Miks on vaja riistvaraliselt krüpteeritud mälupulkasid?

Tere, Habr! Ühes meie flash-mäluseadmete kohta käivas materjalis esitasid lugejad huvitava küsimuse: “Miks on vajalik riistvaraliselt krüpteeritud USB-mälupulk, kui on olemas TrueCrypt?”, – ja väljendasid isegi muret selle üle, “Kuidas veenduda, et Kingston'i mäluseadmest leitud tarkvaras ja riistvaraosas pole tagavarasid?”. Me vastasime neile küsimustele lühidalt, kuid otsustasime, et teema väärib põhjalikku käsitlemist. Sellega tegeleme selles postituses.

AES-riistvaraline krüptimine, nagu ka programmiline, on juba ammu olemas, kuid kuidas täpselt see kaitseb olulisi andmeid USB-mäluseadmetes? Kes sertifitseerib selliseid mäluseadeid, ja kas nendele sertifikaatidele võib usaldada? Kellele on vajalikud sellised “keerulised” mälupulgad, kui saab kasutada tasuta programme nagu TrueCrypt või BitLocker. Nagu näete, tekitab kommentaarides esitatud teema tõeliselt palju küsimusi. Proovime nendega kõikide välja selgitada.

Kuidas erineb riistvaraline krüptimine programmilisest?

USB-mälude (ja HDD-de ning SSD-de) puhul kasutatakse andmete riistvara krüptimiseks seadme trükiplaati paigaldatud spetsiaalset kiipi. Sellel on sisseehitatud juhuslike arvude generaator, mis loob krüpteerimise võtmed. Andmed krüpteeritakse automaatselt ja dekodeeritakse hetkega kasutaja parooli sisestamisel. Sellises olukorras on peaaegu võimatu andmetele ilma paroolita ligi pääseda.

Programmilise krüptimise korral tagab mäluseadmest andmete “lukustamine” väline tarkvara, mis on odav alternatiiv riistvaralistele krüpteerimismeetoditele. Selliste programmide puudused võivad seisneda lihtsas nõudmises regulaarseteks uuendusteks, et tagada vastupidavust pidevalt arenevatesse häkkimistehnikatesse. Lisaks kasutatakse andmete dekodeerimiseks arvutiprotsessori jõudlust (mitte eraldi riistvarakiipi), ja sisuliselt määrab arvuti kaitsetase ka mäluseadmest välja saadud kaitse taseme.

Sarnane tehnoloogia, mille abil andmesalvestus seadmetel on riistvara krüpteerimise tugi, sisaldab eraldi krüptograafilist protsessorit. See tähendab, et krüpteerimisvõtmed ei lahku kunagi USB-mälupulgast, erinevalt tarkvaralisest krüpteerimisest, mis võib ajutiselt hoida võtmeid arvuti operatiivmälu või kõvakettal. Kuna tarkvaraline krüpteerimine kasutab PC mälu, et talletada sisselogimise katsete arvu, ei suuda see takistada jõhkrate jõhkrate rünnete tegemist paroolile või võtmele. Sisselogimise katsete loendurit saab pidevalt lähtestada ründaja, kuni paroolide automaatne murranguline programm leiab õige kombinatsiooni.

Muide…, artiklis “Kingston DataTraveler: uus põlvkond turvalisi mälupulki” on kasutajad samuti märkinud, et näiteks TrueCryptil on kaasaskantav töörežiim. Siiski ei ole see suur eelis. Probleem on selles, et sel juhul talletatakse krüpteerimise programm mälupulga mälus, muutes selle rünnakute suhtes haavatavamaks.

Kokkuvõtteks: tarkvaraline lähenemine ei paku sama kõrget turvalisuse taset nagu AES-krüpteerimine. See on pigem algetapp kaitseks. Teisest küljest on tarkvaraline krüpteerimine oluliste andmete jaoks siiski parem kui üldse krüpteerimise puudumine. See fakt võimaldab meil selgelt eristada neid kahte krüptograafia tüüpi: riistvara krüpteerimine mälupulkade jaoks on vajalik pigem ettevõtete sektoris (näiteks kui töötajad kasutavad tööl välja antud mälupulkasid); samas, tarkvaraline krüpteerimine sobib rohkem kasutajate vajaduste jaoks.

