Šifrování notebooků: celý disk, nebo dílčí soubory?
První věc, kterou je třeba při zavádění šifrovacího postupu rozhodnout, je to,
zda šifrovat celé disky, nebo jen soubory. Poněvadž Windows XP jsou vybaveny
enkryptací souborů (stejně jako Linux a Mac OS X), jsme vystaveni pokušení
použít tento postup, vždyť ho již máme k dispozici. Všechno, co se ukládá do
konkrétních adresářů (složek) – jak např. Dokumenty – se automaticky šifruje.
Tento přístup má však podstatné nedostatky v zabezpečení: spoléhá na to, že
uživatelé budou soubory ukládat do příslušných adresářů.
Navíc šifrování Microsoftu „není důkladné a nenabízí možnosti pro správu,“ říká
McKnight z firmy Northrop. „Dá se jen těžko udržovat a spravovat, je přitom
těžké pracovat ze zálohovacím softwarem,“ varuje Paul Kocher, přední vědec v
oboru kryptografie z technologické konzultační společnosti Cryptorgraphy
Research. Ačkoli Microsoft slibuje ve verzi Vista dokonalejší šifrování, Kocher
nabádá, abychom ten slib brali raději s jistou rezervou vzhledem k tomu, že
problémy se zabezpečením provázejí Microsoftu odnepaměti.
Druhou možností je šifrovat celý disk a chránit tím všechno, co na pevném disku
je. U tohoto postupu nevzniká nejistota, která data jsou skutečně zašifrovaná a
která nikoli. „Nespoléháme se na lidský úsudek, takže dozorcům mohu říct, že je
zašifrovaný kompletní disk,“ říká Kim Jones, bezpečnostní ředitel z eFunds,
poskytovatele elektronických transakcí pro finanční instituce.
Mezi uživateli se rozšířila obava, že úplné šifrování notebooku zpomaluje jeho
výkon. Naštěstí notebooky sestavené zhruba v posledních třech letech umožňují
enkryptovat celý disk, aniž to „výrazněji ovlivní výkon – alespoň z pohledu
uživatele,“ říká Jones. McKnight podotýká, že zpomalení lze sice zaznamenat, ale
je nepatrné. „Nejvíc,“ říká, „se to projeví při bootování systému a ve chvíli,
kdy notebook přechází do úsporného režimu.“
Řada společností – třeba PGP, Pointsec a GuardianEdge Technologies – nabízí na
šifrování celého disku software, který se dá nainstalovat a obsluhovat pomocí
standardních nástrojů a který spolupracuje se zálohovacím softwarem i se
systémem správy hesel. „Přesto by podniky měly každý šifrovací software
otestovat, aby se zaručilo, že je kompatibilní s jejich správcovskými nástroji,“
radí Eric Maiwald, analytik z výzkumné firmy Burton Group. Měly by mít určitý
nástroj na synchronizaci uživatelských hesel spolu se zabezpečenou schránkou, a
to pro případ, že by se oddělení IT potřebovalo na notebook dostat (třeba když
zaměstnanec zapomene heslo systému, utrpí úraz nebo podá výpověď). McKnight
doporučuje: „Otestujte pevné disky dříve, než nasadíte enkryptaci, protože první
enkryptace může pro pevný disk představovat takovou zátěž, že selže.“ Třebaže se
tento problém objevil mezi 35 000 notebooky šifrovanými Northropem jen zřídka,
přece jen se tu a tam vyskytne.
Pospěš, jdeme na to
Má-li enkryptace celého disku v něčem Achillovu patu, je to heslo používané pro
přístup na pevný disk. Když uživatel pracuje se soubory, software pro
plnodiskovou enkryptaci soubory dešifruje, když je otevírá, a potom znovu
šifruje, když je ukládá. Pokud se heslo dá snadno uhodnout – nebo je-li nalepené
přímo na notebooku – zloděj získá neomezený přístup k datům na disku a snadno
obejde šifrování. „Pokud máte snadno rozklíčovatelné heslo, pak je celkem jedno,
jestli používáte enkryptaci,“ říká Maiwald.
„Jsou-li data obzvlášť choulostivá, lze kombinovat heslo se symbolem pro
hardware, takže oprávnění pak bude v sobě spojovat oba prvky,“ poznamenává Jerry
Johnson, hlavní správce informací (CIO) z Pacific Norhwest National Laboratory,
výzkumného pracoviště amerického Ministerstva energetiky.
„Notebooky by rovněž měly být nastaveny tak, aby se po jisté době nečinnosti
samy vypnuly, takže se k datům nepůjde dostat, dokud nebude znovu zadáno heslo,“
říká pan Kocher z Cryptography Research. „Vtip,“ dodává, „je v tom, nastavit
správně dobu, po níž se systém sám vypojí.“ Čím častěji musíte znovu zadávat
heslo, tím snáze si potenciální zloděj vašeho hesla všimne – což platí zejména
ve veřejném prostoru (např. v hotelové recepci). Naopak čím méně často jste
systémem nuceni zadávat heslo, tím více času má pak pachatel na to, aby se
dostal k vašim datům, není-li notebook zrovna pod dohledem. Většinou vyhovuje,
vypíná-li se počítač po pár minutách.
