“Ну да, конечно”, или не полагайтесь на средства защиты сверх меры. Часть 9.

Шифрование данных.

Предположим, что Ваши данные все-таки украли. После этого, если Вас волнует, конечно, конфиденциальность данных больше, чем их доступность, возможны два варианта:

1) Вы зашифровали данные

2) Эти данные перестали быть конфиденциальны.

Есть, правда третий вариант – украденный носитель вору интереснее, чем то, что на нем записано. Но нам этот вариант неинтересен, в этом случае потери минимальны.

В данный момент я бы различал три типа средств шифрования:

1) Шифрование отдельных файлов/папок (а-ля EFS).

2) Шифрование всего диска/раздела (BitLocker).

3) Создание зашифрованного виртуального диска внутри ОС (SafeDisk).

В принципе, все три метода имеют свои преимущества и недостатки. Давайте на них взглянем пристальнее.

1) Наши файлы шифруются на индивидуальной основе.

a. +

i. Файлы, которые не являются конфиденциальными, не подвергаются шифрованию, потому производительность системы затронута по минимуму.

ii. В случае утери ключа данные можно восстановить при помощи агента восстановления (это про EFS, но у других производителей также реализованы свои методы восстановления)

iii. Можно предоставлять общий доступ к данным нескольким пользователям.

iv. Файл от копирования на другой носитель не перестает быть зашифрованным (UPD: В случае EFS это не так, если мы копируем на другую файловую систему. Скажем, FAT. За примечание спасибо Вадимсу Подансу =) ).

v. Если повреждена часть файла, то поврежден только этот файл.

b. –

i. Пользователю необходимо решать, какие данные нуждаются в шифровании. Не всегда он способен это решить правильно.

ii. Если не задан агент восстановления (стандартный случай при отсутствии домена, скажем), то многие простые, казалось бы, ситуации (переустановка Windows, удаление профиля, etc…), грозят утерей данных.

iii. Любой из пользователей, которым предоставлен доступ, может им злоупотребить.

2) Шифрование раздела

a. +

i. Шифруется все. То есть подлезть к конфиденциальным данным путем изменения неконфиденциальной части и/или ОС не получится.

ii. Так же есть способы резервирования ключей шифрования. Потеря оных не страшна, если задуматься над ней заранее.

iii. Некоторые технологии позволяют контролировать целостность данных на Вашем винчестере и, в случае попыток подделки просто не дадут Вашему компьютеру загрузиться.

iv. При повреждении кластера на диске пропадет только тот файл, который там записан. Все остальное останется неизменным.

b. –

i. Так как шифруется все, то есть некоторое падение производительности. На деле, с тем же самым BitLocker – обычно не более 5%.

ii. Если не побеспокоиться заранее, то разрушение ключевой информации будет фатальным. Не сможете восстановить ничего.

iii. Файлы, скопированные с такого компьютера на любой носитель, будут расшифрованы.

iv. Требует определенной культуры поведения. Например, Ваш ноутбук должен быть настроен как минимум на режим гибернации при закрытии крышки. И на уход в него же при длительном простое. Просто потому, что защита срабатывает только в том случае, если компьютер выключен.

3) Виртуальный зашифрованный диск

a. +

i. Шифруется только то, что нужно – падение производительности так же, как и в первом случае, минимальное.

ii. Обычно бывают какие-то решения по хранению ключей, но сказать подробнее не могу, потому виртуально запишем в плюс =)

iii. В некоторых случаях позволяет переносить с одного компьютера на другой весь контейнер целиком.

iv. Не требует особых навыков от пользователя.

b. –

i. В случае повреждения файла контейнера обычно теряется вся информация, содержащаяся в нем.

ii. Пользователь опять же должен решать, что нужно, а что не нужно шифровать.

Плюс к этому есть еще пара общих факторов, влияющих на эффективность шифрования: если пользователь ушел и оставил рабочее место незалоченным, а виртуальный шифрованный диск еще и не размонтированным… Что ж. То же касается вирусов на Вашем компьютере. Если Вы расшифровали файл и используете его, то вирус тоже может его использовать.

Ссылки на публикации серии.
Часть 1: вводная
Часть 2: антивирус
Часть 3: Firewall
Часть 4: SSL
Часть 5: VPN + обновления
Часть 6: процедуры и регламенты + принцип наименьших полномочий
Часть 7: резервное копирование
Часть 8: контроль доступа и биометрия
Часть 9: шифрование
Часть 10: UAC