Ca orice industrie, industria de securitate a informației, denumită mai frecvent „securitate cibernetică”, cu toate dezbaterile sale înflăcărate, s-a reunit în jurul unui mic corpus de bune practici.
Una dintre cele mai importante de pe această listă este criptarea completă a discului, pe care experții în securitate o consideră sacrosanctă, un lucru de la sine înțeles pe care toată lumea ar trebui să îl folosească la cel mai mic nivel minim. Aceasta este criptarea care asigură că cineva care vă răpește dispozitivul nu va putea ști tot ce aveți salvat pe el.
Sunt aici pentru a argumenta că majoritatea dintre voi ar fi mai bine să nu o folosiți. Știu că poate părea o nebunie, din moment ce sunt un fel de tip de securitate aici, dar ascultați-mă.
Nu am de gând în niciun caz să vă conving să nu folosiți criptarea – fără ea, instrumentele digitale pe care ne bazăm în fiecare zi ar fi inutilizabile. De aceea, nu pledez împotriva criptării, punct; ci în mod specific împotriva criptării complete a discului, și numai pentru anumiți utilizatori.
Ce susțin este că, pentru majoritatea oamenilor care se confruntă cu cele mai comune cazuri de utilizare, în proporție covârșitoare, criptarea completă a discului este exagerată. Acești utilizatori nu se bucură de niciun câștig măsurabil în materie de securitate în comparație cu o criptare alternativă a datelor în repaus, dar plătesc pentru aceasta cu o afectare măsurabilă a performanței. Aceasta nu este doar o chestiune de eficiență sau de timp de încărcare, ci și un cost literal crescut pentru utilizatori.
Există alternative care oferă utilizatorilor obișnuiți, cu preocupări normale de securitate de zi cu zi, un nivel de protecție proporțional cu ceea ce oferă criptarea completă a discului. Este adevărat că acestea sunt un pic în afara căilor bătătorite, deoarece majoritatea companiilor de tehnologie de consum au adoptat criptarea completă a discului, dar ele există.
Trebuie să existe o altă cale
În prezent, criptarea completă a discului este de departe cel mai comun tip de schemă de criptare pentru datele în repaus. Gândiți-vă la datele în repaus ca la datele pe care le păstrați pe un anumit tip de suport de stocare (cum ar fi un hard disk) pentru a le folosi mai târziu, nu la tipul de date care se deplasează pe un canal de comunicare cum ar fi internetul (care ar fi date în tranzit).
În general, criptarea completă a discului este implementată la un nivel de complexitate informatică care se ocupă de modul în care octeții brute, decuplați de contextul reprezentării informației, sunt organizați pe hard disk. Ne vom referi la acest nivel ca nivel de dispozitiv de bloc, deoarece criptarea completă a discului este aplicată dispozitivului de bloc care este o partiție a hard disk-ului (doar un nume sofisticat pentru un segment mare al hard disk-ului dumneavoastră).
Acest nivel este mai înalt decât nivelul semnalelor electrice, dar sub nivelul sistemului de fișiere, acesta din urmă fiind punctul în care calculatorul dumneavoastră vede octeții ca fișiere în loc de doar octeți. Sistemul de fișiere servește ca un fel de organigramă care îi spune calculatorului dvs. cum să spună ce octeți merg împreună pentru a forma fișiere și cum să deosebească fișierele și tipurile de fișiere.
Atunci ce este mai exact această criptare a discului care nu este criptarea întregului disc?
Răspunsul este criptarea la nivel de sistem de fișiere. În cadrul criptării la nivel de sistem de fișiere, numită și „criptare bazată pe fișiere”, un sistem criptează anumite directoare (adică dosare) și toate fișierele și directoarele din cadrul acestora, în mod recursiv până la tot ceea ce conține în cele din urmă cel mai înalt director. Criptarea la nivel de sistem de fișiere poate, de asemenea, să cripteze un întreg sistem de fișiere, protejând automat tot ceea ce este salvat pe acesta. Pentru scopurile noastre, însă, vom lua în considerare tipul de criptare la nivel de fișier care permite utilizatorilor să aleagă ce fișiere și directoare să cripteze, lăsând restul în pace.
