ホームNASの復元中に暗号化されたバックアップが失敗するのはなぜですか？

暗号化されたバックアップは、ホームNASの復元時に回復チェーンを再構築する必要があるため失敗することがあります。ツールは正しいリポジトリを開き、そのキーを見つけ、正しい秘密情報で解除し、メタデータを認証し、必要なデータブロックを読み取り、回復したファイルを使用可能な場所に書き込まなければなりません。

暗号化は通常バックアップ作成時に行われ、復元は復号と検証によって欠落または不整合な依存関係を明らかにします。NASの変更、アプリの再インストール、リポジトリのコピー、インデックスの破損、認証情報の混乱は「暗号化の失敗」のように見えることがあります。別のホストでの復元後に「パスワードが間違っているかキーが見つかりません」という報告は、失敗した段階を特定する言葉ではないことを示しています。「パスワードは正しいか？」と「復元はどこまで進んだか？」の両方を確認してください。

簡単な答え：復号には依然として回復チェーンが必要です

復元は単なる復号ボタンではありません。アプリケーションはリポジトリにアクセスし、その設定とインデックスを読み込み、一致するキー記録を選択し、作業キーを解除し、メタデータを認証し、スナップショットのチャンクを見つけてからファイルを再構築します。1つの依存関係の破損が、平文が表示される前にすべてを停止させる可能性があります。

これが、あるパスフレーズが古いマシンでは機能しても、リポジトリパス、キー ファイル、キー識別子、ストレージ認証情報、または互換性のあるソフトウェア状態がない新しいNASでは失敗する理由です。たとえばResticは、ソースリポジトリのパスワードを復号に選択された特定のキーから分離しています。覚えているパスワードでは、間違ったリポジトリや欠落したキー素材は修正できません。

暗号化、復号、および復元の失敗は関連していますが、同じではありません

暗号化はデータがリポジトリに入るときに可読コンテンツを暗号文に変換し、復号はアクセス時にそれを元に戻します。復元にはリポジトリの検出、認証、整合性チェック、スナップショットの選択、解凍、パスのマッピング、権限設定、書き込み先への書き込みも含まれます。

この区別により、最終的なポップアップよりもエラーの順序が役立ちます。アプリケーションがスナップショットを一覧表示できない場合は、まずリポジトリの識別、認証情報、キーの検出、メタデータを調査してください。フォルダーは一覧表示されるが特定のファイルで失敗する場合は、欠落または破損したデータブロックの可能性が高いです。一時フォルダーに復号できてもライブデータに置き換えられない場合は、宛先に問題があります。

また、3つの認証情報を1つとして扱うことを防ぎます。NASのパスワードは共有を開き、クラウドやSFTPの認証情報はバックアップ場所にアクセスし、暗号化パスフレーズは保護されたデータを解除します。通常、1つを変更しても他は変わりませんが、復旧インターフェースは境界を示さずに3つすべてを要求することがあります。

暗号化されたホームNASの復元が失敗する可能性のある箇所

パスワードが必要なキーを解除できない

正しく見えるパスフレーズでも、選択したバックアップ世代には合わないことがあります。家庭内に古いリポジトリ、新しいジョブで変更された秘密情報、別のプロファイルで作成されたオフサイトコピーが存在する場合があります。ウィザードが誤ったフォルダーを検出すると、そのキー記録に属さないため、すべての試みが失敗します。

パスフレーズと暗号化キーは互換性がありません。Borgはアクセスにリポジトリキーとパスフレーズの両方が必要であると説明しています。パスフレーズはキーを保護するものであり、置き換えるものではありません。バックアップシステムによっては、キーはリポジトリ内、ローカルのキー ファイル、エクスポートされた復旧ファイル、またはアプリケーション管理の構成に存在する場合があります。

入力ミスが誤った不一致を生むことがあります。コピーした秘密情報に末尾のスペースが含まれていたり、シェルが特殊文字を解釈したり、パスワードマネージャーが更新されたエントリを提供したりすることがあります。バリエーションを入力する前に、ツールがサポートするパスワードファイルや復旧キーの方法で元の値をテストしてください。

キーまたは暗号化メタデータが欠落している

フォルダーにはギガバイト単位の暗号化データが含まれていても、小さなキーや構成レコードがなければ復元できないことがあります。これは、大きなデータファイルだけをコピーしたり、NASを再構築したり、アプリケーションのデータベースを削除したり、パスフレーズでキーを再作成できると誤解した場合に起こります。Duplicatiの復旧ガイダンスは、ソースの損失と欠落または破損したバックアップファイルを区別しており、セットの一部だけが復元可能になる場合があります。

すべての欠損したローカルデータベースが致命的とは限りません。ツールによってはリモートメタデータからインデックスを再構築したり、重要なキーをデータディレクトリ外に保存したりします。リポジトリ、エクスポートされたキー、暗号化された設定、ソフトウェアバージョン、宛先設定、回復手順を別々の資産として保持してください。