Siiski, Kingston jagab oma mäluseadmete mudeleid (nt IronKey S1000) versioonideks Basic (baas) ja Enterprise (ettevõte). Funktsionaalsuse ja turvafunktsioonide osas on need omavahel praktiliselt identsed, kuid ettevõtte versioon pakub võimalust hallata mäluseadet SoftConsole/IronKey EMS kaudu. Tänu sellele tarkvarale töötab mäluseade kas pilveteenuste või lokaalsete serveritega, et kaugjuhtimise abil rakendada paroolikaitse ja juurdepääsu poliitikaid. Kasutajatele on seejuures tagatud kadunud paroolide taastamise võimalused, samas kui administraatoritel on võimalus suunata enam mittekasutatavad mäluseadmed uutele ülesannetele.

Kuidas töötavad Kingston'i mälupulgad AES-šifreerimisega?

Kingston kasutab kõigis oma turvamälupulkades 256-bitist riistvaralist AES-XTS-šifreerimist (kasutades täiendavat täismõõtmelist võtit). Nagu eelnevalt mainitud, sisaldavad mälupulgad oma komponentide seadmes eraldi kiipi andmete šifreerimiseks ja dešifreerimiseks, mis tegelikult toimib pideva juhuslike numbrite generaatorina.

Kui ühendate seadme esmakordselt USB-porti, pakub seadistuse alguse meistrivõti teile võimalust seada seadme juurdepääsuks meistriparool. Pärast seadme aktiveerimist hakkavad šifreerimisalgoritmid automaatselt tööle vastavalt kasutaja eelistustele.

Kasutaja jaoks jääb USB-mälupulga tööpõhimõte samaks – ta saab ikkagi faile seadme mällu laadida ja salvestada nagu tavalise USB-mälupulgaga. Ainus erinevus on see, et kui ühendate mälupulga uue arvutiga, peate sisestama seatud parooli, et saada juurdepääs oma teabele.

Miks ja kellele on vajalikud riistvara šifreerimisega mälupulgad?

Organisatsioonides, kus konfidentsiaalne teave on äriprotsesside osa (olgu need siis finants-, meditsiini- või riigiasutused), on šifreerimine kõige usaldusväärsem kaitsevahend. Selles mõttes sobivad 256-bitise toetusega mälupulgad ideaalselt. AES-i riistvara krüptimine on skaleeritav lahendus, mida saavad kasutada kõik ettevõtted: alates eraüksustest ja väikeettevõtetest kuni suurte korporatsioonide, samuti sõjaväe ja valitsusasutusteni. Kui arvestada seda küsimust veidi konkreetselt, on krüpteeritud USB-mälupulkade kasutamine hädavajalik:

• Ettevõtte konfidentsiaalsete andmete kaitsmiseks
• Kliendi teabe kaitsmiseks
• Ettevõtete kaitsmiseks kasumi ja klientide usaldusväärsuse kaotamise eest

Oluline on märkida, et mõned kaitstud mälupulkade tootjad (sh Kingston) pakuvad ettevõtetele kohandatud lahendusi, mis on välja töötatud tellijate vajaduste ja ülesannete järgi. Kuid ka massilised tootesarjad (sealhulgas DataTraveler mälupulgad) täidavad oma ülesandeid suurepäraselt ja suudavad tagada ettevõtete klassi turvalisuse.

1. Ettevõtte konfidentsiaalsete andmete kaitsmine

2017. aastal leidis Londoni elanik ühes pargis USB-mälupulga, millel oli paroleta andmeid Heathrow lennujaama turvalisusest, sealhulgas jälgimiskaamerate asukohti ja üksikasjalikku teavet turvameetmete kohta kõrgete ametnike saabumise puhul. Samuti olid mälupulgal andmed elektrooniliste pääsmete ja ligipääsukoodide kohta sulgemiseks mõeldud piirkondadesse lennujaamas.

