Proteja documentos Collabora CODE em repouso com criptografia de armazenamento.

Para criptografar documentos em repouso ao usar o Collabora Online Development Edition (CODE), habilite a criptografia na plataforma de armazenamento de arquivos ou no disco subjacente — não no editor do CODE. O Collabora abre documentos fornecidos por um host de armazenamento WOPI, enquanto o host é responsável por manter as cópias salvas protegidas. O resultado deve ser armazenamento criptografado, edições funcionais e arquivos recuperáveis.

Identifique qual sistema armazena os arquivos.

Uma implementação típica utiliza o Nextcloud ou outro serviço compatível com WOPI para armazenamento de arquivos e o CODE para edição baseada em navegador. Um documento transita entre esses componentes durante uma sessão de edição autorizada; ativar o HTTPS protege essa conexão, mas não criptografa a cópia armazenada. A visão geral de segurança da Collabora descreve o armazenamento como controlado pela integração, enquanto seu modelo de configuração de servidor documenta as configurações de WOPI, TLS e as opções de cache e quarentena.

Antes de alterar qualquer coisa, registre onde o host WOPI grava os arquivos de documentos, se usa discos locais ou armazenamento de objetos externo e onde o próprio CODE é executado. Inclua backups, snapshots, pré-visualizações, swap e volumes de contêiner: cópias fora do diretório principal podem permanecer desprotegidas.

Escolha uma criptografia que corresponda ao risco.

Para documentos no disco local de um servidor Linux, a criptografia de disco ou volume, como o LUKS, geralmente é a opção mais simples. Ela protege o armazenamento subjacente quando o volume está bloqueado, inclusive contra roubo de uma unidade desligada. A documentação do Ubuntu sobre criptografia de disco completo descreve o LUKS como criptografia em nível de bloco, e não como uma configuração de aplicativo. Use um novo volume criptografado ou uma migração testada: inicializar o LUKS pode destruir dados existentes.

Se o Nextcloud armazena arquivos em armazenamento de terceiros e o provedor de armazenamento não pode ler o conteúdo desses arquivos, a criptografia do lado do servidor (SSE) do Nextcloud pode ser uma opção melhor. Ela criptografa o conteúdo dos arquivos compatíveis antes de salvá-los no armazenamento de backend. As chaves permanecem no Nextcloud, portanto, um servidor ou administrador comprometido pode acessar os arquivos descriptografados. O Nextcloud recomenda considerar a criptografia de disco para armazenamento local.

Se nem mesmo o administrador do aplicativo puder ler um documento, nem a criptografia de disco desbloqueado nem a criptografia SSE comum atendem a esse requisito. Avalie um fluxo de trabalho de criptografia de ponta a ponta ou do lado do cliente compatível e confirme se a edição no navegador permanece disponível; não presuma que todos os documentos criptografados possam ser abertos colaborativamente no CODE.

Ative a criptografia no host de armazenamento.

Opção A: Criptografar o volume local

Para uma nova implementação do Linux, provisione os dados dos arquivos e os volumes de serviço relevantes em armazenamento criptografado antes de importar os documentos. Mantenha a chave de desbloqueio e as informações de recuperação fora do servidor, restrinja o acesso administrativo e teste o procedimento de reinicialização ou desbloqueio. Para sistemas existentes, verifique os backups e migre durante períodos de inatividade. Configure a criptografia para volumes em nuvem ou armazenamento de objetos com o provedor.

Use lsblk -fpara identificar os tipos de dispositivos de bloco e findmnt -T /path/to/document/datao sistema de arquivos que suporta seu diretório de dados. Verifique o caminho do diretório de dados até o dispositivo criptografado: a instalação cryptsetuppor si só não criptografa um sistema de arquivos.

Opção B: Ativar a criptografia do lado do servidor Nextcloud

Quando o Nextcloud SSE for apropriado, siga o guia de criptografia do lado do servidor . Faça backup da configuração, do banco de dados, dos arquivos e das chaves de criptografia do Nextcloud antes de fazer alterações. Defina o modo de chave antes de criptografar o conteúdo; o guia atual descreve uma chave mestra controlada pelo servidor como padrão para a maioria das implementações.

