למה אנחנו צריכים כונני הבזק עם הצפנת חומרה?

שלום, הבר! בתגובות לאחד שלנו חומרים על כונני הבזק הקוראים שאלו שאלה מעניינת: "מדוע אתה צריך כונן הבזק עם הצפנת חומרה כאשר TrueCrypt זמין?" - ואפילו הביעו כמה חששות לגבי "איך אתה יכול לוודא שאין סימניות בתוכנה ובחומרה של כונן קינגסטון ?" ענינו על השאלות הללו בתמציתיות, אבל אז החלטנו שהנושא ראוי לניתוח יסודי. זה מה שנעשה בפוסט הזה.

הצפנת חומרה AES, כמו הצפנת תוכנה, קיימת כבר זמן רב, אבל איך בדיוק היא מגינה על נתונים רגישים בכונני הבזק? מי מאשר כוננים כאלה, והאם ניתן לסמוך על הסמכות אלה? מי צריך כונני הבזק "מורכבים" כאלה אם אתה יכול להשתמש בתוכנות חינמיות כמו TrueCrypt או BitLocker. כפי שאתה יכול לראות, הנושא שנשאל בתגובות באמת מעלה הרבה שאלות. בואו ננסה להבין הכל.

במה שונה הצפנת חומרה מהצפנת תוכנה?

במקרה של כונני הבזק (כמו גם כונני HDD ו-SSD), שבב מיוחד הממוקם על לוח המעגלים של המכשיר משמש ליישם הצפנת נתוני חומרה. יש לו מחולל מספרים אקראיים מובנה שמייצר מפתחות הצפנה. הנתונים מוצפנים אוטומטית ומפוענחים באופן מיידי כאשר אתה מזין את סיסמת המשתמש שלך. בתרחיש זה, כמעט בלתי אפשרי לגשת לנתונים ללא סיסמה.

בעת שימוש בהצפנת תוכנה, "נעילת" הנתונים בכונן מסופקת על ידי תוכנה חיצונית, המשמשת כחלופה זולה לשיטות הצפנת חומרה. החסרונות של תוכנה כזו עשויים לכלול את הדרישה הבנאלית לעדכונים קבועים על מנת להציע התנגדות לטכניקות פריצה המשתפרות. בנוסף, הכוח של תהליך מחשב (ולא שבב חומרה נפרד) משמש לפענוח נתונים, ולמעשה, רמת ההגנה של המחשב האישי קובעת את רמת ההגנה של הכונן.

המאפיין העיקרי של כוננים עם הצפנת חומרה הוא מעבד הצפנה נפרד, שנוכחותו מספרת לנו שמפתחות הצפנה לעולם אינם עוזבים את כונן ה-USB, בניגוד למפתחות תוכנה שניתן לאחסן זמנית ב-RAM או בכונן הקשיח של המחשב. ומכיוון שהצפנת תוכנה משתמשת בזיכרון המחשב כדי לאחסן את מספר ניסיונות הכניסה, היא לא יכולה לעצור התקפות גסות על סיסמה או מפתח. מונה ניסיונות הכניסה יכול להתאפס באופן רציף על ידי תוקף עד שתוכנית פיצוח הסיסמאות האוטומטית תמצא את השילוב הרצוי.

אגב..., בתגובות לכתבה “Kingston DataTraveler: דור חדש של כונני הבזק מאובטחים"משתמשים גם ציינו כי, למשל, לתוכנית TrueCrypt יש מצב הפעלה נייד. עם זאת, זה לא יתרון גדול. העובדה היא שבמקרה זה תוכנית ההצפנה מאוחסנת בזיכרון של כונן ההבזק, וזה הופך אותה לפגיעה יותר להתקפות.

בשורה התחתונה: גישת התוכנה אינה מספקת רמת אבטחה גבוהה כמו הצפנת AES. זה יותר הגנה בסיסית. מצד שני, הצפנת תוכנה של נתונים חשובים עדיין עדיפה על חוסר הצפנה כלל. ועובדה זו מאפשרת לנו להבחין בבירור בין סוגי הצפנה אלה: הצפנת חומרה של כונני הבזק היא הכרח, במקום זאת, עבור המגזר הארגוני (למשל, כאשר עובדי החברה משתמשים בכוננים שהונפקו בעבודה); ותוכנה מתאימה יותר לצרכי המשתמש.

