Средства защиты и шифрования своп-файла Windows
Весьма серьёзный канал утечки конфиденциальных данных в ОС Windows — это файл подкачки. Какие мы имеем средства для его защиты? Альтернативы: уничтожение и прозрачное шифрование ("на лету").
Первый вариант, когда своп может достигать гигабайтных объёмов, непрактичен — для надёжного стирания такого файла потребуется чрезвычайно много времени. С другой стороны, быстрые однопроходовые алгоритмы малонадёжны. К тому же в случае системного сбоя, когда не удаётся завершить надлежащим образом работу системы, файл целиком останется на диске.
Тем не менее, такая схема реализуется довольно просто с помощью различных консольных шреддеров вроде Eraser.
Второй вариант может быть реализован двояко: либо путём размещения своп-файла на зашифрованном логическом разделе диска, либо с помощью специального драйвера, шифрующего сам файл и соответствующим образом преобразующего команды и запросы операционной системы. Перенос файла на зашифрованный раздел осложняется тем, что приложение, реализующее шифрование, должно стартовать на самой ранней стадии загрузки ОС.
Эти варианты могут быть реализованы, соответственно, с помощью коммерческих средств шифрования логических дисков с предзагрузочной аутентификацией, в частности, DriveCrypt Plus Pack, и с помощью программных драйверов, шифрующих "на лету" сам своп (такой входит в состав BestCrypt). В данном случае я не рассматриваю системы аппаратного шифрования в виду их ограниченной доступности регулярным пользователям, хотя такой вариант, разумеется, решает большинство стоящих перед нами проблем.
Прежде всего мне интересны некоммерческие средства. Если серьёзно, я даже не знаю, какие есть альтернативы названным программам — DCPP и BC — в части их функциональности (другой минус кроме их не бесплатности — закрытые исходники). Кто-нибудь в курсе? И какие вообще могут быть альтернативные схемы защиты? Учтите, здесь речь только о среде Windows; с Linux'ом и его реализованными на уровне ядра средствами шифрования свопа и жёстких дисков всё и без того понятно.
Например... Сам я такого изуверства не пробовал, но, быть может, коллеги смогут подсказать, возможно ли оно в принципе? Допустим, перенести своп на флэшку достаточной ёмкости и подключать её перед загрузкой компьютера (с другой стороны, флэшка достаточной ёмкости обойдётся дороже отмеченных выше программ :lol: ). Всё зависит от того, на каком этапе загрузки Windows производит инициализацию драйвера...
Идеи, комментарии?
Ссылки
[link1] http://www.securius.com/newsletters/The_Joys_of_Full_Disk_Encryption.html
Ох, не смотрел давно прайсы...
А если просто лишний килограмм оперативки, и тогда своп вообще не нужен. Лишь позволяло железо. Насколько дороже это обойдется в сравнении с флешкой?
А какой в этом смысл? Насколько я понял надо свопфайл защитить от постороннего вмешательства, а чем вариант на флэшке будет отличатся от обычного расположения свопа??
Или смысл в том чтобы никто в наше отсутствие не мог этот своп файл восстановить и скопировать наши данные? Но тогда все равно способ с флэш картой хуже чем два перечисленных тем что наши данные остаются хоть и при нас, однако флэшку можно забыть, потерять, наконец ее могут просто украсть и все восстановить, что исключено при уничтожении своп файла, либо при его шифровании.
Хм... Сколько нужно оперативки чтобы вместить ХР и пару-тройку толстопузых офисных приложений? Боюсь, даже в два гигабайта не влезет. В принципе, это вариант неплохой, но есть у кого-нибудь более точные данные? "Скока вешать в граммах"?
Господа, не зацикливайтесь на идее с флэшкой — это я от скудоумия подбросил. Если сравнивать с позиции финансовой, она явно проигрывает даже коммерческим DCPP и BC... И вообще не факт, что реализуема (читай: вопрос об инициализации драйвера).
Ещё раз задам вопрос, но более конкретно. Знает ли кто-нибудь альтернативы DCPP и BC, предпочтительно некоммерческие? Какие ещё можно предложить варианты, кроме запасания чипами ОЗУ и отключения виртуальной памяти?
SATtva,
Запустите "пару-тройку толстопузых приложений", сложите размер своп-файла с объемом RAM – получите примерный необходимый объем.
Вроде так.
В принципе есть данные что 1Гига оперативки хватает на без свопающую работу ХР и ворда ну и IE с оутлуком естественно +винамп. Так что не так уж много надо оперативки чтоб работать без свопа. Я не думаю что на таком компьютере где ради безопасности убран своп кто-либо работает в фотошопе или чем-то подобном.