Pentru a fi mai precis, modelul pe care îl am în vedere este unul care criptează doar documentele utilizatorului, mediile și alte fișiere care, pe sistemele Unix, ar ajunge în subdirectorul utilizatorului din directorul /home. În acest fel, fișierele de bază ale sistemului și binarele software pentru programele care rulează sunt lăsate în pace și doar datele personale reale sunt păzite.
Acesta, după cum sugerează și numele, are loc la nivelul sistemului de fișiere, care este cu un nivel mai sus decât cel la care este operațională criptarea completă a discului. Acest lucru generează câteva implicații importante. Pentru început, toate fișierele criptate sunt deja înțelese ca fiind fișiere, ceea ce înseamnă că ele pot fi decriptate individual.
De asemenea, permite utilizatorilor să mărească criptarea fișierelor cu controale ale permisiunilor fișierelor. Deoarece întregul disc este criptat prin criptarea completă a discului, un utilizator care cunoaște parola de decriptare a discului trebuie să o introducă înainte ca orice altceva să poată continua. Dar, împreună cu fișierele utilizatorului, toate fișierele de care are nevoie sistemul de operare pentru a funcționa sunt, de asemenea, blocate. O pornire reușită necesită ca întregul dispozitiv de blocuri să fie deblocat, iar odată ce discul este deblocat, totul este deschis.
Cu criptarea la nivel de fișier, sistemul de operare complet impune distincțiile pentru ceea ce este decriptat și când. Fiecare utilizator poate defini care dintre fișierele sale sunt criptate și cu ce parole. Astfel, cu criptarea la nivel de fișier, un utilizator ar putea să-și decripteze fișierele și să lase în continuare blocate datele altui utilizator. Nu trebuie să decriptați un director criptat dacă nu doriți – dacă nu intenționați să deschideți niciunul dintre fișierele dvs. de documente sau media, puteți utiliza programele computerului, lăsând fișierele dvs. personale blocate unde, de exemplu, malware-ul nu le poate infecta.
Show Me What You’ve Got
Nu m-aș fi chinuit să prezint criptarea bazată pe fișiere dacă nu ar fi avut unele avantaje reale față de criptarea completă a discului. În acest scop, cel mai mare punct forte al criptării pe bază de fișiere este faptul că viteza sa lasă în urmă criptarea întregului disc. Acest lucru se datorează faptului că sistemele criptate pe bază de fișiere citesc și scriu pe disc mai eficient.
Pentru a înțelege de ce se întâmplă acest lucru, haideți să intrăm în modul în care funcționează dispozitivele criptate pe blocuri (cum ar fi o memorie flash). Ca o reîmprospătare a terminologiei, „textul cifrat” este forma criptată a informației, care este ilizibilă fără cheia corectă, în timp ce „textul în clar” este informația în forma sa originală, inteligibilă.
Când decriptați date criptate în repaus, computerul dvs. nu schimbă literalmente toți biții de pe hardware-ul de stocare din text cifrat în text în clar. Acest lucru ar dura prea mult timp și v-ar prăji unitatea în cel mai scurt timp din cauza scrierii pe întreaga unitate de fiecare dată când porniți și opriți dispozitivul. În schimb, biții fizici de pe unitatea dvs. rămân așa cum sunt, dar sunt citiți și scriși prin intermediul unui buffer care există în memorie după aplicarea cheii corecte. Bufferul aplică o operațiune de decriptare pe măsură ce informațiile sunt citite și o operațiune de criptare pe măsură ce sunt scrise pe unitate. În timp ce datele sunt decriptate și citite, textul în clar este păstrat în memorie, astfel încât să poată fi ușor de accesat până când ați terminat cu ele.
Aducerea acestor mulți pași suplimentari încetinește mult lucrurile în comparație cu citirile și scrierile necriptate, de până la un factor de zece. Pentru criptarea completă a discului, fiecare lucru pe care îl faceți pe computerul dumneavoastră trebuie să fie citit prin acest tampon de decriptare, deoarece întregul dispozitiv de blocuri și conținutul său sunt criptate. În mod esențial, acest lucru include toate binarele care rulează sistemul de operare propriu-zis și toate programele de pe acesta.