Analüütikud peavad selliste olukordade põhjuseks ettevõtete töötajate küberturvalisuse teadlikkuse puudumist, kes võivad oma hooletuse tõttu "lekitada" salajasi andmeid. Riistvara krüptimisega mälupulgad lahendavad osaliselt selle probleemi, sest sellise mälupulga kadumisel ei saa andmetele ligi ilma sama ettevõtte turvatöötaja meistri paroolita. Igal juhul ei muuda see seda, et töötajaid tuleb õpetada mälupulkade kasutamisel, isegi kui jutt on krüptimisega kaitstud seadmetest.

2. Kliendi teabe kaitsmiseks

Iga olulisem ülesanne igas organisatsioonis on hoolitseda kliendiandmete eest, mis ei tohi olla kompromiteeritud. Just see teave liigub kõige sagedamini erinevate äritesektorite vahel ja on tavaliselt konfidentsiaalne: näiteks võib see sisaldada andmeid rahaliste tehingute, haiguse ajaloo jne kohta.

3. Kaitse kasumi ja klientide lojaalsuse kadumise eest

Riistvaraga krüpteeritud USB-seadmete kasutamine võib aidata vältida organisatsioonidele hävitavaid tagajärgi. Isikuandmete kaitse seaduse rikkumise korral võivad ettevõtted saada suuri trahve. Seega tuleb endalt küsida, kas tasub võtta riski teabe vahetamiseks ilma nõuetekohase kaitseta?

Isegi kui ignoreerida rahalisi tagajärgi, võib turvavigade parandamiseks kulutatud aja ja ressursside hulk olla sama suur. Lisaks, kui andmeleke on kompromiteerinud kliendiandmeid, riskib ettevõte brändi lojaalsuse kaotamisega, eriti turgudel, kus konkurendid pakuvad sarnaseid tooteid või teenuseid.

Kes garanteerib, et tootja ei ole jätnud „tagavarasid” riistvaraga krüpteeritud mälupulkadesse?

Küsimus, mille tõstatasime, on ilmselt üks olulisemaid. Kingston DataTraveler'i salvestusseadmete artikli kommentaaridesse sattus veel üks huvitav küsimus: „Kas teie seadmetel on sõltumatute ekspertide audit?” Jah, see on täiesti mõistlik huvi: kasutajad soovivad veenduda, et meie USB-mäluseadmetes ei esine levinud vigu, nagu nõrk krüptimine või võimalus parooli sisestamisest vältida. Ja selle artikli osas räägime, millist sertifitseerimisprotseduuri läbivad Kingston'i mäluseadmed, enne kui need saavad tõeliselt turvaliste mälupulkade staatuse.

Kes garantii usaldusväärsuse tagab? Tundub, et võiksime öelda, et "Kingston valmistas – nemad ka garantii annavad". Kuid antud juhul oleks selline väide vale, kuna tootja on huvitatud osaline. Seetõttu läbivad kõik tooted kolmandate osapoolte testimise sõltumatute ekspertide poolt. Eelkõige on Kingston'i seadmed, mis on varustatud riistvaralise krüptimisega (välja arvatud DTLPG3), osalised krüptograafiliste moodulite valideerimise programmis (Cryptographic Module Validation Program või CMVP) ja sertifitseeritud föderaalse teabe töötlemise standardi (Federal Information Processing Standard või FIPS) järgi. Samuti sertifitseeritakse seadmeid GLBA, HIPPA, HITECH, PCI ja GTSA standardite kohaselt.

1. Krüptograafiliste moodulite valideerimise programm

CMVP programm on USA Kaubandusministeeriumi Rahvusliku Standardite ja Tehnoloogia Instituudi ning Kanada Küberturbe Keskuse ühine projekt. Projekti eesmärk on suurendada nõudlust testitud krüptograafiliste seadmete järele ning pakkuda föderaalsele valitsusele ja reguleeritud tööstusharudele (nagu finants- ja meditsiinitööstus) ohutuse näitajaid, mida nad kasutavad varustuse soetamisel.

