Gérer les clés de chiffrement

Les clés de chiffrement servent à chiffrer les entrées de données (connexions, coffre utilisateur, documentation et pièces jointes). Elles sont générées et stockées dans le fichier encryption.config sur le serveur uniquement. Pour chiffrer les données stockées dans la base de données, nous utilisons notre bibliothèque de cryptographie open source.

Nous recommandons d'effectuer une sauvegarde de la base de données SQL avant toute opération susceptible de modifier les informations qu'elle contient (Importer ou Régénérer). Pendant cette opération, tous les utilisateurs doivent être en mode hors ligne ou déconnectés de l'espace de travail Devolutions Server afin d'éviter toute perte de données.

Le fichier encryption.config ne peut pas être déplacé directement vers un autre système. Il est chiffré à l'aide de l'API de protection des données (DPAPI), qui lie le fichier au système sur lequel il a été chiffré à l'origine. Par conséquent, le fichier ne peut pas être lu ni utilisé sur une autre machine.

Pour utiliser la configuration de chiffrement sur un autre système, vous devez exporter les clés de chiffrement depuis le système d'origine, puis les importer sur le système cible.

Les mêmes clés de chiffrement doivent être utilisées par toutes les instances de Devolutions Server dans une topologie de haute disponibilité ou d'équilibrage de charge partageant la même base de données SQL. Cette même exigence s'applique également lors d'une migration.

Exporter les clés de chiffrement

1. Ouvrez la Devolutions Server Console.
2. Dans l'onglet Outils, cliquez sur Exporter.

   
3. Entrez un Nom de fichier de destination et un chemin d'accès, puis définissez un mot de passe pour protéger le fichier.

Nous recommandons vivement de stocker le fichier de clés de chiffrement dans un espace de stockage sécurisé en dehors de Devolutions Server, tel que Devolutions Cloud, Azure Key Vault ou AWS Key Management Service.

1. Cliquez sur Ok.

Vos clés de chiffrement ont été exportées vers la destination spécifiée.

Importer les clés de chiffrement

1. Ouvrez la Devolutions Server Console sur le serveur.
2. Dans l'onglet Outils, cliquez sur Importer.

   
3. Sélectionnez le fichier de clés de chiffrement, puis entrez le mot de passe.

   
4. Cliquez sur Ok.

Une fois l'opération terminée, les nouvelles clés de chiffrement sont appliquées aux données de la base de données.

Régénérer les clés de chiffrement

La régénération des clés de chiffrement modifie et rechiffre les données stockées dans la base de données SQL de Devolutions Server. Cette opération doit être effectuée avec la plus grande prudence.

Il peut arriver que vous deviez régénérer les clés de chiffrement, par exemple si vous soupçonnez que votre base de données a été compromise. Les étapes suivantes expliquent comment effectuer cette opération.

1. Créez une sauvegarde complète de la base de données et assurez-vous qu'elle est valide et utilisable.
2. Sauvegardez le dossier de l'application Web Devolutions Server.
3. Exportez les clés de chiffrement existantes. Consultez la procédure d'exportation sur cette page.
4. Dans l'onglet Serveur, basculez l'instance Devolutions Server en mode hors ligne en cliquant sur Passer hors ligne.

   
5. Accédez à l'onglet Outils et cliquez sur Régénérer.

   
6. Entrez un Nom de fichier de destination et un chemin d'accès, puis définissez un mot de passe pour protéger le fichier.

Nous recommandons vivement de stocker le fichier de clés de chiffrement dans un espace de stockage sécurisé en dehors de Devolutions Server, tel que Devolutions Cloud, Azure Key Vault ou AWS Key Management Service.

1. Cliquez sur Ok.
2. Un avertissement final s'affiche avant le début du processus de régénération. Cliquez à nouveau sur OK pour continuer.

   

Le processus de régénération démarrera. Une fois terminé, le statut indiquera que l'opération est achevée.

Si le processus de régénération échoue

Si des erreurs surviennent pendant le processus de régénération, suivez ces instructions pour restaurer l'instance Devolutions Server à son état précédent :

1. Restaurez votre base de données à partir de la sauvegarde effectuée juste avant la régénération des clés.
2. Accédez au dossier App_Data à la racine de votre instance Devolutions Server.
3. Renommez le fichier encryption.config en encryption.config.bak (Devolutions Server ignorera désormais ce fichier).
4. Renommez le fichier encryption.<date and time>.config le plus récent en encryption.config.
5. Redémarrez le pool d'applications si nécessaire.