Ahoj, Habr! V komentářích k jednomu z našich se čtenáři zeptali na zajímavou otázku: „Proč potřebujeme flash disk s hardwarovým šifrováním, když existuje TrueCrypt?“, – a dokonce vyjádřili některé obavy ohledně toho, „Jak se můžeme ujistit, že v softwaru a hardwarové části zařízení Kingston nejsou zadní vrátka?“. Na tyto otázky jsme stručně odpověděli, ale pak jsme se rozhodli, že téma si zaslouží podrobnou analýzu. Tím se budeme zabývat v tomto příspěvku.
Hardwarové šifrování AES, stejně jako programové, existuje už dlouho, ale jak konkrétně chrání důležitá data na flash discích? Kdo certifikuje takové disky a můžeme těmto certifikacím důvěřovat? Komu vůbec tyto „složitější“ flash disky potřebují, když je možné využívat bezplatné programy jako TrueCrypt nebo BitLocker. Jak vidíte, téma vznesené v komentářích vyvolává skutečně mnoho otázek. Pojďme se pokusit vše objasnit.
Jak se hardwarové šifrování liší od programového?
V případě flash disků (ale také HDD a SSD) k provádění hardwarového šifrování dat se používá speciální čip umístěný na desce zařízení. Ten obsahuje generátor náhodných čísel, který vytváří šifrovací klíče. Data jsou automaticky šifrována a okamžitě dešifrována po zadání uživatelského hesla. V tomto scénáři je prakticky nemožné získat přístup k datům bez hesla.
Při použití programového šifrování je „blokace“ dat na disku zajišťována externím softwarem, který slouží jako cenově výhodná alternativa k hardwarovým metodám šifrování. Nevýhody takového softwaru mohou spočívat v jednoduchém požadavku na pravidelné aktualizace, aby nabízel odolnost vůči neustále se zlepšujícím metodám hackerství. Navíc pro dešifrování dat jsou využívány výpočetní výkon počítače (nikoli samostatného hardwarového čipu) a v podstatě úroveň ochrany PC určuje úroveň ochrany disku.
Hlavním rysem zařízení s hardwarovým šifrováním je samostatný kryptografický procesor, jehož přítomnost nám říká, že šifrovací klíče nikdy neopouštějí USB flash disk, na rozdíl od programových klíčů, které mohou být dočasně uloženy v operační paměti počítače nebo na pevném disku. A protože programové šifrování využívá paměť počítače k uchovávání počtu pokusů o přihlášení, nemůže zastavit útoky hrubou silou na heslo nebo klíč. Počet pokusů o přihlášení může být neustále resetován útočníkem, dokud program pro automatické prolomení hesel nenajde správnou kombinaci.
Mimochodem…, v komentářích k článku “” uživatelé také poznamenali, že například program TrueCrypt má přenosný režim. To však není velkou výhodou. V tomto případě je totiž šifrovací program uložen v paměti flash disku, což jej činí zranitelnějším vůči útokům.
Závěrem: programový přístup nezajišťuje tak vysokou úroveň bezpečnosti jako AES šifrování. Je to spíše základní ochrana. Na druhou stranu však programové šifrování důležitých dat je stále lepší než úplná absence šifrování. Tento fakt nám umožňuje jasně rozlišit tyto typy kryptografie: hardwarové šifrování flash disků je častěji potřebné pro korporátní sektor (například když zaměstnanci společnosti používají disky vydané v práci); zatímco programové je více vhodné pro potřeby uživatelů.
Nicméně, Kingston dělí své modely úložišť (například IronKey S1000) na verze Basic a Enterprise. Co se týče funkčnosti a ochranných vlastností, jsou prakticky identické, ale podniková verze nabízí možnost správy úložiště pomocí softwaru SafeConsole/IronKey EMS. Díky tomuto softwaru úložiště pracuje buď s cloudovými, nebo s lokálními servery pro vzdálené provádění politik ochrany heslem a přístupu. Uživatelé mají možnost obnovy ztracených hesel a administrátoři mohou přepínat nepoužívaná úložiště na nové úkoly.
Jak fungují flash disky Kingston s AES šifrováním?
Kingston používá 256-bitové hardwarové šifrování AES-XTS (s použitím dodatečného plnohodnotného klíče) pro všechny své bezpečné disky. Jak již bylo zmíněno výše, flash disky obsahují ve své komponentní základně samostatný čip pro šifrování a dešifrování dat, který slouží jako neustále aktivní generátor náhodných čísel.
