Proteja los documentos de Collabora CODE en reposo con cifrado de almacenamiento.

Para cifrar documentos en reposo al usar Collabora Online Development Edition (CODE), habilite el cifrado en la plataforma de almacenamiento de archivos o en el disco subyacente, no en el editor de CODE. Collabora abre los documentos proporcionados por un servidor de almacenamiento WOPI, mientras que este servidor es responsable de mantener protegidas las copias guardadas. El resultado debería ser un almacenamiento cifrado, ediciones funcionales y archivos recuperables.

Identifique qué sistema almacena realmente los archivos.

Una implementación típica utiliza Nextcloud u otro servicio compatible con WOPI para el almacenamiento de archivos y CODE para la edición basada en navegador. Un documento se mueve entre estos componentes durante una sesión de edición autorizada; activar HTTPS protege esa conexión, pero no cifra la copia almacenada. La descripción general de seguridad de Collabora indica que el almacenamiento está controlado por la integración, mientras que su plantilla de configuración del servidor documenta WOPI, TLS y la configuración opcional de caché y cuarentena.

Antes de realizar cualquier cambio, registre dónde el host WOPI escribe los archivos de documentos, si utiliza discos locales o almacenamiento de objetos externo, y dónde se ejecuta CODE. Incluya copias de seguridad, instantáneas, vistas previas, intercambio y volúmenes de contenedores: las copias fuera del directorio principal podrían quedar desprotegidas.

Elija un cifrado que se ajuste al riesgo.

Para documentos en el disco local de un servidor Linux, el cifrado de disco o volumen, como LUKS, suele ser la opción más sencilla. Protege el almacenamiento subyacente cuando el volumen está bloqueado, incluso contra el robo de una unidad apagada. La documentación de cifrado de disco completo de Ubuntu describe LUKS como un cifrado a nivel de bloque, no como una configuración de la aplicación. Utilice un nuevo volumen cifrado o una migración probada: inicializar LUKS puede destruir datos existentes.

Si Nextcloud almacena archivos en un servicio de almacenamiento de terceros y este proveedor no debe leer su contenido, el cifrado del lado del servidor (SSE) de Nextcloud podría ser la mejor opción. Este cifrado encripta el contenido de los archivos compatibles antes de guardarlos en el almacenamiento backend. Las claves permanecen en Nextcloud, por lo que un servidor o administrador comprometido podría acceder a los archivos descifrados. Nextcloud recomienda considerar el cifrado de disco para el almacenamiento local.

Si ni siquiera el administrador de la aplicación puede leer un documento, ni el cifrado de disco desbloqueado ni el cifrado SSE convencional cumplen con ese requisito. Evalúe un flujo de trabajo de cifrado de extremo a extremo o del lado del cliente compatible y confirme que la edición en el navegador siga estando disponible; no dé por sentado que todos los documentos cifrados se pueden abrir de forma colaborativa en CODE.

Habilitar el cifrado en el servidor de almacenamiento

Opción A: Cifrar el volumen local

Para una nueva implementación de Linux, aprovisione los datos de los archivos y los volúmenes de servicio correspondientes en almacenamiento cifrado antes de importar los documentos. Mantenga la clave de desbloqueo y la información de recuperación fuera del servidor, restrinja el acceso administrativo y pruebe el procedimiento de reinicio o desbloqueo. Para sistemas existentes, verifique las copias de seguridad y migre durante los periodos de inactividad. Configure el cifrado para volúmenes en la nube o almacenamiento de objetos con el proveedor.

Utilice esta herramienta lsblk -fpara identificar los tipos de dispositivos de bloques y findmnt -T /path/to/document/datael sistema de archivos que respalda su directorio de datos. Verifique la ruta desde el directorio de datos hasta el dispositivo cifrado: la instalación cryptsetuppor sí sola no cifra el sistema de archivos.

Opción B: Habilitar el cifrado del lado del servidor de Nextcloud

Cuando Nextcloud SSE sea apropiado, siga su guía de cifrado del lado del servidor . Realice una copia de seguridad de la configuración de Nextcloud, la base de datos, los archivos y las claves de cifrado antes de realizar cambios. Decida el modo de clave antes de cifrar el contenido; la guía actual describe una clave maestra controlada por el servidor como la opción predeterminada para la mayoría de las implementaciones.

