Программа для шифрования жесткого диска


Шифрование жесткого диска с помощью программы TrueCrypt

В последнее время большую популярность получили ноутбуки благодаря доступной цене и высокой производительности. И пользователи часто пользуются ими за пределами охраняемых помещений либо оставляют без присмотра. А это значит, что становится крайне насущным вопрос обеспечения недоступности для посторонних личной информации на системах под управлением ОС Windows. Простая установка пароля на вход в систему тут не поможет. А шифрование отдельных файлов и папок(почитайте про то, как поставить пароль на папку) — слишком рутинное занятие. Поэтому наиболее удобным и надежным средством является шифрование жесткого диска. При этом можно сделать шифрованным только один из разделов, и держать приватные файлы и программы на нем. Более того, такой раздел можно сделать скрытым, не присваивая ему дисковой буквы. Такой раздел внешне будет выглядеть как неформатированный, и тем самым не привлекать к себе внимания злоумышленников, что особенно эффективно, так как лучший способ уберечь секретную информацию — это скрыть сам факт ее наличия.

 

Как работает шифрование жесткого диска

 

 

Общий принцип такой: программа шифрования делает образ файловой системы и помещает всю эту информацию в контейнер, содержимое которого шифруется. Таким контейнером может быть как простой файл, так и раздел на дисковом устройстве. Использование шифрованного файла-контейнера удобно тем, что такой файл можно скопировать в любое удобное место и продолжить работу с ним. Такой подход удобен при хранении небольшого объема информации. Но если размер контейнера будет несколько десятков гигабайт, то его мобильность становится весьма сомнительной, и к тому же такой огромный размер файла выдает факт содержания в нем какой-то полезной информации. Поэтому более универсальным подходом является шифрование целого раздела на жестоком диске.

 

Существует много разных программ для этих целей. Но наиболее известной и надежной считается TrueCrypt. Поскольку эта программа имеет открытые исходные коды, то это означает, что в ней нет закладок от производителей, позволяющих получить доступ к шифрованным данным через недокументированный «черный ход». К сожалению ходят предположения, что создателей программы TrueCrypt вынудили отказаться от дальнейшей разработки и передать эстафету проприоретарным аналогам. Тем не менее последняя надежная версия 7.1a остается вполне работоспособной на всех версиях ОС Windows, и большинство пользователей пользуются именно этой версией.

Внимание!!! Последняя актуальная версия — 7.1a (ссылка для скачивания). Не используйте «урезанную» версию 7.2 (проект закрыли, а на официальном сайте программы предлагают выполнить переход с TrueCrypt на Bitlocker и доступна как раз только версия 7.2).

 

Создание шифрованного диска

 

Рассмотрим стандартный подход при шифровании разделов. Для этого нам понадобится неиспользуемый раздел на жестком диске либо флешке. Для этой цели можно освободить один из логических дисков. Собственно говоря, если свободного раздела не имеется, то можно будет в процессе создания шифрованного диска выбрать шифрование диска без форматирования, и сохранить имеющиеся данные. Но это дольше по времени и есть небольшой риск потерять данные в процессе шифрования, если допустим компьютер зависнет.

 

Если требуемый раздел на дисковом устройстве подготовлен, то теперь можно запустить программу TrueCrypt и выбрать пункт меню «Создать новый том».

 

 

Поскольку нас интересует хранение данных не в файле-контейнере, а в разделе диска, то выбираем пункт «Зашифровать несистемный раздел/диск» и обычный вид шифрования тома.

 

 

 

Далее следует выбрать подготовленный ранее раздел, на котором будут храниться секретные данные.

 

 

 

 

На этом этапе появляется упомянутая возможность выбора — шифровать имеющиеся в разделе данные или форматировать его без сохранения информации.

 

 

После этого программа спрашивает, какими алгоритмами производить шифрование. Для бытовых нужд большой разницы тут нет — можно выбрать любой из алгоритмов или связку из них.

 

 

Только при этом стоит учитывать, что при применении связки из нескольких алгоритмов требуется больше вычислительных ресурсов при работе с шифрованным диском — и соответственно скорость чтения и записи падает. Если компьютер недостаточно мощный, то имеет смысл нажать на кнопку тест, чтобы выбрать оптимальный алгоритм для своего компьютера.

 

Следующим этапом является непосредственно процесс форматирования шифрованного тома.

 

 

 

 

 

 

 

Теперь остается подождать, пока программа закончит шифрование жесткого диска.

 

 

 

 

 

Стоит отметить, что на этапе задания пароля можно в качестве дополнительной защиты задать ключевой файл. В этом случае доступ к шифрованной информации будет возможен только при наличии этого ключевого файла. Соответственно, если этот файл хранится на другом компьютере в локальной сети, то при потере ноутбука с шифрованным диском или флешки никто не сможет получить доступ к секретным данным, даже если бы подобрал пароль — ведь ключевого файла ни на самом ноутбуке ни на флешке нет.

 

Скрытие шифрованного раздела

 

 

Как уже упоминалось, выгодным преимуществом шифрованного раздела является то, что в операционной системе он позиционируется как неиспользуемый и неформатированный. И нет никаких указаний на то, что в нем есть шифрованная информация. Единственный способ это выяснить — использовать специальные программы по криптоанализу, умеющие по высокой степени хаотичности битовых последовательностей сделать заключение, что в разделе имеются шифрованные данные. Но если Вы не потенциальная мишень для спецслужб, то такая угроза компрометации Вам вряд ли грозит.

 

А вот для дополнительной защиты от простых обывателей имеет смысл спрятать шифрованный раздел из перечня доступных букв дисков. Тем более что все равно обращение к диску напрямую по его букве ничего не даст и требуется только в случае удаления шифрования путем форматирования. Для открепления тома от используемой буквы следует в «Панели управления» зайти в  раздел «Управление компьютером / Управление дисками» и вызвав контекстное меню для нужного раздела выбрать пункт «Изменить букву диска или путь к диску...», где и получится убрать привязку.

 

 

 

 

После этих манипуляций шифрованный раздел не будет виден в проводнике Windows и других файловых менеджерах. А наличие среди нескольких разнообразных системных разделов одного безымянного и «неформатированного» вряд ли вызовет интерес у посторонних.

 

Использование шифрованного диска

 

Чтобы использовать шифрованное устройство как обычный диск, необходимо его подключить. Для этого в главном окне программы следует нажать правой кнопкой мыши на одной из доступных букв дисков и выбрать пункт меню «Выбрать устройство и смонтировать...»

 

 

После этого нужно отметить зашифрованное ранее устройство и указать пароль.

 

 

 

В результате в обозревателе Windows должен появиться новый диск с выбранной буквой (в нашем случае это диск X).

 

 

И теперь с этим диском получится работать как и с любым обычным логическим диском. Главное после окончания работы не забыть либо выключить компьютер, либо закрыть программу TrueCrypt, либо отключить шифрованный раздел — ведь пока диск подключен, любой пользователь может получить доступ к расположенным на нем данным. Отключить раздел можно нажав кнопку «Размонтировать».