Dar cu configurația aleasă de noi de criptare bazată pe fișiere, doar documentele de utilizator și fișierele media trebuie decriptate. Cea mai mare parte a software-ului pe care îl utilizați zilnic nu se află printre aceste fișiere. Există o mulțime de sarcini de calcul care nu ar avea nevoie să decripteze absolut nimic. Ca un singur exemplu, trăim atât de mult în browserele noastre web încât probabil că puteți număra pe degetele de la o mână numărul de fișiere de utilizator pe care le-ați deschis în ultimele 24 de ore.
Evident, computerul dvs. va trebui să decripteze unele date o parte din timp, dar chiar și atunci, deoarece criptarea este implementată la nivelul sistemului de fișiere, sistemul dvs. de operare criptat pe bază de fișiere poate face acest lucru mai eficient decât ar face-o analogul criptat pe întreg discul.
În cele din urmă, orice acces la disc, fie că este vorba de un disc criptat complet sau de un disc criptat în sistem de fișiere, necesită aprobarea din partea nucleului sistemului de operare, nucleul. Cu toate acestea, deoarece criptarea în criptarea completă a discului este gestionată la nivelul privilegiilor administrative ale sistemului, nucleul trebuie să se implice și pentru citirea dispozitivului de blocuri prin bufferul de decriptare.
Criptarea bazată pe fișiere nu se confruntă cu acest obstacol, deoarece necesită doar drepturi de utilizator neprivilegiat pentru decriptarea fișierelor proprii ale utilizatorului. Ca urmare, criptarea completă a discului trebuie să obțină o permisiune suplimentară de la kernel pentru citirea sau scrierea pe disc, în comparație cu același proces în cadrul modelului bazat pe fișiere.
Mai eficient, cu mai puțină uzură
Un alt avantaj major al criptării sistemului de fișiere este că reduce mult uzura unității dumneavoastră. Pentru fiecare operațiune individuală de scriere, un sistem cu criptare bazată pe fișiere scrie pur și simplu mai puține date decât unul cu criptare completă a discului.
Din nou, criptarea la lucru pentru criptarea completă a discului este la nivelul dispozitivului de bloc, care vede doar blocuri, unități de octeți de dimensiuni uniforme. Totuși, nu toate datele ocupă un bloc întreg. De fapt, multe dintre ele nu o fac. Așadar, criptarea la nivel de bloc contracarează de fapt mecanismul de eficiență încorporat al computerului, care modifică doar părțile dintr-un fișier care s-au schimbat efectiv. Fără criptarea întregului disc, un computer poate compara versiunea actualizată a unui fișier din memorie cu versiunea anterioară de pe unitate, poate determina ce părți sunt acum diferite și poate scrie aceste noi părți diferite în fișier.
Computerul poate realiza o economie similară de scriere și cu criptarea bazată pe fișiere: atunci când versiunea în clar a fișierului dvs. din memorie este actualizată, fișierul este filtrat prin tamponul de criptare și păstrat temporar în memorie, iar apoi sistemul de operare compară noua versiune criptată cu versiunea criptată anterioară de pe unitatea dvs. de disc pentru a determina ce biți s-au schimbat de fapt și îi scrie doar pe aceia.
Criptarea integrală a discului este o altă poveste.
În acest model, sistemul de operare știe ce părți ale fișierului s-au schimbat, dar pentru că criptarea se face pe blocuri și nu pe fișiere, sistemul de operare trebuie acum să transforme fișierele în blocuri, să cripteze blocul și să scrie acele blocuri pe dispozitivul de blocuri. Revizuirile dintr-un fișier care nu însumează un bloc de date pot cuprinde mai multe blocuri, toate acestea trebuind apoi filtrate prin tamponul criptat și scrise în întregime înapoi pe dispozitivul de bloc. Chiar dacă toate datele modificate sunt stocate într-un singur bloc, întregul bloc este rescris, ceea ce duce la o supraîncărcare semnificativă la scriere.
Prin însăși natura sa, criptarea la nivel de sistem de fișiere oferă o flexibilitate pe care alternativa de tip full-disk nu o oferă. După cum s-a menționat mai sus, criptarea întregului disc este totul sau nimic. Acesta criptează întregul sistem, fișierele de bază și toate datele utilizatorului. Acest lucru înseamnă că datele nesensibile pe care doriți să le încărcați mai repede (de exemplu, mediile video sau audio pentru editare) sunt afectate de încetinirea citirii-scrierii.
