Cześć, Habr! W komentarzach do jednego z naszych czytelnicy zadali ciekawe pytanie: „Po co potrzebna jest pamięć USB z szyfrowaniem sprzętowym, gdy istnieje TrueCrypt?”, a nawet wyrazili pewne obawy dotyczące tego, „jak można upewnić się, że w oprogramowaniu i sprzętowej części pamięci Kingston nie ma złośliwego kodu?”. Zwięźle odpowiedzieliśmy na te pytania, ale potem postanowiliśmy, że temat zasługuje na gruntowne omówienie. Tym się zajmiemy w tym poście.
Szyfrowanie sprzętowe AES, podobnie jak programowe, istnieje już od dawna, ale w jaki sposób dokładnie chroni ważne dane na pamięciach USB? Kto certyfikuje takie pamięci i czy można ufać tym certyfikatom? Kto w ogóle potrzebuje takich „skomplikowanych” pamięci, skoro można korzystać z darmowych programów takich jak TrueCrypt czy BitLocker? Jak widać, poruszony w komentarzach temat wywołuje naprawdę wiele pytań. Spróbujmy to wszystko wyjaśnić.
Czym różni się szyfrowanie sprzętowe od programowego?
W przypadku pamięci USB (a także HDD i SSD) do przeprowadzenia szyfrowania sprzętowego danych używany jest specjalny chip umieszczony na płycie drukowanej urządzenia. Zawiera on generator liczb losowych, który tworzy klucze szyfrowania. Dane są automatycznie szyfrowane i natychmiast odszyfrowywane po wprowadzeniu hasła użytkownika. W tym scenariuszu uzyskanie dostępu do danych bez hasła jest praktycznie niemożliwe.
Przy użyciu szyfrowania programowego „blokada” danych na pamięci jest zapewniana przez zewnętrzne oprogramowanie, które pełni rolę budżetowej alternatywy dla sprzętowych metod szyfrowania. Wady takiego oprogramowania mogą polegać na banalnym wymaganiu regularnych aktualizacji, aby zapewnić odporność na stale udoskonalane metody łamania. Ponadto do odszyfrowania danych wykorzystuje się moc obliczeniową komputera (a nie oddzielnego chipa sprzętowego), a w zasadzie poziom ochrony komputera decyduje o poziomie ochrony pamięci.
Główną cechą napędów z szyfrowaniem sprzętowym jest oddzielny procesor kryptograficzny, którego obecność oznacza, że klucze szyfrowania nigdy nie opuszczają pamięci USB, w przeciwieństwie do kluczy programowych, które mogą być tymczasowo przechowywane w pamięci operacyjnej komputera lub na twardym dysku. A ponieważ szyfrowanie programowe wykorzystuje pamięć PC do przechowywania liczby prób logowania, nie może zatrzymać ataków brute force na hasło lub klucz. Licznik prób logowania może być stale resetowany przez atakującego, dopóki program automatycznego łamania haseł nie znajdzie odpowiedniej kombinacji.
Przy okazji…, w komentarzach do artykułu “” użytkownicy również zauważyli, że na przykład program TrueCrypt ma przenośny tryb pracy. Jednak nie jest to dużą zaletą. Chodzi o to, że w tym przypadku program szyfrujący jest przechowywany w pamięci pamięci USB, co czyni go bardziej podatnym na ataki.
Podsumowując: podejście programowe nie zapewnia tak wysokiego poziomu bezpieczeństwa jak szyfrowanie AES. Jest to raczej podstawowa ochrona. Z drugiej strony — szyfrowanie programowe ważnych danych wciąż jest lepsze niż całkowity brak szyfrowania. I ten fakt pozwala nam wyraźnie rozgraniczyć te typy kryptografii: szyfrowanie sprzętowe pamięci USB jest raczej koniecznością dla sektora korporacyjnego (na przykład, gdy pracownicy firmy korzystają z nośników wydanych w pracy); zaś szyfrowanie programowe lepiej odpowiada potrzebom użytkowników indywidualnych.
