Запустите инструмент шифрования в Windows, введя в строке поиска «BitLocker» и выбрав пункт «Управление BitLocker». В следующем окне вы можете активировать шифрование, нажав на «Включить BitLocker» рядом с обозначением жесткого диска (если появится сообщение об ошибке, прочитайте раздел «Использование BitLocker без TPM»).
Теперь вы можете выбрать, хотите ли вы при деблокировании зашифрованного диска использовать USB-флеш-накопитель или пароль. Вне зависимости от выбранной опции, в процессе настройки вам нужно будет сохранить или распечатать ключ восстановления. Он вам понадобится, если вы забудете пароль или потеряете флешку.
Использование BitLocker без TPM
Настройка BitLocker.BitLocker также функционирует без чипа TPM - правда, для этого нужно произвести некоторые настройки в редакторе локальной групповой политики.
Если на вашем компьютере не используется чип TPM (Trusted Platform Module), вам, возможно, необходимо будет произвести кое-какие настройки, чтобы активировать BitLocker. В строке поиска Windows наберите «Изменение групповой политики» и откройте раздел «Редактор локальной групповой политики». Теперь откройте в левой колонке редактора «Конфигурация компьютера | Административные шаблоны | Компоненты Windows | Шифрование диска BitLocker | Диски операционной системы», а в правой колонке отметьте запись «Обязательная дополнительная проверка подлинности при запуске».
Затем в средней колонке нажмите на ссылку «Изменить параметр политики». Поставьте кружочек напротив «Включить» и галочку напротив пункта «Разрешить использование BitLocker без совместимого TPM» ниже. После нажатия на «Применить» и «ОК» вы можете использовать BitLocker, как описано выше.
Альтернатива в виде VeraCrypt
Чтобы зашифровать системный раздел или весь жесткий диск с помощью преемника программы TrueCrypt под названием VeraCrypt, выберите в главном меню VeraCrypt пункт «Create Volume», а затем - «Encrypt the system partition or entire system drive». Чтобы зашифровать весь жесткий диск вместе с разделом Windows, выберите «Encrypt the whole drive», после чего следуйте пошаговой инструкции по настройке. Внимание: VeraCrypt создает диск аварийного восстановления на случай, если вы забудете пароль. Так что вам потребуется пустая CD-болванка.
После того как вы зашифровали свой диск, при начальной загрузке вам нужно будет после пароля указать PIM (Personal Iterations Multiplier). Если при настройке вы не установили PIM, то просто нажмите Enter.
С открытым исходным кодом была популярна на протяжении 10 лет благодаря свой независимости от основных вендоров. Создатели программы публично неизвестны. Среди самых известных пользователей программы можно выделить Эдварда Сноудена и эксперта по безопасности Брюса Шнайера. Утилита позволяет превратить флеш-накопитель или жесткий диск в защищенное зашифрованное хранилище, в котором конфиденциальная информация скрыта от посторонних глаз.
Таинственные разработчики утилиты объявили о закрытии проекта в среду 28 мая, объяснив, что использование TrueCrypt небезопасно. «ВНИМАНИЕ: Использовать TrueCrypt небезопасно, т.к. программа может содержать неустраненные уязвимости» - такое сообщение можно увидеть на странице продукта на портале SourceForge. Далее следует еще одно обращение: «Вы должны перенести все данные, зашифрованные в TrueCrypt на зашифрованные диски или образы виртуальных дисков, поддерживаемые на вашей платформе».
Независимый эксперт по безопасности Грэм Клули вполне логично прокомментировал сложившуюся ситуацию: «Настало время подыскать альтернативное решение для шифрования файлов и жестких дисков» .
Это не шутка!
Первоначально появлялись предположения, что сайт программы был взломан киберпреступниками, но теперь становится ясно, что это не обман. Сайт SourceForge сейчас предлагает обновленную версию TrueCrypt (которая имеет цифровую подпись разработчиков), во время установки которой предлагается перейти на BitLocker или другой альтернативный инструмент.
Профессор в области криптографии университета Джона Хопкинаса Мэтью Грин сказал: «Очень маловероятно, что неизвестный хакер идентифицировал разработчиков TrueCrypt, украл их цифровую подпись и взломал их сайт».