Když poprvé připojíte zařízení k USB portu, průvodce inicializací vám nabídne nastavit hlavní heslo pro přístup k zařízení. Po aktivaci disku algoritmy šifrování automaticky začnou pracovat podle uživatelských preferencí.
Přitom pro uživatele princip fungování flash disku zůstane nezměněn – stále bude moci stahovat a umisťovat soubory do paměti zařízení, jako při práci s běžným USB flash diskem. Jediným rozdílem je, že při připojení flash disku k novému počítači budete muset zadat nastavené heslo pro přístup k vašim informacím.
Proč a komu jsou potřeba flash disky s hardwarovým šifrováním?
Pro organizace, ve kterých jsou důvěrné informace součástí podnikání (ať už se jedná o finanční, zdravotní nebo státní instituce), je šifrování nejspolehlivějším prostředkem ochrany. Hardwarové šifrování AES je škálovatelné řešení, které může používat jakákoli společnost: od jednotlivců a malých podniků až po velké korporace, stejně jako vojenské a vládní organizace. Pokud se na tuto problematiku podíváme konkrétněji, použití šifrovaných USB flashdisků je nezbytné:
- Pro zajištění bezpečnosti důvěrných dat společnosti
- Pro ochranu informací o zákaznících
- Pro ochranu společností před ztrátou zisku a loajality zákazníků
Je třeba poznamenat, že někteří výrobci zabezpečených flashdisků (mezi nimi i společnost Kingston) nabízejí podnikům individuální řešení, která jsou navržena podle potřeb a úkolů zákazníků. Ale i masově vyráběné řady (kde jsou i flashdisky DataTraveler) skvěle plní své úkoly a dokáží zajistit korporátní úroveň bezpečnosti.
1. Zajištění bezpečnosti důvěrných dat společnosti
V roce 2017 objevil obyvatel Londýna v jednom z parků USB flashdisk, na kterém byly nechráněné informace týkající se bezpečnosti letiště Heathrow, včetně umístění kamer, podrobných informací o opatřeních k ochraně při příletu vysokých vládních činitelů. Na flashdisku také byla data elektronických propustek a kódy pro přístup do uzavřených zón letiště.
Analytici uvádějí jako příčinu podobných situací kybernetickou negramotnost zaměstnanců společností, kteří mohou „vysadit“ tajné údaje z vlastní nedbalosti. Flashdisky s hardwarovým šifrováním zčásti tuto problematiku řeší, protože v případě ztráty takového zařízení je zotavení přístupu k datům na něm bez master hesla téhož zaměstnance bezpečnostní služby nemožné. V každém případě to neodstraňuje potřebu školit zaměstnance o manipulaci s flashdisky, i když jde o zařízení chráněná šifrováním.
2. Ochrana informací o zákaznících
Ještě důležitějším úkolem pro jakoukoli organizaci je péče o zákaznická data, která by neměla být vystavena riziku kompromitace. Mimochodem, tato informace se nejčastěji přenáší mezi různými sektory podnikání a obvykle má důvěrný charakter: například může obsahovat údaje o finančních operacích, zdravotní historii apod.
3. Ochrana proti ztrátě zisku a loajality zákazníků
Použití USB zařízení s hardwarovým šifrováním může pomoci předejít ničivým následkům pro organizace. Firmy, které porušují zákon o ochraně osobních údajů, mohou být pokutovány na vysoké částky. Proto je třeba se ptát, zda stojí za to riskovat výměnu informací bez řádné ochrany?
I když nebereme v úvahu finanční důsledky, množství času a zdrojů investovaných do opravy vzniklých bezpečnostních chyb může být také značné. Navíc, pokud únik dat ohrozil údaje o zákaznících, firma riskuje loajalitu k značce, zejména na trzích, kde existují konkurenti nabízející podobný produkt nebo službu.
Kdo zaručuje absenci „backdoorů“ od výrobce při používání flash disků s hardwarovým šifrováním?
V námi nastoleném tématu je tato otázka snad jednou z nejdůležitějších. Mezi komentáři k článku o diskách Kingston DataTraveler jsme narazili na ještě jednu zajímavou otázku: „Máte audit vašich zařízení od nezávislých odborníků?“. No..., zcela logický zájem: uživatelé chtějí mít jistotu, že naše USB disky nemají běžné chyby, jako je slabé šifrování nebo možnost obcházení zadávání hesla. A v této části článku vám řekneme, jaké certifikační postupy disky Kingston podstupují, než získají status skutečně bezpečných flash disků.