Niemniej jednak Kingston dzieli swoje modele pamięci (np. IronKey S1000) na wersje Basic (podstawowe) i Enterprise (korporacyjne). Pod względem funkcjonalności i właściwości zabezpieczeń są one praktycznie identyczne, jednak wersja korporacyjna oferuje możliwość zarządzania pamięcią za pomocą oprogramowania SafeConsole/IronKey EMS. Dzięki temu oprogramowaniu pamięć może działać zarówno z serwerami w chmurze, jak i lokalnymi, umożliwiając zdalne wdrażanie polityk ochrony hasłem i dostępu. Użytkownicy mają możliwość przywracania zgubionych haseł, a administratorzy mogą przypisywać nieużywane pamięci do nowych zadań.
Jak działają pamięci USB Kingston z szyfrowaniem AES?
Kingston stosuje 256-bitowe sprzętowe szyfrowanie AES-XTS (z wykorzystaniem dodatkowego klucza o pełnym rozmiarze) dla wszystkich swoich bezpiecznych pamięci. Jak już wspomniano, pamięci zawierają w swojej konstrukcji oddzielny chip do szyfrowania i deszyfrowania danych, który działa jako ciągły generator liczb losowych.
Gdy podłączasz urządzenie do portu USB po raz pierwszy, kreator konfiguracji inicjalizacji proponuje ustawienie hasła głównego do dostępu do urządzenia. Po aktywacji pamięci algorytmy szyfrowania automatycznie rozpoczną pracę zgodnie z preferencjami użytkownika.
Jednak dla użytkownika zasada działania pamięci USB pozostanie niezmieniona - nadal będzie mógł pobierać i przechowywać pliki w pamięci urządzenia, jak przy pracy z zwykłą pamięcią USB. Jedyną różnicą jest to, że przy podłączaniu pamięci do nowego komputera będziesz musiał wprowadzić ustawione hasło, aby uzyskać dostęp do swoich informacji.
Po co i komu potrzebne są pamięci USB z szyfrowaniem sprzętowym?
Dla organizacji, w których dane poufne są częścią działalności (czy to instytucje finansowe, medyczne czy rządowe), szyfrowanie stanowi najbardziej niezawodne środki ochrony. sprzętowe szyfrowanie AES to skalowalne rozwiązanie, które może być wykorzystywane przez wszelkie firmy: od indywidualnych użytkowników i małych przedsiębiorstw po duże korporacje, a także organizacje wojskowe i rządowe. Patrząc na tę kwestię nieco bardziej szczegółowo, korzystanie z zaszyfrowanych pamięci USB jest konieczne:
- Aby zapewnić bezpieczeństwo poufnych danych firmy
- Aby chronić informacje o klientach
- Aby mieć pewność, że firmy nie tracą dochodów i lojalności klientów
Warto zauważyć, że niektórzy producenci zabezpieczonych pamięci flash (wśród nich także firma Kingston) oferują dla korporacji indywidualne rozwiązania, dostosowane do potrzeb i zadań zamawiających. Jednak i masowe linie (w tym pamięci DataTraveler) dobrze radzą sobie z powierzonymi im zadaniami i są w stanie zapewnić korporacyjną klasę bezpieczeństwa.
1. Zapewnienie bezpieczeństwa poufnych danych firmy
W 2017 roku mieszkaniec Londynu znalazł w jednym z parków pamięć USB, która zawierała niezaszyfrowane informacje dotyczące bezpieczeństwa lotniska Heathrow, w tym lokalizację kamer monitorujących oraz szczegółowe informacje o zasadach ochrony w przypadku przybycia wysokich rangą osobistości. Na pamięci znajdowały się także dane dotyczące elektronicznych przepustek i kody dostępu do zamkniętych stref lotniska.
Analitycy wskazują jako przyczynę takich sytuacji cyberniezrozumienie pracowników firm, którzy mogą nieumyślnie ujawniać tajne dane. Pamięci USB z sprzętowym szyfrowaniem częściowo rozwiązują ten problem, ponieważ w przypadku zgubienia takiego nośnika — dostęp do danych na nim bez hasła głównego tego samego pracownika nie będzie możliwy. W każdym razie nie zwalnia to z obowiązku szkolenia pracowników w zakresie obsługi pamięci USB, nawet jeśli mowa o urządzeniach zabezpieczonych szyfrowaniem.
