ConfigVault 如何加密网络配置备份
了解哪些配置记录受到保护、AES-256-GCM 提供什么，以及加密与防篡改证据的边界。
直接回答
网络配置可能包含凭据、共享密钥、拓扑、地址与策略。ConfigVault 使用按用途隔离的 AES-256-GCM 信封加密保护凭据、规范化配置正文、设备与快照元数据以及验证报告。哈希链操作日志用于检测后续修改，但加密不能替代主机安全、访问控制、密钥备份或独立外部审计链。
适用场景
- 保存历史配置，同时避免在应用数据目录留下可读备份文件。
- 把凭据保护与快照、元数据保护分开。
- 在审计时说明哈希链完整性检查能够和不能证明什么。
分步骤复核
分类受保护对象
把凭据、配置正文、设备元数据、快照元数据与验证报告作为不同用途。
每个对象生成数据密钥
为每个受保护对象使用新的随机密钥材料，避免所有记录共享一个可重复内容密钥。
加密内容并认证上下文
使用 AES-256-GCM 为受保护信封及其绑定上下文提供机密性与认证完整性。
保护包装密钥
让密钥加密边界与密文数据分离，并按部署策略备份或轮换密钥。
验证历史并演练恢复
检查哈希链、解密选定记录并测试导出或恢复，不要等到事故发生后才验证。
这里的网络配置机制
GCM 同时提供机密性与认证完整性
NIST 把 GCM 定义为认证加密模式；正确的唯一 nonce 与密钥处理仍是安全前提。
信封隔离减少密钥复用
随机数据密钥保护单个对象，独立包装边界再按用途保护该数据密钥。
可检测篡改不等于外部公证
本地哈希链可在其信任假设下发现历史断裂，但不能独立证明操作者身份或外部时间戳。
保护边界
| 记录 | ConfigVault 保护 | 运维责任 |
|---|---|---|
| 设备凭据 | 按用途隔离的加密信封 | 使用最小权限账号并限制谁可以请求解密 |
| 配置正文 | AES-256-GCM 加密对象 | 保护主机、主密钥材料、导出文件与备份 |
| 元数据与验证记录 | 受保护字段与认证上下文 | 限制应用与文件系统访问 |
| 操作审计日志 | 哈希链记录，用于检测修改 | 如需外部不可抵赖性，应独立导出或锚定 |
风险与不应执行的操作
不要随意导出明文
可读配置一旦导出就离开加密存储边界，需要单独保护。
不要丢失包装密钥
如果所需密钥材料丢失，加密会让有效备份无法恢复。
不要把本地完整性称为外部证明
当政策要求超出 ConfigVault 主机的证据时，应使用独立留存或签名系统。
Omuuz 产品能做什么、不能做什么
能够做到
ConfigVault 可以使用按用途隔离的 AES-256-GCM 信封加密受保护记录，并检测哈希链操作历史中的断裂。
不能做到
它不能单独保护已被攻陷的主机、恢复丢失的主密钥材料、保护离开存储后的明文导出，也不提供第三方公证。
产品证据