1. Habilite el módulo de cifrado predeterminado de Nextcloud en Aplicaciones y, a continuación, habilite el cifrado del lado del servidor en la configuración de administración, o utilice los occcomandos documentados.
2. En una instalación convencional de Linux, ejecute los comandos desde el directorio de instalación de Nextcloud como la cuenta del servidor web: sudo -E -u www-data php occ app:enable encryption, luego sudo -E -u www-data php occ encryption:enable. Adapte el usuario y el método de ejecución a su empaquetado; las implementaciones de Docker utilizan comandos dentro del contenedor apropiado.
3. Ejecute la prueba sudo -E -u www-data php occ encryption:statuspara confirmar la función y el módulo seleccionado. No interprete la activación del indicador como prueba de que todos los archivos preexistentes están cifrados.
4. Programe una ventana de mantenimiento sin acceso a archivos de usuario y ejecute el comando sudo -E -u www-data php occ encryption:encrypt-allpara gestionar los archivos preexistentes. Esta operación puede tardar, y la documentación oficial del comando de cifrado indica que gestiona el modo de mantenimiento y requiere una terminal interactiva.

SSE excluye nombres de archivo, carpetas, archivos de la papelera, algunas versiones antiguas, miniaturas, vistas previas, índices de búsqueda y ciertos datos de la aplicación. Proteja los elementos excluidos por separado si es necesario. Proteja las copias de seguridad de las claves de cifrado; la pérdida de claves esenciales o secretos de instancia puede impedir la recuperación de forma permanente.

Proteja el servidor de CODE y mantenga segura la ruta de edición.

Incluso cuando el host WOPI cifra los documentos almacenados, evalúe la máquina CODE de forma independiente. Collabora describe la gestión activa de documentos como orientada a la memoria y no considera a CODE como el repositorio permanente de documentos. Sin embargo, la coolwsd.xmlplantilla publicada incluye configuraciones para archivos en cuarentena y en caché opcionales, por lo que conviene inspeccionar la implementación real en lugar de asumir que no hay artefactos temporales. Proteja el almacenamiento en tiempo de ejecución del contenedor, los volúmenes montados, el intercambio del sistema, los volcados de memoria y las copias de seguridad con los controles de cifrado o retención adecuados.

Mantenga el protocolo HTTPS entre los navegadores, CODE y el servicio WOPI, y restrinja la conexión de los hosts WOPI. La documentación de configuración de Office de Nextcloud recomienda limitar las solicitudes WOPI a las direcciones IP de los servidores Collabora previstas. Estos controles de acceso no sustituyen el cifrado en reposo, pero ayudan a evitar que el sistema de almacenamiento cifrado entregue texto sin cifrar a un editor no autorizado.

No habilite el modo de almacenamiento en sistema de archivos local de Collabora para producción como atajo; su SDK oficial describe el almacenamiento en sistema de archivos como una opción solo para pruebas y recomienda WOPI. Mantenga la integración de almacenamiento normal para que la autorización y el comportamiento de guardado sigan siendo consistentes.

Comprueba si el resultado es suficientemente bueno.

Para la prueba de aceptación, utilice un archivo de muestra no confidencial. Súbalo al servicio de almacenamiento, ábralo en CODE, edite una línea, guarde, cierre el editor y vuelva a abrirlo. Si la operación de ida y vuelta se completa con éxito, se confirma que la edición sigue funcionando; esto no demuestra el cifrado en reposo.

• Prueba de almacenamiento: verifique que el directorio de documentos se resuelva en el volumen cifrado previsto o que el servicio de almacenamiento informe la configuración de cifrado esperada. Para SSE, compruebe si los datos almacenados en el servidor son ilegibles sin las claves de la aplicación de almacenamiento, mediante una prueba controlada y acceso autorizado al servidor.
• Cobertura de archivos antiguos: confirme que la migración se encryption:encrypt-allha completado correctamente; no pruebe solo un archivo recién subido.
• Copias secundarias: compruebe que las copias de seguridad, las instantáneas, los datos de vista previa, los registros y el almacenamiento del host CODE cumplan con el mismo requisito de protección.
• Recuperabilidad: restaure una muestra y sus claves necesarias en un entorno de prueba independiente y, a continuación, confirme que el documento se abre y se guarda mediante CODE.

Cambie de enfoque si el proveedor de almacenamiento o la aplicación no pueden descifrar el contenido, si una categoría de datos protegidos queda fuera del alcance del cifrado o si no se puede demostrar la recuperación de la clave. El cifrado en reposo limita principalmente la exposición a pérdidas de almacenamiento y lecturas no autorizadas en el servidor; por sí solo, no puede impedir que un servidor comprometido, un usuario autorizado que descarga un archivo o una cuenta robada lean un documento abierto.