Kdo zaručuje spolehlivost? Mohli bychom snad říci, že "Kingston vyrobil – on také zaručuje". V tomto případě by však takové prohlášení bylo nesprávné, protože výrobce je zainteresovanou stranou. Proto všechny produkty procházejí kontrolou třetími stranami s nezávislou expertízou. Konkrétně jsou disky Kingston s hardwarovým šifrováním (s výjimkou DTLPG3) účastníky programu validace kryptografických modulů (Cryptographic Module Validation Program nebo CMVP) a jsou certifikovány podle federálního standardu zpracování informací (Federal Information Processing Standard nebo FIPS). Disky jsou také certifikovány podle standardů GLBA, HIPPA, HITECH, PCI a GTSA.
1. Program validace kryptografických modulů
Program CMVP je společný projekt Národního institutu standardů a technologií při Ministerstvu obchodu USA a Kanadského centra kybernetické bezpečnosti. Cílem projektu je stimulovat poptávku po prověřených kryptografických zařízeních a poskytnout bezpečnostní ukazatele federálním úřadům a regulovaným odvětvím (jako jsou finanční a zdravotnické instituce), které se používají při nákupu vybavení.
Kontroly zařízení na shodu s sadou kryptografických požadavků a požadavků na bezpečnost provádějí nezávislé laboratoře kryptografie a testování bezpečnosti akreditované NVLAP (National Voluntary Laboratory Accreditation Program / "Národní program dobrovolné akreditace laboratoří"). Přitom je každé laboratořní vyjádření ověřeno na shodu s Federálním standardem zpracování informací (FIPS) 140-2 a potvrzeno CMVP.
Moduly potvrzené jako splňující standard FIPS 140-2 jsou doporučovány k používání federálními úřady USA a Kanady do 22. září 2026. Po tomto datu budou zařazeny do archivačního seznamu, i když stále mohou být používány. 22. září 2020 skončilo přijímání žádostí o validaci podle standardu FIPS 140-3. Po dokončení zkoušek budou zařízení na pět let převedena do aktivního seznamu prověřených a spolehlivých zařízení. Pokud kryptografické zařízení neprojde zkouškou – jeho použití ve státních institucích USA a Kanady se nedoporučuje.
2. Jaké bezpečnostní požadavky klade certifikace FIPS?
Získání dat i z necertifikovaného šifrovaného disku je obtížné a pro někoho těžko překonatelné, takže při výběru spotřebitelského úložiště pro domácí použití se certifikací není třeba se příliš obávat. V korporátní sféře je situace však jiná: při výběru zabezpečených USB disků firmy často posuzují úrovně certifikace FIPS. Ne každý má jasnou představu o tom, co tyto úrovně znamenají.
Současný standard FIPS 140-2 definuje čtyři různé úrovně bezpečnosti, kterým mohou odpovídat flash disky. První úroveň zajišťuje mírnou sadu bezpečnostních funkcí. Čtvrtá úroveň – zahrnuje přísné požadavky na sebesamoprotekci zařízení. Úrovně dvě a tři zajišťují gradaci těchto požadavků a tvoří jakousi zlatou střední cestu.
- První úroveň bezpečnosti: pro USB disky certifikované na první úrovni se předpokládá použití alespoň jednoho šifrovacího algoritmu nebo jiné funkce zabezpečení.
- Druhá úroveň bezpečnosti: zde se od disku vyžaduje nejen zajištění kryptografické ochrany, ale také registrace neoprávněných zásahů na mikroprogramové úrovni, pokud se někdo pokusí disk otevřít.
- Třetí úroveň bezpečnosti: zahrnuje prevenci proti hackingu prostřednictvím zničení "klíčů" šifrování. To znamená, že je vyžadována odezva na pokusy o průnik. Třetí úroveň také zaručuje vyšší úroveň ochrany proti elektromagnetickému rušení: to znamená, že není možné číst data z flash disku pomocí bezdrátových hackovacích zařízení.