Что использовать теперь?
Сайт и всплывающее оповещение в самой программе содержит инструкции по переносу файлов, зашифрованных TrueCrypt на сервис BitLocker от Microsoft, который поставляется вместе с ОС Microsoft Vista Ultimate/Enterprise, Windows 7 Ultimate/Enterprise и Windows 8 Pro/Enterprise. TrueCrypt 7.2 позволяет дешифровать файлы, но не позволяет создавать новые зашифрованные разделы.
Самой очевидной альтернативой программе является BitLocker, но есть и другие варианты. Шнайер поделился, что он возвращается к использованию PGPDisk от Symantec. (110 долларов за одну пользовательскую лицензию) использует хорошо известный и проверенный метод шифрования PGP.
Существуют и другие бесплатные альтернативы для Windows, например DiskCryptor . Исследователь по компьютерной безопасности, известный как The Grugq в прошлом году составил целый , который актуален и по сей день.
Йоханнес Ульрих, научный руководитель технологического института SANS пользователям Mac OS X рекомендует обратить внимание на FileVault 2, который встроен в OS X 10.7 (Lion) и более поздние ОС данного семейства. FileVault использует 128-битное шифрование XTS-AES, которое применяется в агентстве национальной безопасности США (NSA). По мнению Ульриха пользователи Linux должны придерживаться встроенного системного инструмента Linux Unified Key Setup (LUKS). Если Вы используете Ubuntu, то установщик этой ОС уже позволяет включить полное шифрование дисков с самого начала.
Тем не менее, пользователям понадобятся другие приложения для шифрования переносных носителей, которые используются на компьютерах с разными ОС. Ульрих сказал, что в этом случае на ум приходит .
Немецкая компания Steganos предлагает воспользоваться старой версией своей утилиты шифрования Steganos Safe (актуальная версия на данный момент - 15, а предлагается воспользоваться 14 версией), которая распространяется бесплатно.
Неизвестные уязвимости
Тот факт, что TrueCrypt может иметь уязвимости в безопасности вызывает серьезные опасения, особенно учитывая, что аудит программы не выявил подобных проблем. Пользователи программы накопили 70 000 долларов для проведения аудита после слухов о том, что агентство национальной безопасности США может декодировать значительные объемы зашифрованных данных. Первый этап исследования, в котором анализировался загрузчик TrueCrypt был проведен в прошлом месяце. Аудит не выявил ни бэкдоров, ни умышленных уязвимостей. Следующая фаза исследования, в которой должны были проверяться используемые методы криптографии была запланирована на это лето.
Грин был одним из экспертов, участвующих в аудите. Он рассказал, что не имел никакой предварительной информации о том, что разработчики планирую закрыть проект. Грин рассказал: «Последнее что я слышал от разработчиков TrueCrypt: «Мы с нетерпением ждем результаты 2 фазы испытания. Спасибо за ваши старания!». Нужно отметить, что аудит продолжится, как было запланировано, несмотря на остановку проекта TrueCrypt.
Возможно, создатели программы решили приостановить разработку, потому что утилита является устаревшей. Разработка прекратилась 5 мая 2014 года, т.е. уже после официального прекращения поддержки системы Windows XP. На SoundForge упоминается: «Windows 8/7/Vista и более поздние системы имеют встроенные средства для шифрования дисков и образов виртуальных дисков». Таким образом, шифрование данных встроено во многие ОС, и разработчики могли посчитать программу больше не нужной.
Чтобы добавить масла в огонь отметим, что 19 мая TrueCrypt была удалена из защищенной системы Tails (любимой системы Сноудена). Причина до конца не ясна, но использовать программу явно не следует – отметил Клули.
Клули также написал: «Будь то обман, взлом или логичный конец жизненного цикла TrueCrypt, становится ясно, что сознательные пользователи не будут чувствовать себя комфортно, доверяя свои данные программе после произошедшего фиаско».
Существует масса причин зашифровать данные на своем жестком диске, но расплатой за безопасность данных будет снижение скорости работы системы. Цель этой статьи - сравнить производительность при работе с диском, зашифрованным разными средствами.
