DriveCrypt Plus Pack
Хочу отметить, что имеется весьма интересный продукт для защиты всего компа от несанкционированного доступа. PGP можно подслушать, как это было сделано с одним наркоторговцем, который юзал PGP-диск, но... агенты спецлужб сумели воткнуть ему троянца, который зафикчировал ввод пароля с клавиатуры.... Упомянутая мной выше программа исключает эту возможность. Цитирую статью (За забором 17.02.2003 Сергей Голубицкий):
Теперь переходим к настоящим партизанам. Много раз в Голубятнях я рассказывал о программах защиты приватной информации в компьютерах. Перепробовав поочередно PGP Disk, SafeDisk, StrongDisk и BestCrypt, я угомонился на DriveCrypt от франко-немецкой конторы Securstar. DriveCrypt позволяет создавать виртуальные диски с прямо-таки нездоровой 1344-битной криптозащитой. Собственно говоря, все перечисленные программы обладают таким уровнем шифрования, что проще открутить голову самому владельцу информации, чем ее дешифровывать. Поэтому главное преимущество DriveCrypt в надежности: я никогда не терял данных по вине этой программы, чего не скажешь об остальных.
Однако даже при использовании DriveCrypt защита информации на компьютере неполноценна, потому как остается незалатанной страшная дыра в виде файла подкачки (свопа) операционной системы. В этом файле сохраняются обрывки самой разнообразной информации, к которой вы обращались в процессе работы, и вытащить эту информацию из свопа — пустяковое дело. Самый простой способ залатать эту дыру — целенаправленно уничтожать своп после окончания рабочей сессии (как это делает StrongDisk). Именно уничтожать, а не просто стирать. Однако процесс уничтожения требует времени — иногда даже больше минуты, в зависимости от размера файла подкачки, — а времени этого как раз зачастую и не бывает («Тут примчались санитары и зафиксировали нас»).
Поэтому в программе BestCrypt реализовали иной подход: стали шифровать своп-файл, что называется, on-the-fly, то есть динамически. В любой момент времени все данные в файле подкачки находятся в криптозащищенном виде, точно так же, как и данные на виртуальном криптодиске. Таким образом, тандем DriveCrypt для дисков и BestCript для своп-файла можно считать почти идеальной формой защиты.
Но только почти. Потому что и в этом случае определенная часть информации остается открытой для постороннего взгляда. Какая? Да хотя бы программное наполнение вашего компьютера. Тут даже не нужно ничего моделировать, достаточно взять случай из россиянских реалий: сколько раз мы читали в газетах и журналах про то, как на ту или иную компанию по доброму навету конкурентов совершался наезд органов «правопорядка» под предлогом проверки легитимности используемого программного обеспечения. Даже если ваш софт полностью в порядке, у вас на пару месяцев изымают все оборудование, вышибая из бизнеса на радость доброжелателям. Ну а уж если софт у вас не совсем лицензирован (как это бывает в 99% случаев), то считайте, вы почти банкрот.
Короче говоря, идеальную защиту обеспечит только такая программа, которая окружала бы глухим забором весь компьютер целиком. Очевидно, что делать это нужно с самого момента включения, то есть до загрузки операционной системы. И вот, представьте себе, такая программа появилась! Она вышла из-под пера все той же Securstar и получила скромное название DriveCrypt Plus Pack. Если уж быть до конца точным, Плюс Пак появился аж в мае прошлого года, однако первом релизе был такой несчастной туфтой, что у меня рука не поднялась писать о ней в Голубятне. Однако уже через пару месяцев выскочили один за другим два новых релиза версии 1.0, причем последний — 1.0с — был достаточно стабильным. Наконец, в конце декабря вышла полностью обкатанная версия 2.0, которую с удовольствием и представляю читателям.
Вот что делает Плюс Пак с вашей машиной. Устанавливается криптозащита на все жесткие диски, включая и загрузочный вместе со всеми установленными операционными системами, программами и т.п. Для доступа используется процесс так называемой pre-boot authentication, то есть проверка прав осуществляется до начала загрузки операционной системы. Аутентификация может состоять только из пароля, либо дополняться железным решением типа Alladin USB-Token. Для шифрования данных используется 256-битный алгоритм AES, бронебойность гарантируется.
Полностью исключается возможность обхода защиты компьютера с помощью загрузки с флоппи-диска, CD, магнитооптики или других носителей. Физический перенос жесткого диска на другой компьютер тоже ни к чему не приведет, поскольку все данные на нем зашифрованы на секторном уровне. Плюс Пак работает таким образом, что никакая информация никогда не хранится на диске в открытом виде: при обращении к тому или иному файлу происходит динамическая расшифровка данных, которые переносятся в память, а затем опять шифруются. Для ускорения работы криптообработку проходят не файлы целиком, а только те сектора, которые используются в настоящий момент.
Единственное существенное ограничение сегодня: Плюс Пак работает только под операционными системами Windows NT/2000/XP. Поддержка Windows 95/98/Me на подходе.
Такой вот замечательный глухой забор, с которым и поздравляю всех партизан.
