Uz CyberSafe, možete šifrirati više od pojedinačnih datoteka. Program vam omogućava da šifrirate cijelu particiju tvrdog diska ili cijeli vanjski disk (na primjer, USB disk ili fleš disk). Ovaj članak će vam pokazati kako šifrirati i sakriti šifriranu particiju tvrdog diska od znatiželjnih očiju.
Špijuni, paranoici i redovni korisnici
Ko će imati koristi od mogućnosti šifriranja particija? Špijuni i paranoici će biti odmah odbačeni. Prvih nema mnogo, a potreba za enkripcijom podataka je čisto profesionalna. Drugi je samo šifrirati nešto, sakriti to, itd. Iako nema stvarne prijetnje i šifrirani podaci nikoga ne zanimaju, oni ih ipak šifriraju. Zato nas zanimaju obični korisnici, koji će, nadam se, biti više od paranoičnih špijuna.Tipičan scenarij šifriranja particija je dijeljenje računara. Postoje dvije opcije za korištenje CyberSafe programa: ili svaki od korisnika koji radi na računaru kreira virtuelni disk, ili svaki dodjeljuje particiju na tvrdom disku za pohranjivanje ličnih datoteka i šifrira ga. Već je pisano o stvaranju virtualnih diskova, a u ovom članku ćemo se fokusirati na šifriranje cijele particije.
Recimo da postoji hard disk od 500 GB i da postoje tri korisnika koji povremeno rade sa računarom. Uprkos činjenici da NTFS sistem datoteka i dalje podržava prava pristupa i omogućava vam da ograničite pristup jednog korisnika datotekama drugog korisnika, njegova zaštita nije dovoljna. Uostalom, jedan od ova tri korisnika će imati administratorska prava i moći će pristupiti datotekama preostala dva korisnika.
Stoga se diskovni prostor na tvrdom disku može podijeliti na sljedeći način:
- Otprilike 200 GB je uobičajena particija. Ova particija će također biti sistemska particija. Instalirat će operativni sistem, program i pohraniti zajedničke datoteke sva tri korisnika.
- Tri particije od ~100 GB - mislim da je 100 GB dovoljno za pohranjivanje ličnih datoteka svakog korisnika. Svaki od ovih odjeljaka će biti šifriran, a samo korisnik koji je šifrirao ovu sekciju znat će lozinku za pristup šifriranom dijelu. U tom slučaju administrator, uz svu svoju želju, neće moći dešifrirati dio drugog korisnika i dobiti pristup njegovim datotekama. Da, ako želi, administrator može formatirati particiju, pa čak i obrisati je, ali će moći dobiti pristup samo ako prevari korisnika da prevari svoju lozinku. Ali mislim da se to neće dogoditi, tako da je šifriranje particija mnogo efikasnija mjera od NTFS kontrole pristupa.
Enkripcija particija naspram virtualnih šifriranih diskova
Što je bolje - šifrirati particije ili koristiti virtualne šifrirane diskove? Ovdje svatko odlučuje za sebe, jer svaka metoda ima svoje prednosti i nedostatke. Enkripcija particije je sigurna kao i šifriranje virtualnog diska i obrnuto.Šta je virtuelni disk? Gledajte na to kao na arhivu sa lozinkom i nivoom kompresije 0. Ali datoteke unutar ove arhive su šifrovane mnogo sigurnije nego u običnoj arhivi. Virtuelni disk je pohranjen na čvrstom disku kao datoteka. U programu CyberSafe morate otvoriti i montirati virtuelni disk, a zatim s njim možete raditi kao s običnim diskom.
Prednost virtuelnog diska je u tome što se može lako kopirati na drugi čvrsti disk ili fleš disk (ako veličina dozvoljava). Na primjer, možete kreirati virtualni disk od 4 GB (nema ograničenja u veličini virtualnog diska, osim prirodnih) i, ako je potrebno, kopirati datoteku virtualnog diska na USB fleš disk ili vanjski tvrdi disk. Ne možete to učiniti sa šifrovanom particijom. Također, datoteka virtuelnog diska može biti .
Naravno, ako je potrebno, možete kreirati sliku šifrovanog diska - u slučaju da želite da napravite rezervnu kopiju ili premestite na drugi računar. Ali to je druga priča. Ako imate takvu potrebu, preporučujem program Clonezilla - već pouzdano i provjereno rješenje. Prenošenje šifrovane particije na drugi računar je komplikovaniji poduhvat od prenosa virtuelnog diska. Ako postoji takva potreba, lakše je koristiti virtuelne diskove.
U slučaju šifriranja particije, cijela particija je fizički šifrirana. Kada montirate ovu particiju, morat ćete unijeti lozinku, nakon čega možete raditi sa particijom kao i obično, odnosno čitati i pisati datoteke.
Koji način odabrati? Ako si možete priuštiti šifriranje particije, onda možete odabrati ovu metodu. Također je bolje šifrirati cijeli odjeljak ako je veličina vaših tajnih dokumenata prilično velika.
Ali postoje situacije kada je nemoguće koristiti cijeli odjeljak ili nema smisla. Na primjer, imate samo jednu particiju (disk C:) na tvrdom disku i iz ovog ili onog razloga (nema prava, na primjer, jer računar nije vaš) ne možete ili ne želite promijeniti njegov izgled, tada potrebno je koristiti virtuelne diskove. Nema smisla šifrirati cijelu particiju ako je veličina dokumenata (fajlova) koje trebate šifrirati mala - nekoliko gigabajta. Mislim da smo to shvatili, pa je vrijeme da razgovaramo o tome koje particije (diskovi) mogu biti šifrirani.
Podržane vrste diskova
Možete šifrirati sljedeće vrste medija:- Particije tvrdog diska formatirane u FAT, FAT32 i NTFS sistemima datoteka.
- Flash diskovi, eksterni USB uređaji osim uređaja koji predstavljaju mobilne telefone, digitalne kamere i audio plejere.
- CD/DVD-RW diskovi, flopi diskovi
- Dinamički diskovi
- Sistemski pogon (sa kojeg se Windows pokreće)
Značajke rada sa šifriranim diskom
Zamislimo da ste već šifrirali particiju tvrdog diska. Da biste radili s datotekama na šifriranoj particiji, morate je montirati. Prilikom montaže, program će od vas tražiti lozinku za šifrirani disk, koja je navedena prilikom njegovog šifriranja. Nakon rada sa šifriranim diskom, morate ga odmah isključiti, inače će datoteke ostati dostupne korisnicima koji imaju fizički pristup vašem računalu.Drugim riječima, šifriranje štiti vaše datoteke samo kada je šifrirana particija isključena. Kada se particija montira, svako ko ima fizički pristup računaru može kopirati datoteke sa nje na nešifrovanu particiju, USB disk ili eksterni čvrsti disk, a datoteke neće biti šifrovane. Dakle, kada radite sa šifrovanim diskom, neka vam postane navika da ga uvijek isključite svaki put kada napustite računar, čak i na kratko! Nakon što demontirate šifrirani disk, vaše datoteke će biti pod pouzdanom zaštitom.
Što se tiče performansi, one će biti niže kada radite sa šifrovanom particijom. Koliko niže zavisi od mogućnosti vašeg računara, ali sistem će i dalje raditi i samo ćete morati da sačekate malo duže nego inače (posebno kada kopirate velike datoteke na šifrovanu particiju).
