NEXT 4/2009 - Partycje pod kluczem

Każdy użytkownik peceta czy laptopa gromadzi wiele prywatnych danych, do których dostępu nie powinien mieć nikt obcy. Zapisanie ich w folderze dokumentów nie jest dobrym pomysłem, chyba że leży on na wydzielonym, zaszyfrowanym woluminie, do którego dostęp ma tylko jedna osoba. Przyjrzeliśmy się kilku narzędziom służącym do szyfrowania zawartości nośników, aby każdemu wskazać produkt optymalny wedle potrzeb.

„Pełnodyskowe” szyfrowanie napędu systemowego

Jeśli zastanowimy się chwilę nad terminem „pełnodyskowe szyfrowanie”, łatwo dojść do wniosku, że w pełni, co do bitu, dysku zabezpieczyć się nie da – a przynajmniej nie tego, na którym zainstalowany jest jakikolwiek system operacyjny. Czemu? Jeśli zaszyfrowana jest cała partycja systemowa, system operacyjny nie będzie w stanie sięgnąć do własnego kodu startowego. Musi istnieć zatem na dysku niezbędny, minimalny obszar niepodlegający szyfrowaniu, w którym trzymany będzie kod umożliwiający: weryfikację hasła dostępu do dysku oraz załadowanie do pamięci modułu pozwalającego systemowi odczytać własne, zaszyfrowane pliki. Poza tym, jakby nie patrzeć, w trakcie całej procedury startu peceta musi być wiadomo, gdzie właściwie zaczynają się i kończą na dysku poszczególne partycje, więc nie można zaszyfrować MBR-a. Naturalnym krokiem jest więc umieszczenie odpowiedniego kodu w miejscu przeznaczonym na bootloader – czyli pierwszych 446 bajtach MBR, a w razie potrzeby – także poza MBR-em, na pozostałym miejscu pierwszego cylindra dysku, które domyślnie jest nieużywane. W tym nieszyfrowanym obszarze rezyduje zatem kod odpowiedzialny za wyświetlenie prośby o podanie hasła przy próbie startu systemu z zaszyfrowanego dysku (tzw. pre-boot authentication), a także relokowany z MBR kod bootstrapowy np. GRUB-a czy menedżera startu Windows. Takie rozwiązanie pozwala dość transparentnie włączyć procedurę weryfikacji uprawnień użytkownika w proces startu peceta z „w całości” zaszyfrowanego dysku. Opisane techniki stosowane są zwykle także na dyskach zapasowych, na których brak systemu, choć oczywiście nie będą wykorzystywane w praktyce. Niemniej należy zdawać sobie sprawę, że gdyby poddać szyfrowaniu całą powierzchnię nawet niesystemowego dysku (załóżmy, że suma kontrolna hasła przechowana byłaby na innym nośniku), stałby się on mało użyteczny – dopiero po odszyfrowaniu pierwszego sektora system rozpoznałby na nim partycje.

Co prawda sporadycznie, ale za to regularnie i przy sporym rozgłosie medialnym, można usłyszeć o przypadkach wycieku dużej liczby poufnych danych w wyniku kradzieży sprzętu. Jeśli takie wydarzenie ma miejsce w wielkich koncernach czy instytucjach rządowych, afera gotowa. Trudno się dziwić, bo przenoszone na służbowym laptopie dane klientów, umowy i faktury mogą być w rękach złodzieja prawdziwym źródłem problemów, również finansowych. Podobnych sytuacji w przypadku pecetów zwykłych użytkowników jest zdecydowanie mniej, a jeśli nawet występują, pociągają ze sobą mniejsze konsekwencje. Ale już przypadków, gdy zagubiony pendrive zawierał osobiste zdjęcia czy dokumenty, które przypadkiem dostały się w niepowołane ręce, jest z pewnością więcej.

Kradzieży sprzętu trudno w stu procentach zapobiec. Niemniej skutków każdej z wymienionych sytuacji łatwo uniknąć. Wystarczy użyć aplikacji, która zaszyfruje cenne dane tak, by w rękach niepowołanych osób były jedynie bezużytecznym ciągiem bitów. Od pełnego bezpieczeństwa każdy komputer dzieli ledwie kilkadziesiąt minut – tyle potrwa pobranie, instalacja i zaszyfrowanie swoich danych. Nie warto żałować na to czasu.