 

 

Итоги

 

Использование программы TrueCrypt позволит Вам произвести шифрование жесткого диска и тем самым скрыть Ваши приватные файлы от посторонних, если вдруг кто-то получит доступ к Вашей флешке или жесткому диску.  А расположение шифрованной информации на неиспользуемом и скрытом разделе создает дополнительный уровень защиты, так как непосвященный круг лиц может и не догадываться, что на одном из разделов хранится секретная информация. Такой метод защиты приватных данных подойдет в подавляющем большинстве случаев. И только если за Вами производится целенаправленная слежка с угрозой применения насилия для получения пароля, то Вам могут понадобиться более изощренные методы защиты, такие как стеганография и скрытые тома TrueCrypt (с двумя паролями).

 

livelenta.com

Взлом систем шифрования жестких дисков путем «холодной перезагрузки» — ISO27000.ru

Предисловие

Так как для доступа к зашифрованному жесткому диску необходимо иметь ключ, а он, разумеется, хранится в RAM – все, что нужно, это получить физический доступ к ПК на несколько минут. После перезагрузки с внешнего жесткого диска или с USB Flash делается полный дамп памяти и в течение считанных минут из него извлекается ключ доступа.

Таким способом удается получить ключи шифрования (и полный доступ к жесткому диску), используемые программами BitLocker, FileVault и dm-crypt в операционных системах Windows Vista, Mac OS X и Linux, а также популярной свободно распространяемой системой шифрования жестких дисков TrueCrypt.

Важность данной работы заключается в том, что не существует ни одной простой методики защиты от данного способа взлома, кроме как отключение питания на достаточное для полного стирания данных время.

Наглядная демонстрация процесса представлена в видеоролике.

Мы публикуем сокращенный перевод данного крайне важного и поучительного исследования, опуская технические детали и математические выкладки, за которыми следует обратиться к первоисточнику: http://citp.princeton.edu/memory

Аннотация

Вопреки устоявшемуся мнению, память DRAM, использующаяся в большинстве современных компьютеров, хранит в себе данные даже после отключения питания в течение нескольких секунд или минут, причём, это происходит при комнатной температуре и даже, в случае извлечения микросхемы из материнской платы. Этого времени оказывается вполне достаточно для снятия полного дампа оперативной памяти. Мы покажем, что данное явление позволяет злоумышленнику, имеющему физический доступ к системе, обойти функции ОС по защите данных о криптографических ключах. Мы покажем, как перезагрузка может использоваться для того, чтобы совершать успешные атаки на известные системы шифрования жёстких дисков, не используя каких-либо специализированных устройств или материалов. Мы экспериментально определим степень и вероятность сохранения остаточной намагниченности и покажем что время, за которое можно снять данные, может быть существенно увеличено при помощи простых приёмов. Так же будут предложены новые методы для поиска криптографических ключей в дампах памяти и исправления ошибок, связанных с потерей битов. Будет также рассказано о несколько способах уменьшения данных рисков, однако простого решения нам не известно.

Введение

Большинство экспертов исходят из того, что данные из оперативной памяти компьютера стираются практически мгновенно после отключения питания, или считают, что остаточные данные крайне сложно извлечь без использования специального оборудования. Мы покажем, что эти предположения некорректны. Обычная DRAM память теряет данные постепенно в течение нескольких секунд, даже при обычных температурах, а если даже микросхема памяти будет извлечена из материнской платы, данные сохранятся в ней на протяжении минут или даже часов, при условии хранения этой микросхемы при низких температурах. Остаточные данные могут быть восстановлены при помощи простых методов, которые требуют кратковременного физического доступа к компьютеру.

Мы покажем ряд атак, которые, используя эффекты остаточной намагниченности DRAM, позволят нам восстановить хранимые в памяти ключи шифрования. Это представляет собой реальную угрозу  для пользователей ноутбуков, которые полагаются на системы шифрования жёсткого диска. Ведь в случае, если злоумышленник похитит ноутбук, в тот момент, когда зашифрованный диск подключён, он сможет провести одну из наших атак для доступа к содержимому, даже если сам ноутбук заблокирован или находится в спящем режиме. Мы это продемонстрируем, успешно атакуя несколько популярных систем шифрования, таких как – BitLocker, TrueCrypt и FileVault. Эти атаки должны быть успешны и в отношении других систем шифрования.

Хотя мы сосредоточили наши усилия на системах шифрования жёстких дисков, в случае физического доступа к компьютеру злоумышленника, любая важная информация хранящаяся в оперативной памяти может стать объектом для атаки. Вероятно, и многие другие системы безопасности уязвимы. Например, мы обнаружили, что Mac OS X оставляет пароли от учётных записей в памяти, откуда мы смоги их извлечь, так же мы совершили атаки на получение закрытых RSA ключей веб-сервера Apache.

Некоторые представители сообществ по информационной безопасности и физике полупроводников уже знали об эффекте остаточной намагниченности DRAM, об этом было очень мало информации. В итоге, многие, кто проектирует, разрабатывает или использует системы безопасности, просто незнакомы с этим явлением и как легко оно может быть использовано злоумышленником. Насколько нам известно, это первая подробная работа изучающие последствия данных явлений для информационной безопасности.

Атаки на зашифрованные диски

Шифрование жёстких дисков это известный способ защиты против хищения данных. Многие полагают, что системы шифрования жёстких дисков позволят защитить их данные, даже в том случае, если злоумышленник получил физических доступ к компьютеру (собственно для этого они и нужны, прим. ред.). Закон штата Калифорния, принятый в 2002 году, обязывает сообщать о возможных случаях раскрытия персональных данных, только в том случае, если данные не были зашифрованы, т.к. считается, что шифрование данных - это достаточная защитная мера. Хотя закон не описывает никаких конкретных технических решений, многие эксперты рекомендуют использовать системы шифрования жёстких дисков или разделов, что будет считаться достаточными мерами для защиты. Результаты нашего исследования показали, что вера в шифрование дисков необоснованна. Атакующий, далеко не самой высокой квалификации, может обойти многие широко используемые системы шифрования, в случае если ноутбук с данными похищен, в то время когда он был включён или находился в спящем режиме. И данные на ноутбуке могут быть прочитаны даже в том случае, когда они находятся на зашифрованном диске, поэтому использование систем шифрования жёстких дисков не является достаточной мерой.

Мы использовали несколько видов атак на известные системы шифрования жёстких дисков. Больше всего времени заняла установка зашифрованных дисков и проверка корректности обнаруженных ключей шифрования. Получение образа оперативной памяти и поиск ключей занимали всего несколько минут и были полностью автоматизированы. Есть основания полагать, что большинство систем шифрования жёстких дисков подвержены подобным атакам.

BitLocker

BitLocker – система, входящая в состав некоторых версий ОС Windows Vista. Она функционирует как драйвер работающий между файловой системой и драйвером жёсткого диска, шифруя и расшифровывая по требованию выбранные секторы. Используемые для шифрования ключи находятся в оперативной памяти до тех пор, пока зашифрованный диск подмантирован.