Criptarea completă a discului nu este, de asemenea, ideală pentru sistemele cu mai mulți utilizatori, cum ar fi un dispozitiv casnic partajat. Oricine dorește să folosească dispozitivul trebuie să cunoască fraza de decriptare a discului complet, sau dispozitivul nu poate nici măcar să pornească în sistemul de operare. Iar deblocarea dispozitivului pentru oricare dintre utilizatori deblochează datele pentru toți utilizatorii. Acest lucru înseamnă, de asemenea, că nu puteți activa funcții precum conturile „guest” neprivilegiate care pot utiliza sistemul de operare cu accesul la fișierele utilizatorului blocat.
În cele din urmă, criptarea bazată pe fișiere este mai rezonabilă pentru ceea ce au nevoie majoritatea oamenilor. Am spus și eu că securitatea implică inconveniente, iar acest lucru este adevărat. Dar atunci când se proiectează un set de practici de securitate, asumarea mai multor inconveniente decât este necesar pentru a reduce riscul de atac nu ajută. De fapt, nu face decât să dăuneze: dacă procedurile de securitate ale unui utilizator sunt prea oneroase, acel utilizator va ajunge în cele din urmă să facă economii.
Simplu spus, criptarea completă a discului este exagerată pentru cazul de utilizare pe care îl aveți cel mai probabil. Cele două configurații de criptare pe care le-am juxtapus vă protejează în moduri diferite. Principala diferență în ceea ce privește gradul de securitate dintre ele este faptul că criptarea bazată pe fișiere protejează doar documentele și fișierele media ale utilizatorului. În schimb, criptarea completă a discului le criptează pe acestea, plus fișierele de bază ale sistemului de operare.
Câteva dezavantaje potențiale
După cum ați putea ghici cu ușurință, există dezavantaje în cazul în care nu se criptează totul așa cum o face criptarea completă a discului. În teorie, un atacator cu acces fizic la dispozitivul dvs. care utilizează criptarea bazată pe fișiere ar putea modifica datele necriptate ale sistemului de operare. De acolo, atacatorul fie vă pornește aparatul pentru a rula codul pe care tocmai l-a pus acolo, fie așteaptă până când vă porniți aparatul, astfel încât codul său malițios să facă ceva pentru a vă smulge datele.
Sună rău, și este, dar, de asemenea, probabil că nu vi se va întâmpla. Într-adevăr, majoritatea sau niciunul dintre adversarii dvs. nu va încerca măcar să o facă. Ei sunt fie atât de primitivi încât criptarea la nivel de sistem de fișiere este suficientă pentru a-i zădărnici, fie atât de sofisticați (adică puternici) încât au metode mai eficiente pentru a vă obține datele.
Pentru majoritatea covârșitoare a utilizatorilor, problema pe care o rezolvă criptarea datelor în repaus este de a împiedica hoții care vă fură fizic dispozitivul să vă obțină datele. De aceea, hoții inteligenți nu se bazează pe obținerea datelor dvs. și, în schimb, recurg la împrejmuirea dispozitivului pentru bani. Criptarea bazată pe fișiere și criptarea completă a discului funcționează la fel de bine în acest scenariu.
În schimb, dacă adversarul dumneavoastră este o autoritate guvernamentală (de exemplu, forțele de ordine), nici criptarea bazată pe fișiere, nici criptarea completă a discului nu vă va salva. În funcție de jurisdicție, aceștia vă pot ordona în mod legal să vă deblocați dispozitivul. Aproape peste tot, guvernele pot emite ordine către serviciile care vă stochează datele în cloud să vă predea pur și simplu ceea ce doresc – iar în regimurile represive, să spunem că au modalități mai directe și mai dureroase de a vă face să vă supuneți.
Să spunem, de dragul discuției, că vă confruntați cu un actor guvernamental, iar toate tehnicile menționate mai sus nu au funcționat. Criptarea completă a discului ar funcționa doar dacă guvernul nu ar avea o modalitate mai sofisticată de a vă ataca sistemul. Aceasta nu este o problemă pentru majoritatea guvernelor puternice din lume, deoarece acestea sunt suficient de avansate încât să poată folosi forța brută sau să ocolească în vreun fel criptarea.