Zaszyfruję plik, zapomnę hasło...

Szyfrowanie danych nie jest niczym nowym, lecz dość długo dostarczane narzędzia potrafiły zabezpieczać jedynie pojedyncze archiwa. Przykładem mogą być rozmaite archiwizery, np. WinRAR, które praktycznie od początku swego istnienia oferowały nie tylko kompresję danych, ale i ochronę wynikowego zbioru hasłem. W produktach z Redmond możliwość skorzystania z EFS (Encrypted File System) istnieje już od czasu Windows 2000 i wprowadzonego równolegle z nim systemu NTFS 3.0. EFS, mimo mylącej nazwy, nie jest osobnym systemem plików, lecz swoistą nakładką na NTFS, pozwalającą trzema kliknięciami myszy zaszyfrować wybrany plik czy folder.

Jest to czynność tyleż prosta, co prowadząca na manowce. Po pierwsze, Windows do szyfrowania wykorzystuje klucze utworzone na bazie informacji ściśle powiązanych z kontem użytkownika i parametrami komputera, w tym identyfikatorami instalacji systemu. Po drugie, EFS nie oferuje praktycznie żadnej metody dynamicznego odmontowywania (czytaj: ukrywania) zabezpieczonych archiwów. Wreszcie, nie można za jego pomocą zaszyfrować np. plików systemowych ani jakichkolwiek danych wykorzystywanych przez aplikacje trzecie, bo enkrypcja powiązana jest z kontem użytkownika. Wystarczyłoby więc przelogować się, by tak zabezpieczony komponent odmówił działania.

Co więcej, użycie EFS może w prosty sposób spowodować utratę chronionych danych. Wystarczy awaria systemu i związana z nią konieczność jego reinstalacji. Jeśli w działającym jeszcze systemie nie zostaną wyeksportowane klucze szyfrujące (o czym zapomina bardzo wielu użytkowników), tak by następnie móc je zaimportować w świeżej kopii systemu, zaszyfrowane dane można praktycznie wyrzucić – system nie będzie ich w stanie odtworzyć, bo zmienił się systemowy identyfikator instalacji. Ponowne wygenerowanie nowych kluczy, nawet dla użytkownika o tej samej nazwie, nie pomoże. Choćby z tego powodu użycie EFS-a trudno nazwać skutecznym sposobem na zagwarantowanie danym bezpieczeństwa.

Podobny mechanizm ma Linux – tutaj nosi on nazwę EncFS i polega w skrócie na montowaniu istniejących folderów pod inną ścieżką, przez którą jedynie możliwy jest do nich dostęp (szerzej o użyciu tego systemu pisaliśmy w wydaniu 7/08, strona 130). Bez tego kroku zaszyfrowane EncFS-em dokumenty są co prawda widoczne, ale ich zawartość oraz nazwy istnieją już w postaci zaszyfrowanej. Jest to rozwiązanie o tyle lepsze od windowsowego EFS-a, że wymaga podania hasła dostępu każdorazowo przy montowaniu zabezpieczonego katalogu oraz nie grozi utratą danych po zmianie systemu. Ale również ono nie może być użyte w odniesieniu do plików systemowych, a jedynie prywatnych dokumentów użytkownika – przyjmijmy, że zapisanych w katalogu ~/.

Ocena: (aktualna: 4,0; liczba głosów: 1)    (aby ocenić, musisz się zalogować w serwisie)

 del.icio.us |  Wykop mnie |  Digg this story |  dodajdo.com

Do pobrania:

• Partycje wedle potrzeb »
  pełne wersje
• Dane w sejfie »
  G-DATA TOPSECRET NEXT GENERATION 4
• E-maile pod kluczem »
  raport: narzędzia do szyfrowania e-maili – część II
• Bezpieczeństwo na odległość »
  narzędzie do szyfrowania dysków SecureDoc ENTERPRISE SERVER
• Poczta zawsze bezpieczna »
  raport: narzędzia do szyfrowania e-maili