Для шифрования каждого сектора жёсткого диска BitLocker использует одну и ту же пару ключей созданных алгоритмом AES: ключ шифрования сектора и ключ шифрования, работающий в режиме сцепления зашифрованных блоков (CBC). Эти два ключа в свою очередь зашифрованы мастер ключом. Чтобы зашифровать сектор, проводится процедура двоичного сложения открытого текста с сеансовым ключом, созданным шифрованием байта смещения сектора ключом шифрования сектора. Потом, полученные данные обрабатываются двумя смешивающими функциями, которые используют разработанный Microsoft алгоритм Elephant. Эти безключевые функции используются с целью увеличения количества изменений всех битов шифра и, соответственно, увеличения неопределённости зашифрованных данных сектора. На последнем этапе, данные шифруются алгоритмом AES в режиме CBC, с использованием соответствующего ключа шифрования. Вектор инициализации определяется путём шифрования байта смещения сектора ключом шифрования, используемом в режиме CBC.

Нами была реализована полностью автоматизированная демонстрационная атака названная BitUnlocker. При этом используется внешний USB диск с ОС Linux и модифицированным загрузчиком на основе SYSLINUX и драйвер FUSE позволяющий подключить зашифрованные BitLocker диски в ОС Linux. На тестовом компьютере с работающей Windows Vista отключалось питание, подключался USB жёсткий диск, и с него происходила загрузка. После этого BitUnlocker автоматически делал дамп оперативной памяти на внешний диск, при помощи программы keyfind осуществлял поиск возможных ключей, опробовал все подходящие варианты (пары ключа шифрования сектора и ключа режима CBC), и в случае удачи подключал зашифрованный диск. Как только диск подключался, появлялась возможность с ним работать как с любым другим диском. На современном ноутбуке с 2 гигабайтами оперативной памяти процесс занимал около 25 минут.

Примечательно, что данную атаку стало возможным провести без реверс-инжиниринга какого-либо ПО. В документации Microsoft система BitLocker описана в достаточной степени, для понимания роли ключа шифрования сектора и ключа режима CBC и создания своей программы реализующей весь процесс.

Основное отличие BitLocker от других программ этого класса – это способ хранения ключей при отключённом зашифрованном диске. По умолчанию, в базовом режиме, BitLocker защищает мастер ключ только при помощи TPM модуля, который существует на многих современных ПК. Данный способ, который, по всей видимости, широко используется, особенно уязвим к нашей атаке, поскольку он позволяет получить ключи шифрования, даже если компьютер был выключен в течение долгого времени, поскольку, когда ПК загружается, ключи автоматически подгружаются в оперативную память (до появления окна входа в систему) без ввода каких-либо аутентификационных данных.

По всей видимости, специалисты Microsoft знакомы с данной проблемой и поэтому рекомендуют настроить BitLocker в улучшенный режим, где защита ключей осуществляется, не только при помощи TPM, но и паролем или ключом на внешнем USB носителе. Но, даже в таком режиме, система уязвима, если злоумышленник получит физический доступ к ПК в тот момент, когда он работает (он даже может быть заблокирован или находиться в спящем режиме, (состояния - просто выключен или hibernate в это случае считаются не подверженными данной атаке).

FileVault

Система FileVault от Apple была частично исследована и проведён реверс-инжиниринг. В Mac OS X 10.4 FileVault использует 128-битный ключ AES в режиме CBC. При введении пароля пользователя, расшифровывается заголовок, содержащий ключ AES и второй ключ K2, используемый для расчёта векторов инициализации. Вектор инициализации для I-того блока диска рассчитывается как HMAC-SHA1 K2(I).

Мы использовали нашу программу EFI для получения образов оперативной памяти для получения данных с компьютера Макинтош (базирующимся на процессоре Intel) с подключённым диском, зашифрованным FileVault. После этого программа keyfind безошибочно автоматически находила AES ключи FileVault.

Без вектора инициализации, но с полученным AES ключом появляется возможность расшифровать 4080 из 4096 байт каждого блока диска (всё кроме первого AES блока). Мы убедились, что инициализационный вектор так же находится в дампе. Предполагая, что  данные не успели исказиться, атакующий может определить вектор, поочерёдно пробуя все 160-битовые строки в дампе и проверяя, могут ли они образовать возможный открытый текст, при их бинарном сложении с расшифрованной первой частью блока. Вместе, используя программы типа vilefault, AES ключи и инициализационный вектор позволяют полностью расшифровывать зашифрованный диск.

В процессе исследования FileVault, мы обнаружили, что Mac OS X 10.4 и 10.5 оставляют множественные копии пароля пользователя в памяти, где они уязвимы к данной атаке. Пароли учётных записей часто используются для защиты ключей, которые в свою очередь, могу использоваться для защиты ключевых фраз зашифрованных FileVault дисков.

TrueCrypt

TrueCrypt – популярная система шифрования с открытым кодом, работающая на ОС Windows, MacOS и Linux. Она поддерживает множество алгоритмов, включая AES, Serpent и Twofish. В 4-ой версии, все алгоритмы работали в режиме LRW; в текущей 5-ой версии, они используют режим XTS. TrueCrypt хранит ключ шифрования и tweak ключ в заголовке раздела на каждом диске, который зашифрован другим ключом получающимся из вводимого пользователем пароля.

Мы тестировали TrueCrypt 4.3a и 5.0a работающие под ОС Linux. Мы подключили диск, зашифрованный при помощи 256-битного AES ключа, потом отключили питание и использовали для загрузки собственное ПО для дампа памяти. В обоих случаях, keyfind обнаружила 256-битный неповреждённый ключ шифрования. Так же, в случае TrueCrypt 5.0.a, keyfind смогла восстановить tweak ключ режима XTS.

Чтобы расшифровать диски созданные TrueCrypt 4, необходим tweak ключ режима LRW. Мы обнаружили, что система хранит его в четырёх словах перед ключевым расписанием ключа AES. В нашем дампе, LRW ключ не был искажён. (В случае появления ошибок, мы все равно смогли бы восстановить ключ).

Dm-crypt

Ядро Linux, начиная с версии 2.6, включает в себя встроенную поддержку dm-crypt – подсистемы шифрования дисков. Dm-crypt использует множество алгоритмов и режимов, но, по умолчанию, она использует 128-битный шифр AES в режиме CBC с инициализационными векторами создаваемыми не на основе ключевой информации.

Мы тестировали созданный dm-crypt раздел, используя LUKS (Linux Unified Key Setup) ветку утилиты cryptsetup и ядро 2.6.20. Диск был зашифрован при помощи AES в режиме CBC. Мы ненадолго отключили питание и, используя модифицированный PXE загрузчик, сделали дамп памяти. Программа keyfind обнаружила корректный 128-битный AES ключ, который и был восстановлен без каких-либо ошибок. После его восстановления, злоумышленник может расшифровать и подключить раздел зашифрованный dm-crypt, модифицируя утилиту cryptsetup таким образом, чтобы она воспринимала ключи в необходимом формате.