Deci, nu sunt atât de multe cazuri în care criptarea completă a discului vă va salva cu adevărat: atunci când inamicul dvs. este un guvern și puteți rezista la tortură fizică, dar guvernul nu este capabil de hackingul foarte mișto din filmele de acțiune pe care practic fiecare națiune G20 îl poate face.
Aceasta nu înseamnă că, în funcție de adversarul tău, nu ai nimic de câștigat dacă îi faci lucrurile dificile atacatorului tău – a face viața atacatorului tău cât mai grea posibil este o strategie de securitate consacrată – dar trebuie doar să realizezi că asta este tot ce îți poate garanta criptarea completă a discului. Dar, din nou, nu la asta se uită aproape niciunul dintre voi.
Criptare practică, implementare nepractică
Cei dintre voi care sunt convinși și își doresc să recupereze performanța de citire-scriere și longevitatea SSD-ului se întreabă probabil de unde pot pune mâna pe această criptografie dulce la nivel de fișier. Ei bine, aici lucrurile se complică. Vedeți, este greu de configurat în practică.
Motivul principal este că principalele sisteme de operare de consum sunt deja criptate integral pe disc. Apple și Google și-au configurat dispozitivele mobile pentru criptarea completă a discului și le refuză utilizatorilor posibilitatea de a o dezactiva. Apple și Microsoft activează, de asemenea, criptarea completă a discului în mod implicit, dar ambele oferă modalități de dezactivare a acesteia pentru cei mai îndrăzneți.
Pentru sistemele de operare desktop bazate pe Linux (preferința mea personală), instalarea sistemului cu criptare la nivel de sistem de fișiere obișnuia să fie la fel de ușoară ca și bifarea unei căsuțe, dar acest lucru se duce rapid pe calea dodo. Ubuntu a renunțat recent la această opțiune de instalare în programul lor de instalare grafică, lăsând Linux Mint ca singura distribuție pe care o cunosc care o mai oferă. Chiar și distribuțiile DIY, cum ar fi Arch Linux, vă descurajează să încercați să configurați criptografia la nivel de fișier. În schimb, acestea vă îndrumă spre criptarea pe blocuri, pentru care documentația este mult mai amănunțită.
Dacă sunteți dispus să faceți toate demersurile necesare pentru a dezactiva criptarea completă a discului, aveți la dispoziție câteva opțiuni. Una dintre cele mai solide opțiuni este VeraCrypt. Născut din dorința de a îmbrăca mantia defunctului TrueCrypt, VeraCrypt este un instrument grafic pentru crearea de structuri de directoare criptate peste un sistem de fișiere existent. Se laudă cu opțiuni pentru viteze de citire-scriere la egalitate cu cele ale sistemelor de fișiere necriptate și chiar cu funcții de super-spionaj, cum ar fi criptarea negabilă, în care datele criptate vor părea doar un spațiu normal nefolosit de pe unitatea dumneavoastră. O explorare chiar și a capabilităților de bază ale VeraCrypt ar fi dincolo de scopul acestui articol deja lung, dar poate că are stofă pentru un articol viitor.
De ce mi-am luat tot acest timp pentru a vă spune despre ceva care nu este cel mai (deși cu siguranță nu este cel mai puțin) accesibil? În mod fundamental, este important să știți ce este posibil, astfel încât să puteți face cele mai bine informate alegeri, pentru a crea o experiență informatică care să răspundă cel mai bine nevoilor dumneavoastră. Calculatoarele pot fi personalizate la infinit, așa că nu există niciun motiv pentru care unui utilizator ar trebui să i se refuze configurația care i se potrivește cel mai bine – necunoașterea opțiunilor tale este cel mai prost motiv de acest fel.
Aprecierea a ceea ce este posibil înseamnă mai mult decât a trăi cea mai bună viață digitală, ci și a oferi sprijin, chiar dacă este vorba doar de utilizare, dezvoltatorilor care fac acest lucru posibil. Dacă acest lucru sună ca ceva care ar putea să vă facă viața mai bună, vă spun, mergeți mai departe și colindați!
.