Презентацію до лекції Ви можете завантажити тут.
мета лекції
- Розглянути коло завдань, на вирішення яких спрямований BitLocker
- Розглянути різні режими роботи BitLocker
- Вивчити функції і механізм роботи EFS
- Ознайомитися з рекомендаціями Microsoft щодо застосування систем шифрування
- Проаналізувати можливість спільного використання технологій BitLocker і EFS
Засіб шифрування диска Windows BitLocker
Засіб шифрування диска BitLocker (колишня назва - Full Volume Encryption / FVE - "повне шифрування томи") забезпечує захист даних на апаратному рівні. Шифрування всього системного томи Windows дозволяє запобігти витоку або розкриття даних з загубленого, вкраденого або неправильно утилізованого комп'ютера. Технологія BitLocker допомагає організаціям виконувати державні постанови і закони, в яких потрібне використання високих стандартів забезпечення безпеки та захисту даних (наприклад, закон Сарбейнса-Окслі [19.8] і HIPAA [19.2]).
Шифрування диска BitLocker є новою можливістю, яка доступна в Windows Vista і Longhorn Server. Оптимальним сховищем для ключа шифрування з точки зору функції BitLocker є мікросхема модуля TPM TPM версії 1.2. Якщо технологія розгортається в системі, яка не має такої мікросхеми, то ключ шифрування записується на USB-накопичувач [19.9]. Важливо відзначити, що алгоритм шифрування. використовуваний системою TPM. заборонений для застосування в Російській Федерації та ноутбуки приходять в Росію із заблокованим TPM модулем [19.12].
Застосування технології шифрування BitLocker дозволяє забезпечити фізичну безпеку даних. а саме [19.11]:
- На серверній стороні - захист при фізичному вилучення жорсткого диска і копіюванні даних
- На стороні клієнта - шифрування для ноутбуків, які можуть бути втрачені або вкрадені
BitLocker використовує алгоритм AES з ключем 128 біт [19.3]. Злом такого шифру методом повного перебору з використанням найпотужнішого персонального комп'ютера піде більш 100 трильйонів років [19.6]. При сучасному рівні розвитку обчислювальної техніки можна гарантувати, що на найближчі 2 тис. Років дані, зашифровані алгоритмом AES-128 в безпеці. Однак не можна з упевненістю стверджувати, що за цей час не з'явиться більш ефективних методів злому таких шифрів або що в AES не виявлять лазівки, які дозволять здійснювати пошук ключа більш ефективно, ніж методом повного перебору. Для підвищення надійності довжину ключа можна збільшити до 256 біт за допомогою групових політик або через інтерфейс. надається провайдером інструментарію управління Windows (Windows Management Instrumentation. WMI) для BitLocker. Більш детальна інформація по криптоалгоритм, використовуваним BitLocker. викладена в [19.1].
Захист даних з допомогою шифрування BitLocker посилюється за рахунок шифрування системного розділу і перевірки цілісності компонентів, що використовуються на ранньому етапі завантаження. Кожен сектор томи шифрується окремо, при цьому частина ключа шифрування визначається номером цього сектора. В результаті два сектори, що містять однакові незашифровані дані, будуть в зашифрованому вигляді виглядати по-різному, що сильно ускладнює визначення ключів шифрування шляхом запису і шифровки заздалегідь відомих даних. Чи не шифруються три елементи [19.9]:
- завантажувальний сектор,
- пошкоджені сектора, вже відмічені як нечитабельним,
- метадані томи.
Метадані томи складаються з трьох надлишкових копій даних, що використовуються BitLocker. включаючи статистичну інформацію про томі і захищені копії деяких ключів розшифровки. Ці елементи не вимагають шифрування. оскільки не є чимось унікальним, цінними або дозволяють визначити особистість.
При включенні BitLocker без додаткових параметрів активується шифрування жорсткого диска без застосування ТРМ - не найкращий варіант з точки зору безпеки, але єдино можливий в Росії, де використання TPM заборонено [19.11].
Перед застосуванням шифрування BitLocker використовує алгоритм. званий дифузором (diffuser) [19.3]. В результаті його застосування навіть дрібне зміна вихідного тексту призводить до абсолютного зміни всього сектора зашифрованих даних. Це серйозно ускладнює визначення ключів або дешифрування.
Використання технології BitLocker - це один з можливих підходів до проблеми гарантованого знищення інформації на жорсткому диску. Як відомо (див. Наприклад, [19.14]), ця задача є дуже важливою: навіть використання спеціалізованих засобів не завжди оберігає від ризику відновлення даних зловмисником за залишковою інформації. Щоб позбутися від даних, досить позбутися ключа, яким вони були зашифровані: незважаючи на те, що дані при цьому фізично залишаться на жорсткому диску, для зловмисника вони вже не будуть представляти інтересу.
Encrypted File System
EFS служить для шифрування файлів і папок на рівні користувача. Наприклад, якщо на одному комп'ютері працюють два користувача, то за допомогою файлової системи EFS кожен з них може шифрувати свої дані так, щоб вони були недоступні іншому. З іншого боку, передбачена можливість колективного використання зашифрованих даних.
EFS використовує симетричний шифр AES або Data Encryption Standard X (DESX) (у версіях Windows. Попередніх Vista) для шифрування даних і асиметричний шифр RSA для надійного зберігання ключа шифрування даних. DESX - посилений варіант DES. підтримуваний інструментарієм RSA Security і розроблений Рональдом Ривестом. Головною причиною використання DESX є простою в обчислювальному сенсі спосіб значного підвищити стійкість DES до атак повного пошуку ключа. Ця підвищена стійкість була формально продемонстрована в [19.4] і [19.7].
BitLocker + Encrypted File System
На перший погляд, спільне використання EFS і BitLocker суперечить золотому правилу криптографії: "Якщо ви шифруєте щось двічі - ви, очевидно, не розумієте сенс своїх дій" [19.6]. Дійсно, в стандартному сценарії шифрування дані шифруються симетричним криптоалгоритмом з використанням ключа, який потім зашифровуються на відкритому ключі користувача, що має право доступу до цих даних. У цьому випадку ми маємо 2 ключа і 2 кроки шифрування - тим не менш, до кожного об'єкту шифрування (даними і симетричного ключа) криптоалгоритм застосовується тільки один раз. Який сенс додатково шифрувати дані, які вже захищені за допомогою BitLocker. Однак зауважимо, що користувач. володіє ключем шифрування BitLocker. автомати чески отримує доступ до всього вмісту диска. EFS надає більш гнучкий підхід і дозволяє управляти доступом на рівні користувачів. Очевидним мінусом комбінування технологій є зниження продуктивності системи.
короткі підсумки
У лекції розглянуті функції і цільове призначення систем шифрування BitLocker і EFS. Вивчено механізм роботи і рекомендації Microsoft по застосуванню цих продуктів. Обґрунтовано доцільність спільного використання технологій BitLocker і EFS
Вітаю! Хотілося б прояснити наступне питання: у МТІ припинена державна акредитація та коли буде восстановлена- невідомо, а в диплом про профперепідготовка видається на базі МТІ (як я зрозумів). Як закінчиться справа з отриманням диплома?
Питання важливе й актуальне, тому що необхідно терміново пройти навчання і отримати диплом і не хотілося б витрачати час і платити гроші даремно (якщо диплом виявиться недійсним і т.п.). Роз'ясніть, будь ласка, докладніше ситуацію.
Добрий день, Хотілося б прояснити ви в майбутньому плануєте узгоджувати цю програму, з регуляторами і чи пройде сам диплом зараз, коли вводяться проф стандарти?