Способы защиты и их ограничения

Реализация защиты от атак на оперативную память нетривиальна, поскольку используемые криптографические ключи необходимо где-либо хранить. Мы предлагаем сфокусировать усилия на уничтожении или скрытии ключей до того, как злоумышленник сможет получить физический доступ к ПК, предотвращая запуск ПО для дампа оперативной памяти, физически защищая микросхемы ОЗУ и по возможности снижая срок хранения данных в ОЗУ.

Перезапись памяти

Прежде всего, надо по-возможности избегать хранения ключей в ОЗУ. Необходимо перезаписывать ключевую информацию, если она больше не используется, и  предотвращать копирование данных в файлы подкачки. Память должна очищаться заблаговременно средствами ОС или дополнительных библиотек. Естественно, эти меры не защитят используемые в данный момент ключи, поскольку они должны храниться в памяти, например такие ключи как, используемые для шифрованных дисков или на защищённых веб серверах.

Так же, ОЗУ должна очищаться в процессе загрузки. Некоторые ПК могут быть настроены таким образом, чтобы очищать ОЗУ при загрузке при помощи очищающего POST запроса (Power-on Self-Test) до того как загружать ОС. Если злоумышленник не сможет предотвратить выполнение данного запроса, то на данном ПК у него не будет возможности сделать дамп памяти с важной информацией. Но, у него всё ещё остаётся возможность вытащить микросхемы ОЗУ и вставить их в другой ПК с необходимыми ему настройками BIOS.

Ограничение загрузки из сети или со съёмных носителей

Многие наши атаки были реализованы с использованием загрузки по сети или со съёмного носителя. ПК должен быть настроен так, чтобы требовать пароль администратора для загрузки с этих источников. Но, необходимо отметить, что даже если система настроена на загрузку только с основного жёсткого диска, атакующий может сменить сам жёсткий диск, или во многих случаях, сбросить NVRAM компьютера для отката на первоначальные настройки BIOS.

Безопасный спящий режим

Результаты исследования показали, что простое блокирование рабочего стола ПК (т.е ОС продолжает работать, но, для того, чтобы с ней начать взаимодействие необходим ввод пароля) не защищает содержимое ОЗУ. Спящий режим не эффективен и в том случае, если ПК блокируется при возврате из спящего режима, поскольку злоумышленник может активировать возврат из спящего режима, после чего перезагрузить ноутбук и сделать дамп памяти. Режим hibernate (содержимое ОЗУ копируется на жёсткий диск) так же не поможет, кроме случаев использования ключевой информации на отчуждаемых носителях для восстановления нормального функционирования.

В большинстве систем шифрования жёстких дисков, пользователи могут защититься выключением ПК. (Система Bitlocker в базовом режиме работы TPM модуля остаётся уязвимой, поскольку диск будет подключен автоматически, когда ПК будет включён). Содержимое памяти может сохраняться в течение короткого периода после отключения, поэтому рекомендуется понаблюдать за своей рабочей станцией ещё в течение пары минут. Несмотря на свою эффективность, данная мера крайне неудобна в связи с долгой загрузкой рабочих станций.

Переход в спящий режим можно обезопасить следующими способами: требовать пароль или иной другой секрет чтобы «разбудить» рабочую станцию и шифровать содержимое памяти ключом производным от этого пароля. Пароль должен быть стойким, так как злоумышленник может сделать дамп памяти и после чего попробовать подобрать пароль перебором. Если же шифрование всей памяти невозможно, необходимо шифровать только те области, которые содержат ключевую информацию. Некоторые системы могут быть настроены таким образом, чтобы переходить в такой тип защищённого спящего режима, хотя это обычно и не является настройкой по умолчанию.

Отказ от предварительных вычислений

Наши исследования показали, что использование предварительных вычислений для того, чтобы ускорить криптографические операции делает ключевую информацию более уязвимой. Предварительные вычисления приводят к тому, что в памяти появляется избыточная информации о ключевых данных, что позволяет злоумышленнику восстановить ключи даже в случае наличия ошибок. Например, как описано в разделе 5, информация об итерационных ключах алгоритмов AES и DES крайне избыточна и полезна для атакующего.

Отказ от предварительных вычислений снизит производительность, поскольку потенциально сложные вычисления придётся повторять. Но, например, можно кэшировать предварительно высчитанные значения на определённый промежуток времени и стирать полученные данные, если они не используются в течение этого интервала. Такой подход представляет собой компромисс между безопасностью и производительностью системы.

Расширение ключей

Другой способ предотвратить восстановление ключей – это изменение ключевой информации, хранящейся в памяти, таким образом, чтобы усложнить восстановление ключа из-за различных ошибок. Этот метод был рассмотрен в теории, где была показана функция, стойкая к раскрытию, чьи входные данные остаются сокрытыми, даже если практически все выходные данные были обнаружены, что очень похоже на работу однонаправленных функций.

На практике, представьте, что у нас есть 256-битный AES ключ K, который в данный момент не используется, но понадобится позднее. Мы не можем перезаписать его, но мы хотим сделать его стойким к попыткам восстановления. Один из способов добиться этого – это выделить большую B-битную область данных, заполнить её случайными данными R, после чего хранить в памяти результат следующего преобразования K+H(R) (суммирование двоичное, прим. ред.), где H – это хэш функция, например SHA-256.

Теперь представьте, что электричество было отключено, это приведёт к тому, что d бит в данной области будут изменены. Если хэш функция стойкая, при попытке восстановления ключа K, злоумышленник может рассчитывать только на то, что он сможет угадать какие биты области B были изменены из приблизительно половины, которые могли изменится. Если d бит были изменены, злоумышленнику придётся провести поиск области размером (B/2+d)/d чтобы найти корректные значения R и уже после этого восстановить ключ K. Если область B велика, такой поиск может быть очень долог, даже если d относительно мала.

Теоретически, таким способом можно хранить все ключи, рассчитывая каждый ключ, только когда это нам необходимо, и удаляя его, когда он нам не нужен. Таким образом, применяя вышеописанный метод, мы может хранить ключи в памяти.

Физическая защита

Некоторые из наших атак основывались на наличии физического доступа к микросхемам памяти. Такие атаки могут быть предотвращены физической защитой памяти. Например, модули памяти находиться в закрытом корпусе ПК, или залиты эпоксидным клеем, чтобы предотвратить попытки их извлечения или доступа к ним. Так же, можно реализовать затирание памяти как ответную реакцию на низкие температуры или попытки открыть корпус. Такой способ потребует установки датчиков с независимой системой питания. Многие из таких способов связаны с аппаратурой, защищённой от несанкционированного вмешательства (например, сопроцессор IBM 4758) и могут сильно повысить стоимость рабочей станции. С другой стороны, использование памяти, припаянной к материнской плате, обойдётся гораздо дешевле.

Изменение архитектуры

Можно изменить архитектуру ПК. Что невозможно для уже используемых ПК, зато позволит обезопасить новые.

Первый подход заключается в том, чтобы спроектировать DRAM модули таким образом, чтобы они быстрее стирали все данные. Это может быть непросто, поскольку цель как можно более быстрого стирания данных, противоречит другой цели, чтобы данные не пропадали между периодами обновления памяти.