2. Ochrona informacji o klientach
Kolejnym istotnym zadaniem dla każdej organizacji jest dbanie o dane klientów, które nie powinny być narażone na ryzyko kompromitacji. Co ważne, to właśnie te informacje najczęściej są przekazywane pomiędzy różnymi sektorami biznesu i zazwyczaj mają charakter poufny: mogą na przykład zawierać dane o transakcjach finansowych, historię medyczną itp.
3. Ochrona przed utratą zysków i lojalności klientów
Używanie urządzeń USB z szyfrowaniem sprzętowym może pomóc zapobiec niszczycielskim skutkom dla organizacji. Firmy łamiące przepisy o ochronie danych osobowych mogą być obciążone dużymi karami. W związku z tym warto zadać pytanie, czy warto ryzykować wymianę informacji bez odpowiedniej ochrony?
Nawet jeśli nie uwzględniać konsekwencji finansowych, ilość czasu i zasobów poświęconych na naprawę powstałych błędów bezpieczeństwa może być równie znacząca. Ponadto, jeśli wyciek danych skompromitował dane klientów, firma ryzykuje lojalność wobec marki, zwłaszcza na rynkach, gdzie istnieją konkurenci oferujący podobny produkt lub usługę.
Kto gwarantuje brak „backdoorów” od producenta w przypadku używania flash drive'ów z szyfrowaniem sprzętowym?
W poruszanym przez nas temacie to pytanie wydaje się jednym z kluczowych. Wśród komentarzy pod artykułem na temat pamięci Kingston DataTraveler natknęliśmy się na jeszcze jedno ciekawe pytanie: „Czy wasze urządzenia przeszły audyt od niezależnych specjalistów?”. Cóż…, całkiem logiczny interes: użytkownicy chcą upewnić się, że w naszych pamięciach USB nie ma powszechnych błędów, takich jak słabe szyfrowanie czy możliwość obejścia wprowadzenia hasła. W tej części artykułu opowiemy o procesach certyfikacji, jakim poddawane są pamięci Kingston, zanim uzyskają status naprawdę bezpiecznych flash drive'ów.
Kto gwarantuje niezawodność? Wydawałoby się, że moglibyśmy powiedzieć, że „Kingston wyprodukował – on i gwarantuje”. Jednak w tym przypadku takie stwierdzenie byłoby błędne, ponieważ producent jest zainteresowaną stroną. Dlatego wszystkie produkty są sprawdzane przez osoby trzecie z niezależną ekspertyzą. W szczególności nośniki Kingston z szyfrowaniem sprzętowym (z wyjątkiem DTLPG3) uczestniczą w programie walidacji modułów kryptograficznych (Cryptographic Module Validation Program lub CMVP) i są certyfikowane zgodnie z federalnym standardem przetwarzania informacji (Federal Information Processing Standard lub FIPS). Nośniki są również certyfikowane zgodnie z normami GLBA, HIPPA, HITECH, PCI i GTSA.
1. Program walidacji modułów kryptograficznych
Program CMVP to wspólny projekt Narodowego Instytutu Standardów i Technologii przy Ministerstwie Handlu USA oraz Kanadyjskiego Centrum Cyberbezpieczeństwa. Celem projektu jest stymulowanie popytu na sprawdzone urządzenia kryptograficzne oraz dostarczanie wskaźników bezpieczeństwa federalnym agencjom oraz regulowanym branżom (takim jak instytucje finansowe i medyczne), które korzystają z zakupu sprzętu.
Kontrole urządzeń pod kątem zgodności z zestawem wymagań kryptograficznych oraz wymogami bezpieczeństwa są przeprowadzane przez niezależne laboratoria kryptograficzne i testowe, akredytowane przez NVLAP (National Voluntary Laboratory Accreditation Program / „Narodowy Program Dobrowolnej Akredytacji Laboratoriów”). Każde sprawozdanie laboratoryjne jest sprawdzane pod kątem zgodności z Federalnym standardem przetwarzania informacji (FIPS) 140-2 i potwierdzane przez CMVP.