Pripremamo se za šifriranje
Prvi korak je nabaviti UPS negdje. Ako imate laptop, sve je u redu, ali ako imate običan desktop računar i želite da šifrirate particiju koja već ima fajlove, šifrovanje će potrajati. Ako se tokom tog vremena napajanje isključi, onda vam je zagarantovan gubitak podataka. Stoga, ako nemate UPS koji može izdržati nekoliko sati trajanja baterije, preporučujem da učinite sljedeće:- Napravite rezervnu kopiju svojih podataka, na primjer, na eksternom tvrdom disku. Tada ćete se morati riješiti ove kopije (po mogućnosti nakon brisanja podataka s nešifrovanog diska, obrišite slobodni prostor uslužnim programom poput Piriforma tako da je nemoguće oporaviti izbrisane datoteke), jer ako postoji, nema smisla imaju šifrovanu kopiju podataka.
- Podatke ćete prenijeti na šifrirani disk iz kopije nakon što se disk šifrira. Formatirajte disk i šifrirajte ga. Zapravo, ne morate ga posebno formatirati - CyberSafe će to učiniti umjesto vas, ali više o tome kasnije.
Ako imate laptop i spremni ste da nastavite bez pravljenja rezervne kopije podataka (preporučio bih da to učinite za svaki slučaj), obavezno provjerite disk na greške, barem pomoću standardnog Windows uslužnog programa. Tek nakon toga trebate započeti šifriranje particije/diska.
Šifriranje particije: Praksa
Dakle, teorija bez prakse je besmislena, pa počnimo šifrirati particiju / disk. Pokrenite program CyberSafe i idite na odjeljak Šifriranje diska, Šifriranje particije(Sl. 1).
Rice. 1. Lista particija / diskova vašeg računara
Odaberite particiju koju želite šifrirati. Ako dugme Stvoriti nije aktivna, particija se ne može šifrirati. Na primjer, to može biti sistemska particija ili dinamički disk. Takođe, ne možete šifrovati više diskova u isto vreme. Ako trebate šifrirati nekoliko diskova, tada se operacija šifriranja mora ponavljati jedan po jedan.
Kliknite na dugme Stvoriti. Otvorit će se sljedeći prozor Kripo Disk(Sl. 2). U njemu morate unijeti lozinku koja će se koristiti za dešifriranje diska kada se montira. Prilikom unosa lozinke provjerite velika i mala slova (da se ne pritisne tipka Caps Lock) i izgled. Ako iza vas nema nikoga, možete uključiti prekidač Prikaži lozinku.
Rice. 2. Kripto disk
Sa liste Vrsta šifriranja morate odabrati algoritam - AES ili GOST. Oba algoritma su pouzdana, ali u vladinim organizacijama uobičajeno je koristiti samo GOST. Na svom računaru ili u komercijalnoj organizaciji, slobodno možete koristiti bilo koji od algoritama.
Ako na disku postoje informacije i želite ih zadržati, uključite prekidač. Imajte na umu da će se u ovom slučaju vrijeme šifriranja diska značajno povećati. S druge strane, ako su šifrirane datoteke, recimo, na vanjskom tvrdom disku, onda ih i dalje morate kopirati na šifrirani disk da biste ih šifrirali, a kopiranje s enkripcijom u hodu također će potrajati. Ako niste napravili sigurnosnu kopiju podataka, obavezno označite polje za uključivanje radio dugmeta Sačuvajte strukturu datoteke i podatke inače ćete izgubiti sve svoje podatke.
Ostale opcije u prozoru Kripto disk može se ostaviti kao zadano. Naime, koristit će se cjelokupna raspoloživa veličina uređaja i izvršiti brzo formatiranje u NTFS sistem datoteka. Kliknite na dugme da započnete šifrovanje. Da prihvatim. Napredak procesa šifriranja će biti prikazan u glavnom prozoru programa.
Rice. 3. Napredak procesa enkripcije
Nakon što je disk šifriran, vidjet ćete njegov status - šifrovano, skriveno(Sl. 4). To znači da je vaš disk šifrovan i skriven – neće se pojaviti u Exploreru ili drugim menadžerima datoteka visokog nivoa, ali će ga vidjeti programi particionih tabela. Ne treba se nadati da, pošto je disk skriven, niko ga neće pronaći. Svi diskovi koje je program sakrio biće prikazani u dodatku Upravljanje diskovima(vidi sliku 5) i drugi programi za particioniranje diska. Imajte na umu da se u ovom dodatku šifrovana particija pojavljuje kao particija sa RAW sistemom datoteka, odnosno bez sistema datoteka. Ovo je normalno - nakon šifriranja particije, Windows ne može odrediti njen tip. Međutim, skrivanje particije potrebno je iz sasvim drugih razloga, a dalje ćete razumjeti zašto.
Rice. 4. Status diska: šifriran, skriven. Odjeljak E: Ne pojavljuje se u File Exploreru
Rice. 5. Snap Disk Management
Sada montirajmo particiju. Odaberite ga i kliknite na dugme Restored kako bi particija ponovo bila vidljiva (stanje diska će se promijeniti u samo " encrypted"). Windows će vidjeti ovu particiju, ali pošto ne može prepoznati tip svog sistema datoteka, ponudit će je formatiranje (slika 6). To nikada ne biste trebali raditi, jer ćete izgubiti sve podatke. Zato program skriva šifrovane diskove - uostalom, ako ne samo da radite za računarom, drugi korisnik može formatirati navodno nečitljivu particiju diska.
Rice. 6. Prijedlog za formatiranje šifrirane particije
Od formatiranja, naravno, odbijamo i pritisnemo dugme Montirov. u glavnom prozoru programa CyberSafe. Zatim ćete morati da izaberete slovo diska preko kojeg ćete pristupiti šifrovanoj particiji (slika 7).
Rice. 7. Odabir slova pogona
Nakon toga, program će od vas tražiti da unesete lozinku potrebnu za dešifrovanje vaših podataka (slika 8). Dešifrovana particija (disk) će se pojaviti u tom području Povezani dešifrovani uređaji(Sl. 9).
Rice. 8. Lozinka za dešifriranje particije
Rice. 9. Povezani dešifrovani uređaji
Nakon toga možete raditi sa dešifrovanim diskom kao i sa normalnim. Samo disk Z će biti prikazan u Exploreru: - ovo je slovo koje sam dodijelio dešifriranoj disk jedinici. Šifrovani disk E: Neće biti prikazan.
Rice. 10. Explorer - pregledajte računarske diskove
Sada možete otvoriti montirani disk i kopirati sve tajne datoteke na njega (samo ne zaboravite da ih kasnije izbrišete iz originalnog izvora i obrišite slobodan prostor na njemu).
Kada treba da završite rad sa našom sekcijom, kliknite na dugme Rastavljeno. a zatim dugme Sakrij se ili jednostavno zatvorite prozor CyberSafe. Što se mene tiče, lakše je zatvoriti prozor programa. Naravno, ne morate da zatvarate prozor programa tokom operacije kopiranja/premeštanja. Neće se dogoditi ništa strašno i nepopravljivo, samo neke datoteke neće biti kopirane na vaš šifrirani disk.