Другой подход заключается в добавлении аппаратуры хранения ключевой информации, которая бы гарантированно стирала всю информацию со своих хранилищ при запуске, перезапуске и выключении. Таким образом, мы получим надёжное место для хранения нескольких ключей, хотя уязвимость, связанная с их предварительными вычислениями останется.

Другие эксперты предложили архитектуру, в рамках которой содержимое памяти будет постоянно шифроваться. Если, вдобавок к этому, реализовать стирание ключей при перезагрузке и отключении электричества, то данный способ обеспечит достаточную защищённость от описанных нами атак.

Доверенные вычисления

Аппаратура, соответствующая концепции «доверенных вычислений», например, в виде TPM модулей уже используется в некоторых ПК. Несмотря на свою полезность в защите от некоторых атак, в своей нынешней форме такое оборудование не помогает предотвратить описанные нами атаки.

Используемые TPM модули не реализуют полное шифрование. Вместо этого, они наблюдают за процессом загрузки для принятия решения о том, безопасно ли загружать ключ в ОЗУ или нет. Если ПО необходимо использовать ключ, то можно реализовать следующую технологию: ключ, в пригодной для использования форме не будет храниться в ОЗУ, до тех пор пока процесс загрузки не пройдёт по ожидаемому сценарию. Но, как только ключ оказывается в оперативной памяти – он сразу становиться мишенью для наших атак. TPM модули могут предотвратить загрузку ключа в память, но они не предотвращают его считывание из памяти.

Выводы

Вопреки популярному мнению, модули DRAM в отключённом состоянии хранят данные в течение относительно долгого времени. Наши эксперименты показали, что данное явление позволяет реализовать целый класс атак, которые позволяют получить важные данные, такие как ключи шифрования из оперативной памяти, несмотря на попытки ОС защитить её содержимое. Описанные нами атаки реализуемы на практике, и наши примеры атак на популярные системы шифрования доказывают это.

Но и другие виды ПО также уязвимы. Системы управления цифровыми правами (DRM) часто используют симметричные ключи, хранящиеся в памяти, и их так же можно получить, используя описанные методы. Как мы показали, веб-сервера с поддержкой SSL тоже уязвимы, поскольку они хранят в памяти закрытые ключи необходимые для создания SSL сеансов. Наши способы поиска ключевой информации, скорее всего, будут эффективны для поиска паролей, номеров счетов и любой другой важной информации, хранящейся в ОЗУ.

Похоже что нет простого способа устранить найденные уязвимости. Изменение ПО скорее всего не будет эффективным; аппаратные изменения помогут, но временные и ресурсные затраты будут велики; технология «доверенных вычислений» в её сегодняшней форме так же мало эффективна, поскольку она не может защитить ключи находящиеся в памяти.

По нашему мнению, больше всего данному риску подвержены ноутбуки, которые часто находятся в общественных местах и функционируют в режимах уязвимых для данных атак. Наличие таких рисков, показывает, что шифрование дисков осуществляет защиту важных данных в меньшей степени, чем принято считать.

В итоге, возможно, придётся рассматривать DRAM память как не доверенную компоненту современного ПК, и избегать обработки важной конфиденциальной информации в ней. Но на данный момент это нецелесообразно, до тех пор, пока архитектура современных ПК  не изменится, чтобы позволить ПО хранить ключи в безопасном месте.

Первоисточник: http://citp.princeton.edu/memory

www.iso27000.ru

Шифруем жесткий диск | Хард / Софт

Жесткие диски растут как на дрожжах. Объемы увеличиваются, а вместе с ними увеличиваются объемы хлама, лежащего на этих дисках. Чего только там не встретишь: конфиденциальная информация, скачанные из интернета фильмы, нелицензионное программное обеспечение, семейная порнушка, или просто порнушка, чего греха таить… Да мало ли что может человек захотеть скрыть от родных и близких, от конкурентов, от силовых структур и прочих любопытствующих…

В общем, у человека может возникнуть желание скрыть личную информацию от посторонних глаз. Поскольку такой информации может быть довольно много, на ум приходит мысль зашифровать сразу весь жесткий диск целиком или один из его разделов. Плюсов от такого решения достаточно много: это не маленький контейнер, это целый жесткий диск или раздел, с большим запасом свободного места; при попадании жесткого диска в чужие руки никто не сможет получить информацию не зная пароля; шифрование и дешифровка идут на лету, незаметно для пользователя, и на скорости практически не сказываются.

Вот и займемся шифрованием жесткого диска. Для этого воспользуемся замечательной бесплатной программой TrueCrypt.

Установка

Скачать программу TrueCrypt можно отсюда: Сохраним TrueCrypt для себя и потомков, установка программы и русификация описаны здесь: http://hardisoft.ru/soft/lammers/ustanovka-programmy-truecrypt/

Шифрование

Если с установкой и русификацией все прошло успешно, приступаем непосредственно к шифрованию. Часто жесткий диск разбивают на несколько разделов, на один устанавливают операционную систему и программы, другие же служат складом всякой всячины. Либо в компьютере может быть два и более жестких дисков. Поэтому шифровать будем как раз несистемный раздел жесткого диска, т.е. тот, на котором не установлена Windows. Так проще, хотя можно зашифровать и системный диск, особой разницы нет, а действия почти аналогичны.

Запускаем программу, идем в меню “Тома” –> “Создать новый том”. Откроется “Мастер создания томов TrueCrypt”. В нем выбираем “Зашифровать несистемный раздел/диск”, жмем “Далее”:

Тип тома выберем “Обычный том TrueCrypt” (Скрытый том представляет некоторый интерес, но о нем можно будет поговорить отдельно). Жмем “Далее” и на закладке “Размещение тома” нажимаем кнопку “Устройство…”:

В окне “Выберите раздел или устройство” выбираем тот раздел, который необходимо зашифровать. Если вы хотите зашифровать не раздел, а жесткий диск целиком, то следует учесть, что зашифровать целиком можно только диск, на котором нет данных. Мы же шифруем уже не пустой диск, у нас на нем есть информация, поэтому выбираем не диск, а раздел. В моем примере мой второй жесткий диск в программе называется “Жесткий диск 1” и на нем всего один раздел, вот его (раздел) и следует выбирать. После того как устройство выбрано жмем “ОК” в окне “Выберите раздел или устройство” и “Далее” в окне “Размещение тома”:

“Режим создания тома” – выбираем “зашифровать раздел на месте”, поскольку наш раздел содержит нужную нам информацию. Если у вас раздел пустой – можно выбрать вариант “Создать и отформатировать зашифрованный том”, в этом случае процесс пойдет быстрее, но данные, которые были в данном разделе удалятся. Жмем “Далее” и умиляемся предупредительности TrueCrypt, который вежливо предупреждает нас о необходимости резервной копии. Тут у вас есть время сделать копию важный данных, или просто нажать “Да” и продолжить процесс:

Следующее окно предлагает нам настроить шифрование, т.е. выбрать алгоритмы. Если есть желание, то про алгоритмы можно почитать здесь:

https://www.pgpru.com/Библиотека/Статьи/СравнительныйОбзорАлгоритмовPGP

От себя скажу, что каждый из них очень стоек к взлому. Я оставил все по умолчанию. Особые шизофреники могут выбрать шифрование сразу несколькими алгоритмами, однако это несколько замедлит процесс создания тома и работы с ним.