Seadmete testimine krüptograafiliste ja turvanõuete täitmise osas toimub sõltumatutes krüptograafia ja turvatestimise laborites, mis on akrediteeritud NVLAP (National Voluntary Laboratory Accreditation Program / „Rahvuslik vabatahtlik laboratoorsete akrediteerimise programm"). Iga laboratoorse aruande vastavust Föderaalsele teabe töötlemise standardile (FIPS) 140-2 kuvatakse ja kinnitatakse CMVP kaudu.

Moodulid, mis on kinnitatud vastavaks FIPS 140-2 standardile, on soovitatavad USA ja Kanada föderaalseid asutustele kuni 22. septembrini 2026. Pärast seda kantakse nad arhiivilisti, kuid neid tohib endiselt kasutada. 22. septembril 2020 lõppes taotluste vastuvõtt FIPS 140-3 standardi valideerimiseks. Pärast testide läbimist liiguvad seadmed viieks aastaks aktiivsete sertifitseeritud ja usaldusväärsete seadmete nimekirja. Kui krüptograafiline seade testimist ei läbi, ei soovitata selle kasutamist USA ja Kanada ametiasutustes.

2. Millised turvanõuded on FIPS-lt kehtestatud?

Andmete häkkimine isegi mitte-sertifitseeritud krüpteeritud kettalt on keeruline ja ainult väheste võimuses, seetõttu ei pea koduseks kasutamiseks tarbijakettaste valimisel sertifitseerimisele väga tähelepanu pöörama. Kuid ettevõttesektor on teistsugune: valides kaitstud USB-mälupulgad, pööravad ettevõtted sageli tähelepanu FIPSi sertifitseerimistasemetele. Siiski ei ole kõikidel selget arusaama, mida need tasemed tähendavad.

Praegune FIPS 140-2 standard määratleb neli erinevat turvataset, millega USB-mälupulgad võivad vastata. Esimene tase pakub mõõdukat turvafunktsioonide kogumit. Neljas tase eeldab ranged nõuded seadmete enesekaitsele. Teised kaks taset tagavad nende nõuete gradatsiooni ja moodustavad teatud kuldse kesktee.

1. Esimene turvaseade: USB-mälupulgad, mis on sertifitseeritud esimesel tasemel, eeldavad vähemalt ühe krüpteerimisalgoritmi või muu turvafunktsiooni kasutamist.
2. Teine turvaseade: siin eeldatakse, et mälupulk mitte ainult ei taga krüptograafilist kaitset, vaid dokumenteerib ka mitteseaduslikke sissetunge mikroprogrammeerimistasemel, kui keegi püüab mälupulka avada.
3. Kolmas turvaseade: nõuab häkkimise ennetamist „võtmete” hävitamise kaudu. See tähendab, et nõutakse reageerimist sissetungimiskatsetele. Kolmas tase garanteerib ka kõrgema taseme kaitse elektromagnetiliste häirete eest: seega ei suuda andmeid mälupulgalt lugeda, kasutades traadita häkkimise seadmeid.
4. Neljas turvaseade: kõrgeim tase, mis hõlmab täielikku krüptograafilise mooduli kaitset, tagades maksimaalse tõenäosuse tuvastada ja takistada mistahes seadusliku juurdepääsu katset sõltumatult kasutajalt. Neljanda taseme sertifikaadi saanud mälupulgad sisaldavad ka selliseid kaitsefunktsioone, mis takistavad häkkimist pingete ja ümbritseva temperatuurimuutuse kaudu.

FIPS 140-2 kolmanda taseme sertifikaadi kohaselt on järgmised Kingstoni salvestusseadmestikud: DataTraveler DT2000, DataTraveler DT4000G2, IronKey S1000, IronKey D300. Nende salvestusseadmestiku peamine omadus on reageerida sissetungimisnäol: pärast 10 vale parooli sisestamist kustutatakse andmed seadmest.

Mis muud oskused on Kingstoni mälupulkadel peale krüpteerimise?

Kui jutt on andmete täisturvalisusest, on riistvarakrüpteeringute kõrval mälupulkadele abiks sisseehitatud viirusetõrjed, kaitse väliste mõjude eest, sünkroneerimine isiklike pilvteenustega ja muud funktsioonid, millest räägime allpool. Tarkvarakrüpteeringuga mälupulkade vahel ei ole suurt erinevust. 'Kuradi' detailid on olulised. Ja siin on need.