O performansama
Jasno je da će performanse šifriranog diska biti niže od normalnog. Ali koliko? Na sl. 11 Kopirao sam fasciklu svog korisničkog profila (gde ima mnogo malih fajlova) sa C: disk jedinice na šifrovani Z: disk. Brzina kopiranja je prikazana na sl. 11 - otprilike na nivou od 1,3 MB / s. To znači da će 1 GB malih datoteka biti potrebno oko 787 sekundi za kopiranje, što je 13 minuta. Ako kopirate isti folder na nešifrovanu particiju, tada će brzina biti približno 1,9 MB/s (slika 12). Na kraju operacije kopiranja brzina je porasla na 2,46 MB/s, ali je vrlo malo fajlova kopirano ovom brzinom, pa vjerujemo da je brzina bila na nivou od 1,9 MB/s, što je 30% brže. Isti 1 GB malih fajlova u našem slučaju biće kopiran za 538 sekundi, odnosno skoro 9 minuta.
Rice. 11. Brzina kopiranja malih datoteka sa nešifrovane particije na šifrovanu
Rice. 12. Brzina kopiranja malih datoteka između dvije nešifrirane particije
Što se tiče velikih datoteka, nećete osjetiti nikakvu razliku. Na sl. Slika 13 prikazuje brzinu kopiranja velike datoteke (400 MB video datoteke) s jedne nešifrirane particije na drugu. Kao što vidite, brzina je bila 11,6 MB/s. I na sl. Na slici 14 prikazana je brzina kopiranja istog fajla sa obične na šifrovanu particiju i iznosila je 11,1 MB/s. Razlika je mala i unutar granice greške (ipak, brzina se neznatno mijenja tokom operacije kopiranja). Zanimljivosti radi, reći ću vam brzinu kopiranja iste datoteke sa USB fleš diska (ne USB 3.0) na hard disk - oko 8 MB/s (nema snimka ekrana, ali vjerujte mi).
Rice. 13. Velika brzina kopiranja datoteke
Rice. 14. Brzina kopiranja velike datoteke na šifrovanu particiju
Takav test nije sasvim tačan, ali vam ipak omogućava da steknete neku ideju o performansama.
To je sve. Također preporučujem da pročitate članak
Zdravo, prijatelji! Gotovo svako od nas na svom računaru ima nekoliko datoteka koje zahtijevaju posebnu zaštitu.
Moramo da napravimo neku vrstu tajnog kutka gde možete da čuvate informacije, znajući da ćete im samo vi imati pristup. Program TrueCrypt će nam pomoći u ovom zadatku.
Za pohranjivanje takvog sadržaja postoje dvije glavne vrste programa: prvi - čini datoteke nevidljivim strancima, drugi - šifrira njihov sadržaj. Konkretno, u ovom članku ću vam reći kako da napravite posebnu particiju na vašem tvrdom disku koja će biti šifrirana, skrivena i kojoj se može pristupiti samo unošenjem lozinke.
Na primjer, koristim ovu funkciju za pohranjivanje baze podataka lozinki. U vašem slučaju, to mogu biti bilo koje druge važne informacije ili datoteke koje zahtijevaju pouzdanu zaštitu od znatiželjnih očiju.
TrueCrypt se smatra jednim od najboljih softvera za šifriranje podataka. Unatoč činjenici da su njegovi programeri u potpunosti zatvorili projekt 2014. (po mom mišljenju, pod pritiskom specijalnih servisa, a preporuka za prelazak na BitLocker je samo potvrda toga), funkcionalnost najnovijih verzija ostaje na prilično visokom nivou.
Koristeći TrueCrypt alate, šifrovaćete sve datoteke koje se nalaze na vašem računaru, OS particijama, diskovima ili prenosivim medijima. Takođe možete kreirati "tajni kontejner" koji se nalazi, poput lutke, unutar prvog, malog zaštićenog volumena. Glavna uloga takvog kontejnera je da čak i ako morate dati lozinku za otvaranje prvog kontejnera, imate odlične šanse da sakrijete postojanje drugog, koji će sadržavati vaše tajne datoteke.
Instalacija TrueCrypt-a
Ovaj besplatni uslužni program možete preuzeti u odjeljku Preuzimanja za svoj operativni sistem sa web stranice truecrypt.ch.
Nema poteškoća u instalaciji programa, dovoljno je koristiti zadane postavke. Nadalje, nakon otvaranja već instaliranog programa, vidjet ćemo mali prozor sa standardnim sučeljem, gdje se nalazi meni, radni prostor sa listom volumena i dugmadi za obavljanje osnovnih zadataka.
Interfejs programa je na engleskom jeziku. Ako vas ovo zbuni, samo se vratite na stranicu za preuzimanje uslužnog programa i preuzmite potrebni jezički paket (u ovom slučaju ruski) u odjeljku "Jezički paketi za TrueCrypt". Rusifikuj program.
Rusifikacija TrueCrypt
Raspakujte jezički paket i kopirajte datoteku "Language.ru" u fasciklu sa instaliranim programom (podrazumevano je to C:\Program Files\TrueCrypt).
Prije nego što pređete na šifriranje, morate razumjeti osnovne principe programa.
Kako TrueCrypt funkcionira
Rad programa zasniva se na prilično jednostavnom principu. Na računaru kreiramo datoteku i dajemo joj određenu veličinu. Program TrueCrypt šifrira ovu datoteku, plus na nju stavljamo lozinku. Kao rezultat, dobivamo određeni kontejner, unutar kojeg će informacije biti šifrirane.
Program povezuje ovaj kontejner u obliku virtuelnog diska koji će biti prikazan u Exploreru i dodeljuje mu slovo. Montiranjem diska i unosom lozinke možete ga koristiti kao običan disk i ubaciti na njega, na primjer, nove informacije koje također treba šifrirati.
Kreirajte šifrirani disk
Slijedeći upute TrueCrypt čarobnjaka za kreiranje volumena, počnimo kreirati šifrirani disk. Kliknite na "Create Volume" i odaberite "Create Encrypted File Container". Zatim odaberite "Normal Volume" i označite gdje će se nalaziti, kliknite na dugme "File".
Pretpostavimo da će se u mom slučaju nalaziti na disku C. Kako ne bih izazivao nepotrebnu sumnju, preporučujem da napravite datoteku koja izgleda kao multimedijalna datoteka, odnosno datoteku s odgovarajućom ekstenzijom, na primjer, „šifra. avi”
U ovom slučaju, naš budući tajni kontejner će izgledati kao obična video datoteka, a čak i ako je velika, to nikoga neće iznenaditi. Kliknite "Dalje", odaberite algoritam šifriranja i veličinu ove datoteke (budući kontejner).
Odredite veličinu volumena, što će ovisiti o tome šta ćete pohraniti. Ako se radi o kontejneru s multimedijalnim sadržajem (video, fotografija, audio), tada bi veličina trebala biti odgovarajuća.
Sljedeći korak je postavljanje lozinke za ovaj volumen i odabir sistema datoteka. Ako je očekivana veličina kontejnera veća od 4 GB, onda je NFTS.
Kliknite na "Označi" i vidite natpis da je TrueCrypt volumen uspješno kreiran. Kontejner je uspešno kreiran i kako razumete je naš originalno kreiran i maskiran fajl - cipher.avi.
Sada je naš zadatak da povežemo ovaj kontejner kao virtuelni disk sa sistemom. U glavnom prozoru programa odaberite slovo za budući disk i kliknite na dugme "Datoteka". Navedite putanju do našeg kontejnera - cipher.avi.
Unosimo lozinku i sada bi se novokreirani šifrirani disk trebao pojaviti u našem sistemu.
