Miks on vajalikud riistvaraga krüpteeritud mälupulgad?

Tere, Habr! Ühe meie artikli all kommentaarides mälupulkade kohta küsisid lugejad huvitava küsimuse: "Miks on vajalik riistvaraga krüpteeritud mälupulk, kui on olemas TrueCrypt?" – ning isegi väljendasid muret selle üle, "kuidas veenduda, et Kingston'i mälupulgal ei ole sees tagavarasid?" Me vastasime neile küsimustele lühidalt, kuid otsustasime, et teema väärib süvitsi minekut. Sellega me siin tegeleme.

AES-riistvaraline krüpteerimine, nagu ka tarkvaraline, on olemas olnud juba pikka aega, kuid kuidas see täpselt kaitseb tähtsaid andmeid mälupulkadel? Kes sertifitseerib sellised mälupulgad ja kas nendele sertifikaatidele võib usaldada? Kes üldse vajab nii "keerulisi" mälupulki, kui saab kasutada tasuta programme nagu TrueCrypt või BitLocker? Nagu näete, tekitab kommentaarides küsitud teema tõeliselt palju küsimusi. Proovime kõigega selles osas selgust tuua.

Kuidas erineb riistvaraline krüpteerimine tarkvaralisest?

Flash-mäluseadmete (sh HDD ja SSD) puhul kasutatakse andmete riistvaralist krüpteerimist spetsiaalse kiibi abil, mis asub seadme trükkplaadil. Sellesse on integreeritud juhuslike numbrite generaator, mis loob krüpteerimise võtmed. Andmed krüpteeritakse automaatselt ja dekodeeritakse kohe pärast kasutaja parooli sisestamist. Sellises olukorras on andmetele ligipääsemine ilma paroolita praktiliselt võimatu.

Tarkvaralise krüpteerimise korral tagab andmete „lukustamise” välise tarkvara, mis toimib kulutõhusa alternatiivina riistvaralistele krüpteerimismeetoditele. Sellise tarkvara puuduseks võib olla vajadus regulaarsete uuenduste järgi, et tagada vastupidavus pidevalt paranevatele häkkimismeetoditele. Samuti kasutatakse andmete dekodeerimiseks arvutiprotsessori jõudlust (mitte eraldi riistvarakiipi) ning sisuliselt määrab arvuti kaitseaste ka salvestusseadmеe kaitseaste.

Peamine omadus riistvaraga krüpteeritud salvestusseadmetes on eraldi krüptograafiline protsessor, mis tähendab, et krüpteerimisvõtmed ei lahku kunagi USB-mälust, erinevalt tarkvaravõtmetest, mis võivad ajutiselt olla arvuti RAM-is või kõvakettal. Kuna tarkvaraline krüptimine kasutab süsteemi mälu, et jälgida sisselogimise katseid, ei suuda see takistada bruteforce rünnakuid parooli või võtme suhtes. Sisselogimise katsete loendurit saab pidevalt lähtestada pahatahtliku osalise poolt, kuni paroolide murdmise programm leiab õige kombinatsiooni.

Muide…, artikli kommentaarides „Kingston DataTraveler: uus põlvkond kaitstud mälupulkadest“ on kasutajad samuti märkinud, et näiteks TrueCrypti programmil on kaasaskantav töörežiim. Kuid see ei ole suur eelis. Asi on selles, et sel juhul salvestatakse krüpteerimisprogramm mälupulgale, mis muudab selle rünnakute suhtes haavatavamaks.

Kokkuvõtteks: tarkvaraline lähenemine ei paku sama kõrget turvalisuse taset kui AES-krüptimine. See on pigem põhikaitse. Teiselt poolt – oluliste andmete tarkvaraline krüptimine on siiski parem kui krüptimise täielik puudumine. See fakt võimaldab meil selgelt eristada neid kahte krüptograafia tüüpi: riistvaraline krüptimine mäluseadmetes on pigem vajalik ettevõttesektoris (näiteks kui ettevõtte töötajad kasutavad tööl väljastatud seadmeid); tarkvaraline sobib aga rohkem kasutajate vajadustele.

