Bescherm Collabora CODE-documenten in rust met opslagversleuteling.

Om documenten in rust te versleutelen bij gebruik van Collabora Online Development Edition (CODE), moet u versleuteling inschakelen in het bestandsopslagplatform of op de onderliggende schijf – niet in de CODE-editor. Collabora opent documenten die afkomstig zijn van een WOPI-opslaghost, terwijl de host verantwoordelijk is voor het beveiligen van de opgeslagen kopieën. Het resultaat moet versleutelde opslag, bewerkingsrechten en herstelbare bestanden zijn.

Identificeer welk systeem de bestanden daadwerkelijk opslaat.

Een typische implementatie maakt gebruik van Nextcloud of een andere WOPI-compatibele service voor bestandsopslag en CODE voor browsergebaseerde bewerking. Een document wordt tijdens een geautoriseerde bewerkingssessie tussen deze componenten verplaatst; het inschakelen van HTTPS beveiligt die verbinding, maar versleutelt de opgeslagen kopie niet. Het beveiligingsoverzicht van Collabora beschrijft opslag als integratiegestuurd, terwijl de sjabloon voor serverconfiguratie WOPI, TLS en optionele cache- en quarantaine-instellingen documenteert.

Voordat u iets wijzigt, noteer waar de WOPI-host documentbestanden opslaat, of deze lokale schijven of externe objectopslag gebruikt en waar CODE zelf draait. Neem back-ups, snapshots, previews, swap en containervolumes mee: kopieën buiten de hoofddirectory kunnen onbeveiligd blijven.

Kies een versleutelingsmethode die past bij het risico.

Voor documenten op de lokale schijf van een Linux-server is schijf- of volumeversleuteling, zoals LUKS, meestal de meest voor de hand liggende optie. Het beschermt de onderliggende opslag wanneer het volume is vergrendeld, ook tegen diefstal van een uitgeschakelde schijf. De documentatie van Ubuntu over volledige schijfversleuteling beschrijft LUKS als versleuteling op blokniveau, niet als een toepassingsinstelling. Gebruik een nieuw versleuteld volume of een geteste migratie: het initialiseren van LUKS kan bestaande gegevens verwijderen.

Als Nextcloud bestanden opslaat op een externe opslagprovider en de inhoud van die bestanden niet mag worden gelezen, is Nextcloud Server-Side Encryption (SSE) mogelijk een betere oplossing. SSE versleutelt de inhoud van ondersteunde bestanden voordat ze worden opgeslagen op de back-end. De sleutels blijven in Nextcloud, waardoor een gecompromitteerde server of beheerder toegang kan krijgen tot de onversleutelde bestanden. Nextcloud raadt aan om schijfversleuteling te overwegen voor lokale opslag.

Als zelfs de applicatiebeheerder een document niet mag kunnen lezen, voldoen noch ontgrendelde-schijfversleuteling noch gewone SSE aan die eis. Evalueer een ondersteunde client-side of end-to-end versleutelingsworkflow en controleer of bewerken in de browser mogelijk blijft; ga er niet van uit dat elk versleuteld document gezamenlijk in CODE kan worden geopend.

Schakel encryptie in op de opslaghost.

Optie A: Versleutel het lokale volume

Voor een nieuwe Linux-implementatie dient u de bestandsgegevens en relevante servicevolumes op versleutelde opslag te plaatsen voordat u documenten importeert. Bewaar het ontgrendelingsgeheim en de herstelgegevens buiten de server, beperk de beheerdersrechten en test de herstart- of ontgrendelingsprocedure. Controleer voor bestaande systemen de back-ups en migreer tijdens downtime. Configureer versleuteling voor cloudvolumes of objectopslag met de provider.

Gebruik dit lsblk -fom het type blokapparaat te identificeren en findmnt -T /path/to/document/dataom het bestandssysteem te bepalen dat ten grondslag ligt aan uw daadwerkelijke gegevensmap. Controleer het pad van de gegevensmap naar het versleutelde apparaat: cryptsetupalleen installeren versleutelt geen bestandssysteem.

Optie B: Serverversleuteling van Nextcloud inschakelen

Volg de handleiding voor server-side encryptie van Nextcloud SSE wanneer dit geschikt is . Maak een back-up van de Nextcloud-configuratie, database, bestanden en encryptiesleutels voordat u wijzigingen aanbrengt. Bepaal de sleutelmodus voordat u inhoud versleutelt; de huidige handleiding beschrijft een door de server beheerde hoofdsleutel als de standaard voor de meeste implementaties.