Disk je uspješno kreiran. S njim možete raditi kao s običnim lokalnim diskom: kopirajte, premještajte i uređujte potrebne datoteke. Budući da se šifriranje odvija u hodu, brzina rada može varirati, ali to je relevantno samo za slabije sisteme.
Kada je rad s diskom gotov, otvaramo TrueCrypt, odabiremo ovaj disk i kliknemo "Unmount".
Sljedeći put kada budemo trebali pristupiti ovom tajnom sadržaju, pokrećemo program, u prozoru aplikacije kliknemo na dugme "File" i navedemo "cipher.avi". Zatim kliknite na "Mount" i unesite lozinku. Nakon unosa lozinke, naš šifrirani disk će se ponovo pojaviti u istraživaču. Urađeno - nemontirano.
Program vam omogućava da šifrirate ne samo datoteke na tvrdom disku ili prenosivom disku, već i cijeli disk, particiju ili prenosivi medij. Osim toga, TrueCrypt može čak i šifrirati dodatni operativni sistem i učiniti nevidljivim ne samo postojanje bilo kojih datoteka, već i pokrenuti dodatni OS. Ova funkcija može biti potrebna ako ne trebate samo sakriti nekoliko desetina datoteka, već klasificirati veliku količinu informacija, uključujući one programe koje koristite.
TrueCrypt ima zaista sjajne mogućnosti, a u ovom članku sam vas samo upoznao sa njegovom najtraženijom funkcijom šifriranja diska. Zapamtite da sve radnje sa sistemskim datotekama i particijama nose potencijalnu prijetnju gubitka funkcionalnosti operativnog sistema. Prije rada sa TrueCrypt-om, preporučujem da napravite rezervnu kopiju OS-a. Također, prilikom izvođenja svih radnji, pažljivo pročitajte objašnjenja i dodatna uputstva.
To je sve. Nadam se da ste bili zainteresovani. Vidimo se u sljedećem članku.
U posljednje vrijeme laptopi su postali veoma popularni zbog pristupačne cijene i visokih performansi. Korisnici ih često koriste izvan zaštićenih područja ili ih ostavljaju bez nadzora. A to znači da pitanje osiguravanja nedostupnosti ličnih podataka autsajderima na sistemima koji koriste Windows postaje izuzetno hitno. Jednostavno postavljanje lozinke za prijavu ovdje neće pomoći. A šifriranje pojedinačnih datoteka i foldera (pročitajte o tome) je previše rutinsko. Stoga je najprikladnije i najpouzdanije sredstvo enkripcija tvrdog diska. U tom slučaju možete samo jednu od particija učiniti šifrovanom i zadržati privatne datoteke i programe na njoj. Štaviše, takva particija može biti skrivena bez dodjeljivanja slova pogona. Takva particija će spolja izgledati kao neformatirana, pa tako neće privući pažnju uljeza, što je posebno efikasno, jer je najbolji način zaštite tajnih informacija sakrivanje same činjenice njenog prisustva.
Kako funkcionira šifriranje tvrdog diska
Opšti princip je sledeći: program za šifrovanje pravi sliku sistema datoteka i smešta sve ove informacije u kontejner čiji je sadržaj šifrovan. Takav kontejner može biti ili jednostavna datoteka ili particija na disk uređaju. Upotreba šifrirane datoteke kontejnera je zgodna jer se takva datoteka može kopirati na bilo koje prikladno mjesto i možete nastaviti raditi s njom. Ovaj pristup je koristan kada se pohranjuju male količine informacija. Ali ako je veličina spremnika nekoliko desetina gigabajta, tada njegova mobilnost postaje vrlo sumnjiva, a osim toga, tako ogromna veličina datoteke otkriva činjenicu da sadrži neke korisne informacije. Stoga je univerzalniji pristup šifriranje cijele particije na tvrdom disku.
Postoji mnogo različitih programa za ove svrhe. Ali smatra se najpoznatijim i najpouzdanijim TrueCrypt. Budući da je ovaj program otvorenog koda, to znači da ne sadrži oznake proizvođača koji omogućavaju pristup šifriranim podacima kroz nedokumentovana "stražnja vrata". Nažalost, postoje sugestije da su kreatori programa TrueCrypt bili prisiljeni odustati od daljnjeg razvoja i prenijeti štafetu na vlasničke kolege. Međutim, najnovija pouzdana verzija 7.1a ostaje potpuno funkcionalna na svim verzijama Windows operativnog sistema i većina korisnika koristi ovu verziju.
Pažnja!!! Najnovija ažurirana verzija je 7.1a ( Link za preuzimanje). Nemojte koristiti „skidanu“ verziju 7.2 (projekat je zatvoren, a na službenoj web stranici programa nude prelazak sa TrueCrypt-a na Bitlocker i dostupna je samo verzija 7.2).
Kreirajte šifrirani disk
Razmotrimo standardni pristup šifriranju particija. Da bismo to učinili, potrebna nam je neiskorištena particija na tvrdom disku ili fleš disku. U tu svrhu može se osloboditi jedan od logičkih pogona. U stvari, ako nema slobodne particije, tada tokom procesa kreiranja šifriranog diska možete odabrati šifriranje diska bez formatiranja i sačuvati postojeće podatke. Ali ovo je duže i postoji mali rizik od gubitka podataka tokom procesa šifriranja ako se, recimo, računar zamrzne.
Ako je potrebna particija na diskovnom uređaju pripremljena, sada možete pokrenuti program TrueCrypt i odabrati stavku menija "Kreiraj novi volumen".
Budući da nas zanima pohranjivanje podataka ne u datoteku kontejnera, već na particiju diska, odabiremo stavku "Šifriranje nesistemske particije / diska" i uobičajeni tip šifriranja volumena.
U ovoj fazi se pojavljuje gore spomenuti izbor - šifrirati podatke na particiji ili ih formatirati bez spremanja informacija.
Nakon toga, program pita koje algoritme koristiti za šifriranje. Za svakodnevne potrebe ovdje nema velike razlike - možete odabrati bilo koji od algoritama ili gomilu njih.
Samo u ovom slučaju treba uzeti u obzir da je pri korištenju gomile nekoliko algoritama potrebno više računalnih resursa za rad s šifriranim diskom - i, shodno tome, brzina čitanja i pisanja pada. Ako računar nije dovoljno moćan, onda ima smisla kliknuti na dugme za testiranje da odaberete optimalni algoritam za vaš računar.
Sljedeći korak je stvarni proces formatiranja šifriranog volumena.
Sada ostaje čekati dok program ne završi šifriranje tvrdog diska.
Treba napomenuti da u fazi postavljanja lozinke možete postaviti ključnu datoteku kao dodatnu zaštitu. U tom slučaju, pristup šifriranim informacijama bit će moguć samo ako je ovaj ključ fajl prisutan. Shodno tome, ako je ova datoteka pohranjena na drugom računaru na lokalnoj mreži, onda ako se izgubi laptop sa šifriranim diskom ili fleš diskom, niko neće moći pristupiti tajnim podacima, čak i ako je pogodio lozinku - uostalom, nema ključnog fajla ni na samom laptopu ni na fleš disku.