Kuid Kingston jagab oma salvestusseadmete mudeleid (näiteks IronKey S1000) versioonideks Basic (põhi) ja Enterprise (ettevõtte). Funktsionaalsus ja kaitseomadused on neil praktiliselt identsed, kuid ettevõtte versioon pakub võimalust hallata seadmeid tarkvara SafeConsole/IronKey EMS abil. Tänu sellele tarkvarale töötab seade kas pilve- või lokaalserveritega kaugseadistamiseks paroolikaitse ja juurdepääsu poliitikaid. Kasutajatele antakse võimalus kadunud paroole taastada, samas kui administraatorid saavad vahetada enam mittekasutatavaid seadmeid uute ülesannete täitmiseks.

Kuidas töötavad Kingston'i mälupulgad AES-šifreerimisega?

Kingston kasutab kõigi oma turvaliste salvestusseadmete jaoks 256-bitist riistvaralist AES-XTS šifreerimist (kasutades täiendavat täissuuruses võtmeid). Nagu varem mainitud, sisaldavad mälupulgad oma komponentide seas eraldi kiipi andmete šifreerimiseks ja dešifreerimiseks, mis toimib pideva juhuslike numbrite generaatorina.

Kui ühendate seadme esmakordselt USB-porti, pakub seadistusmeister võimalust seada seadme juurdepääsuks meistrikood. Pärast seadme aktiveerimist hakkavad krüpteerimisalgoritmid automaatselt töötama vastavalt kasutaja eelistustele.

Kasutaja jaoks jääb USB-mälupulga tööpõhimõte samaks – ta suudab endiselt faile seadme mällu laadida ja neid seal talletada, nagu tavalise USB-mälupulgaga. Ainus erinevus on see, et kui ühendate mälupulga uue arvutiga, peate oma teabele juurdepääsemiseks sisestama määratud parooli.

Miks ja kellele on vajalikud riistvara krüpteerimisega mälupulgad?

Organisatsioonidele, kus konfidentsiaalsed andmed on äritegevuse osa (olgu need siis finants-, meditsiinilised või riigiasutused), on krüpteerimine kõige usaldusväärsem kaitsevahend. Selles osas on 256-bitise toe jaotuse mälupulgad AES-i riistvara krüptimine on skaaleeritav lahendus, mida saavad kasutada iga suurusega ettevõtted: alates eraisikutest ja väikestest ettevõtetest kuni suurkorporatsioonide, sealhulgas militaarsete ja valitsusorganisatsioonideni. Kui vaadata seda küsimust veidi konkreetsemalt, on krüpteeritud USB-mälupulkade kasutamine hädavajalik:

• Et kaitsta ettevõtte konfidentsiaalset teavet
• Kliendiandmete kaitsmiseks
• Et kaitsta ettevõtteid kasumi ja klientide lojaalsuse kaotuse eest

Tuleb märkida, et mõned kaitstud mälupulkade tootjad (sealhulgas Kingston) pakuvad ettevõtetele kohandatud lahendusi, mis on välja töötatud vastavalt tellijate vajadustele ja eesmärkidele. Kuid ka massilised tootesarjad (sealhulgas DataTraveleri mälupulgad) teevad oma tööd suurepäraselt ning suudavad tagada ettevõtte tasemel turvalisuse.

1. Et kaitsta ettevõtte konfidentsiaalset teavet

2017. aastal leidis Londoni elanik ühest pargist USB-mälupulga, millel oli paroolita teave Heathrow lennujaama turvalisuse kohta, sealhulgas kaamerate asukohad ja üksikasjalik teave kaitsemeetmete kohta kõrgete külaliste saabumise korral. Mälupulgal leidi ka andmed elektrooniliste läbilubade ja juurdepääsu koodide kohta suletud lennujaama aladele.