А насчет флэшки... что мешает купить микровинчестер на 2.5' или 1.8' и также его таскать с собой я думаю что 10Гб хватит на любой своп, а весит и занимает места он ненамного больше.
Зачем городить этот огород, когда можно надежно шифровать своп на машине.
Дмитрий С, вот я и интересуюсь, чем? BestCrypt... и всё?
Есть в BestCrypt, есть в Индисе.
Запись на флэшку тормозит. Ктому же, перед записью на флэшку очень много информации
кэшируется (не знаю точно где).
http://www.aliroo.com/Products/ssp.html
Чисто коммерческий продукт, но все же
Wizzard,
По-моему, слишком грубая оценка сверху. На моем довольно старом компе 128мб RAM, максимальный размер свопа выставлен 192мб. Система – win2k. И меня при этом всего один раз выкинуло из-за нехватки памяти. Я тогда начал редактировать 9-минутный звуковой файл, а чтобы его просто загрузить, требуется 181мб (2*44100*32*(9*60)=необходимый объём в битах)
Описание есть здесь: http://www.hissoft.com/PDF/SSP_Advantages.pdf
http://www.securius.com/newsle..... Disk_Encryption.html[link1]
Здесь еще упоминается swap, но в неясном контексте...
А что может делать эта штука? http://www.newmediasecurity.com/pc/index.html
Если прочитать ее описание здесь:http://www.scmagazine.com/products/index.cfm? Fuseaction=GroupTestDetails&GroupId=6443
Читал про подобное(и, возможно, впоследствии реализую) в компьютерре, похоже:
В составе Окон есть программа ramdisk (вроде так). С ее помощью делается, перед загрузкой операционки, раздел(вирт. диск) в оперативке, куда прописывается своп, история, темповые файлы сети и т.д. по желанию. Никакой записи на хард не ведется. Ессно, после все исчезает. Без шифрования и т.д.
Поищите на компьютерре, www.computerra.ru, где то там быдо... есил найдете или догадаетесь, как сделать (делается просто, имхо, монтирование раздела и т.д.) – выложите, плз, на сайт.
Было где-то на винте, но где это сейчас – не помню...
wkonst,
Зачем же отрезать кусок оперативки по рам диск, что бы потом на него воткнуть тоже что не влазит в туже оперативку? Относительно временных директорий и кеша это имеет смысл, но никак не свопом.
wkonst,
ramdisk – это драйвер для DOS. Он был в неNT-версиях windows.
Там речь шла именно о свопе.
При этом имелся ввиду, имхо, программно ограниченный размер свопа...
Либо отдельный скази-сата-фибр_ч-хард :)
Вот что-то нашёл: CryptoSwap Guerilla
http://geocities.com/phosphor2013/list.htm
Попробуйте кто-нибудь :wink:
Вот ещё утилитка на базе TrueCrypt для шифрования Swap-файла:
TCTEMP
http://forums.truecrypt.org/viewtopic.php?t=2165
А как называется утилита на основе TrueCrypt для шифрования Swap-файла, а то что-то я на сайте её не нашел?
К.О.:
Некоторым программам для функционирования необходимо наличие своп файла, само по себе как явление природы и если оного файла нет, то при любом количестве оперативной памяти программы эти просто отказываются работать. К огромному сожалению запамятовал, что это за софт был, который отказался с отключеным свопом работать, но тем не менее. Думаю, что наиболее удачным решением было бы выделение виртуального своп файла фиксированного размера в оперативной памяти. Ну и общее кол-во оперативки на компьютере должно быть явно не меньше гигобайта. Как-то так.
Все идеи с непосредственно шифрованием свопа и/или его размещением на внешних носителях неудобны в первую очередь из-за "тормозов". А в случае как я предлагаю, наоборот скорость работы системы только возрастет и шифровать/стирать ничего не надо – выключил комп, оперативка сама сотрется :)
В случае с использованием WinXP 32bit и наличием 4гБ оперативной памяти было бы интересно пустить под виртуальный своп кусочек оперативки, который виндовс не обнаруживает и не использует как оперативку. Пусть гуру меня поправят, но по-моему больше 3,5гБ оперативки WinXP 32bit видеть не умеет...
Кин-дза-дза. На Плюке уже давно всю воду на луц перегнали, а теперь здесь вот из луца воду делают :)
Фантастика какая-то. Если такой софт действительно существует, может им просто не пользоваться, а не колоться кактусом и плакать?