Лучшие практики создания и доступа к зашифрованной базе данных с надежной моделью угроз

Цель:

Я ищу отзывы о самом безопасном способе создания и доступа к зашифрованной базе данных (формат KDBX4), который минимизирует риски потенциальных удаленных атак. Эта база данных будет содержать весьма конфиденциальную информацию, и мой основной акцент – на защите как начального этапа создания, так и последующих этапов доступа.

Модель угроз:

Основная проблема – удаленные атаки (например, вредоносное ПО, уязвимости нулевого дня, угрозы на основе сети). Угрозы физического доступа менее актуальны, поскольку я контролирую физическую безопасность своих устройств. Моя главная цель – предотвратить любой доступ к файлу базы данных или к ее ключу шифрования из онлайновых угроз. Меня не беспокоят атаки методом грубой силы на зашифрованный файл сам по себе, так как я буду использовать надежный KDF и пароль с высоким уровнем энтропии.

Отдельные процессы: создание базы данных против доступа

Процесс создания

Процесс создания включает в себя настройку изолированной среды для установки KeePassXC и генерации зашифрованного файла базы данных (KDBX4). Моя цель – сделать это в среде, максимально изолированной от сетевых и удаленных угроз.

Процесс доступа

Процесс доступа включает в себя периодическое открытие зашифрованной базы данных для просмотра или обновления информации. Моя задача здесь – найти баланс между безопасностью и удобством, обеспечив, чтобы конфиденциальные данные могли быть расшифрованы только в безопасной, желательно изолированной, среде.

Варианты настройки для создания

1. Отключенное старое устройство (MacBook Pro)

• Процесс: Переформатировать старый MacBook, установить либо последнюю поддерживаемую macOS, либо безопасный дистрибутив Linux и оставить его постоянно отключенным от сети.
• Создание базы данных: Установить KeePassXC на этом отключенном устройстве, создать зашифрованную базу данных, а затем перенести файл базы данных на предназначенное место хранения через USB.
• Преимущества: Полная изоляция от интернета во время создания, минимизация рисков удаленных атак.
• Беспокойства: Использование старого устройства может подвергнуть его местным уязвимостям, которые теоретически могут скомпрометировать базу данных.

2. Запускаемая среда Linux Live USB (используемая на моем основном интернет-устройстве)

• Процесс: Загрузиться в безопасную, отключенную от сети среду Linux с USB-накопителя на моем повседневном устройстве. Живую среду загружают, чтобы избежать постоянных изменений и сетевого доступа.
• Создание базы данных: Установить KeePassXC в живой среде, создать зашифрованную базу данных и перенести ее через USB.
• Преимущества: Обеспечивает изоляцию от основной среды macOS во время создания, без необходимости отдельного устройства.
• Беспокойства: Загрузка с USB на регулярно используемом интернет-устройстве может подвергнуть живую среду рискам на уровне хоста.

3. Виртуальная машина (VM) (используемая на моем основном интернет-устройстве)

• Процесс: Настроить виртуальную машину с Linux на моем основном MacBook Pro, изолировать ее от хоста (отключить сеть, общий доступ и т. д.) и создать базу данных в виртуальной машине.
• Создание базы данных: Установить KeePassXC в виртуальной машине, создать базу данных и перенести ее в изолированное резервное копирование.
• Преимущества: Легкость настройки, обеспечивает некоторую изоляцию от хостов ОС.
• Беспокойства: Потенциальный риск от macOS хоста, если он скомпрометирован, так как вредоносное ПО или уязвимости могут затронуть виртуальную машину. Виртуальный диск, на котором находится база данных, теоретически может быть доступен файловой системе хоста (шифрование диска должно уменьшить риски).

Варианты настройки для доступа

Для доступа я предпочел бы настройку, которая позволяет безопасно просматривать и обновлять базу данных, минимизируя риски. Вот основные варианты, которые я рассматриваю:

1. Отключенное старое устройство

• Процесс доступа: Продолжать доступ к зашифрованной базе данных на том же отключенном MacBook Pro, на котором она была создана. Данные могут быть переданы через USB для безопасного хранения при необходимости.
• Преимущества: Держит базу данных в постоянно оффлайн, изолированной среде для максимальной безопасности.
• Беспокойства: Эта настройка требует поддержания второго устройства, что менее удобно.

2. Другая ОС, загружаемая с внутреннего или внешнего диска

• Процесс доступа: Загрузиться в другую зашифрованную версию macOS (или дистрибутива Linux), которая остается оффлайн и отключенной от сети во время доступа к базе данных.
• Преимущества: Обеспечивает изоляцию от основной среды macOS каждый раз, при этом достаточно удобно для временного доступа.
• Беспокойства: Требует перезагрузки основного устройства для доступа, что менее удобно, если доступ нужен часто.

3. Виртуальная машина на моем основном устройстве

• Процесс доступа: Запустить отключенную виртуальную машину Linux/macOS, чтобы открыть и взаимодействовать с базой данных.
• Преимущества: Легкость открытия виртуальной машины, когда доступ нужен, и виртуальная машина может быть изолирована (силу изоляции нужно будет еще выяснить)
• Беспокойства: Поскольку она размещена на онлайн основном устройстве, любое вредоносное ПО на хосте macOS теоретически может повлиять на целостность виртуальной машины.

Хранение зашифрованной базы данных

Для резервного копирования я рассматриваю возможность хранения зашифрованного файла базы данных в облачном хранилище. Мой план заключается в том, чтобы получать к нему доступ только в отключенной среде, получая преимущества от резервного онлайн-копирования без значительного риска.

Вопросы:

1. На начальном этапе создания базы данных, я считаю, что вариант 1 является самым безопасным. Какой будет второй лучший выбор между вариантом 2 (загрузка с USB в режиме live Linux) и вариантом 3 (виртуальная машина)?
2. Чтобы установить KeePassXC, мне нужно ненадолго “нарушить” изоляцию через USB или сетевое соединение. Мне также нужно будет перенести файл KDBX4 для резервного копирования. Какой самый безопасный способ обработки этих временных доступов, и что предпочтительнее: USB или сетевое соединение?
3. Правильный ли мой подход к хранению зашифрованной базы данных в сети (для резервного копирования) и доступ к ней только в изолированной среде, или есть непредвиденные риски?
4. Для изолированной среды – будь то для создания или доступа – есть ли рекомендуемый выбор ОС между Linux и macOS? Также приветствуются любые конфигурации для улучшения изоляции.
5. Каковы риски использования отключенного старого устройства с устаревшим программным обеспечением (особенно если используется macOS)?
6. Если я использую наименее безопасный вариант для доступа к базе данных (и возможно, для ее обновления), имеет ли смысл использовать самый безопасный вариант для создания?

Я был бы очень признателен за любые советы, критику или рекомендации по обеспечению безопасности как процессов создания, так и доступа. Спасибо!