Hej, Habr! I kommentarerna till ett av vÄra stÀllde lÀsarna en intressant frÄga: "Varför behövs en flash-enhet med hÄrdvarukryptering nÀr det finns TrueCrypt?", och de uttryckte till och med vissa oroande tankar kring "Hur kan man vara sÀker pÄ att det inte finns nÄgra bakdörrar i programvaran och hÄrdvaran hos Kingston-enheten?" Vi svarade kort pÄ dessa frÄgor, men bestÀmde oss sedan för att Àmnet förtjÀnar en mer djupgÄende diskussion. Det Àr vad vi kommer att ta oss an i det hÀr inlÀgget.
HÄrdvarukryptering med AES har funnits lÀnge, precis som programvarukryptering, men hur skyddar den specifikt viktiga data pÄ flash-enheter? Vem certifierar sÄdana enheter, och kan man lita pÄ dessa certifieringar? Vem behöver egentligen sÄdana "komplicerade" flash-enheter nÀr man kan anvÀnda gratisprogram som TrueCrypt eller BitLocker? Som ni ser vÀcker Àmnet som diskuterades i kommentarerna verkligen mÄnga frÄgor. LÄt oss försöka reda ut allt detta.
Vad skiljer hÄrdvarukryptering frÄn programvarukryptering?
NÀr det kommer till flash-enheter (samt HDD och SSD) anvÀnds en speciell chip pÄ enhetens kretskort för att utföra hÄrdvarukryptering av data. Den innehÄller en slumpgenerator som skapar krypteringsnycklar. Data krypteras automatiskt och dekrypteras omedelbart nÀr anvÀndarens lösenord anges. I detta scenario Àr det praktiskt taget omöjligt att fÄ tillgÄng till data utan lösenord.
Vid anvÀndning av programvarukryptering sÀkerstÀlls "blockeringen" av data pÄ enheten genom extern programvara, som fungerar som ett budgetalternativ till hÄrdvarukrypteringsmetoder. Nackdelarna med sÄdant mjukvaruhantering kan inkludera den banala krav pÄ regelbundna uppdateringar för att erbjuda motstÄndskraft mot stÀndigt förbÀttrande hackmetoder. Dessutom anvÀnds dators bearbetningskapacitet (snarare Àn en separat hÄrdvaruchip) för dekryptering, och i princip bestÀmmer datorskyddsnivÄn skyddsnivÄn för enheten.
Den frÀmsta egenskapen hos lagringsenheter med hÄrdvarukryptering Àr den separata kryptografiska processorn, vars nÀrvaro visar att krypteringsnycklarna aldrig lÀmnar USB-lagringsenheten, till skillnad frÄn programvarunycklar som kan lagras temporÀrt i datorns RAM eller pÄ hÄrddisken. Eftersom programvarukryptering anvÀnder datorns minne för att lagra antalet inloggningsförsök kan det inte stoppa brute force-attacker mot lösenordet eller nyckeln. InloggningsrÀknaren kan hela tiden ÄterstÀllas av en illvillig aktör tills programvaran för automatiserat lösenordsutbrott hittar rÀtt kombination.
Förresten⊠i kommentarerna till artikeln ââ har anvĂ€ndarna ocksĂ„ nĂ€mnt att programmet TrueCrypt har ett portabelt arbetslĂ€ge. Men detta Ă€r inte en stor fördel. Faktum Ă€r att krypteringsprogrammet lagras i minnet pĂ„ USB-minnet, vilket gör det mer sĂ„rbart för attacker.
Som slutsats: den programbaserade metoden ger inte samma höga sÀkerhetsnivÄ som AES-kryptering. Det Àr snarare en grundlÀggande skyddsnivÄ. à andra sidan Àr programvarukryptering av viktiga data ÀndÄ bÀttre Àn att helt sakna kryptering. Denna aspekt gör det möjligt för oss att tydligt sÀrskilja dessa typer av kryptering: hÄrdvarukryptering av USB-minnen Àr mer nödvÀndigt för företagssektorn (till exempel nÀr anstÀllda anvÀnder enheter som tillhandahÄlls av företaget); medan programvarukryptering Àr mer lÀmplig för anvÀndarbehov.