- Čtvrtá úroveň bezpečnosti: nejvyšší úroveň, která předpokládá úplnou ochranu kryptografického modulu, která zajišťuje maximální pravděpodobnost odhalení a protiopatření vůči jakýmkoli pokusům o neoprávněný přístup ze strany cizího uživatele. Flash disky, které získaly certifikaci čtvrté úrovně, zahrnují také takové ochranné možnosti, které neumožňují hacking prostřednictvím změny napětí a teploty okolního prostředí.
Podle standardu FIPS 140-2 třetí úrovně jsou certifikovány následující úložiště Kingston: DataTraveler DT2000, DataTraveler DT4000G2, IronKey S1000, IronKey D300. Klíčovou vlastností těchto úložišť je schopnost reagovat na pokusy o neautorizovaný přístup: při desetinásobném chybném zadání hesla dojde k vymazání dat na úložišti.
Co dalšího umí USB flash disky Kingston kromě šifrování?
Když se mluví o úplné bezpečnosti dat, vedle hardwarového šifrování flash disků přicházejí na pomoc vestavěné antiviry, ochrana proti vnějším vlivům, synchronizace s osobními cloudovými službami a další funkce, o kterých si povíme níže. Mezi flash disky s programovým šifrováním není žádný výrazný rozdíl. "Ďábel" se skrývá v detailech. A zde je několik z nich.
1. Kingston DataTraveler 2000
Vezměme si jako příklad USB flash disk . To je jeden z flash disků s hardwarovým šifrováním, ale přitom jediný s vlastní fyzickou klávesnicí na těle. Tato 11-tlačítková klávesnice činí DT2000 zcela nezávislým na hostitelských systémech (abyste mohli používat DataTraveler 2000, musíte stisknout tlačítko "Klíč", poté zadat své heslo a znovu stisknout tlačítko "Klíč"). Kromě toho má tento flash disk stupeň ochrany IP57 proti vodě a prachu (což je překvapující, protože Kingston to nikde neuvádí ani na obalu, ani v parametrech na oficiálních stránkách).
Uvnitř DataTraveler 2000 je lithium-polymerová baterie (s kapacitou 40 mAh), a Kingston doporučuje zákazníkům připojit úložiště k USB portu alespoň na hodinu, než ho začnou používat, aby se baterie mohla nabít. Mimochodem, v jednom z předchozích materiálů : není důvod k obavám – ve nabíječce se flash disk neaktivuje, protože neexistují žádosti k řadiči ze strany systému. Proto nikdo neukradne vaše data prostřednictvím bezdrátového útoku.
2. Kingston DataTraveler Locker+ G3
Pokud mluvíme o modelu Kingston – přitahuje pozornost možností nastavení zálohování dat z flash disku do cloudového úložiště Google, OneDrive, Amazon Cloud nebo Dropbox. Synchronizace dat s těmito službami je také zajištěna.
Jedna z otázek, které nám čtenáři kladou, zní: „Jak získat šifrovaná data z zálohy?“. Je to velmi jednoduché. Při synchronizaci s cloudem se informace dešifrují a bezpečnost zálohy na cloudu závisí na možnostech samotného cloudu. Tyto postupy se proto provádějí výhradně na žádost uživatele. Bez jeho souhlasu žádný export dat do cloudu nebude.
3. Kingston DataTraveler Vault Privacy 3.0
Toto zařízení od Kingstonu je také dodáváno s vestavěným antivirovým programem Drive Security od společnosti ESET. Ten chrání data před útoky virů, špehovacích programů, trojských koní, červů, rootkitů a před připojením k cizím počítačům. Antivirový program okamžitě upozorní majitele zařízení na potenciální hrozby, pokud jsou detekovány. Uživatel nemusí instalovat antivirový software sám a platit za tuto možnost. ESET Drive Security je předinstalován na flash disku s licencí na pět let.
Kingston DT Vault Privacy 3.0 je navržen především pro IT specialisty. Umožňuje administrátorům používat ho jako samostatný úložiště nebo ho přidat jako součást řešení pro centrální správu, a také může být používán pro nastavení nebo vzdálené obnovení hesel a nastavení politik zařízení. Kingston dokonce přidal USB 3.0, které umožňuje přenos chráněných dat mnohem rychleji než přes USB 2.0.
Celkově je DT Vault Privacy 3.0 vynikající volbou pro korporátní sektor a organizace, které vyžadují maximální ochranu svých dat. Doporučuje se také všem uživatelům, kteří používají počítače nacházející se v veřejných sítích.
Pro více informací o produktech Kingston se obracejte na .
Zdroj: habr.com