Moduły potwierdzone jako zgodne z normą FIPS 140-2 są zalecane do użycia przez federalne agencje USA i Kanady do 22 września 2026 roku. Po tym terminie znajdą się w archiwalnej liście, chociaż będą mogły być nadal używane. 22 września 2020 roku zakończono przyjmowanie wniosków o walidację zgodnie z normą FIPS 140-3. Po przejściu kontroli urządzenia zostaną przeniesione na pięć lat do aktywnej listy sprawdzonych i niezawodnych urządzeń. Jeśli urządzenie kryptograficzne nie przejdzie kontroli – jego użycie w instytucjach rządowych USA i Kanady nie jest zalecane.
2. Jakie wymagania bezpieczeństwa stawia certyfikacja FIPS?
Złamanie danych nawet z niecertyfikowanego zaszyfrowanego dysku jest trudne i możliwe dla nielicznych, dlatego przy wyborze konsumenckiego nośnika do użytku domowego ze względu na certyfikację nie trzeba się zbytnio martwić. W sektorze korporacyjnym sytuacja wygląda inaczej: wybierając zabezpieczone dyski USB, firmy często przywiązują wagę do poziomów certyfikacji FIPS. Jednak nie wszyscy mają jasne pojęcie o tym, co te poziomy oznaczają.
Obecny standard FIPS 140-2 określa cztery różne poziomy bezpieczeństwa, którym mogą odpowiadać pamięci flash. Pierwszy poziom zapewnia umiarkowany zestaw funkcji bezpieczeństwa. Czwarty poziom zakłada ścisłe wymagania dotyczące samoodporności urządzeń. Poziomy drugi i trzeci zapewniają gradację tych wymagań i stanowią pewnego rodzaju złoty środek.
- Pierwszy poziom bezpieczeństwa: dla USB certyfikowanych na pierwszym poziomie przewiduje się użycie przynajmniej jednego algorytmu szyfrowania lub innej funkcji zapewnienia bezpieczeństwa.
- Drugi poziom bezpieczeństwa: tutaj od nośnika wymaga się nie tylko zapewnienia ochrony kryptograficznej, ale także rejestracji nieautoryzowanych prób dostępu na poziomie oprogramowania układowego, jeśli ktoś spróbuje otworzyć dysk.
- Trzeci poziom bezpieczeństwa: przewiduje zapobieganie włamaniom poprzez zniszczenie 'kluczy' szyfrowania. Wymaga zatem reakcji na próby włamań. Poziom trzeci gwarantuje również wyższy poziom ochrony przed zakłóceniami elektromagnetycznymi: oznacza to, że nie można odczytać danych z pamięci flash przy wykorzystaniu bezprzewodowych urządzeń do włamań.
- Czwarty poziom bezpieczeństwa: najwyższy poziom, który zakłada pełną ochronę modułu kryptograficznego, oferującą maksymalną szansę na wykrycie i przeciwdziałanie wszelkim nieautoryzowanym próbami dostępu ze strony osób trzecich. Pamięci flash, które uzyskały certyfikat czwartego poziomu, obejmują również takie opcje ochrony, które uniemożliwiają włamanie poprzez zmianę napięcia i temperatury otoczenia.
Zgodnie z normą FIPS 140-2 na trzecim poziomie certyfikacji, następujące nośniki Kingston są certyfikowane: DataTraveler DT2000, DataTraveler DT4000G2, IronKey S1000, IronKey D300. Kluczową cechą tych nośników jest zdolność do reagowania na próby nieautoryzowanego dostępu: po 10 błędnych próbach wprowadzenia hasła, dane na nośniku zostaną zniszczone.
Co jeszcze potrafią pendrive'y Kingston, poza szyfrowaniem?