עם זאת, קינגסטון מחלק את דגמי הכונן שלה (לדוגמה, IronKey S1000) לגרסאות Basic ו-Enterprise. מבחינת פונקציונליות ומאפייני הגנה, הם כמעט זהים זה לזה, אך הגרסה הארגונית מציעה את היכולת לנהל את הכונן באמצעות תוכנת SafeConsole/IronKey EMS. עם תוכנה זו, הכונן עובד עם שרתים בענן או מקומיים כדי לאכוף מרחוק מדיניות הגנת סיסמאות וגישה. למשתמשים ניתנת ההזדמנות לשחזר סיסמאות שאבדו, ומנהלי מערכת יכולים להחליף כוננים שאינם בשימוש עוד למשימות חדשות.

כיצד פועלים כונני הבזק של Kingston עם הצפנת AES?

קינגסטון משתמש בהצפנת חומרה של 256 סיביות AES-XTS (באמצעות מפתח אופציונלי באורך מלא) עבור כל הכוננים המאובטחים שלה. כפי שציינו לעיל, כונני הבזק מכילים בבסיס הרכיבים שלהם שבב נפרד להצפנה ופענוח נתונים, הפועל כמחולל מספרים אקראיים פעיל כל הזמן.

כאשר אתה מחבר התקן ליציאת USB בפעם הראשונה, אשף הגדרת האתחול יבקש ממך להגדיר סיסמת אב כדי לגשת למכשיר. לאחר הפעלת הכונן, אלגוריתמי ההצפנה יתחילו לפעול באופן אוטומטי בהתאם להעדפות המשתמש.

יחד עם זאת, עבור המשתמש, עקרון הפעולה של כונן הבזק יישאר ללא שינוי - הוא עדיין יוכל להוריד ולהציב קבצים בזיכרון המכשיר, כמו בעבודה עם כונן הבזק מסוג USB רגיל. ההבדל היחיד הוא שכאשר אתה מחבר את כונן הבזק למחשב חדש, תצטרך להזין את הסיסמה המוגדרת כדי לקבל גישה למידע שלך.

למה ומי צריך כונני הבזק עם הצפנת חומרה?

עבור ארגונים שבהם נתונים רגישים הם חלק מהעסק (בין אם פיננסי, בריאות או ממשלתי), הצפנה היא אמצעי ההגנה המהימן ביותר. בהקשר זה, כונני הבזק התומכים ב-256 סיביות הצפנת חומרה של AES היא פתרון שניתן להרחבה שיכול לשמש כל חברה: מיחידים ועסקים קטנים ועד לתאגידים גדולים, כמו גם ארגונים צבאיים וממשלתיים. כדי להסתכל על בעיה זו קצת יותר ספציפית, יש צורך להשתמש בכונני USB מוצפנים:

• כדי להבטיח את אבטחת נתוני החברה הסודיים
• כדי להגן על פרטי הלקוח
• להגן על חברות מפני אובדן רווחים ונאמנות לקוחות

ראוי לציין שחלק מהיצרנים של כונני הבזק מאובטחים (כולל Kingston) מספקים לתאגידים פתרונות מותאמים אישית שנועדו לענות על הצרכים והיעדים של הלקוחות. אבל הקווים בייצור המוני (כולל כונני הבזק של DataTraveler) מתמודדים עם המשימות שלהם בצורה מושלמת ומסוגלים לספק אבטחה ברמה ארגונית.

1. הבטחת אבטחת נתוני החברה הסודיים

בשנת 2017 גילה תושב לונדון כונן USB באחד הפארקים שהכיל מידע שאינו מוגן באמצעות סיסמה הקשור לאבטחת נמל התעופה הית'רו, כולל מיקום מצלמות מעקב ומידע מפורט על אמצעי אבטחה במקרה של הגעת פקידים בכירים. כונן ההבזק הכיל גם נתונים על כרטיסים אלקטרוניים וקודי גישה לאזורים מוגבלים בשדה התעופה.