Skrivanje šifrirane particije
Kao što je već pomenuto, prednost šifrovane particije je to što je pozicionirana u operativnom sistemu kao nekorišćena i neformatirana. I nema naznaka da sadrži šifrirane informacije. Jedini način da saznate je da koristite posebne programe za kriptoanalizu koji na osnovu visokog stepena slučajnosti sekvenci bitova mogu zaključiti da se u sekciji nalaze šifrovani podaci. Ali ako niste potencijalna meta specijalnih službi, onda vam takva prijetnja kompromisom vjerojatno neće prijetiti.
Ali za dodatnu zaštitu od običnih ljudi, ima smisla sakriti šifriranu particiju s liste dostupnih slova diska. Štoviše, svejedno, pristup disku izravno po slovu neće dati ništa i potrebno je samo ako se šifriranje ukloni formatiranjem. Da biste odvojili volumen od korištenog slova, idite na odjeljak "Upravljanje računarom / Upravljanje diskom" u "Kontrolnoj ploči" i pozovite kontekstni meni za željenu particiju, odaberite stavku "Promijeni slovo pogona ili putanju pogona ..." , gdje možete ukloniti vezivanje.
Nakon ovih manipulacija, šifrirana particija neće biti vidljiva u Windows Exploreru i drugim upraviteljima datoteka. A prisustvo među nekoliko različitih sistemskih particija jedne bezimene i "neformatirane" vjerojatno neće izazvati zanimanje kod autsajdera.
Korištenje šifriranog diska
Da biste koristili šifrirani uređaj kao običan disk, morate ga povezati. Da biste to učinili, u glavnom prozoru programa desnom tipkom miša kliknite jedno od dostupnih slova pogona i odaberite stavku menija "Odaberite uređaj i montirajte ..."
Nakon toga morate označiti prethodno šifrirani uređaj i odrediti lozinku.
Kao rezultat toga, novi disk sa odabranim slovom diska trebao bi se pojaviti u Windows Exploreru (u našem slučaju disk X).
I sada će biti moguće raditi sa ovim diskom kao sa svakim običnim logičkim diskom. Glavna stvar nakon završetka rada je da ne zaboravite ili isključite računalo, ili zatvorite program TrueCrypt, ili onemogućite šifriranu particiju - uostalom, sve dok je disk povezan, svaki korisnik može pristupiti podacima koji se nalaze na njemu. Možete demontirati particiju klikom na dugme "Unmount".
Rezultati
Korištenje programa TrueCrypt omogućit će vam šifriranje vašeg tvrdog diska i na taj način sakriti svoje privatne datoteke od stranaca ako neko iznenada dobije pristup vašem fleš disku ili tvrdom disku. A lokacija šifriranih informacija na neiskorištenoj i skrivenoj particiji stvara dodatni nivo zaštite, jer neupućeni krug ljudi možda neće ni pretpostaviti da su tajne informacije pohranjene na jednoj od particija. Ova metoda zaštite privatnih podataka prikladna je u velikoj većini slučajeva. I samo ako ste na meti prijetnje nasiljem da biste dobili lozinku, tada će vam možda trebati sofisticiranije metode zaštite, kao što su steganografija i TrueCrypt skriveni volumeni (sa dvije lozinke).
Istraživači sa Univerziteta Princeton otkrili su način da zaobiđu enkripciju tvrdog diska korištenjem sposobnosti RAM modula da zadrže informacije u kratkom vremenskom periodu čak i nakon nestanka struje.
Predgovor
Pošto za pristup šifrovanom hard disku morate imati ključ, a on je, naravno, pohranjen u RAM-u, sve što je potrebno je da dobijete fizički pristup računaru na nekoliko minuta. Nakon ponovnog pokretanja s eksternog tvrdog diska ili USB Flash-a, pravi se potpuni dump memorije i pristupni ključ se izvlači iz njega u roku od nekoliko minuta.
Na ovaj način možete dobiti ključeve za šifriranje (i potpuni pristup tvrdom disku) koje koriste BitLocker, FileVault i dm-crypt na Windows Vista, Mac OS X i Linux operativnim sistemima, kao i popularni besplatni sistem za šifrovanje tvrdog diska TrueCrypt.
Važnost ovog posla leži u činjenici da ne postoji jednostavan način zaštite od ovog načina hakovanja, osim isključivanja napajanja na vrijeme dovoljno da se podaci potpuno izbrišu.
Vizuelna demonstracija procesa je predstavljena u video.
anotacija
Suprotno popularnom mišljenju, DRAM memorija koja se koristi u većini modernih računara zadržava podatke čak i nakon nestanka struje nekoliko sekundi ili minuta, štoviše, to se dešava na sobnoj temperaturi, pa čak i ako se čip ukloni sa matične ploče. Ovo vrijeme je sasvim dovoljno za potpunu deponiju RAM-a. Pokazaćemo da ovaj fenomen omogućava napadaču koji ima fizički pristup sistemu da zaobiđe OS funkcije za zaštitu podataka o kriptografskim ključevima. Pokazat ćemo kako se ponovno pokretanje može koristiti za uspješne napade na poznate sisteme šifriranja tvrdog diska bez upotrebe bilo kakvih specijaliziranih uređaja ili materijala. Eksperimentalno ćemo utvrditi stepen i vjerovatnoću zadržavanja remanencije i pokazati da se jednostavnim trikovima može značajno povećati vrijeme za koje se podaci mogu uzeti. Nove metode će također biti predložene za pronalaženje kriptografskih ključeva u memorijskim dumpima i ispravljanje grešaka povezanih s bitovima koji nedostaju. Govorit ćemo i o nekoliko načina za smanjenje ovih rizika, ali ne znamo jednostavno rješenje.
Uvod
Većina stručnjaka pretpostavlja da se podaci iz RAM-a računara brišu gotovo trenutno nakon nestanka struje, ili smatraju da je preostale podatke izuzetno teško povratiti bez upotrebe posebne opreme. Pokazaćemo da su ove pretpostavke netačne. Konvencionalna DRAM memorija gubi podatke postepeno tokom nekoliko sekundi, čak i pri normalnim temperaturama, pa čak i ako se memorijski čip ukloni sa matične ploče, podaci će ostati u njoj nekoliko minuta ili čak sati, pod uslovom da je čip pohranjen na niskim temperaturama. Preostali podaci se mogu oporaviti jednostavnim metodama koje zahtijevaju kratkoročni fizički pristup računaru.
Prikazaćemo brojne napade koji će nam, koristeći efekte remanencije DRAM-a, omogućiti da povratimo ključeve za šifrovanje pohranjene u memoriji. Ovo predstavlja stvarnu prijetnju korisnicima laptopa koji se oslanjaju na sisteme za šifriranje tvrdog diska. Zaista, ako napadač ukrade laptop, u trenutku kada je šifrovani disk povezan, moći će izvršiti jedan od naših napada kako bi pristupio sadržaju, čak i ako je sam laptop zaključan ili u stanju mirovanja. To ćemo pokazati uspješnim napadom na nekoliko popularnih sistema šifriranja kao što su BitLocker, TrueCrypt i FileVault. Ovi napadi bi također trebali biti uspješni protiv drugih sistema šifriranja.
Iako smo svoje napore usmjerili na sisteme za šifriranje tvrdog diska, u slučaju fizičkog pristupa računaru napadača, svaka važna informacija pohranjena u RAM-u može postati predmet napada. Vjerovatno je da su mnogi drugi sigurnosni sistemi ranjivi. Na primjer, otkrili smo da Mac OS X ostavlja lozinke računa u memoriji gdje ih možemo preuzeti, a napali smo i privatne RSA ključeve Apachea.
