Gérer les clés de chiffrement

Les clés de chiffrement servent à chiffrer les entrées de données (connexions, coffre utilisateur, documentation et pièces jointes). Elles sont générées et stockées dans le fichier encryption.config sur le serveur uniquement. Pour chiffrer les données stockées dans la base de données, nous utilisons notre bibliothèque de cryptographie à source libre.

Nous recommandons d'effectuer une sauvegarde de données de la base de données SQL avant toute opération qui pourrait modifier les informations qu'elle contient (Importer ou Régénérer). Pendant cette opération, tous les utilisateurs doivent être en mode hors ligne ou déconnectés de l'espace de travail Devolutions Server afin d'éviter toute perte de données.

Le fichier encryption.config ne peut pas être déplacé directement vers un autre système. Il est chiffré à l'aide de l'API de protection des données (DPAPI), qui lie le fichier au système sur lequel il a été chiffré à l'origine. Par conséquent, le fichier ne peut pas être lu ou utilisé sur une autre machine.

Pour utiliser la configuration de chiffrement sur un autre système, vous devez exporter les clés de chiffrement du système d'origine, puis les importer sur le système cible.

Les mêmes clés de chiffrement doivent être utilisées par toutes les instances de Devolutions Server dans une topologie à haute disponibilité ou d'équilibrage des charges qui partagent la même base de données SQL. La même exigence s'applique également lors d'une migration.

Exporter les clés de chiffrement

1. Ouvrir la Devolutions Server Console.
2. Dans l'onglet Outils, cliquer sur Exporter.

   
3. Saisir un Nom de fichier et un chemin de destination, puis définir un mot de passe pour protéger le fichier.

Nous recommandons fortement de stocker le fichier des clés de chiffrement dans un stockage sécurisé à l'extérieur de Devolutions Server, tel que Devolutions Cloud, Azure Key Vault ou AWS Key Management Service.

1. Cliquer sur Ok.

Vos clés de chiffrement ont été exportées vers la destination spécifiée.

Importer les clés de chiffrement

1. Ouvrir la Devolutions Server Console sur le serveur.
2. Dans l'onglet Outils, cliquer sur Importer.

   
3. Sélectionner le fichier des clés de chiffrement, puis saisir le mot de passe.

   
4. Cliquer sur Ok.

Une fois l'opération terminée, les nouvelles clés de chiffrement sont appliquées aux données de la base de données.

Régénérer les clés de chiffrement

La régénération des clés de chiffrement modifie et rechiffre les données stockées dans la base de données SQL de Devolutions Server. Cette opération doit être effectuée avec le plus grand soin.

Il peut y avoir des situations où vous devez régénérer les clés de chiffrement, par exemple si vous soupçonnez que votre base de données a été compromise. Les étapes suivantes expliquent comment effectuer cette opération.

1. Créer une sauvegarde de données complète de la base de données et s'assurer que la sauvegarde est valide et utilisable.
2. Sauvegarder le dossier de l'application web Devolutions Server.
3. Exporter les clés de chiffrement existantes. Voir la procédure d'exportation dans cette page.
4. Dans l'onglet Serveur, basculer l'instance Devolutions Server en mode hors ligne en cliquant sur Passer hors ligne.

   
5. Aller à l'onglet Outils et cliquer sur Régénérer.

   
6. Saisir un Nom de fichier et un chemin de destination, puis définir un mot de passe pour protéger le fichier.

Nous recommandons fortement de stocker le fichier des clés de chiffrement dans un stockage sécurisé à l'extérieur de Devolutions Server, tel que Devolutions Cloud, Azure Key Vault ou AWS Key Management Service.

1. Cliquer sur Ok.
2. Un dernier avertissement s'affiche avant le début du processus de régénération. Cliquer de nouveau sur OK pour continuer.

   

Le processus de régénération démarrera. Une fois terminé, le statut indiquera que l'opération est achevée.

Si le processus de régénération échoue

Si des erreurs se produisent pendant le processus de régénération, suivre ces instructions pour restaurer l'instance Devolutions Server à son état antérieur :

1. Restaurer votre base de données à partir de la sauvegarde de données effectuée juste avant la régénération des clés.
2. Naviguer vers le dossier App_Data à la racine de votre instance Devolutions Server.
3. Renommer le fichier encryption.config en encryption.config.bak (Devolutions Server ignorera désormais ce fichier).
4. Renommer le fichier encryption.<date and time>.config le plus récent en encryption.config.
5. Redémarrer le pool d'applications si nécessaire.