Как и в любой другой отрасли, отрасль информационной безопасности, более известная как «кибербезопасность», несмотря на все ее бурные споры, сплотилась вокруг небольшого корпуса лучших практик .
Одно из самых высоких в этом списке — шифрование всего диска, которое эксперты по безопасности считают неприкосновенным, незамысловатым, и каждый должен использовать его при минимальных минимумах. Это шифрование, которое гарантирует, что кто-то, кто украдет ваше устройство, не сможет узнать все, что вы на нем сохранили.
Я здесь, чтобы доказать, что большинству из вас лучше не используй это. Я знаю, что это может показаться безумием, поскольку я здесь вроде как охранник, но выслушайте меня.
Я никоим образом не собираюсь отговаривать вас от использования шифрования — без него, цифровых инструментов, которые мы полагаемся, что каждый день будет бесполезен. Вот почему я не возражаю против шифрования, точка; но специально против шифрования всего диска и только для определенных пользователей.
Я утверждаю, что для большинства людей, сталкивающихся с наиболее распространенными вариантами использования, шифрование всего диска является излишним. Эти пользователи не получают ощутимого выигрыша в безопасности по сравнению с альтернативным шифрованием данных в состоянии покоя, но платят за это ощутимым снижением производительности. Это не только вопрос эффективности или времени загрузки, но и буквальное увеличение затрат для пользователей.
Существуют альтернативы, которые предоставляют обычным повседневным пользователям, с обычными повседневными заботами о безопасности, уровень защиты, соизмеримый с полным -дисковое шифрование предлагает. По общему признанию, они немного сбились с пути, так как большинство компаний, занимающихся потребительскими технологиями, внедрили шифрование всего диска, но они уже есть.
Содержание статьи
Должен быть другой путь
Сегодня полное -дисковое шифрование является наиболее распространенной схемой шифрования данных в состоянии покоя. Думайте о данных в состоянии покоя как о данных, которые вы храните на каком-то носителе (например, на жестком диске) для использования в дальнейшем, а не о данных, которые передаются по какому-либо каналу связи, например через Интернет (это будут данные в пути).
В общем, шифрование всего диска реализуется на уровне компьютерной сложности, который касается того, как необработанные байты, отделенные от контекста представления информации, организуются на жестком диске. Мы будем называть это уровнем блочного устройства, поскольку шифрование всего диска применяется к блочному устройству, которое является разделом жесткого диска (просто причудливое название для большого сегмента жесткого диска).
Этот уровень выше, чем уровень электрического сигнала, но ниже файловой системы, последняя из которых является точкой, в которой ваш компьютер воспринимает байты как файлы, а не просто байты. Файловая система служит своего рода организационной схемой, которая сообщает вашему компьютеру, как определить, какие байты объединяются, чтобы образовать файлы, и как различать файлы и типы файлов.
Так что же это за шифрование диска, которое не является «Не шифрование всего диска?»
Ответ — шифрование на уровне файловой системы. При шифровании на уровне файловой системы, также называемом «шифрованием на основе файлов», система рекурсивно шифрует определенные каталоги (то есть папки), а также все файлы и каталоги в них, вплоть до всего, что в конечном итоге содержит самый верхний каталог. Шифрование на уровне файловой системы может также зашифровать всю файловую систему, автоматически защищая все, что в ней сохраняется. Однако для наших целей мы рассмотрим тип шифрования на основе файлов, который позволяет пользователям выбирать, какие файлы и каталоги шифровать, оставляя все остальное в покое.
Если быть точным, модель, которую я использовал mind — это тот, который шифрует только пользовательские документы, мультимедиа и другие файлы, которые в системах Unix попадают в подкаталог пользователя в каталоге / home. Таким образом, основные системные файлы и двоичные файлы программного обеспечения для запуска программ остаются в покое, и только ваши фактические личные данные защищены.
Это, как следует из названия, происходит на уровне файловой системы, которая является единой уровень выше, где действует полное шифрование диска. Из этого следует несколько важных выводов. Начнем с того, что все ваши зашифрованные файлы уже воспринимаются как файлы, то есть их можно расшифровать индивидуально.
