Выбор средств шифрования для неискушенных
Добрый день,
По работе нарисовалась задача определиться с форматом и софтом для шифрования данных для передачи по неконтролируемым каналам (чужие ftp, оффлайн-доставка CD/DVD/BD и пр.). На данный момент, исходя из личного опыта, рассматриваю два решения (GnuPG и TruCrypt). Сам использую оба продукта очень давно, проблем нет, но пользоваться будут люди не очень "в теме". Само собой, будет проведено обучение и все такое, но уверен, что будут психологические трудности у людей))
Отсюда возникает вопрос, может я не те решения выбираю?
TrueCrypt – проще для всех, но есть минусы
- Невозможность "растянуть" контейнер, если вдруг данных станет больше. У нас нередки случаи, когда в последний момент вспоминают, что забыли еще пару сотен гигов )). Не критичный параметр, можно создать еще один контейнер, но все же..
- Один пароль на все. Ноу комментс.
- Проблема передать пароль, чтобы он не осел в чьих то записях.
GnuPG – плюсы, что у каждого свой ключ, у каждого свой пароль – все отлично. Минусы
- Порог вхождения высок. Первая реакция у людей – "хрень какаято, ничего не понятно, давайте архив с паролем сделаем..". Это решаемо. и больше из сфер психологии и администрирования
- Невозможность создавать контейнеры дисков (в PGP есть PGPDisk, тут же только tar)
Может быть, есть чтото иное с ключами от GPG, но с дисковыми конейнерами? :)
p.s. использоватся будет в linux/windows. Но если все плохо, то готовы смириться и с Windows only..
p.p.s. или не выделываться GPG и баста !?
комментариев: 9796 документов: 488 редакций: 5664
В Linux практически штатно можно делать и такое. Но с вашими требованиями к порогу вхождения это трудносовместимо.
Дисковые контейнеры — для обновляемых хранилищ. Для передачи готовых файлов есть файловое шифрование. Для симметричного шифрования есть архиватор 7z [1], команда 7za, опция -p. Этот архиватор вроде поддерживается стандартным виндоусовским rar'ом и легко ставится в Linux'е (если его ещё нет по умолчанию).
Единственная проблема — распаковка не до конца скачавшихся архивов. В rar (unrar или unrar-nonfree) для этого есть опция -kb [2], [3], в zip есть -F и -FF, а есть ли что под это дело (И нужно ли это вообще? Я не знаю, как оно работает) в 7z — без понятия. Помимо 7z можно шифровать файлы OpenSSL'ем (он должен быть под винду тоже).
Говорят (в т.ч. см. ссылки), что в rar всё шифруется нормально, но полного доверия нет. В 7z всё даже оупенсорсно, но оно не заточено под шифрование, поэтому доверия, как к GnuPG, тоже нет. Идеальный вариант в плане безопасности, как ни крути, — GnuPG. Всё остальное будет хуже, но решать вам.
комментариев: 9796 документов: 488 редакций: 5664
Строго говоря, противник не должен видеть несколько шифрованных на одном мастер-ключе копий одного и того же контейнера с файловой системой, если в них хоть немного отличается содержимое — данные внутри менялись. В другой формулировке: противник не должен иметь возможности наблюдать один и тот же шифрованный контейнер с файловой системой в разные моменты времени (по мере смены содержимого). Ни один из существующих режимов шифрования теоретически на такое не рассчитан.
Т.е., никаких пересылок одного и того же контейнера без полной его перешифровки при смене хоть байта содержимого, никаких удалённых хранилищ контейнеров и пр. Использовать только локально.
Поищите про упоминания multiscan на этой странице. Где-то были ещё обсуждения, хотя пока это чисто абстрактная теория. На практике, возможно, никто так ломать контейнеры и не умеет.
Но Tahoe-LAFS как-то живёт.
комментариев: 11558 документов: 1036 редакций: 4118
DiskCryptor такое позволяет? А другие альтернативы с неменьшим уровнем шифрования, чем в DC и TrueCrypt?
Вроде да, но только для винды.
Решение этой задачи — только через виртуалки. Ставить виртуальную машину с FDE, потом на ней можно сколько угодно гостевых сделать, которые будут грузиться уже с зашифрованного диска.