1. Kingston DataTraveler 2000

Võtame näiteks USB-mälupulga Kingston DataTraveler 2000. See on üks riistvarakrüpteeringuga mälupulkadest, kuid ainus, millel on korpusel oma füüsiline klaviatuur. See 11-nupuline klaviatuur muudab DT2000 täielikult sõltumatuks host-süsteemidest (DataTraveler 2000 kasutamiseks peate vajutama nuppu 'Võti', seejärel sisestama oma parooli ja uuesti vajutama nuppu 'Võti'). Lisaks on sellel seadmel IP57 kaitseklass vee ja tolmu eest (üllatavalt, Kingston ei teata sellest kuskil ei pakendil ega ametlikul veebilehel).

DataTraveler 2000 sees on liitium-polümeer aku (mahutavus 40 mAh) ning Kingston soovitab klientidel ühendada seade USB-porti vähemalt üheks tunniks enne selle kasutamist, et aku saaks laadida. Muide, ühes eelnevas materjalis rääkisime, mis juhtub mälupulgaga, mida laaditakse välistest akudest: muretsemiseks pole põhjust - laadimisseadmest ei aktiveeru mälupulk, kuna süsteemilt ei tule päringuid kontrollerile. Seetõttu ei saa keegi teie andmeid varastada traadita sissetungimise kaudu.

2. Kingston DataTraveler Locker+ G3

Kui rääkida mudelist Kingston DataTraveler Locker+ G3 – see tõmbab tähelepanu võimalusega seadistada andmete varundamine mälupulgalt Google'i pilvesalvestusse, OneDrive'i, Amazon Cloudi või Dropboxi. Andmete synhroneerimine nende teenustega on samuti ette nähtud.

Üks küsimus, mida meie lugejad meilt küsivad, on: “Kuidas võtta krüpteeritud andmeid varukoopiast?”. Väga lihtsalt. Asi on nimelt selles, et pilves sünkroniseerimise ajal dekrüpteeritakse teave ja varukoopia kaitse pilves sõltub selle pilve võimalustest. Seetõttu viiakse sellised protseduurid läbi eranditult kasutaja otsusel. Ilma tema nõusolekuta ei toimu andmete laadimist pilve.

3. Kingston DataTraveler Vault Privacy 3.0

Siin on Kingston seadmed DataTraveler Vault Privacy 3.0 töötavad ka koos ESETi Drive Security sisseehitatud viirusetõrjega. Viimane kaitseb andmeid viiruste, nuhkvara, troojade, „usside“, rootkit'ide sissetungi eest USB-mäludesse ning muretu ühendamine teiste arvutitega on samuti tagatud. Viirusetõrje hoiatab mäluseadmest omanikku potentsiaalsete ohtude kohta, kui neid avastatakse. Samuti ei pea kasutaja viirusetõrje tarkvara ise installima ja selle eest maksma. ESET Drive Security on eelnevalt installitud mälupulgale viieaastase litsentsiga.

Kingston DT Vault Privacy 3.0 on loodud ja sihitud peamiselt IT-spetsialistidele. See võimaldab administraatoritel kasutada seda kui iseseisvat mäluseadet või lisada seda keskse haldamise lahenduse osana, samuti võib seda kasutada paroolide seadistamiseks või kaugresetiks ning seadmete poliitikate seadmiseks. Kingston on isegi lisanud USB 3.0, mis võimaldab kaitstud andmete edastamist palju kiiremini kui USB 2.0 kaudu.

Kokkuvõttes on DT Vault Privacy 3.0 suurepärane valik ettevõtete sektorile ja organisatsioonidele, kellel on vajalik maksimaalne andmekaitse. Samuti soovitame seda kõigile kasutajatele, kes töötavad arvutitega avalikes võrkudes.

Kingstoni toodete kohta lisainformatsiooni saamiseks võtke ühendust ettevõtte ametliku veebisaidiga.

Allikas: habr.com