Это также позволяет пользователям расширять шифрование файлов с помощью контроля доступа к файлам. Поскольку полный диск зашифрован с помощью полного шифрования диска, пользователь, который знает пароль для дешифрования диска, должен ввести его, прежде чем что-либо еще сможет продолжить. Но вместе с пользовательскими файлами все файлы, необходимые для запуска ОС, также заблокированы. Для успешной загрузки требуется, чтобы все блочное устройство было разблокировано, и как только диск разблокирован, он весь открыт.
С шифрованием на уровне файлов ваша полная ОС обеспечивает различия в том, что и когда расшифровывается. Каждый пользователь может определить, какие из своих файлов зашифрованы и с какими паролями. Таким образом, с файловым шифрованием один пользователь может расшифровать свои файлы, оставив при этом данные другого заблокированными. Вам не нужно расшифровывать зашифрованный каталог, если вы этого не хотите — если вы не собираетесь открывать какие-либо документы или файлы мультимедиа, вы можете использовать программы компьютера, оставляя свои личные файлы заблокированными, где Например, вредоносные программы не могут их заразить.
Покажи мне, что у тебя есть
Я бы не стал использовать шифрование на основе файлов, если бы оно не имело реальные преимущества перед шифрованием всего диска. С этой целью наибольшая сила файлового шифрования заключается в том, что его скорость оставляет шифрование всего диска в пыли. Это потому, что файловые системы с шифрованием читают и записывают на диск более эффективно.
Чтобы понять, почему это так, давайте разберемся, как работают зашифрованные блочные устройства (например, флэш-память). Так же, как освежение терминологии, «зашифрованный текст» — это зашифрованная форма информации, которую невозможно прочитать без правильного ключа, а «открытый текст» — это информация в ее исходной, понятной форме.
Когда вы расшифровываете зашифрованные данные в состоянии покоя ваш компьютер буквально не меняет все биты оборудования хранения с зашифрованного текста на открытый. Это займет слишком много времени и мгновенно сожжет ваш диск после того, как будет записываться на весь диск каждый раз, когда вы загружаете и выключаете свое устройство. Вместо этого физические биты на вашем диске остаются такими, как есть, но они читаются и записываются через буфер, который существует в памяти после применения правильного ключа. Буфер применяет операцию дешифрования при считывании информации и операцию шифрования при ее записи на накопитель. Пока ваши данные расшифровываются и читаются, открытый текст хранится в памяти, поэтому на него можно легко ссылаться, пока вы не закончите с ним.
Добавление этого множества дополнительных шагов значительно замедляет работу по сравнению с незашифрованным чтением и записью. целых десять. Для полнодискового шифрования все, что вы делаете на своем компьютере, должно быть прочитано через этот буфер дешифрования, потому что все ваше блочное устройство и его содержимое зашифрованы. Что особенно важно, это включает в себя все двоичные файлы, которые запускают саму ОС и все программное обеспечение на ней.
Но с выбранной нами конфигурацией файлового шифрования, только ваш пользовательский документ и мультимедийные файлы нуждаются в расшифровке. Большинство программ, которые вы используете ежедневно, не входят в число этих файлов. Существует множество вычислительных задач, для которых не нужно вообще ничего расшифровывать. Приведу лишь один пример. Мы живем в наших веб-браузерах так часто, что вы, вероятно, можете по пальцам посчитать количество пользовательских файлов, открытых вами за последние 24 часа.
Очевидно, вашему компьютеру придется расшифровать иногда некоторые данные, но даже в этом случае, поскольку шифрование реализовано на уровне файловой системы, ваша файловая зашифрованная ОС может делать это более эффективно, чем аналог с полнодисковым шифрованием.
В конечном итоге, все Доступ к диску, будь то полностью зашифрованный диск или диск с шифрованием файловой системы, требует одобрения ядра операционной системы, ядра. Однако, поскольку шифрование при полнодисковом шифровании управляется на уровне привилегий администратора системы, ядро также должно участвовать для чтения блочного устройства через буфер дешифрования.
Файловое шифрование не работает. столкнуться с этим препятствием, потому что для расшифровки собственных файлов пользователя требуются только непривилегированные права пользователя. В результате шифрование всего диска должно получать дополнительное разрешение от ядра для чтения или записи на диск по сравнению с тем же процессом в рамках модели на основе файлов.
Более эффективное с меньшим износом и разрывом
Еще одним важным преимуществом шифрования файловой системы является то, что оно снижает износ диска. Для каждой отдельной операции записи система с шифрованием на основе файлов просто записывает меньше данных, чем система с шифрованием всего диска.