Ďábelské přístroje
Přestože zabezpečit data, která se ukládají na notebook, je poměrně snadné, tři
celkem běžné věci snadno oklamou i tu nejsilnější enkryptaci: USB disky (včetně
iPodů a Thumb Drives), e-mail a nahrávatelná CD a DVD.
Ve všech třech případech se data nahrávaná na tato média dešifrují, jelikož
smysl kopírování dat na taková externí zařízení spočívá zpravidla v tom, aby
byla data čitelná i v systémech, které nepoužívají tytéž šifrovací prostředky.
Povinné nástroje pro správu šifrování v rámci sítě, které dokáží kontrolovat
obsah e-mailů, si se zabezpečením e-mailu snadno poradí. Ale zajistit přenosná
média je úkol daleko těžší.
„Nejjednodušší řešení je nevybavit korporátní notebooky vypalovacím zařízením
pro CD a DVD,“ říká Jacob Mays, zástupce ředitele informačního systému u
Stillwater National Bank. Ovšem poradit si s USB disky je náročnější. Existují
dva základní přístupy, jak zabezpečit externí paměťová zařízení: zakázat jejich
používání, nebo používat software, který provádí enkryptaci tak, jako by to byly
interní pevné disky.
„Můžete zalepit porty. Uvažovali jsme o tom,“ říká napůl vážně Johnson.
Ačkoli někteří prodejci nabízejí šifrované Thumb Drives, enkryptace funguje
pouze na jejich hardwaru, takže uživatelé si prostě mohou koupit vlastní Thumb
Drives, a tak zabezpečení obejdou. „Windows XP umožňují pracovníkům IT, aby se
systém nastavil tak, že se umožní nebo znemožní použití celé řady zařízení
včetně Thumb Drives – ale nelze nijak zajistit, aby se přitom rozlišovala
povolená a nepovolená zařízení,“ říká Nate Lawson, technologický ředitel
Cryptography Research. Vedoucí správci informačního systému budou muset uvažovat
o výrobcích od nezávislých výrobců – např. o produktech firem Safend, SecureWave
anebo Trigeo.
Baptist Memorial Health Care, skupina nemocnic v Tennessee a Mississippi,
používá software od firmy Safend, aby se zabránilo používání neoprávněných
externích médií. Tato společnost si také u svého prodejce USB disků – Kingston
Technology – dala vyrobit speciální software, který šifruje obsah disků.
„Skupina nemocnic rovněž zaznamenává veškeré soubory nahrávané na tato zařízení,
aby existoval přehled o tom, kdo kopíruje data ze zabezpečených notebooků,“ říká
Lenny Goodman, ředitel managementu stolních počítačů.
„Jednodušším řešením je rozšířit šifrování plných disků i na externí nosiče
dat,“ poznamenává analytik Maiwald z Burton Group. Očekává, že tato možnost bude
široce dostupná, jakmile prodejci své výrobky upgradují. „Například Pacific
Northwest zkoumá šifrovací software, který by svou ochranu rozšířil i na USB
disky,“ tvrdí Kevin Piatt, manažer služeb kancelářské automatizace a spolupráce
působící u této firmy.
Příruční horror
Snad vůbec nejhůře se enkryptací zabezpečují příruční zařízení („handhelds“).
„Většina z nich nemá dostatečnou kapacitu na šifrování celých disků,“ říká
Kocher. Zároveň dodává, že když už je takové zařízení vybaveno šifrovacím
softwarem, většinou nemá adekvátní sílu nebo rozhraní s potřebnými komunikačními
funkcemi, jako je třeba telefonování – což právě u telefonu není zrovna ideální
situace. „Existuje tolik různých implementací PDA, že dodavatel zabezpečení v
podstatě nemá šanci vytvořit řešení pro celé PDA,“ podotýká Kocher. A tak musejí
pracovníci IT nainstalovat a spravovat mnoho různých softwarů, pokud chtějí
poskytovat podporu pro různá zařízení.
Proto eFunds, Lincoln Health, Pacific Northwest National Laboratory a Stillwater
Bank zakazují používání příručních aparátů na posílání e-mailů a ukládání
korporátních dat. Northrop Grumman je zakazuje používat ve všech pobočkách kromě
jediné (kde byly mobilní přístroje povoleny dříve, než ji Northrop koupil). Aby
firma zabezpečila tato zařízení, většina jejích poboček má zakázaný přístup ke
svému e-mailu a používá nástroj správy, který šifruje jejich soubory vždy, když
se napojí na osobní počítač nebo síť Northropu. „Je to skutečně drahé, pokud
mají PDA takové kontrolní nástroje používat,“ říká McKnight.