Trots allt delar Kingston upp sina lagringsmodeller (t.ex. IronKey S1000) i versioner för Basic (grundlÀggande) och Enterprise (företags). Funktionellt och skyddsmÀssigt Àr de i stort sett identiska, men företagsversionen erbjuder möjlighet att hantera lagringsenheten via programvaran SafeConsole/IronKey EMS. Tack vare denna programvara fungerar lagringsenheten antingen med moln- eller lokala servrar för att distanshantera lösenordsskydds- och Ätkomstpolicyer. AnvÀndare fÄr möjlighet att ÄterstÀlla förlorade lösenord, medan administratörer kan omdirigera mindre anvÀnda lagringsenheter till nya uppgifter.
Hur fungerar Kingston USB-minnen med AES-kryptering?
Kingston anvÀnder 256-bitars hÄrdvarukryptering AES-XTS (med en ytterligare fullstor nyckel) för alla sina sÀkra lagringsenheter. Som nÀmnts ovan innehÄller USB-minnena en separat chip för kryptering och dekryptering av data, vilket fungerar som en alltid aktiv slumpgenerator.
NÀr du ansluter enheten till USB-porten första gÄngen, erbjuder installationsguiden dig att stÀlla in ett huvudlösenord för Ätkomst till enheten. Efter att lagringsenheten aktiverats börjar krypteringsalgoritmerna automatiskt arbeta enligt anvÀndarens preferenser.
För anvĂ€ndaren förblir principen för hur USB-minnet fungerar oförĂ€ndrad â de kan fortfarande ladda ner och lagra filer pĂ„ enhetens minne, precis som med en vanlig USB-flashdisk. Den enda skillnaden Ă€r att nĂ€r du ansluter USB-minnet till en ny dator, mĂ„ste du ange det instĂ€llda lösenordet för att fĂ„ Ă„tkomst till din information.
Varför och för vem behövs USB-minnen med hÄrdvarukryptering?
För organisationer dÀr konfidentiell information Àr en del av verksamheten (vare sig det handlar om finansiella, medicinska eller statliga institutioner), Àr kryptering det mest tillförlitliga skyddet. AES-hÄrdvarukryptering Àr en skalbar lösning som kan anvÀndas av alla företag: frÄn privatpersoner och smÄföretag till stora företag, samt militÀr och offentliga verksamheter. Om vi ser pÄ denna frÄga mer konkret, Àr anvÀndningen av krypterade USB-minnen nödvÀndig:
- För att sÀkerstÀlla skyddet av konfidentiella företagsdata
- För att skydda kundinformation
- För att skydda företag frÄn förlust av intÀkter och kundlojalitet
Det Àr vÀrt att nÀmna att vissa tillverkare av skyddade flashminnen (bland dem Kingston) erbjuder skrÀddarsydda lösningar för företag, utformade efter kundernas behov och krav. Men Àven massproducerade serier (inklusive DataTraveler-flashminnen) hanterar sina uppgifter utmÀrkt och kan sÀkerstÀlla företagsklassens sÀkerhet.
1. SÀkerstÀllande av skyddet av konfidentiella företagsdata
à r 2017 upptÀckte en invÄnare i London ett USB-minne i en av parkerna som innehöll oskyddad information om sÀkerheten pÄ Heathrow flygplats, inklusive placeringen av övervakningskameror, detaljerad information om skyddsÄtgÀrder vid ankomst av högt uppsatta personer. Dessutom innehöll flashminnet data om elektroniska passer och Ätkomstkoder till avstÀngda omrÄden pÄ flygplatsen.
Analytiker pekar pÄ bristen pÄ cybersÀkerhetskunskaper bland de anstÀllda som en orsak till sÄdana situationer, dÀr de kan 'lÀcka' hemlig information genom egen slarv. USB-minnen med hÄrdvarukryptering löser delvis detta problem, eftersom det vid förlust av ett sÄdant minne inte gÄr att fÄ tillgÄng till data utan masterlösenordet frÄn samma sÀkerhetsanstÀlld. I vilket fall som helst avskaffar detta inte behovet av att utbilda anstÀllda om hur man hanterar USB-minnen, Àven nÀr det handlar om krypterade enheter.
