอร์ที่เก็บสำเนาถาวร
• สำรองข้อมูลก่อนเสมอทำการสำรองข้อมูลฐานข้อมูล Nextcloud, การตั้งค่า, ข้อมูล และคีย์การเข้ารหัสอย่างละเอียดถี่ถ้วน เก็บความลับของอินสแตนซ์และคีย์ไว้ในตำแหน่งสำรองข้อมูลที่ปลอดภัย หากไม่มีคีย์ ไฟล์ที่เข้ารหัสอาจไม่สามารถกู้คืนได้
• วางแผนสำหรับไฟล์ที่มีอยู่การเปิดใช้งานการเข้ารหัสฝั่งเซิร์ฟเวอร์จะเข้ารหัสไฟล์ใหม่และไฟล์ที่เปลี่ยนแปลงโดยค่าเริ่มต้น การเข้ารหัสไลบรารีที่มีอยู่ทั้งหมดเป็นขั้นตอนการบำรุงรักษาแยกต่างหาก
• ตรวจสอบสิทธิ์การเข้าถึงและความเข้ากันได้โหมดคีย์ วิธีการตรวจสอบสิทธิ์ การแชร์ และพฤติกรรมการจัดเก็บข้อมูลภายนอกของ Nextcloud แตกต่างกัน ตรวจสอบคู่มือ Nextcloud เวอร์ชันที่ตรงกันและยืนยันว่าคุณมีสิทธิ์เข้าถึงบรรทัดคำoccสั่ง
• เลือกรูปแบบภัยคุกคามที่เหมาะสมการเข้ารหัสฝั่งเซิร์ฟเวอร์ไม่ได้ป้องกันเซิร์ฟเวอร์ Nextcloud ที่ถูกบุกรุกหรือผู้ดูแลระบบที่มีสิทธิ์เข้าถึงคีย์จากการอ่านไฟล์ อย่าเปิดใช้งานโดยคาดหวังว่าจะได้รับการปกป้องในระดับนั้น

ฉันจะเปิดใช้งานการเข้ารหัสได้อย่างไรเมื่อ Nextcloud เป็นโฮสต์ WOPI?

1. ยืนยันว่า Nextcloud เป็นเจ้าของเอกสารที่บันทึกไว้

เปิดเอกสารทดสอบผ่านอินเทอร์เฟซไฟล์ของ Nextcloud แล้วเรียกใช้ใน Collabora ในการตั้งค่า WOPI ทั่วไป Nextcloud จะเป็นตัวจัดเก็บไฟล์ และ CODE จะเป็นตัวแก้ไข CODE จะร้องขอเอกสารเพื่อแก้ไขและส่งการเปลี่ยนแปลงที่บันทึกไว้กลับไปยังโฮสต์ กำหนดค่าการเข้ารหัสการจัดเก็บข้อมูลถาวรใน Nextcloud หรือแบ็กเอนด์การจัดเก็บข้อมูล ไม่ใช่ในเมนูแก้ไขของ CODE

2. เปิดใช้งานคุณสมบัติการเข้ารหัสฝั่งเซิร์ฟเวอร์

ลงชื่อเข้าใช้ในฐานะผู้ดูแลระบบ Nextcloud และเปิด ส่วน การเข้ารหัสฝั่งเซิร์ฟเวอร์ในการตั้งค่าการดูแลระบบ เลือกเปิดใช้งานการเข้ารหัสฝั่งเซิร์ฟเวอร์และทำตามการยืนยันบนหน้าจอ ข้อความในเมนูอาจแตกต่างกันไปตามเวอร์ชันของ Nextcloud คุณสมบัติการเข้ารหัสและโมดูลการเข้ารหัสแยกจากกัน หากหน้าเว็บแจ้งว่าไม่มีโมดูลใดถูกโหลด ให้ดำเนินการต่อในส่วนแอป

3. เปิดใช้งานโมดูลการเข้ารหัสเริ่มต้น

เปิดแอปค้นหาโมดูลการเข้ารหัสเริ่มต้น (หรือที่เรียกในคู่มือว่า โมดูลการเข้ารหัสเริ่มต้นของ Nextcloud) และเปิดใช้งาน กลับไปที่การตั้งค่าการเข้ารหัสและยืนยันว่าได้เลือกโมดูลแล้ว จากนั้นคู่มือของ Nextcloud จะแนะนำให้ผู้ใช้ล็อกเอาต์และล็อกอินใหม่เพื่อเริ่มต้นใช้งานคีย์การเข้ารหัส

