Cette page a pour but de donner des informations sur la façon dont les sauvegardes sont faite chez ReflexLibre. L'objectif de cette démarche est à la fois d'informer les structures clientes désireuses d'en savoir plus, mais aussi de permettre aux usagers de YunoHost d'améliorer leur politique de sauvegarde ou au contraire de critiquer celle-ci.

Ce document vous présente ce qui est mis en œuvre chez ReflexLibre pour assurer l'intégrité de vos données. Si vous êtes une structure cliente de ReflexLibre et que vous estimer que vos données sont cruciales: je vous encourage à faire des sauvegardes de votre côté. Ne pas hésiter à appeler pour qu'on en discute.

Les serveurs gérés par ReflexLibre sont sauvegardés sur 2 serveurs distants: l'un est au siège de ReflexLibre à Strasbourg, l'autre sur un serveur privé virtuel PulseHeberg à Nanterre.

Les sauvegardes sont chiffrées, c'est à dire que les copies distantes ne peuvent être lues qu'à l'aide d'une clé de déchiffrement. Les clés de chiffrement, distinctes pour chaque serveur, sont stockées sur 3 supports distincts. Ces supports font eux mêmes l'objet de précaution en matière de sécurité.

Par ailleurs, les serveurs de production utilisés dupliquent en temps réels les données via diverses technologies (drbd, RAID1, 5 ou 6, etc.).

Le siège social de ReflexLibre peut transférer une sauvegarde vers un autre lieu à la vitesse de 50Mbps, soit 100G en 4h30, les copies à Nanterre (PulseHeberg) peuvent l'être 5 fois plus vite.

En général, les 2 sauvegardes sont décalées de 12h. Par exemple, une à 6h vers le siège social, l'autre à 18h vers Nanterre.

Lors des opérations de mise à jour, YunoHost procède à une sauvegarde légère localement, c'est à dire sans les données lourdes et sans l'envoyer à distance. L'objectif étant de pouvoir rétablir le service rapidement en cas de soucis lors de la mise à jour.

Les 2 copies sont générées via le mécanisme de sauvegarde de YunoHost et l'utilisation des applications borg_ynh et borgserver_ynh.

La présence des sauvegardes est vérifiées le lendemain de l'installation du service.

Le bon fonctionnement des scripts de restauration est testé par le projet YunoHost via la CI de test des apps.

ReflexLibre vérifie par ailleurs une fois par mois l'ensemble des sauvegardes.

Éléments vérifiés:

• Présence d'une archive par application
• Présence et poids crédible de l'export de la base de données dans l'archive (il s'agit de chercher dump.sql ou db.sql)
• Présence du fichier info.json et du backup.csv dans l'archive (si ils ne sont pas présents l'archive est probablement corrompue ou le mécanisme de restauration automatique ne sera pas opérationnel)

Un code est en cours d'écriture afin de vérifier les sauvegardes de façon automatique une fois par jour via l'outil de monitoring yunomonitor.

A terme, le matériel de sauvegarde de ReflexLibre est censé accueillir un mécanisme de test de redéploiement de la sauvegarde.

L'objectif de cette politique de sauvegarde est de couvrir l'apparition d'un ou 2 évènements simultanés au sein de cette liste:

• Panne matériel (disque dur, corruption d'un serveur virtuel par le fournisseur, surtension)
• Vol de matériel
• Perquisition (saisie administrative)
• Chiffrement ou suppression des données par un cryptolocker (notamment ceux présents sur les machines des usagers)
• Bug qui supprimerait les données d'un serveur
• Erreur de manipulation
• Intrusion informatique non ciblée (c'est à dire par des outils automatiques qui ne visent pas spécifiquement les serveurs de ReflexLibre)
• Incendie ou inondation
• Panne de courant sur un quartier
• Perte de donnée suite à une erreur d'un usager

D'autres risques sont partiellement couvert par cette politique :

• Les bugs sur le système de sauvegarde de YunoHost ou sur borg_ynh/borgserver_ynh
  • Un bug pourrait empêcher les 2 sauvegardes d'avoir lieu (raison numéro 1 du chantier sur le monitoring quotidien des sauvegardes)
• Les attaques ciblant spécifiquement un serveur de ReflexLibre, le projet YunoHost ou une de ses dépendances
  • Il reste envisageable qu'une attaque ciblée puisse aboutir à la suppression à la fois du serveur et des copies de sauvegardes (ou des clés de chiffrements)
• Décès ou invalidité de Valentin
  • Dans ce cas des solutions existent, mais la survenue d'autres évènements simultanément pourrait poser soucis.

ReflexLibre a conçu une solution à bas coût pour sauvegarder les données de ses clients. Basée sur des ordinateurs Acute Angle en forme de triangle, cette solution permet de stocke les données sur un mirroir (RAID1) de 2x4To et peut se placer derrière une fibre optique domestique.

Les disques sont entièrement chiffrés.

Voir le détails du déploiement techniques de ces unités de sauvegarde pour plus d'information.