1. Schakel de Nextcloud Default Encryption Module in onder Apps en schakel vervolgens server-side encryptie in via de beheerdersinstellingen, of gebruik de gedocumenteerde occcommando's.
2. Bij een standaard Linux-installatie voert u de commando's vanuit de Nextcloud-installatiemap uit als het webserveraccount: sudo -E -u www-data php occ app:enable encryption, en vervolgens sudo -E -u www-data php occ encryption:enable. Pas de gebruiker en de uitvoeringsmethode aan uw pakket aan; Docker-implementaties gebruiken commando's in de juiste container.
3. Voer het programma uit sudo -E -u www-data php occ encryption:statusom de functie en de geselecteerde module te bevestigen. Interpreteer een ingeschakelde vlag niet als bewijs dat elk bestaand bestand is versleuteld.
4. Plan een onderhoudsvenster in zonder toegang tot gebruikersbestanden en voer de opdracht uit sudo -E -u www-data php occ encryption:encrypt-allom bestaande bestanden te herstellen. Deze bewerking kan enige tijd in beslag nemen en de officiële referentie voor versleutelingsopdrachten vermeldt dat deze de onderhoudsmodus beheert en een interactieve terminal vereist.

SSE sluit bestandsnamen, mappen, bestaande prullenbakbestanden, sommige oude versies, miniaturen, voorbeelden, zoekindexen en bepaalde toepassingsgegevens uit. Bescherm uitgesloten items indien nodig afzonderlijk. Bescherm back-ups van versleutelingssleutels; het verlies van essentiële sleutels of instantiegeheimen kan herstel permanent onmogelijk maken.

Bescherm de CODE-host en houd het bewerkingspad veilig.

Zelfs wanneer de WOPI-host opgeslagen documenten versleutelt, is het raadzaam de CODE-machine onafhankelijk te beoordelen. Collabora beschrijft actieve documentverwerking als geheugengeoriënteerd en positioneert CODE niet als de permanente documentopslagplaats. De gepubliceerde coolwsd.xmlsjabloon bevat echter instellingen voor optionele quarantaine en gecachede bestanden, dus inspecteer de daadwerkelijke implementatie in plaats van aan te nemen dat elk tijdelijk artefact ontbreekt. Beveilig de runtime-opslag van de container, gekoppelde volumes, systeemswap, crashdumps en back-ups met passende versleuteling of bewaartermijnen.

Zorg ervoor dat HTTPS behouden blijft tussen browsers, CODE en de WOPI-service, en beperk welke WOPI-hosts verbinding kunnen maken. De configuratiedocumentatie van Nextcloud Office raadt aan WOPI-verzoeken te beperken tot de verwachte IP-adressen van de Collabora-servers. Deze toegangsbeperkingen vervangen geen encryptie van gegevens in rust, maar ze helpen voorkomen dat het versleutelde opslagsysteem onversleutelde tekst aan een onbevoegde gebruiker doorgeeft.

Schakel de lokale bestandsopslagmodus van Collabora niet in voor productie als snelle oplossing; de officiële SDK beschrijft bestandsopslag als een optie die alleen voor testdoeleinden is bedoeld en raadt WOPI aan. Behoud de normale opslagintegratie zodat het autorisatie- en back-upgedrag consistent blijft.

Controleer of het resultaat goed genoeg is.

Gebruik een niet-gevoelig voorbeeldbestand voor de acceptatietest. Upload het via de opslagservice, open het in CODE, bewerk een regel, sla het op, sluit de editor en open het opnieuw. Een succesvolle retourzending bevestigt dat bewerken nog steeds werkt; het bewijst echter niet dat de gegevens in rust versleuteld zijn.

• Opslagcontrole: verifieer of de daadwerkelijke documentdirectory verwijst naar het beoogde versleutelde volume, of dat de opslagservice de verwachte versleutelingsconfiguratie rapporteert. Controleer voor SSE of de door de backend beheerde gegevens onleesbaar zijn zonder de sleutels van de opslagapplicatie, met behulp van een gecontroleerde test en geautoriseerde toegang tot de backend.
• Test de oude bestanden: bevestig of de migratie encryption:encrypt-allsuccesvol is afgerond; test niet alleen een nieuw geüpload bestand.
• Secundaire kopieën: controleer back-ups, snapshots, voorbeeldgegevens, logboeken en CODE-hostopslag aan de hand van dezelfde beveiligingsvereisten.
• Herstelbaarheid: herstel een voorbeeld en de benodigde sleutels in een aparte testomgeving en bevestig vervolgens via CODE dat het document kan worden geopend en opgeslagen.

Schakel over naar een andere aanpak als de opslagprovider of applicatie de inhoud niet mag decoderen, als een beschermde gegevenscategorie buiten de versleutelingsgrens valt of als sleutelherstel niet kan worden aangetoond. Versleuteling van gegevens in rust beperkt voornamelijk de blootstelling aan gegevensverlies en ongeautoriseerde toegang tot de backend; het kan op zichzelf niet voorkomen dat een live server wordt gecompromitteerd, een geautoriseerde gebruiker een bestand downloadt of een gestolen account een geopend document leest.