Analüütikud nimetavad sarnaste olukordade põhjuseks ettevõtete töötajate küberkirjaoskuse puudumist, kes võivad oma hooletuse tõttu saladusi "välja lasta". Riistvaraga krüpteeritud mälupulgad lahendavad osaliselt selle probleemi, kuna sellise seadme kaotamise korral ei õnnestu ilma sama töötaja, turvateenistuse peamise paroolita andmetele juurde pääseda. Sellegipoolest ei vabasta see vajadust koolitada töötajaid mälupulkade kasutamise osas, isegi kui on tegemist krüpteeritud seadmetega.

2. Kliendi teabe kaitsmine

Iga organisatsiooni jaoks on veel üks tähtis ülesanne hoolitseda klientide andmete eest, mis ei tohi sattuda kompromisse. See teave edastatakse kõige sagedamini erinevate äärmuslike sektorite vahel ja see on üldiselt konfidentsiaalne: näiteks võib see sisaldada andmeid finantstehingute, haigusajaloode jne kohta.

3. Kasumi ja klientide lojaalsuse kaotuse kaitse

USB-seadmete kasutamine riistvaralist krüpteerimist võimaldab vältida hävitavaid tagajärgi organisatsioonidele. Ettevõtteid, kes rikuvad isikuandmete kaitse seadust, võib karistada suurte summadega. Seega tuleb küsida, kas tasub riskida teabe vahetamisega ilma nõuetekohase kaitseta?

Isegi kui jätta kõrvale finantsilised tagajärjed, võib ajakulu ja ressursside hulk, mis kulub turvavigade parandamiseks, olla sama märkimisväärne. Veelgi enam, kui andmeleke mõjutab kliendiandmeid, seab see ettevõtte kaubamärgi usaldusväärsuse ohtu, eriti turgudel, kus konkurendid pakuvad sarnaseid tooteid või teenuseid.

Kes garanteerib tootja poolsete "tagasivaatamise" puudumise, kui kasutatakse riistvara krüpteerimisega USB-mälupulkasid?

Küsimus, mille tõstatame, on tõenäoliselt üks tähtsamaid. Kommentaaride seas Kingston DataTraveleri säilitajate artiklis leidus veel üks huvitav küsimus: "Kas teie seadmetel on sõltumatute ekspertide audit?" Mis puutub… see on täiesti loogiline huvi: kasutajad soovivad veenduda, et meie USB-mälupulkades ei ole levinud vigu, nagu nõrk krüpteerimine või paroolide sisestamise võimaluse ületamine. Ja selle artikli osas räägime meie Kingstoni mäluseadmete sertifitseerimismenetlustest, enne kui nad saavad tõeliselt turvaliste USB-mälupulkade staatuse.

Kes tagab usaldusväärsuse? Tundub, et võiksime öelda, et 'Kingston tootas - see ka garanteerib'. Kuid selline väide oleks vale, kuna tootja on huvitatud osaline. Seetõttu läbivad kõik tooted kolmanda osapoole sõltumatu ekspertiisi. Eeskätt on Kingston’i krüptimisega seadmed (välja arvatud DTLPG3) osalejad krüptograafiliste moodulite valideerimise programmis (Cryptographic Module Validation Program või CMVP) ning need on sertifitseeritud föderaalse teabe töötlemise standardi (Federal Information Processing Standard või FIPS) järgi. Samuti sertifitseeritakse seadmed GLBA, HIPPA, HITECH, PCI ja GTSA standardite kohaselt.

1. Krüptograafiliste moodulite valideerimise programm

CMVP programm on ühine projekt USA Kaubandusministeeriumi Rahvusliku Standardite Instituudi ja Kanada Küberturbe Keskuse vahel. Projekti eesmärk on suurendada nõudlust sertifitseeritud krüptograafiliste seadmete järele ja pakkuda ohutuse näitajaid föderaalsetele agentuuridele ja reguleeritud valdkondadele (nt finants- ja meditsiiniasutustele), mis kasutavad seadmeseoste soetamisel.

Seadmete vastavuse krüptograafiliste nõuete ja ohutusstandardite kontrollimisi viivad läbi NVLAP (National Voluntary Laboratory Accreditation Program / „Rahvuslikud vabatahtlikud laborite akrediteerimise programmid”) akrediteeritud sõltumatud krüptograafia ja ohutustestimise laboratooriumid. Iga laboratoorne aruanne kontrollitakse vastavuse osas föderaalsele informatsiooni töötlemise standardile (FIPS) 140-2 ja kinnitatakse CMVP poolt.