Жмем “Далее” и видим окно ввода пароля, для доступа к зашифрованному тому. Здесь надо ввести пароль, подтвердить его еще раз. Так же можно выбрать ключевой файл, который будет участвовать в процессе дешифровки.  Следует однако помнить, что если ключевой файл потеряется или повредится, то данные станут недоступны. Поэтому ключевые файлы тоже отдаем на откуп шизофрении. Пароль выбирать вам, длина не ограничена, однако маленькие пароли легко подобрать перебором. Не теряйте и не забывайте пароль: при его утере зашифрованные данные восстановить будет невозможно! Когда пароль выбран, жмем “Далее”:

Если пароль будет коротким и легким для взлома TrueCrypt предупредит об этом:

Далее, открывается окно “Сбор случайных данных”. В этом окне нужно подергать мышкой в разных направлениях. В такт этому будут меняться цифры в окошке “Текущее содержимое пула”. Чем дольше дергать мышкой – тем лучше стойкость шифра, но час так сидеть тоже не стоит :)После игр с мышкой жмем “Далее” и выбираем режим очистки. Этот режим означает многократную перезапись данных на диске, чтобы было невозможно восстановить данные по остаточному намагничиванию. Эта функция тоже лишний рубеж обороны, но он пригодится только параноикам, боящимся спецслужб, ибо такая техника есть только у них. Я не стал выбирать режим очистки, ибо я здоров психически 🙂 Кроме того, это лишнее замедление при первоначальном шифровании:

Вот собственно и все настройки: после нажатия кнопки “Далее” откроется последнее окно, с самой главной кнопкой: “Шифрация”. Крестимся, жмем на нее, подтверждаем, что согласны начать – и в путь:

Начнется процесс шифрования. Процесс может быть долгим. Например мой 1,5 Тб раздел шифровался 32 часа. Однако, этот процесс можно отложить, например если компьютер необходимо выключить на ночь. Если нажать на кнопку “Отложить”, то TrueCrypt сможет продолжить процесс в следующий раз:

Ответив “Да” вы отложите процесс. Компьютер можно выключить. В этом случае после следующей загрузки TrueCrypt сам предложит продолжить шифрование. Либо, его можно будет возобновить самому, выбрав в меню “Тома” пункт “Продолжить прерванный процесс”

Учтите, что пока идет процесс, доступ к данным на шифруемом разделе невозможен!

В общем, быстро сказка сказывается, да долго дело делается. И пошли они до городу до Парижу… Кхгм… О чем это я? Ах да… Спустя некоторое время, возможно достаточно большое, процесс шифрования завершится, о чем TrueCrypt сообщит достаточно информативными сообщениями:

Рекомендую внимательно прочитать их и вникнуть в написанное, пригодится. В общем, процесс завершен, мы имеем зашифрованный раздел!

Тут есть один нюанс, о котором TrueCrypt предупредил в конце процедуры: раздел зашифрован, буква диска, которая была присвоена ему системой так за ним и осталась, но при попытке зайти на зашифрованный диск в окне “Мой компьютер”, система сообщит о том, что он не отформатирован:

Диск форматировать нельзя! Это сотрет зашифрованную на разделе информацию!

Чтобы случайно не отформатировать раздел и предохранить его от такого действия другими пользователями я рекомендую освободить закрепленную за диском букву, чтобы он больше не отображался в списке дисков. Как это можно сделать написано здесь: http://hardisoft.ru/soft/lammers/smena-ili-udalenie-bukvy-diska/

После того как диск скрыт, ему уже ничего не угрожает и буква, под которой он был в системе освободилась, так что ее можно использовать для подключения зашифрованного раздела через TrueCrypt. Теперь разберемся, как его подключать.

Подключение зашифрованного раздела

Итак, наш зашифрованный раздел готов, осталось только подключить его к системе, чтобы начать им пользоваться. Для этого запускаем TrueCrypt и в главном окне выбираем любую свободную букву, к которой и подключится наш том. Затем нажимаем кнопку “Устройство…” и выбираем наш зашифрованный раздел. После чего жмем кнопку “Смонтировать”. Появится окно ввода пароля на том:

Если пароль введен правильно, раздел подключится к системе как диск под указанной буквой. Все, с ним можно работать, окно TrueCrypt можно закрыть. Шифрование/дешифрование происходит прозрачно и незаметно для пользователя, так что никакой разницы, по сравнению с нешифрованным разделом не ощущается.

Отключение раздела

Для отключения раздела вручную есть пара способов:

  • Выбрать смонтированный диск в главном окне TrueCrypt и нажать кнопку “Размонтировать”
  • Воспользоваться контекстным меню значка TrueCrypt в системном трее (в нижнем правом углу экрана, возле часов). Для этого надо кликнуть правой кнопкой мыши по значку и в открывшемся меню выбрать “Размонтировать [подключенный том]” либо “Размонтировать все смонтированные тома”

Кроме размонтирования вручную есть возможности по автоматическому размонтированию. Самый простой способ – завершение работы Windows. Cтоит выключить или перезагрузить компьютер как том снова будет закрыт и его потребуется снова подключать и вводить пароль после загрузки Windows. Это очень удобная возможность, которая не требует от пользователя дополнительных мышедвижений по отключению тома.

Для особых параноиков есть возможность автоматически размонтировать тома:

  • При завершении сеанса
  • При старте экранной заставки
  • При входе в энергосбережение
  • При неактивности в системе указанное время

Эти возможности можно включить в параметрах программы (меню “Настройки” –> “Параметры”).

Автоматическое монтирование раздела

Некоторые люди будут пользоваться зашифрованным разделом редко и им не трудно будет выбирать том, подключать его и набирать пароль, однако я не из таких. Я пользуюсь зашифрованным томом постоянно, поэтому проходить эту процедуру при каждой загрузке Windows меня напрягает.

К счастью, подключения тома при загрузке можно еще больше упростить. Самый простой способ – поставить галочку “Монтировать все тома на устройствах” в группе “Действия при входе в Windows” в настройках программы (меню “Настройки” –> “Параметры”). В этом случае TrueCrypt автоматически начнет подключение всех томов, когда система загрузится. Пользователю останется просто ввести пароль, если раздел ему нужен для работы, либо закрыть окно ввода пароля, если том ему не нужен.

Избранные тома

Способ автоподключения томов хорош, однако есть нюанс: у меня может быть несколько шифрованных томов, и я не хочу, чтобы они все подключались при загрузке. Допустим, мне постоянно нужен только один том, а остальные я хочу подключать по мере необходимости, самостоятельно. Это так же можно провернуть. Для этого нужно убрать галочку “Монтировать все тома на устройствах” в параметрах, если она стоит и прибегнуть к помощи так называемых “избранных” томов. Избранный том можно настроить на автоподключение при загрузке индивидуально.

