Поделиться
Криптозащита Windows Vista несовершенна
Тот, кто владеет информацией, владеет миром. В здании компании информацию сохранить гораздо легче, но как быть, если ее уносит сотрудник с целью поработать дома на благо фирмы? Сегодня актуальна тенденция "встраивать" алгоритмы криптографии в различные программы, особенно в те, которые могут работать с сетями, интернетом, конфиденциальными данными. Хорошо это или плохо? Однозначного ответа нет. Криптозащита до сих пор несовершенна, причем опасность грозит с другой стороны.В то же время, без использования TPM-чипа система теряет значительную часть своей привлекательности, поскольку если необходимо вскрыть достаточную важную информацию, кластер из современных компьютеров сможет подобрать 48-значный пароль восстановления.
А что в XP?
В Windows XP нет поддержки BitLocker. Она предлагает для защиты данных только встроенное средство файловой системы NTFS – EFS (Encrypted File System) (эта же функция доступна и для Vista). Основное отличие от BitLocker – шифрование только файлов и каталогов. Впервые EFS появилась в Windows 2000, но в Windows XP претерпела некоторые усовершенствования. Пакеты обновления для Windows 2000 также улучшили EFS. Начиная с версии Windows XP SP1, EFS использует алгоритм AES с длиной ключа 256 бит, после чего полученный результат дополнительно шифруется парой (открытый (public) и закрытый (private)) ключей RSA.
Windows XP предлагает для защиты данных только встроенное средство файловой системы NTFS – EFS (Encrypted File System)
Технически данная система выполнена в виде драйвера, тесно связанного с драйвером NTFS и работающего в режиме ядра ОС. Для каждого файла система создает свой ключ FEK (File Encryption Key, шифровальный ключ файла), затем тело шифруется при помощи алгоритма AES (в ранних версиях – при помощи DESX), далее FEK шифруется при помощи RSA.
Зашифрованный пользовательским общим ключом FEK сохраняется в DDF (Data Decryption Field, поле расшифровки данных) шифруемого файла. Кроме того, для обеспечения возможности восстановления файла система EFS создает еще одну зашифрованную с помощью общего ключа восстановления файлов (FR, File Recovery) копию FEK, которую помещает в поле DRF (Data Recovery Field, поле восстановления данных файла). FR создается либо доменным администратором, либо самой Windows с учетной записью администратора. Администратор, обладающий этим ключом, называется агентом восстановления данных (DRA, Data Recovery Agent).
Следует иметь в виду, что используемые закрытые (private) ключи для генерирования и защиты шифрованных данных применяют DPAPI – интерфейс (DPAPI – Data Protection Application Interface – прикладной программный интерфейс защиты данных), который использует для защиты данных производные данные учетных записей пользователя. Как следствие, надежность шифрования данных будет зависеть от того, насколько надежен пароль пользователя. Надежными сейчас считаются пароли из 15 – 16 (и более) символов, притом, что они должны быть не только длинные, но и сложные.
Стоит отметить, что файл, зашифрованный с помощью Windows XP SP1 и выше, будет невозможно прочитать на ранних версиях Windows 2000, XP. Для решения проблемы необходимо установить алгоритм шифрования DESX; система предоставляет возможность выбора между алгоритмами DESX и AES.
Сам процесс…
При первом шифровании система создает набор ключей в виде сертификатов. После чего вы как администратор можете раздать их доверенным пользователям, чтобы они могли получить доступ к файлу, либо можете скопировать эти сертификаты и использовать их по мере доступа к зашифрованным файлам, что повысит надежность системы.
Основная проблема заключается в том, что сертификаты для доступа к зашифрованным файлам сохраняются в системе, поэтому если злоумышленник получит непосредственный доступ к машине, на которой были зашифрованы эти файлы, то он с легкостью сможет прочитать их. Поэтому целесообразней переписывать сертификаты с ключами на USB-флешку или другой извлекаемый носитель информации. Однако в этом случае работа с зашифрованными файлами затрудняется – необходимо все время вручную устанавливать и удалять сертификаты из системы. Возможна настройка т.н. "полуавтоматического" использования, но для рядового пользователя это нетривиальная задача. Windows Vista позволяет сохранять сертификаты с ключами не на жесткий диск, а на смарт-карты, что, безусловно, является плюсом.
После потери всех ключей доступ к зашифрованным данным возможен с помощью взлома файлов – либо атаки "в лоб", направленной на перебор всех возможных комбинаций ключей, либо комбинированием атаки "в лоб" с извлеченными из соответствующих полей файла данными о FEK. В случае использования короткого пароля такие попытки оказываются довольно успешными. Например, атака типа Rainbow Table успешно взламывает такие файлы с паролем менее 11 символов. Алгоритм AES значительно более устойчив к подобного рода атакам, в отличие от DESX.
Данная система подходит для шифрования данных, не представляющих большой ценности, либо быстро устаревающих и с течением времени становящихся непривлекательными для взломщиков. Файлы, защищенные с помощью EFS, практически на 100% недоступны для типичного пользователя ПК, не обладающего знаниями в области ИБ.
В качестве плюса данной системы можно упомянуть тот факт, что она обладает массой настроек, позволяющих системному администратору задать необходимый уровень защиты данных. Систему довольно легко развернуть на предприятиях среднего размера, возможна интеграция в инфраструктуру PKI (Public Key Infrastructure – инфраструктура открытых ключей), с Active Directory, проводником Windows.
К потенциальным уязвимостям этой системы можно отнести тот факт, что создаваемые при работе с ПО различные временные файлы не шифруются EFS и теоретически возможно, воспользовавшись соответствующим ПО, восстановить эти файлы и получить доступ к документу. Возможным решением проблемы является применение специальных утилит для "затирания" пустого места на жестком диске (так называемыми Wipe-утилитами). Кроме того, в качестве дополнительной меры можно задать шифрование каталогов, на которые ссылаются temp% и %tmp%, однако это будет неэффективно в случае с такими программами, как MS Word и AutoCAD, которые создают копии документов в рабочем каталоге.
Поделиться
Короткая ссылка