FIPS 140-2 standardile vastavusse kinnitatud mooduleid soovitatakse USA ja Kanada föderaalsetes asutustes kasutada kuni 22. septembrini 2026. Pärast seda kantakse need arhiivi, kuigi neid saab endiselt kasutada. Kinnitamise taotluste vastuvõtt FIPS 140-3 standardi järgi lõppes 22. septembril 2020. Pärast testide edukat läbimist kantakse seadmed viieks aastaks active liste usaldusväärsete seadmete hulka. Kui krüptoseade ei läbi teste, ei soovitata selle kasutamist USA ja Kanada valitsusasutustes.

2. Millised on FIPS sertifitseerimise turvanõuded?

Andmete häkkimine isegi sertifitseerimata krüpteeritud kettalt on keeruline ja suudavad seda teha vaid vähesed, seega koduseks kasutamiseks sobiva tarbija salvesti valimisel pole sertifitseerimise olemasolu vahel kohustuslik. Korporatiivses sektoris on olukord teine: valides turvalisi USB-mälupulkasid, pööravad ettevõtted sageli tähelepanu FIPS sertifitseerimise tasemetele. Kuid mitte kõik ei mõista selgelt, mida need tasemed tegelikult tähendavad.

Kehtiv FIPS 140-2 standard määratleb neli erinevat turvalisuse taset, millele mälupulgad võivad vastata. Esimene tase pakub mõõdukat turvalisuse funktsioonide komplekti. Neljas tase hõlmab rangete seadmestiku enesekaitse nõuete täitmist. Teised kaks ja kolm taset tagavad nende nõuete ulatuslikkuse ja moodustavad teatud tasakaalu.

1. Esimene turvalisuse tase: USB-mälupulkade puhul, mis on sertifitseeritud esimesel tasemel, eeldatakse vähemalt ühe krüpteerimise algoritmi või mõne muu turvafunktsiooni kasutamist.
2. Teine turvalisuse tase: siinkohal nõutakse mälupulgalt mitte ainult krüptograafilise kaitse tagamist, vaid ka volitamata sissetungide fikseerimist mikrotasandil, kui keegi proovib seadet avada.
3. Kolmas turvataseme: see hõlmab häkkimise vältimist, hävitades krüpteerimis "võtmed". Teisisõnu, vajaliku kaitse tagamiseks peavad olema vastureaktsioonid sisenemisõhikutega. Kolmas tase tagab ka kõrgeima kaitse elektromagnetiliste häiringute eest: see tähendab, et andmeid USB-mälupulgal, kasutades traadita häkkimis seadmeid, ei suudeta lugeda.
4. Neljas turvataseme: kõrgeim tase, mis annab täieliku kaitse krüptograafia mooduli jaoks, mis tagab maksimaalse tõenäosuse tuvastada ja vastu seista kõikidele volitamata sisenemise katsetele kolmandate isikute poolt. Neljanda taseme sertifikaadi saanud USB-mälupulgad sisaldavad ka selliseid kaitsemehanisme, mis ei võimalda häkkimist keskkonna pingete ja temperatuuride muutmise kaudu.

FIPS 140-2 kolmanda taseme sertifitseeritud Kingston mäluseadmed on järgmised: DataTraveler DT2000, DataTraveler DT4000G2, IronKey S1000, IronKey D300. Nende mäluseadmete põhiomadus on võime reageerida sissetungimise katsetele: pärast 10 vale parooli sisestamist kustutatakse andmed mäluseadmest.

Mida veel oskavad Kingston mälupulgad peale krüpteerimise?

Kui räägitakse andmete täielikust turvalisusest, siis koos USB-mälupulkade riistvaralise krüpteerimisega tulevad appi sisseehitatud viirusetõrjed, kaitse väliste mõjutuste eest, sünkroonimine isiklike pilvedega ja muud funktsioonid, millest räägime allpool. Suure erinevuse puudumine tarkvaraga krüpteeritud mälupulkade vahel on tõeliselt väike. „Kurjat” peitub detailides. Ja siin on, milles.

