Czym i jak bezpiecznie szyfrować dane

W poprzed­niej not­ce wska­za­łem na istot­ny brak w zabez­pie­cze­niach sys­te­mów infor­ma­tycz­nych wie­lu przed­się­biorstw pole­ga­ją­cy na fizycz­nym nie­szy­fro­wa­niu prze­twa­rza­nych danych. Dziś omó­wię naj­waż­niej­sze zagad­nie­nia zwią­za­ne z wybo­rem typu oraz spo­so­bu roz­wią­zań kryp­to­gra­ficz­nych moż­li­wych do wdro­że­nia. Zasy­gna­li­zu­ję też naj­waż­niej­sze pro­ble­my, któ­re nale­ży wziąć pod uwa­gę, by unik­nąć nie­bez­piecz­nych dla Cie­bie sytu­acji już po wdro­że­niu kryp­to­gra­fii. Aby to zro­bić, musisz odpo­wie­dzieć sobie na trzy pod­sta­wo­we pyta­nia: jak szy­fro­wać, czym szy­fro­wać i jak to wdrożyć.

Jak szy­fro­wać?

Wybór odpo­wied­niej meto­dy szy­fro­wa­nia będzie zale­żał w spo­sób ści­sły od Two­ich potrzeb. Jeśli pra­cu­jesz np. na lap­to­pie, któ­re­go zda­rza się Tobie zabie­rać na wokan­dę czy brać na week­end, by popra­co­wać w domu, to naj­lep­szą meto­dą będzie bez wąt­pie­nia peł­ne szy­fro­wa­nie dys­ku (ang. full disk encryp­tion – FDE). Jeśli masz sta­cjo­nar­ną sta­cję robo­czą i korzy­stasz z niej tyl­ko w kan­ce­la­rii lub fir­mie, to możesz roz­wa­żyć korzy­sta­nie jedy­nie z szy­fro­wa­nych wolu­me­nów danych. Trze­cim z roz­wią­zań, naj­bar­dziej zło­żo­nym i jed­no­cze­śnie wyma­ga­ją­cym po stro­nie zwy­kłe­go użyt­kow­ni­ka koń­co­we­go naj­mniej pra­cy jest wdro­że­nie szy­fro­wa­ne­go śro­do­wi­ska pra­cy. To po pro­stu odpo­wied­nie skom­pi­lo­wa­nie  SaaS (ang. Softwa­re as a Servi­ce) w mode­lu chmu­ro­wym opar­tym o wła­sne roz­wią­za­nia sprzę­to­we lub odpo­wied­nio przy­go­to­wa­ny infor­ma­tycz­nie i obwa­ro­wa­ny praw­nie out­so­ur­cing.

Żad­ne z tych roz­wią­zań nie jest uni­wer­sal­ne, gdy chcesz zapew­nić w fir­mie ela­stycz­ny dobór narzę­dzi i jed­no­cze­śnie bez­pie­czeń­stwo na naj­wyż­szym pozio­mie. Dla­te­go też dobie­ra­nie wła­ści­wych roz­wią­zań powin­no się odby­wać z uwzględ­nie­niem kon­kret­nych potrzeb, spo­so­bu korzy­sta­nia z narzę­dzi pra­cy i jej indy­wi­du­al­ne­go sty­lu w Two­jej fir­mie – tak, by wdro­że­nie było jak naj­mniej kło­po­tli­we. W mojej oce­nie nie nale­ży uni­kać, a wręcz pre­fe­ro­wać roz­wią­za­nia hybrydowe.

Musisz jed­nak pamię­tać, że roz­wią­za­nia inne niż FDE cha­rak­te­ry­zu­ją się sze­re­giem wad. Samo zaszy­fro­wa­nie danych może i będzie sku­tecz­ne, ale poja­wia­ją się licz­ne miej­sca, któ­re będą podat­ne na kom­pro­mi­ta­cje jak np. dane zapi­sy­wa­ne w pli­ku stro­ni­co­wa­nia (sys­te­my z rodzi­ny Win­dows) czy par­ty­cji SWAP (sys­te­my z rodzi­ny Linux), lub pli­ku ze zrzu­tem pamię­ci ope­ra­cyj­nej w przy­pad­ku hiber­na­cji. Poten­cjal­ny agre­sor przy odro­bi­nie szczę­ścia będzie mógł uzy­skać dostęp do czę­ści z chro­nio­nych danych, zwłasz­cza gdy w ostat­nim cza­sie na nich pra­co­wa­łeś (na orga­ni­zo­wa­nej prze­ze mnie kon­fe­ren­cji Ata­ki Sie­cio­we w mar­cu tego roku jeden z pre­le­gen­tów wska­zy­wał, że odna­lazł w pli­ku stron­nic­twa dane sprzed… 18 mie­się­cy!). Dużą wadą roz­wią­zań opar­tych o wolu­me­ny jest  koniecz­ność roz­szy­fro­wy­wa­nia pli­ków w przy­pad­ku zaist­nie­nia potrze­by dzie­le­nia się nimi ze współ­pra­cow­ni­ka­mi. Oczy­wi­ście moż­na udo­stęp­niać je w for­mie zaszy­fro­wa­nej poda­jąc klucz czy cer­ty­fi­kat wyma­ga­ny do ich odczy­ta­nia, ale dzia­ła­nie takie mija się z celem i nara­ża treść same­go klu­cza na ujaw­nie­nie. Dodat­ko­wym wymo­giem jest ści­słe opra­co­wa­nie reguł szy­fro­wa­nia, w tym wdro­że­nie odpo­wied­nich mecha­ni­zmów wymu­sza­ją­cych na użyt­kow­ni­kach pożą­da­ne z punk­tu widze­nia bez­pie­czeń­stwa postępowanie.