אנליסטים אומרים שהסיבה למצבים כאלה היא אנאלפביתיות סייבר של עובדי החברה, שיכולים "להדליף" נתונים סודיים ברשלנות שלהם. כונני פלאש עם הצפנת חומרה פותרים את הבעיה הזו באופן חלקי, מכיוון שאם כונן כזה יאבד, לא תוכל לגשת לנתונים שעליו ללא סיסמת האב של אותו קצין אבטחה. בכל מקרה, זה לא שולל את העובדה שיש להכשיר את העובדים להתמודד עם כונני הבזק, גם אם אנחנו מדברים על מכשירים מוגנים בהצפנה.

2. הגנה על פרטי הלקוח

משימה חשובה עוד יותר עבור כל ארגון היא לדאוג לנתוני לקוחות, אשר לא אמורים להיות נתונים לסיכון של פשרה. אגב, המידע הזה הוא שמועבר לרוב בין מגזרים עסקיים שונים וככלל הוא חסוי: למשל, הוא עשוי להכיל נתונים על עסקאות פיננסיות, היסטוריה רפואית וכו'.

3. הגנה מפני אובדן רווח ונאמנות לקוחות

שימוש בהתקני USB עם הצפנת חומרה יכול לסייע במניעת השלכות הרסניות עבור ארגונים. חברות המפרות את חוקי הגנת מידע אישי עלולות להיקנס בסכומים גבוהים. לכן, יש לשאול את השאלה: האם כדאי לקחת את הסיכון בשיתוף מידע ללא הגנה מתאימה?

גם בלי לקחת בחשבון את ההשפעה הכספית, כמות הזמן והמשאבים המושקעים בתיקון באגי אבטחה שמתרחשים יכולים להיות משמעותיים באותה מידה. בנוסף, אם הפרת מידע פוגעת בנתוני לקוחות, החברה מסתכנת בנאמנות למותג, במיוחד בשווקים שבהם יש מתחרים המציעים מוצר או שירות דומים.

מי מבטיח היעדר "סימניות" מהיצרן בעת ​​שימוש בכונני הבזק עם הצפנת חומרה?

בנושא שהעלינו, השאלה הזו היא אולי אחת המרכזיות שבהן. בין ההערות למאמר על כונני Kingston DataTraveler, נתקלנו בשאלה מעניינת נוספת: "האם למכשירים שלך יש ביקורות ממומחים בלתי תלויים של צד שלישי?" ובכן... זה עניין הגיוני: משתמשים רוצים לוודא שכונני ה-USB שלנו לא מכילים שגיאות נפוצות, כמו הצפנה חלשה או היכולת לעקוף את הזנת הסיסמה. ובחלק זה של המאמר נדבר על אילו הליכי הסמכה עוברים כונני קינגסטון לפני קבלת הסטטוס של כונני הבזק בטוחים באמת.

מי מבטיח אמינות? נראה שנוכל לומר ש"קינגסטון עשה את זה - זה מבטיח את זה." אבל במקרה זה, הצהרה כזו תהיה לא נכונה, שכן היצרן הוא צד מעוניין. לכן, כל המוצרים נבדקים על ידי צד שלישי עם מומחיות בלתי תלויה. בפרט, כוננים מוצפנים בחומרה של קינגסטון (למעט DTLPG3) הם משתתפים בתוכנית אימות המודול הקריפטוגרפי (CMVP) ומוסמכים ל-Federal Information Processing Standard (FIPS). הכוננים מאושרים גם לפי תקני GLBA, HIPPA, HITECH, PCI ו-GTSA.

1. תוכנית אימות מודול קריפטוגרפי

תוכנית CMVP היא פרויקט משותף של המכון הלאומי לתקנים וטכנולוגיה של משרד המסחר האמריקאי ומרכז אבטחת הסייבר הקנדי. מטרת הפרויקט היא לעורר ביקוש למכשירי הצפנה מוכחים ולספק מדדי אבטחה לסוכנויות פדרליות ולתעשיות מוסדרות (כגון מוסדות פיננסיים ובריאות) המשמשים ברכש ציוד.

המכשירים נבדקים מול סדרה של דרישות הצפנה ואבטחה על ידי מעבדות קריפטוגרפיה ובדיקות אבטחה עצמאיות המוסמכות על ידי התוכנית הלאומית להסמכת מעבדות וולונטריות (NVLAP). במקביל, כל דוח מעבדה נבדק על עמידה בתקן הפדרלי לעיבוד מידע (FIPS) 140-2 ומאושר על ידי CMVP.