1. Kingston DataTraveler 2000

Võtame näiteks USB-mälupulga Kingston DataTraveler 2000. See on üks riistvarakodeerimisega mälupulk, kuid ainus, millel on oma füüsiline klaviatuur korpusel. See 11-nupuline klaviatuur muudab DT2000 täielikult sõltumatuks host-süsteemidest (et kasutada DataTraveler 2000, peate vajutama nuppu „Ava”, seejärel sisestama oma parooli ja uuesti vajutama nuppu „Ava”). Lisaks on sellel mälupuldil IP57 kaitseastme tase veest ja tolmust (imetlusväärne, et Kingston ei teata sellest kuskil ei pakendil ega ametlikul kodulehel).

DataTraveler 2000 sees on liitium-polümeeraku (mahutavusega 40 mAh), ja Kingston soovitab klientidel ühendada salvestusseade USB-porti vähemalt tunni jooksul enne selle kasutamist, et aku saaks laadida. Muide, ühes varasemas materjalis rääkisime, mis juhtub mälupulgaga, mis laadib painduva akupanga kaudu: muretsemiseks ei ole põhjust – laadimise ajal ei aktiveeru mälupulk, kuna süsteem ei küsi juhtimisseadmelt. Seetõttu ei saa keegi teie andmeid varastada traadita rünnakute kaudu.

2. Kingston DataTraveler Locker+ G3

Rääkides Kingstonist DataTraveler Locker+ G3 – see tõmbab tähelepanu võimalusega seadistada andmete varundamine mälupulgalt Google'i, OneDrive'i, Amazon Cloudi või Dropboxi pilvekaldale. Andmete sünkroonimine nende teenustega on samuti ette nähtud.

Üks küsimusi, mida meie lugejad meilt küsivad, on järgmine: “Kuidas saab dešifreeritud andmeid varukoopiast välja võtta?”. Väga lihtsalt. Asi on selles, et sünkroonimise käigus dešifreeritakse teave, ja varukoopia kaitse pilves sõltub ise pilveteenuse võimalustest. Seetõttu tehakse sellised protseduurid ainult kasutaja otsusel. Ilma tema loata ei toimu andmete laadimist pilves.

3. Kingston DataTraveler Vault Privacy 3.0

Aga siin on Kingston seadmed DataTraveler Vault Privacy 3.0 on ka kaasas ka ESETi Drive Security sisseehitatud viirusetõrje. Viimane kaitseb andmeid, vältides viiruste, nuhkvara, troojalaste, «usside», rootkitide ja juurdepääsu välistele arvutitele sisenemist USB-mälupulgale. Viirusetõrje hoiatab mälupulga omaniku potentsiaalsete ohtude korral, kui neid tuvastatakse. Kasutaja ei pea viirusetõrje tarkvara ise installima ega selle eest tasuma. ESET Drive Security on eelnevalt installitud mälupulgale koos viieaastase litsentsiga.

Kingston DT Vault Privacy 3.0 on loodud ja suunatud peamiselt IT-spetsialistidele. See võimaldab administraatoritel kasutada seda kui iseseisvat mälupulka või lisada see osana tsentraliseeritud halduslahendusest ning seda saab kasutada ka paroolide seadistamiseks või kauglähtestamiseks ning seadmete poliitikate kohandamiseks. Kingston on isegi lisanud USB 3.0, mis võimaldab kaitstud andmete edastamist palju kiiremini kui USB 2.0 kaudu.

Kokkuvõttes on DT Vault Privacy 3.0 suurepärane valik äriosakondadele ja organisatsioonidele, kes vajavad oma andmete maksimaalset kaitset. Samuti soovitame seda kõigile kasutajatele, kes kasutavad arvuteid, mis asuvad avalikes võrkudes.

Detaileeritud teabe saamiseks Kingston'i toodete kohta pöörduge ettevõtte ametlikule veebisaidile.

Allikas: habr.com