Neki članovi zajednica za informatičku sigurnost i fiziku poluprovodnika već su bili svjesni efekta remanencije DRAM-a, o tome je bilo vrlo malo informacija. Kao rezultat toga, mnogi koji dizajniraju, razvijaju ili koriste sigurnosne sisteme jednostavno nisu upoznati sa ovim fenomenom i koliko lako ga napadač može iskoristiti. Koliko nam je poznato, ovo je prvi detaljan rad koji ispituje implikacije ovih pojava na sigurnost informacija.
Napadi na šifrovane diskove
Šifrovanje tvrdih diskova je dobro poznata metoda zaštite od krađe podataka. Mnogi vjeruju da će sistemi za šifriranje tvrdog diska zaštititi njihove podatke, čak i ako je napadač dobio fizički pristup računaru (zapravo, za to su potrebni, prim. aut.). Kalifornijski zakon, donesen 2002. godine, nalaže prijavljivanje mogućih otkrivanja ličnih podataka samo ako podaci nisu šifrirani, jer. enkripcija podataka se smatra dovoljnom zaštitnom mjerom. Iako zakon ne opisuje nikakva konkretna tehnička rješenja, mnogi stručnjaci preporučuju korištenje sistema za šifriranje tvrdog diska ili particije, što će se smatrati dovoljnim mjerama zaštite. Rezultati našeg istraživanja pokazali su da je vjerovanje u šifriranje diska neutemeljeno. Napadač, daleko od toga da je najkvalifikovaniji, može zaobići mnoge široko korišćene sisteme šifrovanja ako je laptop sa podacima ukraden dok je bio uključen ili u režimu mirovanja. A podaci na laptopu se mogu čitati čak i kada su na šifrovanom disku, tako da korišćenje sistema za šifrovanje hard diska nije dovoljna mera.
Koristili smo nekoliko vrsta napada na poznate sisteme za šifrovanje hard diskova. Instalacija šifriranih diskova i provjera ispravnosti otkrivenih ključeva za šifriranje oduzimalo je najviše vremena. Dobijanje RAM slike i traženje ključeva trajalo je samo nekoliko minuta i bilo je potpuno automatizirano. Postoji razlog za vjerovanje da je većina sistema za šifriranje tvrdog diska podložna takvim napadima.
bitlocker
BitLocker je sistem uključen u neke verzije operativnog sistema Windows Vista. Funkcionira kao drajver između sistema datoteka i drajvera tvrdog diska, šifrirajući i dešifrirajući odabrane sektore na zahtjev. Ključevi koji se koriste za šifriranje su u RAM-u sve dok je šifrirani disk isključen.
Za šifrovanje svakog sektora čvrstog diska, BitLocker koristi isti par ključeva koji generiše AES algoritam: ključ za šifrovanje sektora i ključ za šifrovanje koji rade u režimu lančanja blokova šifre (CBC). Ova dva ključa su zauzvrat šifrirana glavnim ključem. Za šifriranje sektora, izvodi se binarni postupak dodavanja otvorenog teksta s ključem sesije generiran šifriranjem bajta pomaka sektora ključem za šifriranje sektora. Zatim se primljeni podaci obrađuju pomoću dvije funkcije miješanja koje koriste algoritam Elephant koji je razvio Microsoft. Ove funkcije bez ključa se koriste za povećanje broja promjena svih bitova šifre i, shodno tome, povećavaju nesigurnost šifriranih podataka sektora. U posljednjoj fazi, podaci se šifriraju AES algoritmom u CBC modu, koristeći odgovarajući ključ za šifriranje. Vektor inicijalizacije je određen šifriranjem bajta pomaka sektora sa ključem za šifrovanje koji se koristi u CBC modu.
Implementirali smo potpuno automatizirani demo napad pod nazivom BitUnlocker. Ovo koristi eksterni USB disk sa operativnim sistemom Linux i modifikovani program za pokretanje sistema zasnovan na SYSLINUX-u i FUSE drajveru koji vam omogućava da povežete BitLocker šifrovane diskove sa Linux OS-om. Na probnom računaru sa operativnim sistemom Windows Vista, napajanje je isključeno, USB čvrsti disk je povezan i pokrenut sa njega. Nakon toga, BitUnlocker je automatski izbacio RAM na eksternu disk jedinicu, tražio moguće ključeve pomoću programa keyfind, isprobao sve prikladne opcije (parove ključa za šifriranje sektora i ključa CBC moda) i, ako je uspio, povezao šifrirani disk . Čim je disk spojen, postalo je moguće raditi s njim kao sa svakim drugim diskom. Na modernom laptopu sa 2 gigabajta RAM-a, proces je trajao oko 25 minuta.
Važno je napomenuti da je ovaj napad postalo moguće izvesti bez obrnutog inženjeringa bilo kojeg softvera. Microsoft dokumentacija opisuje BitLocker sistem dovoljno da razume ulogu ključa za šifrovanje sektora i ključa CBC režima i kreira svoj sopstveni program koji implementira ceo proces.
Glavna razlika između BitLocker-a i drugih programa ove klase je način na koji se ključevi pohranjuju kada je šifrirani disk isključen. Podrazumevano, u osnovnom režimu, BitLocker štiti glavni ključ samo uz pomoć TPM modula, koji postoji na mnogim modernim računarima. Ova metoda, koja se čini naširoko korišćena, posebno je ranjiva na naš napad, jer vam omogućava da dobijete ključeve za šifrovanje čak i ako je računar duže vreme isključen, jer kada se računar pokrene, ključevi se automatski učitavaju u RAM (do prozora za prijavu) bez unosa podataka za autentifikaciju.
Očigledno, Microsoftovi stručnjaci su upoznati sa ovim problemom i stoga preporučuju konfigurisanje BitLockera u poboljšanom režimu, gde su ključevi zaštićeni ne samo pomoću TPM-a, već i lozinkom ili ključem na eksternom USB disku. Ali, čak i u ovom režimu, sistem je ranjiv ako napadač dobije fizički pristup računaru dok je pokrenut (može biti čak i zaključan ili u stanju mirovanja, (stanja - samo isključeno ili hibernacija u ovom slučaju se smatraju da to ne utiče ovim napadom).
Trezor datoteka
Apple-ov FileVault sistem je djelimično istražen i reverzno projektovan. Na Mac OS X 10.4, FileVault koristi 128-bitni AES ključ u CBC modu. Kada se unese lozinka korisnika, dešifruje se zaglavlje koje sadrži AES ključ i drugi ključ K2, koji se koristi za izračunavanje vektora inicijalizacije. Vektor inicijalizacije za Ith blok diska se izračunava kao HMAC-SHA1 K2(I).
Koristili smo naš EFI program za snimanje RAM slika za preuzimanje podataka sa Macintosh računara (baziranog na Intel procesoru) sa priključenim FileVault šifrovanim diskom. Program keyfind je tada pronašao FileVault AES ključeve automatski bez greške.
Bez vektora inicijalizacije, ali sa primljenim AES ključem, postaje moguće dešifrovati 4080 od 4096 bajtova svakog bloka diska (sve osim prvog AES bloka). Uvjerili smo se da je vektor inicijalizacije također u dumpu. Pod pretpostavkom da podaci nisu oštećeni, napadač može odrediti vektor tako što će pokušati sve 160-bitne nizove u dumpu jedan po jedan i provjeriti da li mogu formirati mogući otvoreni tekst kada se doda binarni s dešifriranim prvim dijelom bloka. Zajedno, korištenje programa kao što su vilefault, AES ključevi i vektor inicijalizacije omogućavaju vam da potpuno dešifrujete šifrirani disk.