Czym szy­fro­wać?

Wybór odpo­wied­nie­go narzę­dzia do szy­fro­wa­nia jest uza­leż­nio­ny od tego, na wdro­że­nie jakie­go roz­wią­za­nia się zde­cy­du­jesz i pozo­sta­je zawsze pro­ble­mem wtór­nym. Oso­bi­ście jestem zwo­len­ni­kiem roz­wią­zań FDE, gdyż posia­da­ją zde­cy­do­wa­nie naj­mniej podat­no­ści, któ­re mogą spo­wo­do­wać ewen­tu­al­ną kom­pro­mi­ta­cję.  Dru­gą z ich naj­więk­szych zalet jest fakt, że wszyst­ko odby­wa się w tle, nie trze­ba nicze­go kon­fi­gu­ro­wać i spraw­dzać, gdyż opro­gra­mo­wa­nie raz uru­cho­mio­ne, po zaszy­fro­wa­niu nośni­ka dzia­ła w tle i jest w peł­ni bez­ob­słu­go­we. Oczy­wi­ście przed roz­po­czę­ciem pra­cy trze­ba zawsze wpro­wa­dzić klucz.

Jeśli cho­dzi o sys­te­my z rodzi­ny Win­dows, to tutaj od wer­sji 7 wzwyż (ale tyl­ko w naj­droż­szych wyda­niach) przy­go­to­wa­ne jest narzę­dzie tego typu o nazwie BitLoc­ker. Alter­na­ty­wą dla nie­go jest Tru­eCrypt. Nie­wąt­pli­wy­mi atu­ta­mi tego dru­gie­go pro­gra­mu jest fakt, iż jest dostęp­ny na licen­cji Open Sour­ce, dzia­ła rów­nież na sys­te­mach z rodzi­ny Mac OS X oraz Linux co pozwa­la więc zacho­wać więk­szą ela­stycz­ność śro­do­wi­ska pra­cy. Dodat­ko­wo war­to dodać, iż szy­fru­je on więk­szy obszar dys­ku niż BitLoc­ker, zosta­wia­jąc jedy­nie kil­ka­na­ście kilo­baj­tów danych na tzw. sek­tor pre-boot authen­ti­ca­tion. BitLoc­ker jest droż­szy, ale prost­szy do wdro­że­nia w fir­mie. Aby korzy­stać z Tru­eCryp­ta nie potrze­bu­jesz kupo­wać licen­cji, co może prze­ło­żyć się na wymier­ne oszczęd­no­ści w Two­jej fir­mie. Jeśli korzy­stasz z kom­pu­te­rów Apple, to do FDE możesz użyć pro­gra­mu File­Vault 2 dostęp­ne­go dla każ­de­go posia­da­cza maka. Sys­te­my z rodzi­ny Linux posia­da­ją zin­te­gro­wa­ny w jądrze moduł kryp­to­gra­ficz­ny, któ­ry moż­na łatwo wyko­rzy­stać choć­by za pomo­cą Dm-Crypta. Z tego same­go modu­łu korzy­sta­ją urzą­dze­nia dzia­ła­ją­ce na Andro­idzie od wer­sji Honey­comb. Rów­nież iPa­dy i iPho­ny posia­da­ją wbu­do­wa­ne modu­ły słu­żą­ce do FDE. Pod­su­mo­wu­jąc – wybór jest napraw­dę ogromny.

Jakie roz­wią­za­nie do kryp­to­gra­fii wdro­żyć w firmie?

Jeśli zasto­su­jesz napraw­dę dobre i odpor­ne na kom­pro­mi­ta­cję roz­wią­za­nia, to w pew­nym sen­sie możesz nara­zić swo­je przed­się­bior­stwo na stra­ty. Wiem, że brzmi to dziw­nie, ale ryzy­ko jest jed­no i pro­ste – gdy ktoś zapo­mni hasła do kom­pu­te­ra zaszy­fro­wa­ne­go np. Tru­eCryp­tem, to nawet jeśli będziesz miał zna­jo­mych w FBI, nie będzie moż­li­we odzy­ska­nie zapi­sa­nych na nim danych.

Jak zauwa­ży­łeś zasy­gna­li­zo­wa­łem kil­ka pro­ble­mów, jak choć­by koniecz­ność wdro­że­nia mecha­ni­zmów wymu­sza­ją­cych na pra­cow­ni­ku sto­so­wa­nie kryp­to­gra­fii. Jak tego doko­nać? Jak unik­nąć sytu­acji, w któ­rej nagle nikt nie zna hasła do zaszy­fro­wa­ne­go wolu­me­nu danych? W kolej­nym wpi­sie na blo­gu, odpo­wiem na te pyta­nia i wska­żę, co zro­bić by pra­wi­dło­wo i z gło­wą na kar­ku i napraw­dę śmiesz­nie niskim kosz­tem „uru­cho­mić” kryp­to­gra­fię w przed­się­bior­stwie. Jeśli masz jakieś pyta­nia w tym tema­cie – zachę­cam do komen­to­wa­nia lub kon­tak­tu.