Защитите документы Collabora CODE в состоянии покоя с помощью шифрования хранилища.

Для шифрования документов в состоянии покоя при использовании Collabora Online Development Edition (CODE) включите шифрование на платформе хранения файлов или на базовом диске, а не в редакторе CODE. Collabora открывает документы, предоставленные хостом хранения WOPI, в то время как хост отвечает за защиту сохраненных копий. В результате вы получите зашифрованное хранилище, работающие правки и восстанавливаемые файлы.

Определите, в какой системе фактически хранятся файлы.

В типичной конфигурации для хранения файлов используется Nextcloud или другой WOPI-совместимый сервис, а для редактирования в браузере — CODE. Документ перемещается между этими компонентами в течение авторизованного сеанса редактирования; включение HTTPS защищает это соединение, но не шифрует сохраненную копию. В обзоре безопасности Collabora хранилище описывается как управляемое интеграцией, а в шаблоне конфигурации сервера описаны WOPI, TLS, а также дополнительные параметры кэширования и карантина.

Прежде чем что-либо менять, запишите, куда хост WOPI записывает файлы документов, использует ли он локальные диски или внешнее объектное хранилище, а также где работает сам CODE. Включите резервные копии, снимки, предварительные просмотры, файлы подкачки и тома контейнеров: копии за пределами основного каталога могут остаться незащищенными.

Выберите шифрование, соответствующее уровню риска.

Для документов на локальном диске Linux-сервера обычно наиболее простым вариантом является шифрование диска или тома, например, с помощью LUKS. Оно защищает базовое хранилище, когда том заблокирован, в том числе от кражи с выключенного диска. В документации Ubuntu по шифрованию всего диска LUKS описывается как шифрование на уровне блоков, а не как настройка приложения. Используйте новый зашифрованный том или проверенную миграцию: инициализация LUKS может уничтожить существующие данные.

Если Nextcloud хранит файлы на сторонних носителях, и поставщику хранилища не нужно читать их содержимое, лучше подойдет серверное шифрование Nextcloud (SSE). Оно шифрует содержимое поддерживаемых файлов перед сохранением их в серверное хранилище. Ключи остаются в Nextcloud, поэтому взломанный сервер или администратор могут получить доступ к расшифрованным файлам. Nextcloud рекомендует рассмотреть возможность шифрования диска для локального хранилища.

Если даже администратор приложения не сможет прочитать документ, то ни шифрование с разблокированным диском, ни обычное шифрование с использованием SSE не удовлетворяют этому требованию. Оцените поддерживаемый рабочий процесс шифрования на стороне клиента или сквозного шифрования и убедитесь, что редактирование в браузере остается доступным; не следует предполагать, что каждый зашифрованный документ можно открыть совместно в CODE.

Включите шифрование на хосте хранения данных.

Вариант А: Зашифровать локальный том

При развертывании новой системы Linux перед импортом документов необходимо выделить файловые данные и соответствующие сервисные тома на зашифрованном хранилище. Храните секретный ключ разблокировки и информацию для восстановления вне сервера, ограничьте административный доступ и протестируйте процедуру перезагрузки или разблокировки. Для существующих систем проверьте резервные копии и выполните миграцию во время простоя. Настройте шифрование для облачных томов или объектного хранилища у поставщика.

Используйте это lsblk -fдля определения типов блочных устройств и findmnt -T /path/to/document/dataфайловой системы, на которой находится ваш фактический каталог данных. Проверьте путь от каталога данных до зашифрованного устройства: cryptsetupсама по себе установка не шифрует файловую систему.

Вариант B: Включить шифрование на стороне сервера Nextcloud.

Если вам подходит Nextcloud SSE, следуйте руководству по шифрованию на стороне сервера . Перед внесением изменений создайте резервную копию конфигурации Nextcloud, базы данных, файлов и ключей шифрования. Определитесь с режимом ключа до шифрования контента; в текущем руководстве в качестве режима по умолчанию для большинства развертываний описывается управляемый сервером главный ключ.