מודולים שאומתו כתואמי FIPS 140-2 מומלצים לשימוש על ידי סוכנויות פדרליות בארה"ב וקנדה עד ה-22 בספטמבר 2026. לאחר מכן, הם ייכללו ברשימת הארכיון, אם כי עדיין ניתן יהיה להשתמש בהם. ב-22 בספטמבר 2020 הסתיימה קבלת בקשות לאימות לפי תקן FIPS 140-3. לאחר שהמכשירים יעברו את הבדיקות, הם יועברו לרשימה הפעילה של מכשירים שנבדקו ומהימנים למשך חמש שנים. אם מכשיר הצפנה אינו עובר אימות, השימוש בו בסוכנויות ממשלתיות בארצות הברית ובקנדה אינו מומלץ.

2. אילו דרישות אבטחה מטיל הסמכת FIPS?

פריצת נתונים אפילו מכונן מוצפן לא מאושר היא קשה ומעט אנשים יכולים לעשות זאת, כך שכאשר בוחרים כונן צרכני לשימוש ביתי עם הסמכה, אינך צריך לטרוח. במגזר הארגוני, המצב שונה: בבחירת כונני USB מאובטחים, חברות מייחסות לא פעם חשיבות לרמות הסמכה של FIPS. עם זאת, לא לכולם יש מושג ברור מה המשמעות של רמות אלה.

תקן FIPS 140-2 הנוכחי מגדיר ארבע רמות אבטחה שונות שבהן כונני הבזק יכולים לעמוד. הרמה הראשונה מספקת קבוצה מתונה של תכונות אבטחה. הרמה הרביעית מרמזת על דרישות קפדניות להגנה עצמית של מכשירים. רמות שתיים ושלוש מספקות הדרגתיות של הדרישות הללו ויוצרות מעין אמצעי זהב.

1. אבטחה ברמה XNUMX: כונני USB מאושרים ברמה XNUMX דורשים לפחות אלגוריתם הצפנה אחד או תכונת אבטחה אחרת.
2. רמת האבטחה השנייה: כאן הכונן נדרש לא רק לספק הגנה קריפטוגרפית, אלא גם לזהות פריצות לא מורשות ברמת הקושחה אם מישהו ינסה לפתוח את הכונן.
3. רמת האבטחה השלישית: כוללת מניעת פריצה על ידי השמדת "מפתחות" הצפנה. כלומר, נדרשת תגובה לניסיונות חדירה. כמו כן, הרמה השלישית מבטיחה רמה גבוהה יותר של הגנה מפני הפרעות אלקטרומגנטיות: כלומר, קריאת נתונים מכונן הבזק באמצעות התקני פריצה אלחוטיים לא תעבוד.
4. רמת האבטחה הרביעית: הרמה הגבוהה ביותר, הכוללת הגנה מלאה על מודול ההצפנה, המספק את ההסתברות המקסימלית של זיהוי ונגד לכל ניסיונות גישה לא מורשית של משתמש לא מורשה. כונני פלאש שקיבלו תעודה ברמה רביעית כוללים גם אפשרויות הגנה שאינן מאפשרות פריצה על ידי שינוי המתח וטמפרטורת הסביבה.

כונני Kingston הבאים מאושרים לפי FIPS 140-2 רמה 2000: DataTraveler DT4000, DataTraveler DT2G1000, IronKey S300, IronKey D10. המאפיין המרכזי של כוננים אלה הוא היכולת שלהם להגיב לניסיון חדירה: אם הסיסמה מוזנת בצורה שגויה XNUMX פעמים, הנתונים בכונן יושמדו.

מה עוד יכולים כונני הבזק של קינגסטון לעשות מלבד הצפנה?

כשמדובר באבטחת נתונים מלאה, יחד עם הצפנת חומרה של כונני הבזק, אנטי וירוסים מובנים, הגנה מפני השפעות חיצוניות, סנכרון עם עננים אישיים ותכונות נוספות שעליהן נדון בהמשך באים להצלה. אין הבדל גדול בכונני הבזק עם הצפנת תוכנה. השטן נמצא בפרטים. והנה מה.