Сделать том избранным достаточно просто: монтируем раздел, вводим пароль. После подключения тома к системе выбираем его в главном окне TrueCrypt и заходим в меню “Избранное”. Там выбираем пункт “Добавить смонтированный том в список избранных томов”. Откроется окно “Избранные тома”, в котором для нашего тома можно поставить галочку “Монтировать выбранный том при входе в систему”:

Этого достаточно, теперь только избранные тома будут автоматически подключаться при загрузке системы. Естественно, пароль вводить придется, иначе зачем тогда это все?

Сальдо конечное

Итак, вот собственно и все, что я хотел сказать. Может кому-нибудь данный скромный труд пригодится для благих или дурных намерений.

Аналогично можно зашифровать и системный диск, разница небольшая. Если кому-то понадобится, можно и этот пункт осветить в картинках.

TrueCrypt – мощная программа, уникальный бесплатный инструмент самозащиты ваших важных данных. Он обладает очень стойкими алгоритмами. Пользоваться им умело – наше преимущество.

У TrueCrypt есть только один недостаток: пароль к зашифрованным данным можно легко взломать… паяльником в анальном отверстии его хозяина :), но это скорее всего даже не его недостаток, а человеческий.

Так что держите пароли в уме, а задницу в холоде 🙂

Поделиться с друзьями:

hardisoft.ru

BitLocker — Шифрование диска | Компьютерная помощь КомСервис

Здравствуйте читатели блога компании КомСервис (г. Набережные Челны). В этой статье мы продолжим изучать встроенные в Windows системы призванные повысить безопасность наших данных. Сегодня это система шифрования дисков Bitlocker. Шифрование данных нужно для того что бы вашей информацией не воспользовались чужие люди. Как она к ним попадет это уже другой вопрос.

Шифрование — это процесс преобразования данных таким образом что бы получить доступ к ним могли только нужные люди. Для получения доступа обычно используют ключи или пароли.

Шифрование всего диска позволяет исключить доступ к данным при подключении вашего жесткого диска к другому компьютеру. На системе злоумышленника может быть установлена другая операционная система для обхода защиты, но это не поможет если вы используете BitLocker.

Технология BitLocker появилась с выходом операционной системы Windows Vista и была усовершенствована в Windows 7. Bitlocker доступен в версиях Windows 7 Максимальная и Корпоративная а так же в Windows 8 Pro. Владельцам других версий придется искать альтернативу.

Структура статьи

    1. Как работает шифрование диска BitLocker
    2. Как включить шифрование диска BitLocker
    3. Шифрование флешки — BitLocker To Go
    4. Управление зашифрованным разделом
    5. Восстановление доступа к диску
    6. Заключение

     

    1. Как работает шифрование диска BitLocker

    Не вдаваясь в подробности выглядит это так. Система шифрует весь диск и дает вам ключи от него. Если вы шифруете системный диск то без вашего ключа компьютер не загрузится. Тоже самое как ключи от квартиры. У вас они есть вы в нее попадете. Потеряли, нужно воспользоваться запасными (кодом восстановления (выдается при шифровании)) и менять замок (сделать шифрование заново с другими ключами)

    Для надежной защиты желательно наличие в компьютере доверенного платформенного модуля TPM (Trusted Platform Module). Если он есть и его версия 1.2 или выше, то он будет управлять процессом и у вас появятся более сильные методы защиты. Если же его нет, то возможно будет воспользоваться только ключом на USB-накопителе.

    Работает BitLocker следующим образом. Каждый сектор диска шифруется отдельно с помощью ключа (full-volume encryption key, FVEK). Используется алгоритм AES со 128 битным ключом и диффузором. Ключ можно поменять на 256 битный в групповых политиках безопасности.

    Для этого воспользуемся поиском в Windows 7. Открываем меню Пуск и в поле поиска пишем «политики» и выбираем Изменение групповой политики

    В открывшемся окошке в левой части переходим по пути

    Конфигурация компьютера > Административные шаблоны > Компоненты Windows > Шифрование диска BitLocker

    В правой части дважды кликаем на Выберите метод шифрования диска и стойкость шифра

    В открывшемся окошке нажимаем Включить политику. В разделе Выбрать метод шифрования из выпадающего списка выбираем нужный

    Самый надежный это AES с 256-битным ключом с диффузором. При этом скорее всего нагрузка на центральный процессор будет чуть чуть повыше, но не на много и на современных компьютерах вы разницы не заметите. Зато данные будут надежней защищены.

    Использование диффузора еще больше повышает надежность так как приводит к значительным изменением зашифрованной информации при незначительном изменении исходных данных. То есть, при шифровании двух секторов с практически одинаковыми данными результат будет значительно отличаться.

    Сам ключ FVEK располагается среди метаданных жесткого диска и так же шифруется с помощью основного ключа тома(volume master key, VMK). VMK так же шифруется с помощью TPM модуля. Если последний отсутствует, то с помощью ключа на USB накопителе.

    Если USB накопитель с ключом будет недоступен, то необходимо воспользоваться 48-значным кодом восстановления. После этого система сможет расшифровать основной ключ тома, с помощью которого расшифрует ключ FVEK, с помощью которого будет разблокирован диск и пойдет загрузка операционной системы.

    Усовершенствование BitLocker в Windows 7

    При установке Windows 7 с флешки или с диска предлагается разметить или настроить диск. При настройке диска создается дополнительный загрузочный раздел размером 100 МБ. Наверное не у меня одного возникали вопросы по поводу его назначения. Вот именно этот раздел и нужен для работы технологии Bitlocker.

    Этот раздел является скрытым и загрузочным и он не шифруется иначе не возможно было бы загрузить операционную систему.

    В Windows Vista этот раздел или том должен быть объемом в 1.5 ГБ. В Windows 7 его сделали 100 МБ.

    Если ли же вы при установке операционной системы сделали разбивку сторонними программами, то есть не создали загрузочный раздел, то в Windows 7 BitLocker сам подготовит нужный раздел. В Windows Vista вам бы пришлось его создавать с помощью дополнительного софта идущего в комплекте с операционной системой.

    Так же в Windows 7 появилась технология BitLocker To Go для шифрования флешек и внешних жестких дисков. Рассмотрим ее позже.

     

    2. Как включить шифрование диска BitLocker

    По умолчанию BitLocker настроен на запуск с модулем TPM и при его отсутствии не захочет запускаться. (Сначала просто попробуйте включить шифрование и если запуститься, то не нужно ничего отключать в групповых политиках)

    Для запуска шифрования заходим в Панель управленияСистема и безопасностьШифрование диска BitLocker

    Выбираем нужный диск (в нашем примере это системный раздел) и нажимаем Включить BitLocker

    Если же вы видите картинку подобную ниже

    необходимо править групповые политики.

    С помощью поиска из меню Пуск вызываем Редактор локальной групповой политики

    Идем по пути

    Конфигурация компьютера > Административные шаблоны > Компоненты Windows > Шифрование диска BitLocker > Диски операционной системы

    Справа выбираем Обязательная дополнительная проверка подлинности

    В открывшемся окошке нажимаем Включить, затем необходимо проконтролировать наличие галочки Разрешить использование BitLocker без совместимого TPM и нажать ОК

    После этого BitLocker можно будет запустить. Вас попросят выбрать единственный вариант защиты — Запрашивать ключ запуска при запуске. Это и выбираем

    Вставляем флешку на которую будет записан ключ запуска и нажимаем Сохранить

    Теперь необходимо сохранить ключ восстановления, на тот случай если флешка с ключом запуска будет не в зоне доступа. Можно сохранить ключ на флешке (желательно другой), сохранить ключ в файле для последующего переноса на другой компьютер или сразу распечатать.