2. Skydd av kundinformation
En Ànnu viktigare uppgift för varje organisation Àr att skydda kunddata, som inte bör utsÀttas för risker för att bli komprometterade. Faktum Àr att denna information oftast överförs mellan olika affÀrsomrÄden och i regel har en konfidentiell karaktÀr: den kan till exempel innehÄlla data om finansiella transaktioner, sjukdomshistorik etc.
3. Skydd mot förlust av intÀkter och kundlojalitet
AnvÀndning av USB-enheter med hÄrdvarukryptering kan hjÀlpa till att förhindra förödande konsekvenser för organisationer. Företag som bryter mot lagen om skydd av personuppgifter kan bli föremÄl för höga böter. DÀrför Àr det nödvÀndigt att stÀlla frÄgan om det verkligen Àr vÀrt risken att utbyta information utan korrekt skydd?
Ăven om man bortser frĂ„n de finansiella konsekvenserna kan mĂ€ngden tid och resurser som gĂ„r Ă„t till att rĂ€tta till uppkomna sĂ€kerhetsfel vara lika betydande. Dessutom, om en datalĂ€cka har komprometterat kunddata, riskerar företaget den lojala relationen till sitt varumĂ€rke, sĂ€rskilt pĂ„ marknader dĂ€r det finns konkurrenter som erbjuder liknande produkter eller tjĂ€nster.
Vem garanterar att det inte finns nÄgra "bakdörrar" frÄn tillverkaren nÀr man anvÀnder USB-minnen med hÄrdvarukryptering?
I det vi har tagit upp Ă€r denna frĂ„ga troligen en av de viktigaste. Bland kommentarerna till artikeln om Kingston DataTraveler-diskar stötte vi pĂ„ ytterligare en intressant frĂ„ga: "Har era enheter granskningar frĂ„n oberoende tredjepartspecialister?" TjaâŠ, det Ă€r en vĂ€ldigt rimlig frĂ„ga: anvĂ€ndarna vill sĂ€kerstĂ€lla att vĂ„ra USB-minnen inte har vanliga brister, som svag kryptering eller möjlighet att kringgĂ„ lösenordsinmatning. I denna del av artikeln kommer vi att berĂ€tta om vilka certifieringsprocedurer Kingston-enheter genomgĂ„r innan de fĂ„r status som verkligt sĂ€kra minnen.
Vem garanterar pÄlitlighet? Man skulle kunna sÀga att "Kingston tillverkar - de garanterar ocksÄ". Men i detta fall skulle ett sÄdant pÄstÄende vara felaktigt, eftersom tillverkaren Àr en intressent. DÀrför genomgÄr alla produkter granskning av en oberoende tredjepart. Specifikt Àr Kingston-enheter med hÄrdvarukryptering (undantaget DTLPG3) deltagare i programmet för validering av kryptografiska moduler (Cryptographic Module Validation Program eller CMVP) och certifierade enligt den federala standarden för informationsbehandling (Federal Information Processing Standard eller FIPS). Dessutom certifieras lagringsenheter enligt GLBA, HIPAA, HITECH, PCI och GTSA.
1. Programmet för validering av kryptografiska moduler
CMVP-programmet Àr ett samarbetsprojekt mellan National Institute of Standards and Technology vid USA:s handelsministerium och Canadian Centre for Cyber Security. Syftet med projektet Àr att stimulera efterfrÄgan pÄ testade kryptografiska enheter och tillhandahÄlla sÀkerhetsmÄtt till federala myndigheter och reglerade branscher (som finansiella och medicinska institutioner) som anvÀnds vid inköp av utrustning.
Kontroller av enheter för överensstÀmmelse med uppsÀttningen kryptografiska krav och sÀkerhetskrav utförs av oberoende laboratorier för kryptografi och sÀkerhetstestning, ackrediterade av NVLAP (National Voluntary Laboratory Accreditation Program / "Nationella programmet för frivillig ackreditering av laboratorier"). Varje laboratoriumsrapport verifieras mot den federala standarden för informationsbehandling (FIPS) 140-2 och bekrÀftas av CMVP.