4. ตรวจสอบสถานะจากเซิร์ฟเวอร์ Nextcloud

เรียกใช้คำสั่ง status โดยใช้บัญชีเว็บเซิร์ฟเวอร์ Nextcloud จากไดเร็กทอรีการติดตั้ง Nextcloud บนการติดตั้ง Debian หรือ Ubuntu ทั่วไป อาจมีลักษณะดังนี้:

cd /var/www/nextcloud
sudo -u www-data php occ encryption:status

ใช้เส้นทางการติดตั้งและผู้ใช้เว็บเซิร์ฟเวอร์จริงของคุณ สำหรับการใช้งานในคอนเทนเนอร์ ให้รันoccภายในคอนเทนเนอร์ Nextcloud โดยใช้คำสั่งที่ระบุไว้ในเอกสารการติดตั้งนั้น สถานะที่แสดงว่าใช้งานได้ปกติจะระบุว่าการเข้ารหัสถูกเปิดใช้งานและระบุโมดูลเริ่มต้น ซึ่งเป็นการยืนยันสถานะคุณสมบัติฝั่งเซิร์ฟเวอร์ แต่ไม่ได้พิสูจน์ว่าไฟล์เก่าทุกไฟล์ได้รับการเข้ารหัสแล้ว

แล้วเอกสารที่อยู่ในห้องสมุดอยู่แล้วล่ะ?

โดยค่าเริ่มต้น Nextcloud จะเข้ารหัสไฟล์ที่สร้างหรือเปลี่ยนแปลงหลังจากเปิดใช้งานการเข้ารหัสฝั่งเซิร์ฟเวอร์แล้ว หากคุณต้องการเข้ารหัสไฟล์ที่มีอยู่ด้วย โปรดสำรองข้อมูลใหม่ วางแผนช่วงเวลาการบำรุงรักษา และป้องกันไม่ให้ผู้ใช้เปลี่ยนแปลงไฟล์ในระหว่างการดำเนินการ เอกสารอ้างอิงคำสั่ง Nextcloud มีวิธีocc encryption:encrypt-allการเข้ารหัสไฟล์สำหรับผู้ใช้ทั้งหมด โปรดปฏิบัติตามคำแนะนำสำหรับเวอร์ชัน Nextcloud ที่ติดตั้งไว้ เรียกใช้คำสั่งในฐานะบัญชีเว็บเซิร์ฟเวอร์ และรอจนกว่าจะเสร็จสิ้นก่อนที่จะกลับไปใช้บริการตามปกติ

sudo -u www-data php occ encryption:encrypt-all

อย่าใช้occ encryption:disableเป็นทางลัดในการย้อนกลับ การปิดใช้งานแฟล็กนี้จะไม่ถอดรหัสไฟล์ที่มีอยู่แล้ว เอกสารของ Nextcloud อธิบายขั้นตอนการถอดรหัสทั้งหมดแยกต่างหาก และเตือนว่าการปิดใช้งานการเข้ารหัสโดยไม่ถอดรหัสไฟล์อาจทำให้เกิดข้อผิดพลาดที่ไม่สามารถคาดเดาได้ ทดสอบขั้นตอนการสำรองข้อมูลและการกู้คืนก่อนที่จะเปลี่ยนสถานะการเข้ารหัสในสภาพแวดล้อมการใช้งานจริง

ฉันจะตรวจสอบความปลอดภัยของข้อมูลได้อย่างไร?