Чтобы разница была более драматичной, мы выбрали не суперсовременную, а среднестатистическую машину. Обычный механический хард на 500 Гбайт, двухъядерный AMD на 2,2 ГГц, 4 гига оперативки, 64-битная Windows 7 SP 1. Никаких антивирусов и прочих программ во время теста запущено не будет, чтобы ничто не смогло повлиять на результаты.
Для оценки производительности я выбрал CrystalDiskMark. Что до тестируемых средств шифрования, то я остановился на таком списке: BitLocker, TrueCrypt, VeraCrypt, CipherShed, Symantec Endpoint Encryption и CyberSafe Top Secret.
BitLocker
Это стандартное средство шифрования дисков, встроенное в Microsoft Windows. Многие просто используют его, не устанавливая сторонних программ. Действительно, зачем, если все уже есть в системе? С одной стороны, правильно. С другой стороны, код закрыт, и нет уверенности, что в нем не оставили бэкдоров для ФБР и прочих интересующихся.
Шифрование диска осуществляется по алгоритму AES с длиной ключа 128 или 256 бит. Ключ при этом может храниться в Trusted Platform Module, на самом компьютере или на флешке.
Если используется TPM, то при загрузке компьютера ключ может быть получен сразу из него или после аутентификации. Авторизоваться можно при помощи ключа на флешке или введя PIN-код с клавиатуры. Комбинации этих методов дают множество вариантов для ограничения доступа: просто TPM, TPM и USB, TPM и PIN или все три сразу.
У BitLocker есть два неоспоримых преимущества: во-первых, им можно управлять через групповые политики; во-вторых, он шифрует тома, а не физические диски. Это позволяет зашифровать массив из нескольких дисков, чего не умеют делать некоторые другие средства шифрования. Также BitLocker поддерживает GUID Partition Table (GPT), чем не может похвастаться даже наиболее продвинутый форк «Трукрипта» VeraCrypt. Чтобы зашифровать с его помощью системный GPT-диск, придется сначала конвертировать в формат MBR. В случае с BitLocker это не требуется.
В целом, недостаток один - закрытые исходники. Если ты хранишь секреты от домочадцев, BitLocker отлично подойдет. Если же твой диск забит документами государственной важности, лучше подыскать что-то другое.
Можно ли расшифровать BitLocker и TrueCrypt
Если попросить Google, то он найдет интересную программу Elcomsoft Forensic Disk Decryptor, пригодную для расшифровки дисков BitLocker, TrueCrypt и PGP. В рамках этой статьи испытывать ее не стану, но поделюсь впечатлениями о другой утилите от Elcomsoft, а именно Advanced EFS Data Recovery. Она превосходно расшифровывала EFS-папки, но при условии, что пароль пользователя не был задан. Если задать пароль хоть 1234, программа оказывалась бессильной. Во всяком случае, расшифровать зашифрованную EFS-папку, принадлежащую пользователю с паролем 111, у меня не получилось. Думаю, с продуктом Forensic Disk Decryptor ситуация будет такой же.
TrueCrypt
Это легендарная программа шифрования дисков, разработка которой была прекращена в 2012 году. История, которая приключилась с TrueCrypt, до сих пор покрыта мраком, и толком никто не знает, почему разработчик решил отказаться от поддержки своего детища.
Есть лишь крупицы информации, не позволяющие сложить пазл воедино. Так, в 2013 году начался сбор средств для проведения независимого аудита TrueCrypt. Причиной прослужила полученная от Эдварда Сноудена информация о намеренном ослаблении средств шифрования TrueCrypt. На аудит было собрано свыше 60 тысяч долларов. В начале апреля 2015 года работы были завершены, но никаких серьезных ошибок, уязвимостей или других существенных недостатков в архитектуре приложения выявлено не было.
Как только закончился аудит, TrueCrypt снова оказался в центре скандала. Специалисты компании ESET опубликовали отчет о том, что русскоязычная версия TrueCrypt 7.1a, загруженная с сайта truecrypt.ru, содержала малварь. Более того, сам сайт truecrypt.ru использовался как командный центр - с него отправлялись команды инфицированным компьютерам. В общем, будь бдителен и не скачивай программы откуда попало.