    Ключ восстановления нужно естественно хранить в надежном месте. Сохраню ключ в файл

    Ключ восстановления не получиться сохранить на диске который вы собираетесь зашифровать.

    Нажимаете Далее

    Ключ восстановления это простой текстовый документ с самим ключом

    Затем у вас откроется последнее окошко в котором вам рекомендуют Запустить проверку системы BitLocker до шифрования диска. Нажимаем Продолжить

    Сохраняете все открытые документы и нажимаете Перезагрузить сейчас

    Вот что увидите если что то пойдет не так

    Если все работает то после перезагрузки компьютера запустится шифрование

    Время зависит от мощности вашего процессора, емкости раздела или тома который вы шифруете и скорости обмена данными с накопителем (SSD или HDD). Твердотельный диск на 60 Гб заполненные почти под завязку шифруются минут за 30 при этом еще работают Добровольные распределенные вычисления.

    Когда шифрование будет завершено увидите следующую картинку

    Закрываете окошко и проверяете в надежных ли местах находятся ключ запуска и ключ восстановления.

     

    3. Шифрование флешки — BitLocker To Go

    С появлением в Windows 7 технологии BitLocker To Go стало возможным шифровать флешки, карты памяти и внешние жесткие диски. Это очень удобно так как флешку потерять гораздо легче чем ноутбук и нетбук.

    Через поиск или пройдя по пути

    Пуск > Панель управления > Система и безопасность > Шифрование диска BitLocker

    открываем окошко управления. Вставляете флешку которую нужно зашифровать и в разделе BitLocker To Go включаем шифрование для нужного USB накопителя

    Необходимо выбрать способ снятия блокировки диска. Выбор не большой или пароль или сим-карта с ПИН-кодом. Сим-карты выпускаются специальными отделами в больших корпорациях. Воспользуемся простым паролем.

    Устанавливаем галочку использовать пароль для снятия блокировки диска и два раза вводим пароль. По умолчанию минимальная длинна пароля составляет 8 символов (можно поменять в групповых политиках). Нажимаем Далее

    Выбираем как будем сохранять ключ восстановления. Надежно, наверное, будет напечатать его. Сохраняем и нажимаем Далее

    Нажимаем Начать шифрование и защищаем свои данные

    Время шифрования зависит от емкости флешки, заполненности ее информацией, мощности вашего процессора и скорости обмена данными с компьютером

    На емких флешках или внешних жестких диска эта процедура может затянуться на долго. По идее процесс можно закончить на другом компьютере. Для этого ставите шифрование на паузу и правильно извлекаете накопитель. Вставляете ее в другой компьютер разблокируете введя пароль и шифрование продолжится автоматически.

    Теперь при установки флешки в компьютер появится окошко ниже с просьбой ввести пароль

    Если вы доверяете этому компьютеру и не хотите постоянно вводить пароль устанавливаете галочку В дальнейшем автоматически снимать блокировку с этого компьютера и нажимаете Разблокировать. На этот компьютере вам больше не придется вводить пароль для этой флешки.

    Для того что бы информацией на зашифрованном USB-накопителе можно было воспользоваться на компьютерах под управлением ОС Windows Vista или Windows XP флешку нужно отформатировать в файловую систему FAT32. В этих операционных системах возможно будет разблокировать флешку только введя пароль и информация будет доступна только для чтения. Запись информации не доступна.

     

    4. Управление зашифрованным разделом

    Управление осуществляется из окошка Шифрование диска BitLocker. Можно найти это окошко с помощью поиска, а можно зайти по адресу

    Панель управления > Система и безопасность > Шифрование диска BitLocker

    Вы можете выключить шифрование нажав на Выключить BitLocker. В этом случая диск или том дешифруется. Это займет какое-то время и не нужно будет никаких ключей.

    Так же здесь можно приостановить защиту

    Данную функцию рекомендуют использовать при обновлении BIOS или редактировании загрузочного диска. (Того самого объемом 100 МБ). Приостановить защиту можно только на системном диске (тот раздел или том на котором установлена Windows).

    Почему нужно приостанавливать шифрование? Что бы BitLocker не заблокировал ваш диск и не прибегать к процедуре восстановления. Параметры системы (BIOS и содержимое загрузочного раздела) при шифровании фиксируются для дополнительной защиты. При их изменении может произойти блокировка компьютера.

    Если вы выберите Управление BitLocker, то можно будет Сохранить или напечатать ключ восстановление и Дублировать ключ запуска

    Если один из ключей (ключ запуска или ключ восстановления) утерян, здесь можно их восстановить.

    Управление шифрованием внешних накопителей

    Для управления параметрами шифрования флешки доступны следующие функции

    Можно изменить пароль для снятия блокировки. Удалить пароль можно только если для снятия блокировки используется смарт-карта. Так же можно сохранить или напечатать ключ восстановления и включить снятие блокировки диска для этого компьютера автоматически.

     

    5. Восстановление доступа к диску

    Восстановление доступа к системному диску

    Если флешка с ключом вне зоны доступа, то в дело вступает ключ восстановления. При загрузке компьютера вы увидите приблизительно следующую картину

    Для восстановления доступа и загрузки Windows нажимаем Enter

    Увидим экран с просьбой ввести ключ восстановления

    С вводом последней цифры при условии правильного ключа восстановления автоматически пойдет загружаться операционная система.

    Восстановление доступа к съемным накопителям

    Для восстановления доступа к информации на флешке или внешнему HDD нажимаем Забыли пароль?

    Выбираем Ввести ключ восстановления

    и вводим этот страшный 48-значный код. Жмем Далее

    Если ключ восстановления подходит то диск будет разблокирован

    Появляется ссылочка на Управление BitLocker, где можно изменить пароль для разблокировки накопителя.

    Для большей безопасности информации рекомендуется использовать сложные пароли состоящие более чем из 8 знаков с буквами в разных регистрах, цифрами и специальными символами.

     

    Заключение

    В этой статье мы узнали каким образом можно защитить нашу информацию зашифровав ее с помощью встроенного средства BitLocker. Огорчает, что эта технология доступна только в старших или продвинутых версиях ОС Windows. Так же стало ясно для чего же создается этот скрытый и загрузочный раздел размером 100 МБ при настройке диска средствами Windows.

    Возможно буду пользоваться шифрованием флешек или внешних жестких дисков. Но, это маловероятно так как есть хорошие заменители в виде облачных сервисов хранения данных таких как DropBox, Google Диск, Яндекс Диск и подобные.

    Благодарю за то, что поделились статьей в социальных сетях. Всего Вам Доброго!

    Источник: youpk.ru

    Что еще почитать?

    comservice-chelny.ru


    Смотрите также