Gdy mowa o całkowitym bezpieczeństwie danych, obok sprzętowego szyfrowania pamięci USB, na ratunek przychodzą wbudowane programy antywirusowe, ochrona przed szkodliwymi wpływami, synchronizacja z osobistymi chmurami oraz inne funkcje, o których porozmawiamy poniżej. Nie ma wielkiej różnicy między pamięciami USB ze szyfrowaniem programowym. „Diabeł” tkwi w szczegółach. I oto jakie.
1. Kingston DataTraveler 2000
Weźmy na przykład pamięć USB . Jest to jeden z pendrive'ów z szyfrowaniem sprzętowym, ale jednocześnie jedyny z własną fizyczną klawiaturą na obudowie. Ta 11-przyciskowa klawiatura czyni DT2000 całkowicie niezależnym od systemów hosta (aby używać DataTraveler 2000, musisz nacisnąć przycisk „Klucz”, następnie wprowadzić swoje hasło i ponownie nacisnąć przycisk „Klucz”). Ponadto ten pendrive ma stopień ochrony IP57 przed wodą i kurzem (co zaskakuje, ponieważ Kingston nigdzie nie ogłasza tego ani na opakowaniu, ani w specyfikacjach na oficjalnej stronie).
Wewnątrz DataTraveler 2000 znajduje się akumulator litowo-polimerowy (o pojemności 40 mAh), a Kingston zaleca klientom podłączenie nośnika do portu USB przynajmniej na godzinę przed rozpoczęciem korzystania, aby akumulator mógł się naładować. Przykro mi, w jednym z poprzednich materiałów : nie ma powodów do obaw – w urządzeniu ładującym pendrive się nie aktywuje, ponieważ brak jest zapytań do kontrolera ze strony systemu. Dlatego nikt nie ukradnie twoich danych za pomocą bezprzewodowych inwazji.
2. Kingston DataTraveler Locker+ G3
Jeśli mówimy o modelu Kingston – przyciąga uwagę możliwością konfiguracji kopii zapasowej danych z pendrive'a do chmury Google, OneDrive, Amazon Cloud lub Dropbox. Przewidziana jest również synchronizacja danych z tymi usługami.
Jednym z pytań, które zadają nam czytelnicy, jest: "Jak można odzyskać zaszyfrowane dane z kopii zapasowej?" To bardzo proste. Chodzi o to, że podczas synchronizacji z chmurą informacje są deszyfrowane, a ochrona kopii zapasowej w chmurze zależy od możliwości samej chmury. Dlatego tego rodzaju procedury są realizowane wyłącznie według uznania użytkownika. Bez jego zgody nie będzie żadnego przesyłania danych do chmury.
3. Kingston DataTraveler Vault Privacy 3.0
A oto urządzenia Kingston są także wyposażone w wbudowany program antywirusowy Drive Security od firmy ESET. Ostatni chroni dane przed infiltracją wirusów, programów szpiegujących, trojanów, „robaków”, rootkitów oraz podłączeniami do obcych komputerów, można powiedzieć, że nie ma obaw. Antywirus natychmiast powiadomi właściciela nośnika o potencjalnych zagrożeniach, jeśli takie zostaną wykryte. Przy tym użytkownik nie musi samodzielnie instalować oprogramowania antywirusowego ani opłacać tej opcji. ESET Drive Security jest wstępnie zainstalowany na pendrive z licencją na pięć lat.
Kingston DT Vault Privacy 3.0 został zaprojektowany i skierowany głównie do specjalistów IT. Pozwala administratorom używać go jako autonomicznego nośnika lub dodawać jako część rozwiązania do centralnego zarządzania, a także może być używany do konfigurowania lub zdalnego resetowania haseł oraz ustawiania polityk urządzeń. Kingston dodał nawet USB 3.0, które pozwala na znacznie szybsze przesyłanie zabezpieczonych danych niż przez USB 2.0.
Ogólnie rzecz biorąc, DT Vault Privacy 3.0 to świetna opcja dla sektora korporacyjnego i organizacji, które wymagają maksymalnej ochrony swoich danych. Można go również polecić wszystkim użytkownikom, którzy korzystają z komputerów znajdujących się w publicznych sieciach.
Aby uzyskać więcej informacji o produktach Kingston, odwiedź .
Źródło: habr.com
