Samotný proces šifrování pomocí nejnovějších algoritmů a současného hardware není nijak náročný. Největší problémy tkví v implementaci a provozu adekvátního šifrovacího řešení. Systém musí být navržen především s ohledem na množství šifrovaných dat, síťovou a komunikační infrastrukturu, požadavky na bezpečnost, způsoby autentizace a krizový management.
Pokud chce firma využít služeb šifrovacích produktů, musí se nejprve rozhodnout, zda půjde cestou šifrování jednotlivých souborů a složek (FE-File Encryption), šifrování disků/partition (DE - Disk Encryption) nebo zkombinuje obojí. Toto rozhodnutí je natolik zásadní, že hned na začátku je vhodné uvést výhody a nevýhody těchto způsobů.
FE vs. DE
Hlavní rozdíl je v tom, že programy pro šifrování souborů pracují na úrovni souborového systému, kdežto šifrování disku probíhá na vrstvě diskových sektorů. Programy pro šifrování disku chrání celou partition nebo pevný disk – uživatel se tedy nemusí starat o to, které soubory zabezpečí nebo jestli nezapomněl nějaký zašifrovat - jsou zkrátka zašifrované všechny. Tuto vlastnost ocení zejména při krádeži notebooku nebo pevného disku. Útočník nemá šanci se dostat k systémovým či aplikačním logům, registrům, heslům a certifikátům uloženým v systému.
Většina produktů pro DE funguje tak, že uživatel jednou disk zašifruje pomocí silného symetrického algoritmu (dnes převážně 256bitový AES) a poté se pracuje se soubory úplně normálně s tím, že jsou on-line dešifrovány a při uložení na disk zase šifrovány stejným klíčem. Pokud se data kopírují na nešifrované disky, posílají po síti nebo e-mailem, jsou dostupné v nezakódované podobě a je proto nutné provést další opatření jako zprovoznění VPN tunelů na různých vrstvách modelu OSI, popř. šifrování e-mailové komunikace.
Naproti tomu FE používá zvolené/vygenerované klíče nebo hesla k zašifrování jednotlivých souborů. K otevření takového souboru je vždy potřeba mít klíč k dispozici (v lidské paměti, na disku, na externím úložišti/tokenu apod.).
Co se týká složitosti nasazení jednotlivých systémů, liší se to produkt od produktu. Klientská instalace je většinou jednoduchá, různé jsou však možnosti administrace a uživatelská přívětivost. Důležitá je ale správa uživatelů a jejich kryptografických klíčů. Výhoda FE spočívá v tom, že uživatelská práva k souborům se dají přiřazovat variabilně.
Programy pro šifrování disků většinou pracují s databází uživatelů autorizovaných k používání šifrovaného disku/systému. U pokročilejších produktů, které jsou určeny také pro nasazení ve větších podnicích, by měla být možnost distribuce přes Group Policy nebo přes adresáře typu Active Directory. Při výběru by se měla zvážit i licenční politika (open source, licence na počítač, hromadné licence, možnost trial verze,...).
Pro každodenní práci s počítačem je velmi podstatná otázka zpomalování systému. Pokud se pomocí FE kódují velké objemy dat, bootování i práce se soubory se znatelně zpomalí. Systémy DE šifrují průběžně a dochází také k poklesu výkonu počítače. Například u produktu ProtectDrive firmy SafeNet jde o snížení o cca 2-4%, což ale běžný uživatel v podstatě nepozná.
Z bezpečnostního pohledu jsou sofistikovanější programy pro šifrování disku. Orientovat se lze částečně podle získaných certifikátů (FIPS 140-2, Common Criteria EAL, ITSEC). FE programy se z tohoto ohledu dají považovat spíše za doplňkové. Oba typy produktů lze také kombinovat, ale je potřeba mít se na pozoru. Čím větší bezpečnost je v informačním systému implementována, tím roste i riziko nouzových stavů a havárií systémů. Toto riziko roste samozřejmě i s neinformovaností či liknavostí při zavádění. Jinými slovy - bezpečnostní produkty (především DE) jsou asi jedinými, kde se vyplatí číst dokumentaci...
Aby bylo šifrování disku účinné (tj. aby se zašifrovaly i soubory operačního systému), disponují DE programy tzv. pre-boot autentizací. Program změní Master Boot Record disku a před startem OS spustí obrazovku s přihlašovacími údaji. Po správném zadání jména/hesla popř. certifikátu se z přihlašovacích údajů vygeneruje klíč pro dešifrování hlavního šifrovacího klíče k disku.
Tímto klíčem se dešifrují soubory operačního systému a poté i průběžně otvírané programy a soubory. Pokud neproběhne řádná autentizace, jakákoli data na disku nejsou přístupná, a to ani po vložení disku do jiného počítače, případně při bootování z CD.
Zajímavou možností, jak chránit citlivá data ve větších firmách nebo na úřadech, je využití šifrování výměnných disků. Některá DE řešení umožňují nastavit jednotlivým uživatelům čtecí/zapisovací práva pro jednotlivá média (CD, USB drive, disketa apod.), což zamezí únikům dat ze společnosti, popřípadě omezí přísun škodlivých kódů zvenčí.
Pokud je nezbytné přenosná média využívat, dá se vynutit (například v rámci podniku) používání pouze zašifrovaných médií. To znamená, že mezi zakódovanými stanicemi se data budou moci bez problémů přenášet, ale pokud uživatel bude chtít použít stejnou paměť USB flash doma, nepůjde to.
Velmi důležitou součástí šifrovacího řešení, bez které je šifrovací program v podstatě bezcenný, jsou možnosti obnovy systému při neobvyklých situacích (Recovery).
V případě řešení FE může ztrátu dat způsobit neznalost šifrovacích klíčů. Proto je užitečné tyto klíče zálohovat - některé aplikace nabízejí zálohu coby rozšiřující modul k softwaru, někdy je nutné na ni myslet samostatně. Zajímavá je možnost ukládání klíčů v bezpečném úložišti – šifrovacím tokenu, o které se zmíníme dále.
V případě řešení DE je nedostupnost disku nebo ztráta dat způsobena buď zapomenutím přihlašovacích údajů/tokenu, nebo poškozením disku. V prvním případě může administrátor povolit nouzové přihlášení metodou dotaz-odpověď, v druhém případě je nutné pomocí certifikátů a dalších bezpečnostních souborů (ty by měl každý uživatel bezpečně uložit hned po instalaci) obnovit klíč k disku. Následně se dá například z prostředí DOSu disk nouzově dešifrovat.
Tento článek vyšel v tištěném SecurityWorldu 1/2009.
PŘEDPLATNÉ
ČLÁNKY DO MAILU