ERP с быстрым результатом
1С-Отчетность: Добро пожаловать! Подключись до 31.12.2016 и получи скидку 50% на годовую лицензию!
Дарим отчет для пользователей 1С:Бухгалтерии 8.3
Абонентское
ИТ-обслуживание
Корпоративная почта или IP-телефония в подарок!
Аренда сервера 1С
в облаке
Работайте в 1С удаленно с экономией до 70%!

Идея этой статьи зародилась, когда перед специалистами EFSOL была поставлена задача анализа рисков информационной безопасности в ресторанном бизнесе и разработки мер противодействия им. Одним из весомых рисков оказалась возможность изъятия управленческой информации, а одной из контрмер — шифрование баз бухгалтерского учета.

Сразу же оговорюсь, что рассмотрение всех возможных криптопродуктов или решений на базе конкретных систем учета не входит в цели данной статьи. Нас интересует лишь сравнительный анализ персональных средств шифрования, для которого мы выбрали популярнейшее бесплатное решение с открытым исходным кодом и пару самых продвигаемых коммерческих аналогов. Пусть неискушенных пользователей не пугает фраза «открытый исходный код» — она означает лишь то, что разработкой занимается группа энтузиастов, которые готовы принять любого желающего помочь им.

Так почему мы избрали такой подход? Мотивация предельно проста.

  1. В разных компаниях используется своя система учета, поэтому выбираем средства шифрования не привязанные к конкретной платформе — универсальные.
  2. Персональную криптозащиту разумнее использовать в небольших предприятиях, где с программой учета работают 1-5 пользователей. Для больших компаний изъятие управленческой информации повлечет более крупные финансовые потери — потому и решения по защите обойдутся значительно дороже.
  3. Анализ множества коммерческих продуктов шифрования информации лишен смысла: достаточно оценить несколько из них, чтобы сформировать для себя понимание цены и функциональности.

Перейдем к сравнению продуктов, которое удобно сделать на основании сводной таблицы. Я намеренно не включал в анализ множество технических деталей (таких как поддержка аппаратного ускорения или многопоточности, нескольких логических или физических процессоров), от которых у обычного пользователя начинает болеть голова. Остановимся лишь на том функционале, пользу от которого мы можем реально выделить.


Сводная таблица

TrueCrypt Secret Disk Zecurion Zdisk
Последняя версия на момент обзора 7.1a 4 Нет данных
Стоимость Бесплатно От 4 240 руб. на 1 компьютер От 5250 руб. на 1 компьютер
Операционная система Windows 7, Windows Vista, Windows XP, Windows Server 2003, Windows Server 2008: (32-х и 64-разрядные версии);
Windows Server 2008 R2;
Windows 2000 SP4;

Mac OS X 10.7 Lion (32- и 64-разрядные версии);
Mac OS X 10.6 Snow Leopard; Mac OS X 10.5 Leopard;
Mac OS X 10.4 Tiger;

Linux (32-х и 64-разрядные версии, ядро 2.6 или совместимое)
Windows 7, Windows Vista, Windows XP: (32-х и 64-разрядные версии) Windows 98;
Windows Me;
Windows NT Workstation;
Windows 2000 Professional;
Windows XP;
Windows Vista
Встроенные алгоритмы шифрования AES
Serpent
Twofish
Нет Нет
Использование поставщиков криптографии (криптопровайдеров CSP) Нет Microsoft Enhanced CSP: Triple DES и RC2;
Secret Disk NG Crypto Pack: AES и Twofish;
КриптоПро CSP, Signal-COM CSP или Vipnet CSP: ГОСТ 28147-89
RC5,
AES,
КРИПТОН CSP: ГОСТ 28147-89
Режим шифрования XTS Да Нет Нет
Каскадное шифрование AES-Twofish-Serpent;
Serpent-AES;
Serpent-Twofish-AES;
Twofish-Serpent
Нет Нет
Прозрачное шифрование Да Да Да
Шифрование системного раздела Да Да Нет
Аутентификация до загрузки ОС Пароль Пин + токен Нет
Шифрование разделов диска Да Да Нет
Создание файлов-контейнеров Да Да Да
Создание скрытых разделов Да Нет Нет
Создание скрытой ОС Да Нет Нет
Шифрование переносных накопителей Да Да Да
Работа с переносных накопителей Да Нет Нет
Работа по сети Да Нет Да
Многопользовательский режим Средствами NTFS Да Да
Аутентификация только по паролю Да Нет Нет
Аутентификация по ключевому файлу Да Нет Нет
Поддержка токенов и смарт-карт Поддерживающие протокол PKCS #11 2.0 или выше USB-ключ eToken PRO/32K (64К);
USB-ключ eToken PRO/72K (Java);
Смарт-карта eToken PRO/32K (64К);
Смарт-карта eToken PRO/72K (Java);
Комбинированный ключ eToken NG-FLASH
Комбинированный ключ eToken NG-OTP
eToken PRO Anywhere
Rainbow iKey 10xx/20xx/30xx;
ruToken;
eToken R2/Pro
Экстренное отключение шифрованных дисков Горячие клавиши Горячие клавиши Горячие клавиши
Защита от ввода пароля под принуждением Нет Да Да
Возможность использования «Правдоподобного отрицания причастности» Да Нет Нет
Комплект поставки Нет коробочной версии – дистрибутив загружается с сайта разработчиков USB-ключ eToken PRO Anywhere с лицензией на использование продукта;
Краткое руководство в печатном виде;
CD-ROM (дистрибутив, подробная документация, загрузочную часть MBR;
Упаковочная DVD-коробка
Лицензия;
USB-ключ и USB-удлинитель;
Диск с дистрибутивом; Документация в печатном виде;
Устройство чтения-записи смарт-карт ACS-30S