Istražujući FileVault, otkrili smo da Mac OS X 10.4 i 10.5 ostavljaju više kopija korisničke lozinke u memoriji, gdje su ranjivi na ovaj napad. Lozinke naloga se često koriste za zaštitu ključeva, koji se zauzvrat mogu koristiti za zaštitu šifri na FileVault šifrovanim diskovima.
TrueCrypt
TrueCrypt je popularan sistem za šifrovanje otvorenog koda koji radi na Windows, MacOS i Linux. Podržava mnoge algoritme uključujući AES, Serpent i Twofish. U verziji 4, svi algoritmi su radili u LRW modu; u trenutnoj 5. verziji koriste XTS mod. TrueCrypt pohranjuje ključ za šifriranje i ključ za podešavanje u zaglavlju particije na svakom pogonu, koji je šifriran različitim ključem izvedenim iz korisničke lozinke.
Testirali smo TrueCrypt 4.3a i 5.0a koji rade pod Linux OS-om. Povezali smo disk šifriran 256-bitnim AES ključem, zatim smo isključili napajanje i koristili vlastiti softver za ispis memorije za pokretanje. U oba slučaja, keyfind je pronašao 256-bitni netaknuti ključ za šifriranje. Takođe, u slučaju TrueCrypt 5.0.a, keyfind je uspeo da povrati taster za podešavanje XTS režima.
Da biste dešifrirali diskove koje je kreirao TrueCrypt 4, morate podesiti ključ LRW moda. Otkrili smo da ga sistem pohranjuje u četiri riječi prije ključnog AES rasporeda ključeva. U našem deponiju, LRW ključ nije oštećen. (U slučaju grešaka, i dalje bismo mogli oporaviti ključ).
Dm-crypt
Linux kernel, počevši od verzije 2.6, uključuje ugrađenu podršku za dm-crypt, podsistem za šifrovanje diska. Dm-crypt koristi mnoge algoritme i modove, ali prema zadanim postavkama koristi 128-bitnu AES šifru u CBC modu sa vektorima inicijalizacije koji nisu bazirani na ključu.
Testirali smo kreiranu dm-crypt particiju koristeći granu LUKS (Linux Unified Key Setup) uslužnog programa cryptsetup i kernela 2.6.20. Disk je šifriran korištenjem AES-a u CBC modu. Isključili smo napajanje na neko vrijeme i koristeći modificirani PXE bootloader, napravili smo dump memorije. Program keyfind pronašao je važeći 128-bitni AES ključ, koji je vraćen bez ikakvih grešaka. Nakon što ga oporavi, napadač može dešifrirati i montirati šifriranu particiju dm-crypt modificiranjem uslužnog programa cryptsetup tako da prihvaća ključeve u potrebnom formatu.
Metode zaštite i njihova ograničenja
Implementacija zaštite od napada na RAM nije trivijalna, jer korišteni kriptografski ključevi moraju biti negdje pohranjeni. Predlažemo da se fokusiramo na uništavanje ili skrivanje ključeva prije nego što napadač može dobiti fizički pristup PC-u, sprječavanje pokretanja softvera za deponiju glavne memorije, fizičku zaštitu RAM čipova i, ako je moguće, smanjenje perioda zadržavanja podataka u RAM-u.
Prepisivanje memorije
Prije svega, potrebno je, ako je moguće, izbjeći pohranjivanje ključeva u RAM. Potrebno je prebrisati ključne informacije kada se više ne koriste i spriječiti kopiranje podataka u swap datoteke. Memorija se mora unaprijed očistiti pomoću OS-a ili dodatnih biblioteka. Naravno, ove mjere neće zaštititi ključeve koji se trenutno koriste, jer moraju biti pohranjeni u memoriji, kao što su oni koji se koriste za šifrirane diskove ili na sigurnim web serverima.
Takođe, RAM se mora obrisati tokom procesa pokretanja. Neki računari se mogu konfigurisati za brisanje RAM-a pri pokretanju koristeći čisti POST zahtev (samotestiranje pri uključivanju) pre pokretanja operativnog sistema. Ako napadač ne može spriječiti izvršenje ovog zahtjeva, tada na ovom računaru neće moći napraviti memorijski dump sa važnim informacijama. Ali, on i dalje ima priliku da izvuče RAM čipove i ubaci ih u drugi računar sa BIOS postavkama koje su mu potrebne.
Ograničavanje preuzimanja sa mreže ili sa prenosivih medija
Mnogi od naših napada implementirani su korištenjem mrežnog pokretanja ili prenosivih medija. Računar mora biti konfiguriran da zahtijeva administratorsku lozinku za pokretanje s ovih izvora. Ali, treba napomenuti da čak i ako je sistem konfigurisan da se pokreće samo sa glavnog čvrstog diska, napadač može da promeni sam čvrsti disk, ili u mnogim slučajevima, resetuje NVRAM računara da bi se vratio na originalne BIOS postavke.
Safe Sleep
Rezultati studije su pokazali da jednostavno zaključavanje radne površine računara (odnosno, OS nastavlja da radi, ali da bi se počela interakcija sa njim, mora se uneti lozinka) ne štiti sadržaj RAM-a. Režim spavanja nije efikasan čak i ako je računar blokiran kada se vraća iz stanja mirovanja, jer napadač može aktivirati povratak iz stanja mirovanja, zatim ponovo pokrenuti laptop i napraviti dump memorije. Režim hibernacije (sadržaj RAM-a se kopira na tvrdi disk) također neće pomoći, osim kada koristite ključne informacije na otuđenim medijima za vraćanje normalnog rada.
Sa većinom sistema za šifrovanje hard diska, korisnici se mogu zaštititi gašenjem računara. (Sistem Bitlocker u osnovnom režimu TPM modula ostaje ranjiv, pošto će disk biti automatski povezan kada se računar uključi). Sadržaj memorije može se zadržati kratko vrijeme nakon isključivanja, pa se preporučuje da nadgledate radnu stanicu još nekoliko minuta. Uprkos svojoj efikasnosti, ova mjera je izuzetno nezgodna zbog dugog opterećenja radnih stanica.
Hibernacija se može osigurati na sljedeće načine: zahtijevati lozinku ili neku drugu tajnu za "probuđenje" radne stanice i šifrirati sadržaj memorije ključem izvedenim iz ove lozinke. Lozinka mora biti jaka, jer napadač može izbaciti memoriju, a zatim pokušati pogoditi lozinku grubom silom. Ako nije moguće šifrirati cijelu memoriju, potrebno je šifrirati samo ona područja koja sadrže ključne informacije. Neki sistemi mogu biti konfigurisani da uđu u ovu vrstu zaštićenog spavanja, iako to obično nije podrazumevana postavka.
Odbijanje predkalkulacija
Naše istraživanje je pokazalo da korištenje predračunanja za ubrzavanje kriptografskih operacija čini ključne informacije ranjivijim. Predračunavanje dovodi do činjenice da se u memoriji nalaze suvišne informacije o ključnim podacima, što omogućava napadaču da povrati ključeve čak i ako postoje greške. Na primjer, kao što je opisano u Odjeljku 5, informacije o iteracijskim ključevima AES i DES algoritama su izuzetno suvišne i korisne za napadača.