Опять же, шифрование работает для шифрования всего диска на уровне блочного устройства, что видит только блоки байтов одинакового размера. Однако не все данные занимают весь блок. На самом деле, во многих случаях это не так. Таким образом, шифрование на уровне блоков фактически препятствует встроенному в компьютер эффективному механизму, который изменяет только те части файла, которые действительно изменились. Без полного шифрования диска компьютер может сравнить обновленную версию файла в памяти с предыдущей версией на диске, определить, какие части теперь отличаются, и записать эти новые разные части в файл.
Ваш компьютер может достичь аналогичной экономии при записи с файловым шифрованием: когда версия файла в открытом виде в памяти обновляется, файл фильтруется через буфер шифрования и временно сохраняется в памяти, а затем ОС сравнивает новый зашифрованный версия с предыдущей зашифрованной версией на вашем диске, чтобы определить, какие биты действительно изменились, и записывает только их.
Полнодисковое шифрование — это совсем другая история.
Согласно этой модели, ОС знает, какие части файла изменилось, но поскольку шифрование выполняется по блокам, а не по файлам, ОС теперь должна преобразовать файлы в блоки, зашифровать блок и записать эти блоки в блочное устройство. Изменения в файле, которые не составляют в сумме данных для блока, могут охватывать несколько блоков, которые затем должны быть отфильтрованы через зашифрованный буфер и полностью записаны обратно на блочное устройство. Даже если все измененные данные хранятся в одном блоке, весь блок перезаписывается, что приводит к значительным накладным расходам на запись.
По самой своей природе шифрование на уровне файловой системы обеспечивает гибкость там, где альтернатива полного диска не. Как отмечалось выше, шифрование всего диска — это все или ничего. Он шифрует всю вашу систему, основные файлы и все пользовательские данные. Это означает, что неконфиденциальные данные, которые вы хотите загружать быстрее (например, видео или аудио для редактирования), получают замедление чтения-записи.
Полнодисковое шифрование также не идеально для многопользовательской системы, такие как общее домашнее устройство. Любой, кто хочет использовать устройство, должен знать кодовую фразу для расшифровки всего диска, иначе устройство не сможет даже загрузиться в ОС. А разблокировка устройства для любого пользователя разблокирует данные для всех пользователей. Это также означает, что вы не можете включить такие функции, как непривилегированные «гостевые» учетные записи, которые могут использовать ОС с заблокированным доступом к пользовательским файлам.
Наконец, шифрование на основе файлов более разумно для того, что нужно большинству людей. Я сам сказал, что безопасность сопряжена с неудобствами, и это правда. Но при разработке набора методов обеспечения безопасности принятие на себя большего количества неудобств, чем необходимо для снижения риска атаки, не помогает. На самом деле, это только вредит: если процедуры безопасности пользователя слишком обременительны, этот пользователь в конечном итоге срежет углы.
Проще говоря, шифрование всего диска — это излишний вариант для вашего варианта использования. Две комбинации шифрования, которые мы сопоставили, защищают вас по-разному. Основное различие в степени безопасности между ними заключается в том, что шифрование на основе файлов защищает только ваш пользовательский документ и медиафайлы. Напротив, полное шифрование диска шифрует эти и файлы ядра ОС.
Некоторые потенциальные недостатки
Как вы легко догадываетесь, есть недостатки в том, что не все шифруется так, как это делает полнодисковое шифрование. Теоретически злоумышленник, имеющий физический доступ к вашему устройству с использованием файлового шифрования, может изменить незашифрованные данные ОС. Оттуда злоумышленник либо загружает вашу машину, чтобы запустить код, который только что поместил туда, либо ждет, пока вы загрузите вашу машину, чтобы их вредоносный код что-то сделал, чтобы перехватить ваши данные.
Звучит плохо, и это есть, но и с вами этого, вероятно, не случится. На самом деле, большинство или никто из ваших противников даже не попытается это сделать. Они либо настолько примитивны, что шифрования на уровне файловой системы достаточно, чтобы помешать им, либо настолько сложны (т. Е. Мощны), что имеют более эффективные методы получения ваших данных.
Для подавляющего большинства пользователей проблема заключается в том, что Шифрование хранимых данных решает проблему, не позволяя ворам, которые физически крадут ваше устройство, получить ваши данные. Вот почему умные воры не рассчитывают получить ваши данные, а вместо этого прибегают к ограждению устройства за деньги. Файловое шифрование и полное шифрование диска работают одинаково хорошо в этом сценарии.