1. Включите модуль шифрования Nextcloud по умолчанию в приложениях, затем включите шифрование на стороне сервера в настройках администрирования или используйте описанные в документации occкоманды.
2. В стандартной установке Linux команды выполняются из каталога установки Nextcloud от имени учетной записи веб-сервера: sudo -E -u www-data php occ app:enable encryption, затем sudo -E -u www-data php occ encryption:enable. Адаптируйте пользователя и метод выполнения к вашему пакету; развертывания Docker используют команды внутри соответствующего контейнера.
3. Запустите программу sudo -E -u www-data php occ encryption:status, чтобы подтвердить наличие функции и выбранного модуля. Не следует интерпретировать флаг "включено" как доказательство того, что все существующие файлы зашифрованы.
4. Запланируйте окно обслуживания без доступа пользователя к файлам и выполните его sudo -E -u www-data php occ encryption:encrypt-allдля обработки уже существующих файлов. Эта операция может занять время, и в официальном справочнике команд шифрования отмечается, что она управляет режимом обслуживания и требует интерактивного терминала.

SSE исключает имена файлов, папки, существующие файлы корзины, некоторые старые версии, эскизы, предварительный просмотр, поисковые индексы и определенные данные приложений. При необходимости защищайте исключенные элементы отдельно. Защищайте резервные копии ключей шифрования; потеря важных ключей или секретов экземпляра может навсегда предотвратить восстановление.

Защитите хост CODE и обеспечьте безопасность процесса редактирования.

Даже если хост WOPI шифрует хранимые документы, оцените работу машины CODE независимо. Collabora описывает активную обработку документов как ориентированную на память и не позиционирует CODE как постоянное хранилище документов. Однако опубликованный coolwsd.xmlшаблон включает настройки для необязательного карантина и кэшированных файлов, поэтому проверьте фактическое развертывание, а не предполагайте отсутствие всех временных артефактов. Обеспечьте защиту хранилища среды выполнения контейнеров, смонтированных томов, системного файла подкачки, дампов аварийных завершений и резервных копий с помощью соответствующего шифрования или средств контроля хранения.

Используйте протокол HTTPS между браузерами, CODE и службой WOPI, а также ограничьте доступ к WOPI для определенных хостов. В документации Nextcloud по настройке Office рекомендуется ограничивать запросы WOPI ожидаемыми IP-адресами серверов Collabora. Эти средства контроля доступа не заменяют шифрование данных в состоянии покоя, но помогают предотвратить передачу зашифрованного текста в незашифрованном виде неавторизованному редактору.

Не включайте режим локального файлового хранилища Collabora для производственной среды в качестве быстрого решения; в официальном SDK файловое хранилище описывается как вариант только для тестирования и рекомендуется WOPI. Сохраните обычную интеграцию с хранилищем, чтобы авторизация и процесс сохранения данных оставались согласованными.

Проверьте, достаточно ли хорош результат.

Для приемочного тестирования используйте неконфиденциальный образец файла. Загрузите его через службу хранения, откройте в CODE, отредактируйте строку, сохраните, закройте редактор и снова откройте. Успешное выполнение проверки подтверждает работоспособность редактирования; это не доказывает шифрование в состоянии покоя.

• Подтверждение хранения: убедитесь, что фактический каталог документов указывает на предполагаемый зашифрованный том, или что служба хранения сообщает об ожидаемой конфигурации шифрования. Для SSE проверьте, не являются ли данные, хранящиеся на бэкэнде, нечитаемыми без ключей приложения хранения, используя контролируемый тест и авторизованный доступ к бэкэнду.
• Проверка старых файлов: подтвердите, что миграция encryption:encrypt-allуспешно завершена; не тестируйте только недавно загруженный файл.
• Вторичные копии: проверьте резервные копии, снимки, данные предварительного просмотра, журналы и хранилище CODE Host на соответствие тем же требованиям защиты.
• Восстанавливаемость: восстановите образец и необходимые для него ключи в отдельной тестовой среде, затем подтвердите, что документ открывается и сохраняется с помощью CODE.

Переход на другой подход возможен, если поставщик хранилища или приложение не могут расшифровать содержимое, если защищаемая категория данных остается за пределами зоны шифрования или если невозможно продемонстрировать восстановление ключа. Шифрование в состоянии покоя в основном ограничивает риски потери данных при хранении и несанкционированного чтения с бэкэнда; само по себе оно не может предотвратить взлом работающего сервера, загрузку файла авторизованным пользователем или чтение открытого документа украденной учетной записью.