Moduler som bekrÀftats som överensstÀmmande med FIPS 140-2-standarden rekommenderas för anvÀndning av federala myndigheter i USA och Kanada fram till den 22 september 2026. Efter det kommer de att gÄ in i arkivlistan, men kan fortfarande anvÀndas. Ansökningsperioden för validering enligt FIPS 140-3 avslutades den 22 september 2020. Efter att ha genomgÄtt kontroller kommer enheten att vara aktiv i fem Är i listan över kontrollerade och pÄlitliga enheter. Om ett kryptografiskt enhet inte klarar kontrollen, rekommenderas dess anvÀndning inte inom statliga institutioner i USA och Kanada.
2. Vilka sÀkerhetskrav stÀller FIPS-certifiering?
Att hacka data Àven frÄn en icke-certifierad krypterad disk Àr svÄrt och kan endast göras av ett fÄtal, dÀrför behöver man kanske inte oroa sig för att vÀlja en konsumentenhet med certifiering för hemanvÀndning. Situationen ser annorlunda ut i den företagssektorn: nÀr man vÀljer sÀkra USB-enheter, lÀgger företag ofta stor vikt vid nivÄerna av FIPS-certifiering. Men inte alla har en tydlig uppfattning om vad dessa nivÄer innebÀr.
Den nuvarande standarden FIPS 140-2 definierar fyra olika sÀkerhetsnivÄer som USB-minnen kan uppfylla. Den första nivÄn erbjuder en mÄttlig uppsÀttning sÀkerhetsfunktioner. Den fjÀrde nivÄn stÀller strikta krav pÄ sjÀlvskydd av enheterna. NivÄerna tvÄ och tre erbjuder en grad av dessa krav och utgör en slags gyllene medelvÀg.
- Första sÀkerhetsnivÄn: För USB-enheter som Àr certifierade pÄ första nivÄn förutsÀtts anvÀndningen av minst en krypteringsalgoritm eller nÄgon annan sÀkerhetsfunktion.
- Andra sÀkerhetsnivÄn: HÀr krÀvs det inte bara att enheten ska sÀkerstÀlla kryptografiskt skydd, utan ocksÄ att den ska kunna registrera obehöriga intrÄng pÄ mikroprogramsnivÄ om nÄgon försöker öppna enheten.
- Tredje sÀkerhetsnivÄn: Föreskriver att intrÄng ska förhindras genom att 'nycklar' till kryptering ska förstöras. Det krÀvs en reaktion pÄ intrÄngsförsök. Tredje nivÄn garanterar ocksÄ en högre nivÄ av skydd mot elektromagnetisk störning: det Àr nÀmligen inte möjligt att lÀsa data frÄn USB-minnet med hjÀlp av trÄdlösa hackningsapparater.
- FjÀrde sÀkerhetsnivÄn: Den högsta nivÄn som innebÀr fullstÀndig skydd av den kryptografiska modulen, vilket ger maximal möjlighet att upptÀcka och motverka alla försök till obehörig Ätkomst av en obehörig anvÀndare. USB-minnen som fÄtt certifiering pÄ fjÀrde nivÄn inkluderar ocksÄ sÄdana skyddsalternativ som förhindrar hacking genom att förÀndra spÀnning och temperatur i omgivningen.
Enligt FIPS 140-2 tredje nivÄ Àr följande enheter frÄn Kingston certifierade: DataTraveler DT2000, DataTraveler DT4000G2, IronKey S1000, IronKey D300. En nyckelfunktion hos dessa enheter Àr deras förmÄga att reagera pÄ intrÄngsförsök: efter 10 felaktiga lösenordsinmatningar kommer data pÄ enheten att raderas.
Vad mer kan Kingston USB-minnen göra förutom kryptering?
NÀr det kommer till fullstÀndig datasÀkerhet, i likhet med hÄrdvarukryptering av flash-enheter, bidrar inbyggda antivirusprogram, skydd mot yttre pÄverkan, synkronisering med personliga moln och andra funktioner som vi kommer att diskutera nedan. Det finns ingen stor skillnad mellan USB-minnen med programvarukryptering. 'DjÀvulen' ligger i detaljerna. Och hÀr Àr vilka.