• ตรวจสอบocc encryption:statusและยืนยันว่าโมดูลที่ต้องการใช้งานนั้นเปิดใช้งานอยู่
• สำหรับไฟล์ทดสอบใหม่ ให้อัปโหลดเอกสารข้อความที่ไม่เป็นอันตรายผ่าน Nextcloud แก้ไขใน Collabora บันทึก ปิดเซสชัน แล้วเปิดใหม่ผ่าน Nextcloud อีกครั้ง เพื่อตรวจสอบว่าขั้นตอนการแก้ไขและการจัดเก็บข้อมูลตามปกติยังคงใช้งานได้
• หากคุณต้องการพิสูจน์ว่าข้อมูลได้รับการเข้ารหัสบนระบบจัดเก็บข้อมูลแบ็กเอนด์ใดแบ็กเอนด์หนึ่ง ให้ใช้วิธีการตรวจสอบที่ระบุไว้ในเอกสารของผู้ให้บริการจัดเก็บข้อมูล หรือทำการทดสอบแบบควบคุมนอกเหนือจากระบบที่ใช้งานจริง อย่าคิดว่าชื่อไฟล์ นามสกุลไฟล์ หรือการค้นหาข้อความในบรรทัดคำสั่งเพียงครั้งเดียวเป็นการทดสอบการเข้ารหัสที่เชื่อถือได้
• ตรวจสอบข้อมูลสำรองแยกต่างหาก สำเนาสำรองที่อ่านได้ยังคงเป็นสำเนาที่ไม่ได้เข้ารหัส แม้ว่าเส้นทางข้อมูลหลักของ Nextcloud จะได้รับการป้องกันก็ตาม
• ตรวจสอบการใช้ HTTPS/TLS สำหรับการรับส่งข้อมูลจากเบราว์เซอร์ไปยังบริการ และจากโฮสต์ไปยังโค้ดแยกกัน นี่เป็นการป้องกันการรับส่งข้อมูล ไม่ใช่การเข้ารหัสข้อมูลขณะจัดเก็บ

เมื่อ Nextcloud SSE ไม่ใช่ตัวเลือกที่เหมาะสม

หากอินสแตนซ์ Nextcloud ของคุณจัดเก็บไฟล์เฉพาะบนดิสก์ภายในเครื่อง และสิ่งที่คุณกังวลหลักๆ คือไดรฟ์ที่ถูกขโมยหรือชำรุด การเข้ารหัสไดรฟ์ในระดับระบบปฏิบัติการมักจะเป็นการควบคุมที่ตรงกว่า การเข้ารหัสจะเข้ารหัสอุปกรณ์บล็อกขณะที่เครื่องปิดอยู่ หลังจากบูตและปลดล็อกแล้ว Nextcloud และ CODE ยังคงสามารถอ่านเอกสารที่จำเป็นสำหรับการแก้ไขได้ กำหนดค่าในระหว่างการจัดเตรียมเซิร์ฟเวอร์หรือผ่านขั้นตอนการจัดเก็บข้อมูลของระบบปฏิบัติการ และเก็บคีย์การกู้คืนไว้ภายนอกเซิร์ฟเวอร์

หากข้อกำหนดของคุณคือผู้ดูแลระบบและผู้ให้บริการพื้นที่จัดเก็บข้อมูลต้องไม่เห็นเนื้อหาของเอกสาร ให้ใช้การออกแบบการเข้ารหัสแบบ end-to-end ที่รองรับโดยแพลตฟอร์ม และตรวจสอบความเข้ากันได้กับ Collabora ก่อนที่จะนำไปใช้งาน โปรแกรมแก้ไขในเบราว์เซอร์ต้องการข้อมูลเอกสารที่พร้อมใช้งานสำหรับเซสชันการแก้ไข ดังนั้นการเข้ารหัสแบบ at-rest บนระบบจัดเก็บข้อมูลเพียงอย่างเดียวจึงไม่สามารถรับประกันได้ในขณะที่ผู้ใช้กำลังแก้ไข CODE เองไม่ได้เพิ่มตัวเลือกการเข้ารหัสเอกสารแบบ at-rest ที่ใช้งานได้ทั่วไป

เอกสารอ้างอิงอย่างเป็นทางการ

• ระบบรักษาความปลอดภัยออนไลน์ของ Collabora
• คำถามที่พบบ่อยเกี่ยวกับ Collabora Online: การผสานรวม WOPI และความรับผิดชอบในการจัดเก็บข้อมูล
• คู่มือการดูแลระบบ Nextcloud: การเข้ารหัสฝั่งเซิร์ฟเวอร์
• คู่มือการดูแลระบบ Nextcloud: คำสั่งการเข้ารหัส
• คู่มือการดูแลระบบ Nextcloud: คำสั่งเกี่ยวกับไฟล์และการเข้ารหัส