К преимуществам TrueCrypt можно отнести открытые исходники, надежность которых теперь подкреплена независимым аудитом, и поддержку динамических томов Windows. Недостатки: программа больше не развивается, и разработчики не успели реализовать поддержку UEFI/GPT. Но если цель - зашифровать один несистемный диск, то это неважно.
В отличие от BitLocker, где поддерживается только AES, в TrueCrypt есть еще Serpent и Twofish. Для генерации ключей шифрования, соли и ключа заголовка программа позволяет выбрать одну из трех хеш-функций: HMAC-RIPEMD-160, HMAC-Whirlpool, HMAC-SHA-512. Однако о TrueCrypt уже много чего было написано, так что не будем повторяться.
VeraCrypt
Наиболее продвинутый клон TrueCrypt. У него собственный формат, хотя есть возможность работы в режиме TrueCrypt, в котором поддерживаются зашифрованные и виртуальные диски в формате «Трукрипта». В отличие от CipherShed, VeraCrypt может быть установлена на один и тот же компьютер одновременно с TrueCrypt.
INFO
Самоустранившись, TrueCrypt оставил богатое наследие: у него множество форков, начиная с VeraCrypt, CipherShed и DiskCryptor.В TrueCrypt используется 1000 итераций при генерации ключа, которым будет зашифрован системный раздел, а VeraCrypt использует 327 661 итерацию. Для стандартных (не системных) разделов VeraCrypt использует 655 331 итерацию для хеш-функции RIPEMD-160 и 500 000 итераций для SHA-2 и Whirlpool. Это делает зашифрованные разделы существенно более устойчивыми к атаке прямым перебором, но и значительно снижает производительность работы с таким разделом. Насколько значительно, мы скоро выясним.
Среди преимуществ VeraCrypt - открытый исходный код, а также собственный и более защищенный по сравнению с TrueCrypt формат виртуальных и зашифрованных дисков. Недостатки те же, что и в случае с прародителем, - отсутствие поддержки UEFI/GPT. Зашифровать системный GPT-диск по-прежнему нельзя, но разработчики уверяют, что работают над этой проблемой и скоро такое шифрование будет доступно. Вот только работают они над этим уже два года (с 2014-го), и когда будет релиз с поддержкой GPT и будет ли он вообще, пока не известно.
CipherShed
Еще один клон TrueCrypt. В отличие от VeraCrypt, он использует исходный формат TrueCrypt, поэтому можно ожидать, что его производительность будет близка к производительности TrueCrypt.
Преимущества и недостатки все те же, хотя к недостаткам можно еще добавить невозможность установки TrueCrypt и CipherShed на одном компьютере. Мало того, если попытаться установить CipherShed на машину с уже установленным TrueCrypt, то инсталлятор предлагает удалить предыдущую программу, но не справляется с задачей.
Symantec Endpoint Encryption
В 2010 году компания Symantec выкупила права на программу PGPdisk. В результате появились такие продукты, как PGP Desktop и, впоследствии, Endpoint Encryption. Именно ее мы и рассмотрим. Программа, конечно же, проприетарная, исходники закрыты, и одна лицензия стоит 64 евро. Зато тут есть поддержка GPT, но только начиная с Windows 8.
Другими словами, если нужна поддержка GPT и есть желание зашифровать системный раздел, то придется выбирать между двумя проприетарными решениями: BitLocker и Endpoint Encryption. Вряд ли, конечно, домашний пользователь будет устанавливать Endpoint Encryption. Проблема в том, что для этого требуется Symantec Drive Encryption, для установки которого нужны агент и сервер управления Symantec Endpoint Encryption (SEE), а сервер хочет поставить еще и IIS 6.0. Не многовато ли всякого добра ради одной программы для шифрования диска? Мы прошли через все это только ради того, чтобы замерить производительность.
Момент истины
Итак, приступаем к самому интересному, а именно к тестированию. Первым делом нужно проверить производительность диска без шифрования. Нашей «жертвой» будет раздел жесткого диска (обычного, не SSD) размером 28 Гбайт, отформатированный как NTFS.