Сайт разработчика:http://www.drivecrypt.com/dcplus.html
комментариев: 1 документов: 1 редакций: 0
комментариев: 11558 документов: 1036 редакций: 4118
Касательно бэд-блоков, DriveCrypt использует режим оперирования шифра, не способствующий распространению ошибки, иными словами, не будет читаться только повреждённый сектор и один его следующий сосед. Там другая проблема есть — если WinXP или 2000 полетит, непросто будет восстановить резервную копию системы. Хотя есть некоторые рекомендации по такой процедуре.
комментариев: 111 документов: 9 редакций: 22
Правда, а как её ломануть, если оно грузится самым первым... Предположим ноутбук попал в руки злоумышленника... незаметно от хозяина.
Создать ему окружение. Т.е. сделать так, чтобы сперва запустилась некая оболочка, снабжённая кей-логгером. А уже под этой оболочкой и пусть стартует... защита. Задача скрасть пассфразу.... Интересно, есть-ли какие-то защитные функции от смены железа? Оболочка вероятно, должна быть на дополнительным устройстве. Boot-овом устройстве. Именно оттуда происходит старт системы, запуск кейлоггера, запуск DriveCrypt, а после ввода пассфразы, она записывается м.б. в микросхему BIOS для последующего считывания, а бутовое устройство переписывает BIOS на boot с прежнего устройства (скорее всего диск С:). Т.е. дело сделано, вертаем настройки взад..... Крадём ещё раз ноутбук, считываем пассфразу из временного хранилища во флэшке BIOS, демонтируем дополнительное устройство и... "постучали в дверь.... вам телеграмма". Такой сюжет возможен?
комментариев: 11558 документов: 1036 редакций: 4118
Отсюда вывод — не используем клавиатуру для ввода! А используем USB-токен, который втыкаем в порт, чтобы запустить систему, а потом вешаем на цепочке на шею или цепляем к связке ключей от авто (в зависимости от ценности информации). Как я уже отмечал в предыдущей цитате, чисто программные решения (к коим принадлежит и DriveCrypt) от описанных тобой атак не спасают. Нужен комплекс мер, желательно, завязанных на биометрику или персональные средства аутентификации (те же смарт-карты и токены), и реализованных на аппаратном уровне. В общем, есть над чем подумать.
Но в целом DriveCrypt — решение очень удачное, поскольку не имеет очевидных слабых мест, к тому же разработано известной уважаемой компанией с большим опытом в данной области.
комментариев: 111 документов: 9 редакций: 22
комментариев: 11558 документов: 1036 редакций: 4118
"Социальная инженерия" и т.н. "бандитский криптоанализ" (между прочим, термин официальный), т.е. как раз дубиной по рёбрам, — это зло неизбежное. В конце концов, самое слабое звено любой системы безопасности, будь то криптосистема оборонного предприятия или забор с колючей проволокой под током с дядей-Васей-сторожем в будке, — это человек. В PGP хорошее решение реализовано: когда ключевую пару на токене сохраняешь, программа её ещё и PIN-кодом просит защитить. Неахти какая защита, но лучше, чем ничего.
Много дискуссий нынче идёт по поводу токенов, смарт-карт и цифровых подписей: можно ли последние считать полным аналогом собственноручной подписи, поставленной на листе бумаги. Такая подпись неотделима от человека, а ключ генерации ЭЦП могут выкрасть или сам его можешь передать коллеге на время отпуска, скажем. Какая ж тут аутентификация? Будущее же за биометрикой, когда ключи генерации ЭЦП формируются в зависимости от папиллярных линий отпечатка пальца или образа радужки глаза. В этом случае ни ты от подписи никуда не денешься, ни она от тебя (можно, конечно, топор в ход пустить, но и этому есть противодействие в виде дополнительных степеней защиты в виде дополнительных паролей и даже детекторов тепла). Единственное, что на сегодня сдерживает распространение этих технологий — их довольно высокая стоимость. Но это всё дело времени.
комментариев: 111 документов: 9 редакций: 22
комментариев: 63 документов: 5 редакций: 0
комментариев: 11558 документов: 1036 редакций: 4118
комментариев: 63 документов: 5 редакций: 0
ДА уж. У богатых свои причуды. А вообще – об одном и том же говорим. Биометрия как таковая клавиатурный пароль заменить не может. Но иногда как часть комплекса – не повредит.
комментариев: 437 документов: 30 редакций: 15
Ещё момент. Существует программа для взлома контейнеров BestCrypt, "BestCrypt BruteForcer". Производительность
небольшая (900 паролей в секунду), но всё же...
комментариев: 437 документов: 30 редакций: 15
P. S. Вообще-то в Правилах не рекомендуется обсуждать нелегальное использование программ.
Нет ли каких более дешёвых/бесплатных альтернатив для шифрования загрузочных дисков?
Кстати, кто что думает о BitLocker (http://www.osp.ru/win2000/2006/05/2876527/) – встроенное в некоторые версии Vist'ы шифрование наподобие DCPP? Лично я по умолчанию не доверяю средствам безопасности выпущенным в Microsoft.