Ve všech těchto organizacích existuje při zabezpečení mobilních aparátů jedna
výjimka: je to BlackBerry, které je vybaveno dostatečně spolehlivým šifrováním
celého disku i šifrováním e-mailu, nemluvě o dálkovém ovládání – je zde např.
možnost, aby lidé z IT vymazali obsah odcizeného nebo ztraceného zařízení.
Měj rád své datové centrum
Nejjednodušší způsob, jak chránit data na mobilních přístrojích, je nic na ně
neukládat. „Lidé by opravdu měli mít přehled o tom, kde jsou jejich data a kdo k
nim má přístup,“ tvrdí Kocher. „Proč by si lidé vůbec měli ukládat data na svůj
notebook?“ ptá se. Specialista Maiwald z Burton Group by viděl řešení v tom,
kdyby podniky používaly nástroje dálkového přístupu tam, kde je to možné, a tak
by se informace nikdy nedostaly za hranice datového centra.
Mnozí vedoucí informačních systémů přesto nepovažují tuto bitvu za zcela
ztracenou. Třebaže notebooky zlevnily a v mnoha společnostech se používají jako
osobní počítač, McKnight z Northropu tvrdí, že to je chyba. A není sám. V eFunds
dostane notebook jen 10 procent uživatelů – zpravidla vedoucí, obchodníci a
personál IT, a tím se zmenšuje objem toho, nač je třeba dohlížet, říká Jones,
ředitel zabezpečení. „Aby se snížilo riziko, v Baptist Memorial se používá jen
pár stovek notebooků a více než 6 000 PC,“ poznamenává Goodman. „Výrazně jsme
omezili počet notebooků a přenosných zařízení,“ říká Israel z Lincoln Health.
Pro ty uživatele, kteří notebook opravdu potřebují, je enkryptace celého disku a
správa přenosných médií účinnou metodou, jak zabezpečit data. Israel říká:
„Technologie existují a nejsou tak drahé. Jen je musíme používat.“
Galen Gruman píše o technice a žije v San Francisku.
Právní podnět
Enkryptace je obrana proti zákonům o povinnosti hlásit porušení bezpečnosti
Snaha velkých společností předejít veřejné ostudě a vysoké ztrátě za porušení
předpisů (ve formě výdajů za oznámení a ztracené zákazníky) se pro ně stává
silným motivem k tomu, aby na svých mobilních přístrojích data šifrovaly.
Například M & T Bank si spočítala, že jen povinnosti související s oznámením ji
přijdou na 137 dolarů na každého postiženého zákazníka. eFunds, firma zaměřená
na řízení a správu transakcí, vypočetla, že každý chybějící záznam jí přijde na
50 dolarů. „Jeden tabulkový procesor může mít cenu milionu dolarů,“ říká ředitel
zabezpečení Kim Jones.
V roce 2003 přišla Kalifornie jako první s trendem veřejně oznamovat ztrátu dat,
a to díky svému zákonu SB 1386, který stanovil organizacím uchovávajícím citlivá
data o obyvatelích Kalifornie povinnost, aby tyto občany informovaly, jakmile
dojde ke zveřejnění, ztrátě nebo odcizení jejich dat. K dnešku má již 32 dalších
amerických států podobné zákony a sedm států i kongres USA uvažují o přijetí
podobných opatření.
„Šifrování je jakýmsi obranným manévrem reagujícím na toto právní prostředí,“
říká Tom Smedinghoff, pracovník chicagské právnické firmy Wildman Harrold. 16
států vyžaduje oznámení, dojde-li ke ztrátě dat – bez ohledu na to, zda byla
zneužita, zatímco ostatní státy vyžadují, aby se pokaždé vyhodnotila rizika.
Žádný z těchto zákonů neupravuje, který druh šifrování je třeba použít. Proto
některé organizace používají prostě to šifrování souborů, které je již do
operačního systému zabudované. „Ale to není právě moudrý postup, protože
uděláte-li jen minimum, sotva si tím při obhajobě před soudem nakloníte na svou
stranu veřejné mínění,“ tvrdí Carlos Perez-Albuerne, pracovník bostonské
právnické firmy Choate, Hall & Stewart. „Namísto toho,“ radí dále, „je lepší k
věci přistupovat takto: Kde můžeš něco šifrovat, šifruj. Používej ten způsob
šifrování, který je v dané době obecně považován za nejlepší. Omez přístup. A
monitoruj ho.“
„Kromě zákonů o ohlašovací povinnosti v případě porušení bezpečnosti dat může
šifrování napomáhat i při omezování škod, k nimž dochází, jsou-li citlivé
finanční nebo zdravotní údaje zákazníka zneužity,“ poznamenává Smedinghoff.
Zákon Gramm-Leach-Bliley pro finanční informace, ani zákon o přenosnosti
zdravotního pojištění a odpovědnosti za ně nevyžadují enkryptaci, ale zmiňují se
o ní jako o doporučeném bezpečnostním opatření, které může snížit právní
odpovědnost (ručení).
PŘEDPLATNÉ
ČLÁNKY DO MAILU