И наоборот, если вашим противником является правительственный орган (например, правоохранительные органы), ни файловое шифрование, ни полное шифрование диска не спасут ты. В зависимости от юрисдикции они могут на законных основаниях потребовать от вас разблокировать устройство. Практически повсюду правительства могут отдавать приказы службам, которые хранят ваши данные в своем облаке, просто передавать то, что они хотят — и при репрессивных режимах, скажем так, у них есть более прямые и болезненные способы заставить вас подчиниться.
Допустим, вы смотрите на государственного деятеля, и все вышеупомянутые методы не сработали. Полнодисковое шифрование будет работать только в том случае, если у правительства не будет более изощренного способа атаки на вашу систему. Это не проблема для большинства могущественных правительств мира, поскольку они достаточно продвинуты, чтобы каким-либо образом перебрать шифрование или обойти его.
Так что не так много случаев, когда полный диск шифрование действительно спасет вас: когда ваш враг — правительство, и вы можете противостоять физическим пыткам, но правительство не способно на действительно крутой взлом боевиков, который может сделать практически каждая страна G20.
Это не значит скажите, что, в зависимости от вашего противника, от усложнения действий для вашего злоумышленника ничего не получится — усложнение жизни злоумышленника — это проверенная временем стратегия безопасности — но просто поймите, что все это может гарантировать полное шифрование диска ты. Но, опять же, это не то, на что почти любой из вас смотрит.
Практическое шифрование, непрактичная реализация
Те из вас, кто убежден и хочет вернуть свою производительность чтения-записи и долговечность SSD, Возможно, вам интересно, где вы можете получить эту сладкую криптовалюту на уровне файлов. Что ж, тут все усложняется. Видите ли, это сложно реализовать на практике.
Основная причина этого в том, что основные потребительские ОС уже полностью зашифрованы на диске. Apple и Google настроили свои мобильные устройства на полное шифрование диска и отказывают пользователям в возможности отключить его. Apple и Microsoft также включают полное шифрование диска по умолчанию, но оба предлагают способы отключить его для бесстрашных.
Для настольных операционных систем на базе Linux (мои личные предпочтения) установка вашей системы с использованием шифрования на уровне файловой системы это так же просто, как поставить галочку в квадрате, но это быстро уходит по пути дронта. Ubuntu недавно отказался от этой опции установки в своем графическом установщике, оставив Linux Mint в качестве единственного известного мне дистрибутива, который до сих пор ее предлагает. Даже самодельные дистрибутивы, такие как Arch Linux, отговаривают вас от попытки настроить шифрование на уровне файлов. Вместо этого они направляют вас к блочному шифрованию, для которого документация гораздо более тщательная.
Если вы готовы пойти на все необходимое, чтобы отключить полное шифрование диска, есть несколько доступных вариантов тебе. Один из наиболее надежных вариантов — VeraCrypt. VeraCrypt — это графический инструмент для создания зашифрованных структур каталогов поверх существующей файловой системы, рожденный желанием надеть мантию несуществующей TrueCrypt. Он может похвастаться опциями скорости чтения-записи наравне с незашифрованными файловыми системами и даже супер-шпионскими функциями, такими как отказоустойчивое шифрование, когда ваши зашифрованные данные будут выглядеть как обычное неиспользуемое пространство на вашем диске. Изучение даже базовых возможностей VeraCrypt выходит за рамки этой и без того обширной статьи, но, возможно, у нее есть задатки будущей статьи.
Итак, почему я потратил столько времени, чтобы рассказать вам о том, что является не самый (хотя и не самый последний) доступный? По сути, важно знать, что возможно, чтобы вы могли сделать наиболее осознанный выбор и создать условия для работы с компьютером, наиболее отвечающие вашим потребностям. Компьютеры можно настраивать бесконечно, поэтому нет причин, по которым пользователю следует отказать в настройке, которая лучше всего подходит для него — незнание ваших вариантов — худшая из таких причин.
Ценить то, что возможно, — это больше, чем просто жить своими лучшими цифровыми технологиями. life, но о предоставлении поддержки разработчикам, даже если это просто пользовательская поддержка. Если это похоже на то, что может сделать вашу жизнь лучше, я говорю вам, идите и возитесь!