1. Kingston DataTraveler 2000

ניקח לדוגמא כונן USB. קינגסטון DataTraveler 2000. זהו אחד מכונני הבזק עם הצפנת חומרה, אך יחד עם זאת היחיד עם מקלדת פיזית משלו על המארז. לוח מקשים זה בעל 11 לחצנים הופך את ה-DT2000 לבלתי תלוי לחלוטין במערכות מארחות (כדי להשתמש ב-DataTraveler 2000, עליך ללחוץ על כפתור המפתח, לאחר מכן להזין את הסיסמה שלך, וללחוץ שוב על כפתור המפתח). בנוסף, לכונן הבזק הזה יש דרגת הגנה IP57 מפני מים ואבק (באופן מפתיע, קינגסטון לא מציינת זאת בשום מקום לא על האריזה ולא במפרט באתר הרשמי).

יש סוללת ליתיום פולימר בקיבולת 2000mAh בתוך ה-DataTraveler 40, וקינגסטון ממליצה לקונים לחבר את הכונן ליציאת USB לפחות שעה לפני השימוש בו כדי לאפשר לסוללה להיטען. אגב, באחד החומרים הקודמים סיפרנו לך מה קורה לכונן הבזק שנטען מבנק כוח: אין סיבה לדאגה - כונן הבזק לא מופעל במטען כי אין פניות לבקר על ידי המערכת. לכן, אף אחד לא יגנוב את הנתונים שלך באמצעות פריצות אלחוטיות.

2. Kingston DataTraveler Locker+ G3

אם נדבר על דגם קינגסטון DataTraveler Locker+ G3 - זה מושך תשומת לב עם היכולת להגדיר גיבוי נתונים מכונן הבזק לאחסון ענן של Google, OneDrive, Amazon Cloud או Dropbox. ניתן גם סנכרון נתונים עם שירותים אלה.

אחת השאלות שהקוראים שלנו שואלים אותנו היא: "אבל איך לקחת נתונים מוצפנים מגיבוי?" פשוט מאוד. העובדה היא שכאשר מסתנכרנים עם הענן, המידע מפוענח, וההגנה על הגיבוי בענן תלויה ביכולות הענן עצמו. לכן, נהלים כאלה מבוצעים אך ורק על פי שיקול דעתו של המשתמש. ללא רשותו, לא יועלו נתונים לענן.

3. Kingston DataTraveler Vault Privacy 3.0

אבל מכשירי קינגסטון DataTraveler Vault Privacy 3.0 הם מגיעים גם עם אנטי וירוס Drive Security מובנה מבית ESET. זה האחרון מגן על נתונים מפני פלישה של כונן USB על ידי וירוסים, תוכנות ריגול, סוסים טרויאניים, תולעים, rootkits וחיבור למחשבים של אנשים אחרים, אפשר לומר, זה לא מפחד. האנטי וירוס יזהיר באופן מיידי את בעל הכונן על איומים פוטנציאליים, אם יתגלו. במקרה זה, המשתמש אינו צריך להתקין תוכנת אנטי וירוס בעצמו ולשלם עבור אפשרות זו. ESET Drive Security מותקן מראש בכונן הבזק עם רישיון לחמש שנים.

Kingston DT Vault Privacy 3.0 תוכנן ומיועד בעיקר לאנשי IT. הוא מאפשר למנהלי מערכת להשתמש בו ככונן עצמאי או להוסיף אותו כחלק מפתרון ניהול מרכזי, וניתן להשתמש בו גם כדי להגדיר או לאפס סיסמאות מרחוק ולהגדיר מדיניות מכשיר. קינגסטון אפילו הוסיף USB 3.0, המאפשר לך להעביר נתונים מאובטחים הרבה יותר מהר מ-USB 2.0.

בסך הכל, DT Vault Privacy 3.0 היא אופציה מצוינת עבור המגזר הארגוני וארגונים הדורשים הגנה מרבית על הנתונים שלהם. כמו כן, ניתן להמליץ ​​עליו לכל המשתמשים המשתמשים במחשבים הממוקמים ברשתות ציבוריות.

למידע נוסף על מוצרי Kingston, צור קשר האתר הרשמי של החברה.

מקור: www.habr.com