Paranoia: šifrování dat na disku

Naprostou většinu informací dnes máme uloženou v elektronické podobě na pevném disku. Ještě před pár lety by to byl spíše jeden šanon s papíry, nyní jsou to ale stovky až tisíce citlivých souborů. Ukrást a zneužít tyto informace je velice jednoduhé, stačí aby se někdo k Vašemu osobnímu počítači či notebooku dostal na pár minut, vytáhnul z něho disk, celý disk zkopíroval pomocí Acronis TrueImage či Norton Ghost na svůj notebook, a je hotovo. Zbytek v klidu dokončí v klimatizované kanceláři…

Proč šifrovat data na disku

Pokud nepoužíváte šifrování dat na disku, máte smůlu. Stejně jednoduše se k Vašim datům dostane kdokoliv, pokud počítač necháte zaheslovaný pod Windows XP, a naivně si myslíte, že neznalost hesla Administrátora postačí aby se do počítače nikdo nedostal. Není to pravda. Změna hesla Administrátora pod Windows je pro kohokoliv záležitost na 10 sekund, a poté si s Vaším počítačem dělá, co chce. Pokud máte notebook, a ztratíte jej, bez šifrování dat na disku si jeho obsah přečte kdokoliv i bez fyzické manipulace s diskem.

V tuto chvíli se začíná nabízet otázka, proč data na disku nekryptovat. Podobné věci se dají dělat s emailem, o šifrování komunikace na internetu pomocí GnuPG a o pohodlném propojení GnuPG s email klientem Thunderbird jsem psal již dříve, a není důvod proč podobně nešifrovat i Vaše lokální či mobilní (notebook, USB klíčenka) data.

Jak to funguje

Šifrování dat na disku funguje pro potřeby uživatele velice transparentně, šifrovací produkt vytvoří novou virtuální diskovou jednotku, která je ve skutečnosti odkazem na nějaký soubor na disku, či zašifruje celou partition, a je hotovo. Pokud při startu počítače nezadáte správné heslo do tohoto programu, daný disk vůbec není vidět, případně není přístupný ani pro čtení, tváří se jako nenaformátovaný oddíl, na němž jsou zapsána náhodná data.

Pokud si Váš disk někdo zkopíruje, a bude to profesionál, sice pozná, že data na něm uložená něco znamenají, ale k jejich obsahu se při dobře použitém hesle (15 znaků a více) nedostane ani za milión let.

V oblasti šifrování dat existuje celá řada produktů, a to komerčních i opensource. Osobně preferuji spíše opensource řešení, dostupné zdrojové kódy zaručují, že v produktu nebude "backdoor", zadní vrátka, která si u komerčního řešení někdo teoreticky mohl vynutit.

Toto jsou, dle mého názoru, nejlepší opensource šifrovací produkty:

• TrueCrypt - skvělé opensource řešení pro šifrování disku, a to celé partition, i do kontejneru umístěného v souboru, podporuje největší množství šifrovacích algoritmů jako je AES-256, Blowfish (448-bit key), CAST5, Serpent (256-bit key), Triple DES, Twofish (256-bit key), a jejich kaskády, například AES-Twofish-Serpent. Tento produkt má jen 1MB, a je možné jej přenášet i na USB klíčence (a mít vždy šifrována i tato data).
• GnuPG - skvělé opensource řešení pro šifrování (zejména) emailové korespondence, psal jsem o něm již dříve.
• Eraser - skvělé opensource řešení pro výmaz dat na disku, včetně několikanásobného přepisování a výmazu prázdného místa na disku (na kterém ovšem mohou být rovněž senzitivní data).

A pár komerčních produktů:

• PGP Desktop Professional - spojuje v sobě šifrování disku, šifrování emailů, a výmaz dat na disku, je to velice profesionální, komfortní a dobře ověřené řešení za €69.
• DriveCrypt - jedno z nejlepších šifrování disku i souborů, včetně možnosti uschovávat data do běžných hudebních souborů.
• Steganos Security Suite - spojuje v sobě šifrování disku a výmaz dat na disku, včetně podpory pro USB klíčenky.

Osobně používám shora uvedenou opensource kombinaci, tedy TrueCrypt + GnuPG + Eraser.

TrueCrypt - šifrování disku

TrueCrypt umožňuje vytvořit buď virtuální šifrovaný disk, což funguje tak, že se ve skutečnosti vytvoří jeden velký soubor, třeba 4.7GB velký (možná záloha na DVD), a tento soubor se namapuje pomocí ovladačů jako disková jednotka, a na tuto diskovou jednotku, po jejím namountování, normálně zapisujete a používáte ji. Výhoda je, že tento soubor můžete standardně odzálohovat.

Druhou možností je šifrovat celou diskovou partition, tato možnost je sice poněkud méně flexibilní pro zálohování, zase ale poskytuje vyšší výkon, a tento výkon se nezhoršuje s vnitřní fragmentací (což je problém řešení prvního).

Obecně, pro USB klíčenky se hodí použít to první řešení (soubor jako kontejner) a pro desktopové počítače zase to druhé (vyhrazená šifrovaná disková oblast).

V případě šifrování celé partition disku je nutné tuto oblast nejprve vytvořit, v tomto případě budu vytvářet šifrovaný disk E: s kapacitou 50GB:

rozdělení disků

Následně si v TrueCryptu tuto partition vyberu pro vytvoření nového šifrovaného disku:

volba oblasti disku pro šifrování

Při vytvoření nového šifrovaného disku podporuje TrueCrypt řadu kódovacích schémat a jejich kombinací, je tak možné používat nejenom AES či Twofish či Triple DES, ale i jejich kombinace jako je AES+Twofish či Serpent+Twofish+AES. Bezpečnější už to být nemůže :-)

Pochopitelně, různá šifrovací schémata mají různou výpočetní náročnost, a proto se můžete podívat na testy, jak rychle Váš počítač zvládne šifrovat, hodnoty kolem 30MB/s a více jsou naprosto dostatečné pro běžnou práci s dokumenty i programy:

možnosti šifrování a jejich rychlost

Následně je vytvořen šifrovaný disk. Pro Windows XP se tento disk jeví, jako by nebyl naformátován, je tedy vhodné danou partition schovat (třeba pomocí demo verze Partition Table Doctor), aby jej nějaká dobrá duše nezformátovala.

Následně si již můžete zvolit volbu Mount a zde daný disk po zadání hesla připojit, v tomto případě jako běžný disk S::

volba oblasti disku

připojení šifrovaného disku do filesystému

Důležité je, zvolit si silné heslo, minimum je kolem 15 znaků, a nutné je používat mix číslic a písmen, žádná slovníková spojení, která by šla hrubou silou odhalit.

Eraser - výmaz souborů

Smazání souboru neznamená, že tento přestal existovat. V praxi se přepíše jen hlavička v MFT a fyzická data na disku zůstanou zachována. S tímto si umí poradit Eraser, který soubor celý skutečně fyzicky smaže.

smazání jednoho souboru

A pokud chcete, Eraser je schopen promazat i prázdné místo na disku, které může ovšem obsahovat data z Vašich dříve smazaných souborů.

výmaz volného místa na disku