Открываем CrystalDiskMark, выбираем количество проходов, размер временного файла (во всех тестах будем использовать 1 Гбпйт) и сам диск. Стоит отметить, что количество проходов практически не влияет на результаты. На первом скриншоте показаны результаты измерения производительности диска без шифрования с числом проходов 5, на втором - с числом проходов 3. Как видишь, результаты практически идентичны, поэтому остановимся на трех проходах.
Результаты CrystalDiskMark нужно трактовать так:
- Seq Q32T1 - тест последовательной записи / последовательного чтения, количество очередей - 32, потоков - 1;
- 4K Q32T1 - тест случайной записи / случайного чтения (размер блока 4 Кбайт, количество очередей - 32, потоков - 1);
- Seq - тест последовательной записи / последовательного чтения;
- 4K - тест случайной записи / случайного чтения (размер блока 4 Кбайт);
Начнем с BitLocker. На шифрование раздела размером 28 Гбайт было потрачено 19 минут.
Продолжение доступно только участникам
Вариант 1. Присоединись к сообществу «сайт», чтобы читать все материалы на сайте
Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», увеличит личную накопительную скидку и позволит накапливать профессиональный рейтинг Xakep Score!
Предлагаем Вашему вниманию обзор самых популярных аппаратных и программных средств для шифрования данных на внешнем жестком диске.
Начнем с самого простого. В Mac OS X встроена Дисковая утилита, которая позволяет создать зашифрованный образ диска. Также для шифрования файлов или папок можно использовать стороннее программное обеспечение, например Espionage , FileWard, StuffIt Deluxe . Кроме этого, некоторые приложения для создания резервных копий предлагают шифрование бекапов из коробки.
Эти методы хороши. Но иногда использование программного шифрования не является лучшим вариантом. Например, когда Вам нужно шифровать резервные копии Time Machine. Для защиты таких бекапов придется проделать хитрые манипуляции, потому что Time Machine не поддерживает шифрование. Обычное ПО не поможет в том случае, когда нужно создать зашифрованную копию загрузочного диска так, чтобы он оставался загрузочным. Зашифрованных дисков касается и другое ограничение: их нельзя использовать на других компьютерах (Mac или PC) без специального ПО.
PGP Whole Disk Encryption for the Mac – одно из тех приложений, позволяющих шифровать содержимое диска, который остается загрузочным и пригодным для использования на Mac и PC. Это прекрасное приложение, но для доступа к информации на каждом компьютере, к которому подключается такой диск, необходима инсталляция PGP. Также, в случае повреждения диска шифрование может помешать восстановлению данных.
Если Вам нужно универсальное решение, которое не накладывает ограничения на использование диска, стоит приобрести HDD со встроенным шифрованием. Диск самостоятельно шифрует и дешифрует данные, поэтому необходимость в установке дополнительного программного обеспечения отсутствует. При этом диск можно использовать в качестве загрузочного тома или для Time Machine. Одно предостережение: если у диска откажет контроллер или другая электроника, у Вас не будет возможности перенести данные с устройства (даже с полностью работающей механикой) до полного восстановления HDD.
Жесткие диски с поддержкой шифрования бывают нескольких типов, в зависимости от механизма дешифровки:
Аппаратные ключи
Некоторые производители предлагают шифрующие HDD-боксы, которые блокируются с помощью физического устройства. До тех пор, пока присутствует ключ (подключен или находится рядом с диском), диск может быть прочитан.
HDD такого типа: RadTech’s Encrypted Impact Enclosures (95 долларов), RocStor Rocbit FXKT drives и несколько устройств от SecureDISK (от 50 долларов). Все боксы имеют два или три совместимых ключа, которые подключаются в специальный порт устройства. SecureDISK предлагает RFID Security External Enclosure с инфракрасным ключом (для использования диска носитель должен находится рядом).
Сканеры отпечатков пальцев
Если Вы беспокоитесь из-за потери физического носителя, то можно посмотреть в сторону HDD-боксов со сканером отпечатков пальцев. Несколько примеров: MXI Security Outbacker MXI Bio (419-599$) и LaCie SAFE hard drives (400$ за 2Гб модель). (Некоторые старшие модели боксов LaCie, формата 2.5″ не шифруют данные, а используют менее надежную блокировку в прошивке). Эти диски удобные в использовании и могут хранить отпечатки пальцев до пяти человек. Стоит отметить, что существуют несколько техник обмана сканера пальцев (без наличия оригинального пальца).