1. Kingston DataTraveler 2000
LÄt oss ta ett exempel pÄ ett USB-minne . Detta Àr en av flash-enheterna med hÄrdvarukryptering, men den enda med ett eget fysiskt tangentbord pÄ höljet. Detta 11-knappars tangentbord gör DT2000 helt oberoende av vÀrdsystem (för att anvÀnda DataTraveler 2000 mÄste du trycka pÄ knappen 'Nyckel', sedan ange ditt lösenord och trycka pÄ knappen 'Nyckel' igen). Dessutom har denna USB-enhet en IP57 skyddsnivÄ mot vatten och damm (till vÄr förvÄning nÀmner Kingston ingenstans detta varken pÄ förpackningen eller i specifikationerna pÄ sin officiella webbplats).
Inuti DataTraveler 2000 finns ett litium-polymerbatteri (med en kapacitet pĂ„ 40 mAh), och Kingston rekommenderar kunder att ansluta enheten till en USB-port i minst en timme innan de börjar anvĂ€nda den, sĂ„ att batteriet kan laddas. Förresten, i ett av tidigare material : det finns ingen anledning till oro â i laddaren aktiveras inte USB-minnet eftersom det inte finns nĂ„gra förfrĂ„gningar till kontrolleren frĂ„n systemet. DĂ€rför kan ingen stjĂ€la dina data genom trĂ„dlösa intrĂ„ng.
2. Kingston DataTraveler Locker+ G3
NĂ€r vi pratar om modellen Kingston â den drar till sig uppmĂ€rksamhet med möjligheten att stĂ€lla in sĂ€kerhetskopiering av data frĂ„n USB-minnet till molnlagring pĂ„ Google, OneDrive, Amazon Cloud eller Dropbox. Data-synkronisering med dessa tjĂ€nster Ă€r ocksĂ„ tillgĂ€nglig.
En av de frÄgor som vÄra lÀsare stÀller Àr: "Hur hÀmtar man krypterad data frÄn en sÀkerhetskopia?" Mycket enkelt. Faktum Àr att vid synkronisering med molnet dekrypteras informationen, och sÀkerheten för sÀkerhetskopian i molnet beror pÄ möjligheterna hos molnet sjÀlvt. DÀrför utförs sÄdana förfaranden uteslutande pÄ anvÀndarens eget ansvar. Utan hans tillstÄnd kommer ingen dataöverföring till molnet att Àga rum.
3. Kingston DataTraveler Vault Privacy 3.0
Kingston-enheterna levereras Àven med den inbyggda antiviruslösningen Drive Security frÄn ESET. Denna skyddar data frÄn intrÄng av virus, spionprogram, trojaner, "maskar", rootkits och anslutningar till frÀmmande datorer, man kan sÀga att den Àr mycket effektiv. Antivirusprogrammet kommer omedelbart att varna innehavaren av enheten om potentiella hot om de upptÀcks. AnvÀndaren behöver inte installera antivirusprogramvara sjÀlv och betala för den hÀr funktionen. ESET Drive Security Àr förinstallerat pÄ USB-minnet med en femÄrig licens.
Kingston DT Vault Privacy 3.0 Àr sÀrskilt utvecklad för IT-specialister. Den gör det möjligt för administratörer att anvÀnda det som en fristÄende lagringsenhet eller att lÀgga till den som en del av en lösning för centraliserad hantering, och kan ocksÄ anvÀndas för att konfigurera eller fjÀrrÄterstÀlla lösenord och instÀllningar för enheter. Kingston har till och med lagt till USB 3.0, vilket möjliggör snabbare överföring av skyddad data Àn via USB 2.0.
Ăverlag Ă€r DT Vault Privacy 3.0 ett utmĂ€rkt alternativ för företagssektorn och organisationer som krĂ€ver maximalt skydd av sina data. Det kan ocksĂ„ rekommenderas till alla anvĂ€ndare som anvĂ€nder datorer i offentliga nĂ€tverk.
För mer information om Kingston-produkter, kontakta .
KĂ€lla: habr.com