疑わしいフォルダに新しいバックアップジョブを初期化して「再接続」しないでください。新しいリポジトリは古い暗号化ブロックと並んで新しい設定、キー、またはインデックスオブジェクトを作成し、証拠の解釈を難しくします。可能な場合はバックアップを読み取り専用でマウントまたはコピーし、ファイル数とタイムスタンプを記録し、修復を試みる前に複製で作業してください。

暗号化リポジトリが整合性チェックに失敗する

認証付き暗号化は正しいキーでもデータを拒否することがあります。アップロードの切断、欠損パック、ビットロット、置き換えられたオブジェクト、破損したインデックス、または不完全な同期により、認証に失敗する暗号文が残ることがあります。エラーにはMAC、ハッシュ、破損パック、欠損ブロック、または復号に関する記述があるかもしれません。整合性検証は保護されたデータを開く際の一部です。

失敗の範囲が重要です。破損したグローバルメタデータはリポジトリ全体をブロックする可能性がありますが、1つの欠損パックはそのチャンクを参照するファイルにのみ影響します。多くのスナップショットが1つの重複排除ブロックに依存しているため、同じ家族のビデオの複数の日付が失敗しても他のファイルは復元可能なままです。

修復前にツールの読み取り専用チェックを使用し、メタデータの検査を完全なデータ検証から分離してください。簡単なインデックスチェックで、すべてのリモートオブジェクトを読み取らなくても参照が一貫していることが証明される場合があります。完全な検証はより多くのデータをダウンロードまたは読み取りますが、暗号化された内容が実際に認証され再構築できるかどうかを問う場合に強力なテストです。

バックアップソフトウェアとリポジトリのバージョンがアクセスをブロックすることがあります

交換用NASはバックアップ作成者とは異なるメジャーリリースをインストールするかもしれません。リポジトリ形式、暗号化モード、鍵の場所、認証メタデータ、ストレージコネクタは変わる可能性があります。古いクライアントは新しいメタデータを理解できず、新しいクライアントは古いリポジトリを安全に使うために移行が必要になることがあります。

これは理論的な話ではありません。Borgの現在のアップグレードノートは、既存の1.xリポジトリと直接互換性のないメジャーリリースを説明しており、転送経路が必要です。この教訓は一つのアプリケーションにとどまりません：フォルダを認識するソフトウェアが、その暗号化アーカイブ形式を解釈できるとは限らないのです。

プラグインは別のバージョン境界を追加します。バックアップは無傷でも、新規インストールがクラウドプロバイダー、SFTP鍵タイプ、圧縮方式、またはレガシー暗号のサポートを欠くことがあります。アプリケーションの再インストールで止まらず、元のバージョン、有効なモジュール、ストレージURL、移行メモを回復しましょう。

緊急時に唯一のコピーをアップグレードや変換するのは避けましょう。リポジトリを複製するかストレージのスナップショットを取り、既知の互換クライアントでテストしてから移行を試みてください。古い環境でまだバックアップが開けるなら、そのアクセスを使って鍵のエクスポート、スナップショットIDの一覧、設定の記録、そして変更前に取り返しのつかない小さなファイルの復元を行いましょう。

宛先のNASが復号を壊れているように見せることがある

平文が再構築できても、宛先には空き容量、書き込み権限、有効なパス、復元されたメタデータのサポートが必要です。インプレース復元は、開いているファイル、スナップショット、ウイルス対策、同期、またはアプリケーションがデータベースを書き換えることで衝突することがあります。これらは復元失敗であり、暗号鍵の失敗ではありません。

段階を分ける最速の方法は、通常のファイルを復元アカウントが所有する空のローカルフォルダにリダイレクトすることです。そのファイルが開けてチェックサムや内容が正しければ、そのオブジェクトに対してリポジトリ、鍵、復号パスは機能しています。残る問題は、宛先のポリシー、容量、命名、メタデータ、またはアプリケーション固有のインポート処理である可能性が高いです。

大規模な復元は、単一ファイルのテストでは見えない制限を露呈します。一時的なデータベースは作業用スペースが必要で、コールドアーカイブは復元のための準備が必要かもしれません。数百万の小さなファイルは、そのサイズ以上に時間とメモリを消費します。これらを別々に測定し、遅いまたは容量不足の宛先を鍵の紛失と誤診しないようにしましょう。

実践的なチェック：最も影響の大きい障害から始める

正確なリポジトリとバックアップ生成を確認する

パスワードの推測ではなく、まず識別情報から始めます。リポジトリのURLまたはフォルダー、バックアップジョブ名、スナップショットの日付、元のNASホスト名、アプリケーションのバージョン、暗号化モード、およびツールが表示するリポジトリIDを記録します。これらの詳細をエクスポートされた構成やパスワードやバックアップ対象が変更された日付と比較してください。

次に、復元ツールが完全なセットに読み取りアクセスできることを確認します。部分的なコピーや複数のジョブを含む親フォルダーではありません。複数のバックアップジョブが同じ宛先を共有している場合は、サイズだけでなく文書化されたリポジトリ識別子で期待されるファイルを分離します。最大のフォルダーが自動的に正しいまたは完全なものとは限りません。