Клавиатура
(230-480$) – шифрующие дисковые боксы, для которых не нужны физические ключи или биометрические считыватели. Вместо них используется клавиатура для введения пароля (до 18 символов). Применение клавиатуры вместо физического ключа удобно том случае, когда диск часто ходит по рукам. Диски поддерживают функцию “самоликвидации”, которая удаляет всю хранимую информацию после нескольких неудачных попыток ввода пароля.
BitLocker является встроенной технологией в операционных системах WindowsVista (Proffessional/Enterprise), Windows 7 (Ultimate), Windows 8/8.1 а также в некоторых серверных версиях, таких как Windows Server 2012 и Server 2008 R2.
BitLocker позволяет зашифровать полностью весь носитель информации, это может быть встроенный HDD или внешний жесткий диск, USB накопитель или SD карта также отдельный том, например, локальный диск «D:\».
После установки BitLocker доступ к носителю информации будет доступен только по паролю на всех компьютерах, к которым подключается устройство. Таким образом, если вы потеряете зашифрованный в BitLocker носитель информации, то вероятность того, что вашими файлами будет распоряжаться другой человек, сводятся практически к нулю.
Если вы потеряете или забудете пароль к зашифрованному носителю, то в этом случаи пароль можно восстановить, используя ключ восстановления. Ключ восстановления создаётся в обязательном порядке перед началом шифрования BitLocker. Без этой процедуры, начать шифрование не получится.
Сам ключ можно получить в нескольких вариантах. Сохранить в обычном «txt» файле, после чего прибрать файлик подальше от лишних глаз. Если у вас современный компьютер, то вам доступна возможность хранить ключ в платформенном модуле (TPM). Можно сохранить ключ и в учетной записи Microsoft.
Как зашифровать USB накопитель, используя BitLocker?
Вставьте USB накопитель и откройте проводник, после чего нажмите ПКМ по нужному носителю и в контекстно меню выберете «Включить BitLocker»
После недолгой инициализации диска вас попросят выбрать способ разблокировки диска. В рамках этой статьи используется способ, предложенный по умолчанию – использовать пароль.
Дальше выбираем способ архивации ключа. Предложено три варианта, из которых был выбран «Сохранить в файл». Сохраните файл с ключом восстановления на рабочем столе, переименуйте его и перенесите в более надёжное место.
Шифровать только занятое место . В этом случаи не будет зашифрован полностью весь накопитель, будет зашифрована только та информация, которая уже записана на диск. Данный пункт стоит выбирать, если информации мало, тогда процесс шифрования будет гораздо быстрее.
Шифровать весь диск . В этом случаи будет зашифровано все пространство диска. Процесс шифрование может занять несколько часов. Этот вариант рекомендуется выбирать, если накопитель заполнен полностью.
Дождитесь пока завершиться процесс шифрования, не отключая накопитель от компьютера, так как, файлы могут быть повреждены. Если в процессе шифрования произойдёт сбой или банально отключат свет, то при следующем включении компьютера, шифрование продолжится с того же место.
При следующем подключении накопителя, его иконка будет иметь вид закрытого замочка, это говорит о том, что данный диск успешно зашифрован.
При попытке открыть диск привычным действием появится окно, в котором нужно указать пароль для разблокировки диска.
Если пароль будет указан правильно, диск будет открыт как обычно, в проводнике, и вы сможете работать с файлами в привычном режиме.
После несложных действий ваш накопитель имеет надёжную защиту. В случаи кражи или потери, вам не стоит волноваться за свою информацию, посторонние лица незная пароль, не смогут получить доступ к файлам.
В рамках этой статьи была приведена инструкция, о том, как зашифровать USB накопитель, используя BitLocker. Но эта не единственная возможность данной технологии.
Используя BitLocker можно запретить копирование файлов с вашего ПК на внешние устройства хранения информации, таким образом обезопасить себя от кражи файлов с собственного компьютера.