1. Ative o módulo de criptografia padrão do Nextcloud em Aplicativos e, em seguida, ative a criptografia do lado do servidor nas configurações de administração ou use os occcomandos documentados.
2. Em uma instalação Linux convencional, execute comandos a partir do diretório de instalação do Nextcloud como a conta do servidor web: sudo -E -u www-data php occ app:enable encryption, depois sudo -E -u www-data php occ encryption:enable. Adapte o usuário e o método de execução ao seu pacote; implantações Docker usam comandos dentro do contêiner apropriado.
3. Execute o comando sudo -E -u www-data php occ encryption:statuspara confirmar o recurso e o módulo selecionado. Não interprete um sinalizador ativado como prova de que todos os arquivos preexistentes estão criptografados.
4. Agende uma janela de manutenção sem acesso aos arquivos do usuário e execute o comando sudo -E -u www-data php occ encryption:encrypt-allpara corrigir arquivos preexistentes. Essa operação pode levar algum tempo, e a referência oficial do comando de criptografia observa que ela gerencia o modo de manutenção e requer um terminal interativo.

O SSE exclui nomes de arquivos, pastas, arquivos da lixeira existentes, algumas versões antigas, miniaturas, pré-visualizações, índices de pesquisa e certos dados de aplicativos. Proteja os itens excluídos separadamente, se necessário. Proteja os backups das chaves de criptografia; a perda de chaves essenciais ou segredos da instância pode impedir permanentemente a recuperação.

Proteja o host do CODE e mantenha o caminho de edição seguro.

Mesmo quando o host WOPI criptografa os documentos armazenados, avalie a máquina CODE de forma independente. A Collabora descreve o gerenciamento ativo de documentos como orientado à memória e não considera o CODE como o repositório permanente de documentos. No entanto, o coolwsd.xmlmodelo publicado inclui configurações opcionais para quarentena e arquivos em cache; portanto, inspecione a implantação real em vez de presumir que todos os artefatos temporários estejam ausentes. Proteja o armazenamento de tempo de execução do contêiner, volumes montados, swap do sistema, despejos de memória em caso de falha e backups com criptografia ou controles de retenção apropriados.

Mantenha o HTTPS entre os navegadores, o CODE e o serviço WOPI, e restrinja quais hosts WOPI podem se conectar. A documentação de configuração do Office do Nextcloud recomenda limitar as solicitações WOPI aos endereços IP esperados do servidor Collabora. Esses controles de acesso não substituem a criptografia em repouso, mas ajudam a impedir que o sistema de armazenamento criptografado forneça texto não criptografado a um editor não autorizado.

Não habilite o modo de armazenamento de sistema de arquivos local do Collabora para produção como um atalho; o SDK oficial descreve o armazenamento de sistema de arquivos como uma opção apenas para testes e recomenda o WOPI. Mantenha a integração de armazenamento normal para que a autorização e o comportamento de salvamento permaneçam consistentes.

Verifique se o resultado é suficientemente bom.

Use um arquivo de amostra não sensível para o teste de aceitação. Faça o upload dele através do serviço de armazenamento, abra-o no CODE, edite uma linha, salve, feche o editor e abra-o novamente. Uma operação bem-sucedida de ida e volta confirma que a edição ainda funciona; isso não comprova a criptografia em repouso.

• Comprovação de armazenamento: verifique se o diretório de documentos real resolve para o volume criptografado pretendido ou se o serviço de armazenamento reporta a configuração de criptografia esperada. Para SSE, verifique se os dados mantidos pelo backend são ilegíveis sem as chaves do aplicativo de armazenamento, usando um teste controlado e acesso autorizado ao backend.
• Cobertura de arquivos antigos: confirmar migração ou encryption:encrypt-allconclusão bem-sucedida; não testar apenas arquivos recém-carregados.
• Cópias secundárias: verifique se backups, snapshots, dados de pré-visualização, logs e armazenamento do host CODE atendem aos mesmos requisitos de proteção.
• Recuperabilidade: restaure uma amostra e suas chaves necessárias em um ambiente de teste separado e, em seguida, confirme se o documento abre e salva corretamente por meio do CODE.

Mude a abordagem se o provedor de armazenamento ou o aplicativo não puderem descriptografar o conteúdo, se uma categoria de dados protegidos permanecer fora do limite de criptografia ou se a recuperação da chave não puder ser demonstrada. A criptografia em repouso limita principalmente a exposição à perda de armazenamento e a leituras não autorizadas no servidor; ela, por si só, não impede que um servidor comprometido, um usuário autorizado baixe um arquivo ou uma conta roubada leia um documento aberto.