パスワードとリカバリーキーを別々にテストする

まず、ストレージ認証情報がバックアップ先に到達し、一覧表示できることを証明します。次に、アプリケーションがサポートする方法で暗号化パスフレーズを提供します。システムがエクスポートされたキー ファイル、キーID、証明書、またはハードウェアトークンも使用している場合は、パスフレーズがそれを静かに置き換えると仮定せず、その依存関係を明示的にテストしてください。

テスト中は元の認証情報をすべて保持してください。NASのログインをリセットしたり、パスワードマネージャーのエントリを上書きしたり、古いデータを解除できることを期待して新しい暗号化キーを生成したりしないでください。新しい秘密鍵は将来のバックアップを保護しますが、異なるキーで作成された暗号文を遡って復号することはできません。

完全な復元の前にリポジトリの整合性を検証する

読み取り専用のリポジトリチェックを実行し、その出力を保存してから修復オプションを使用します。Borgは完全な暗号化アーカイブ検証がデータを読み取り復号することを文書化しており、これは構造的メタデータのみをチェックするよりも強力で、はるかに遅いです。他のツールもインデックスの整合性と保存されたすべてのブロックの読み取りを区別しています。

リポジトリが大きいかリモートの場合は、文書化されたサブセットまたは1つのスナップショットから始めて、カバレッジを拡大します。特定のパック、日付、ファイルに続いてエラーが発生するかどうかを記録します。そのパターンは、回復が全体的にブロックされているのか、一部回復可能なのか、単に接続によって中断されているのかを示し、ソースを変更せずに専門家に有用な証拠を提供します。

小さなファイルを中立的な場所に復元する

最近のスナップショットから小さくてよく知られたファイルを選び、ライブ共有の外の新しいフォルダーに復元します。開いてサイズと内容を比較し、古いスナップショットのファイルでも同様に繰り返します。これにより、単なる緑色のバックアップジョブの状態以上のことが証明されます。なぜなら、発見、キーアクセス、復号、整合性、再構築、書き込み先への書き込みが実際に行われるからです。

中立的なテストが成功したら、代表的なフォルダーでスケールアップしてからNAS全体の復元を試みてください。ZimaSpaceのホームNAS復旧ガイドでは、キーを保護されたNASの外に保管し、復元テストを行い、まず一時的な場所に復元することを推奨しています。この手順により、誤ったターゲット、アクティブな同期ジョブ、または途中で中断されたインプレース復元による被害を最小限に抑えられます。

暗号化失敗がリカバリー緊急事態になるとき

唯一のリポジトリが変更されている、唯一のキーが紛失している可能性がある、共有メタデータに整合性エラーがある、または修復が唯一のコピーを変更する場合は緊急事態として扱ってください。その保存先に対するバックアップジョブ、保持、同期、クリーンアップを停止します。実験を始める前にログ、設定、リポジトリ識別子、キー ファイル、ソフトウェアバージョン、ストレージレベルのコピーを保存してください。

「復号失敗」のスクリーンショット1枚だけでなく、証拠を添えてエスカレーションしてください。最も役立つパッケージは、最後に成功した復元テスト、スナップショットの一覧表示可否、どのオブジェクトが正確に失敗しているか、小規模な中立的復元が成功するか、読み取り専用チェックの結果を示します。キー紛失とパック破損の違いは、復号パスがないことと部分的な復旧が可能なことの違いです。

よくある質問

復元中に暗号化バックアップのパスワードをリセットできますか？

通常は変わりません。ただし、リポジトリが既存の認可キーやリカバリーメカニズムで既に開ける場合を除きます。パスワード変更は通常、既存のキー素材へのアクセスを再ラップまたは追加するものであり、完全にロックされたリポジトリを復号するための秘密を新たに作り出すことはできません。

NASのログインパスワードを変更するとバックアップキーも変わりますか？

通常はいいえ。NASのログインはデバイスや共有へのアクセスを制御し、バックアップの暗号化パスフレーズはリポジトリのキー素材を保護します。これらは同じ復元ワークフローで要求されることがありますが、一方を変更しても通常はもう一方は更新されません。

リカバリーキーはバックアップの隣に保存すべきですか？

唯一のコピーとしては保存しないでください。同じNASに唯一のキーを保持すると、ハードウェアの損失、盗難、ファイルシステムの破損、または管理ミスにより、暗号文とそのリカバリーパスの両方が失われる可能性があります。保護されていないキーをポータブルバックアップの隣に置くことも機密性を弱めます。

再構築時に認可された家族がアクセスできる別の障害ドメインに保護されたリカバリーコピーを保存します。例えば、パスワードマネージャーと独立したメディア上の暗号化エクスポートの組み合わせです。そのパッケージを予備のマシンや隔離されたフォルダーでテストし、どのリポジトリが開くかを記録し、バックアップアプリケーション、保存先、または暗号化設定が変更されるたびに見直してください。