Odbijanje predračunanja će smanjiti performanse, jer će se potencijalno složeni proračuni morati ponoviti. Ali, na primjer, možete keširati unaprijed izračunate vrijednosti za određeni vremenski period i obrisati primljene podatke ako se ne koriste tokom ovog intervala. Ovaj pristup predstavlja kompromis između sigurnosti i performansi sistema.
Ključno proširenje
Drugi način za sprječavanje oporavka ključa je promjena ključnih informacija pohranjenih u memoriji na takav način da se oteža oporavak ključa zbog različitih grešaka. Ova metoda je razmatrana u teoriji, gdje se pokazalo da je funkcija otporna na otkrivanje, čiji ulazi ostaju skriveni čak i ako su skoro svi izlazi otkriveni, što je vrlo slično radu jednosmjernih funkcija.
U praksi, zamislite da imamo 256-bitni AES ključ K koji trenutno nije u upotrebi, ali će nam biti potreban kasnije. Ne možemo ga prepisati, ali ga želimo učiniti otpornim na pokušaje oporavka. Jedan od načina da se to postigne je da se dodijeli veliko B-bitno područje podataka, popuni ga slučajnim podacima R, a zatim pohrani u memoriju rezultat sljedeće transformacije K + H (R) (binarno zbrajanje, ur.), gdje je H je hash funkcija, kao što je SHA-256.
Sada zamislite da je struja isključena, to će uzrokovati promjenu d bitova u ovoj oblasti. Ako je heš funkcija jaka, prilikom pokušaja da povrati ključ K, napadač se može osloniti samo na mogućnost da pogodi koji su bitovi područja B promijenjeni od otprilike polovice koja bi se mogla promijeniti. Ako su d bitova promijenjeni, napadač će morati tražiti regiju veličine (B/2+d)/d da pronađe ispravne vrijednosti R i tek onda povrati ključ K. Ako je regija B velika , takva pretraga može biti veoma duga, čak i ako je d relativno mali.
Teoretski, na ovaj način možemo pohraniti sve ključeve, računajući svaki ključ samo kada nam je potreban, a brišemo ga kada nam nije potreban. Dakle, primjenom gornje metode možemo pohraniti ključeve u memoriju.
Fizička zaštita
Neki od naših napada su se oslanjali na fizički pristup memorijskim čipovima. Takvi napadi se mogu spriječiti fizičkom zaštitom memorije. Na primjer, memorijski moduli se drže u zatvorenom kućištu računara ili zapečaćeni epoksidom kako bi se spriječili pokušaji uklanjanja ili pristupa. Takođe, moguće je implementirati prepisivanje memorije kao odgovor na niske temperature ili pokušaje otvaranja kućišta. Ova metoda će zahtijevati ugradnju senzora sa nezavisnim sistemom napajanja. Mnoge od ovih metoda uključuju hardver otporan na neovlašteno korištenje (kao što je IBM 4758 koprocesor) i mogu uvelike povećati cijenu radne stanice. S druge strane, korištenje memorije zalemljene na matičnu ploču je mnogo jeftinije.
Promjena arhitekture
Možete promijeniti arhitekturu računara. Što je nemoguće za već korišćene računare, ali će vam omogućiti da obezbedite nove.
Prvi pristup je dizajniranje DRAM modula na takav način da brže brišu sve podatke. Ovo može biti nezgodno, jer je cilj brisanja podataka što je brže moguće u sukobu s drugim ciljem da se podaci ne izgube između perioda osvježavanja memorije.
Drugi pristup je dodavanje ključnog hardvera za pohranu koji garantirano briše sve informacije iz svog skladišta pri pokretanju, ponovnom pokretanju i isključivanju. Tako ćemo dobiti sigurno mjesto za pohranjivanje nekoliko ključeva, iako će ranjivost povezana s njihovim predračunavanjem ostati.
Drugi stručnjaci su predložili arhitekturu u kojoj će sadržaj memorije biti trajno šifriran. Ako, pored ovoga, implementiramo brisanje ključeva pri ponovnom pokretanju i nestanku struje, onda će ova metoda pružiti dovoljnu zaštitu od napada koje smo opisali.
Trusted Computing
Hardver koji odgovara konceptu „pouzdanog računarstva“, na primer, u obliku TPM modula, već se koristi u nekim računarima. Unatoč njihovoj korisnosti u zaštiti od nekih napada, u svom sadašnjem obliku, takva oprema ne pomaže u sprječavanju napada koje smo opisali.
Korišteni TPM moduli ne implementiraju potpunu enkripciju. Umjesto toga, oni prate proces pokretanja kako bi odlučili da li je sigurno pokrenuti ključ u RAM ili ne. Ako softver treba da koristi ključ, tada se može implementirati sljedeća tehnologija: ključ, u upotrebljivom obliku, neće biti pohranjen u RAM-u sve dok proces pokretanja ne prođe prema očekivanom scenariju. Ali, čim se ključ nađe u RAM-u, on odmah postaje meta naših napada. TPM moduli mogu spriječiti učitavanje ključa u memoriju, ali ne sprječavaju njegovo čitanje iz memorije.
zaključci
Suprotno popularnom mišljenju, DRAM moduli pohranjuju podatke relativno dugo kada su onemogućeni. Naši eksperimenti su pokazali da ovaj fenomen omogućava implementaciju čitave klase napada koji vam omogućavaju da dobijete važne podatke, kao što su ključevi za šifrovanje, iz RAM-a, uprkos pokušajima OS-a da zaštiti svoj sadržaj. Napadi koje opisujemo mogu se ostvariti u praksi, a to dokazuju i naši primjeri napada na popularne sisteme šifriranja.
Ali druge vrste softvera su također ranjive. Sistemi upravljanja digitalnim pravima (DRM) često koriste simetrične ključeve pohranjene u memoriji, a oni se također mogu dobiti pomoću opisanih metoda. Kao što smo pokazali, SSL-omogućeni web serveri su također ranjivi jer pohranjuju u memoriju privatne ključeve potrebne za kreiranje SSL sesija. Naše metode traženja ključnih informacija će vjerovatno biti efikasne za pronalaženje lozinki, brojeva računa i svih drugih važnih informacija pohranjenih u RAM-u.
Čini se da ne postoji jednostavan način da se eliminišu pronađene ranjivosti. Promjena softvera najvjerovatnije neće biti efikasna; hardverske promjene će pomoći, ali će troškovi vremena i resursa biti visoki; tehnologija "pouzdanog računarstva" u svom trenutnom obliku takođe nije mnogo efikasna, jer ne može zaštititi ključeve koji se nalaze u memoriji.
Ovom riziku, po našem mišljenju, najviše su izloženi laptopovi koji se često nalaze na javnim mestima i rade u režimima osetljivim na ove napade. Prisustvo takvih rizika pokazuje da šifriranje diska štiti važne podatke u manjoj mjeri nego što se uobičajeno vjeruje.
Kao rezultat toga, možda ćete morati da smatrate DRAM memoriju nepouzdanom komponentom modernog računara i izbegavate obradu važnih poverljivih informacija u njoj. Ali u ovom trenutku to nije praktično, sve dok se arhitektura modernih računara ne promeni kako bi se omogućilo softveru da čuva ključeve na sigurnom mestu.
