加密的异地备份-在哪里存储加密密钥？

除了常规的现场备份（保存在防火保险箱中）之外，我们还每月将磁带外发一次，并使用AES加密。因此，如果我们的站点一天被外来热气气化，则至少应该有一个最近的备份可以恢复。

除了128位加密密钥仅在现场存储。因此，在真正的灾难情况下，实际上我们将只剩下一个加密的备份，而无法解密。

问题：在异地存储加密密钥的最佳策略是什么？

无论选择哪种方法，都需要通过安全审核，因此“在家保留副本”是不够的，而“用异地磁带保存”显然会破坏首先加密它们的目的！我们正在考虑的选择包括：

• 银行保险箱
• 以密码保护的形式（例如，使用Keepass或Password Safe这样的软件）存储在云中或地理上独立的网络中

当然，第二种选择提出了另一个问题：我们如何保持该密码的安全。

这将是非常主观的。我认为我们需要更多地了解您的行业以及任何特定的法规要求才能提供良好的建议。对于不受管制的行业中的小型企业而言，可能足够的东西对于受管制的行业中的大型企业而言可能行不通。

考虑到银行应该对有权进入该保管箱的当事方进行身份验证（通常使用带有授权方清单的带照片ID的身份证明），因此将钥匙保存在保管箱中就足够了。打开盒子还需要一个物理钥匙。当您将这些属性与存储在物理上安全的位置的框组合在一起时，它看起来更像是向我存储密钥的好地方。就个人而言，我更担心磁带在保险箱中的丢失或被盗，而不是从保险箱本身中被盗。或者，您可以在另一家拥有不同授权方的银行获得一个保险箱，其名称仅用于存储密钥材料。

假设您没有内部律师，您可能希望让公司顾问存储密钥。

为了使技术变得怪异，有多种算法可让您将密钥分解为多个部分，以便需要一定数量的各方合作才能重建密钥（称为阈值方案）。我还没有立即意识到这些方案的任何实际实现，但是我敢打赌，如果您进行足够的搜索，就会发现其中的一些方案。您可以将密钥材料分发给多方，这样他们中的一些人在聚在一起时就可以重建密钥。密钥的任何单个部分的损坏（或数量少于阈值要求的部分）都不会导致密钥的损坏。

编辑：

快速搜索打开了sharesecret（GPL的阈值方案实现）。

一个相当明显的解决方案是将密钥副本保存在其他异地位置。例如，一个银行保管箱或另一个完全独立的异地存储公司。

根据要求的严格程度，您可能会发现将密钥留给公司董事，律师或会计师是足够的。

实用的解决方案：

在USB驱动器上生成4096位ssh私钥。然后使用truecrypt创建一个高度加密的文件容器，并将ssh密钥用作“密钥文件”，即，使用ssh密钥文件将加密的驱动器解锁。像挂载分区一样挂载文件容器，并在其上创建文件系统（即mkfs.ext4。）挂载分区，然后写入要存档的密码文件。卸载所有内容，然后将USB密钥和存档磁带一起发送。创建的文件容器，可以（非常安全）放入操作保管箱帐户，放在软盘上（谁会认真看一下？）等。基本上，没有密钥文件，就不可能访问备份，而没有存储在任何地方的加密分区，场外存储的密钥文件将毫无用处。

这听起来像是一个复杂的解决方案，但也许会为您指明正确的方向。或者，加密的闪存驱动器可能已足够。

https://www.ironkey.com/

http://www.pcworld.com/article/254816/the_best_encrypted_flash_drives.html

无论采用哪种解决方案，最重要的是非常明确的当前操作说明，例如，如果当天外来僵尸袭击您的办公室时，您被公交车撞到了。备份附带的诸如“万一发生灾难”数据包之类的简单数据就足够了。

我为一个大型组织工作，我们有一个用于证书服务器备份加密的类似系统。我们有一个单独的专有内部系统，该系统可以保护我们使用的密钥，共享ID等的密钥短语。

系统需要使用我们的用户ID，事件编号，原因等“签出”密钥的密码。完成使用后，我们必须将其重新签入。如果我们在24小时后仍未签入，小时，系统会自动将其重新签入，而电子邮件管理器等我们尚未将其签入。

当我们签出密码短语时，没有其他人可以得到密码短语，并且当我们签出密码时还有其他挑战/响应。该系统位于完全不同的位置。

作为一个大型组织，这是值得的代价，但是可能会有一些产品可以进行类似的活动。

令人赞叹的保险箱，律师和其他令人费解的方法。完全没有必要。

私钥基本上可以包含在一个小的文本文件中，对吗？因此，设置一个SpiderOak帐户并将文件同步到云中。然后，如果由于火灾而丢失了整个站点，请从其他异地取回备份存储磁带，然后通过SpiderOak网站登录并下载私钥文件。您只需登录用户名和密码即可登录SpiderOak网站。因此，也许您和组织中的其他人可以在他们的脑海中记住这一点。选择您喜欢的两部电影的名称。不难记住。

SpiderOak很好，因为您只需要用户名和密码即可访问数据。它也经过高度加密。它比DropBox更安全，因为它们不存储加密/解密密钥，并且对您的数据一无所知，并且无法访问帐户中的数据。但是，DropBox已向其员工或美国政府开放，可凭授权访问数据。如果要使用DropBox，则需要将密钥放入KeyPass文件中，并记住密码才能访问它。

归根结底，它是一个简单的文本文件，其中包含密钥。至于在SpiderOak或DropBox中访问该密钥的其他任何人，他们绝对不知道该密钥的用途，解锁的内容，甚至物理备份的位置。因此，即使他们得到了，对他们实际上也没有用。