Следуя законам жанра, осталось только прокомментировать отдельные пункты и выделить преимущества того или иного решения. С ценами на продукты все понятно, как и с поддерживаемыми операционными системами. Отмечу лишь тот факт, что версии TrueCrypt для MacOS и Linux имеют свои нюансы использования, а установка его на серверные платформы от Microsoft хоть и дает определенные плюсы, но совершенно не способна заменить огромный функционал коммерческих систем защиты данных в корпоративной сети. Напомню, что мы рассматриваем все же персональную криптозащиту.


Встроенные алгоритмы, криптопровайдеры, XTS и каскадное шифрование

Криптопровайдеры, в отличии от встроенных алгоритмов шифрования,— это отдельно подключаемые модули, которые определяют метод кодирования (раскодирования), используемый программой. Почему именно коммерческие решения используют пакеты криптопровайдеров? Ответы незатейливы, но финансово обоснованы.

  1. Нет необходимости вносить изменения в программу для добавления тех или иных алгоритмов (оплачивать труд программистов) — достаточно создать новый модуль или подключить решения сторонних разработчиков.
  2. Во всем мире разрабатываются, тестируются и внедряются международные стандарты, но для российских государственных структур необходимо соответствие требованиям ФСТЭК и ФСБ. Эти требования подразумевают лицензирование создания и распространения средств защиты информации.
  3. Средствами шифрования данных являются криптопровайдеры, а сами программы не требуют сертификации разработки и дистрибуции.

Каскадное шифрование — возможность кодировать информацию одним алгоритмом, когда она уже была закодирована другим. Такой подход, хоть и замедляет работу, позволяет увеличить стойкость защищенных данных против взлома — чем больше знает «оппонент» о методах шифрования (например, используемый алгоритм или набор символов ключа), тем проще ему раскрыть информацию.

Технология шифрования XTS (XEX-based Tweaked CodeBook mode (TCB) with CipherText Stealing (CTS)) — логическое развитие предыдущих блочных методов шифрования XEX и LRW, в использовании которых обнаружены уязвимости. Так как операции чтения/записи на носителях информации производятся посекторно блоками, то использование потоковых методов кодирования неприемлемо. Таким образом, 19 декабря 2007 года метод шифрования XTS-AES для алгоритма AES был описан и рекомендован международным стандартом защиты хранимой информации IEEE P1619.

Этот режим использует два ключа, первый из которых используется для генерации вектора инициализации, а вторым шифруются данные. Метод работает по следующему алгоритму:

  1. генерирует вектор, шифруя номер сектора первым ключом;
  2. складывает вектор с исходной информацией;
  3. шифрует результат сложения вторым ключом;
  4. складывает вектор с результатом шифрования;
  5. умножает вектор на порождающий многочлен конечного поля.

Национальный институт стандартов и технологий рекомендует использование режима XTS для шифрования данных устройств с блочной внутренней структурой поскольку он:

  • описан международным стандартом;
  • имеет высокую производительность за счет выполнения предварительных вычислений и распараллеливания;
  • позволяет обрабатывать произвольный блок сектора за счет вычисления вектора инициализации.

Так же отмечу, что в IEEE P1619 рекомендуется использовать метод XTS с алгоритмом шифрования AES, однако архитектура режима позволяет использовать его совместно с любым другим блочным шифром. Таким образом, в случае необходимости сертификации устройства, реализующего прозрачное шифрование, в соответствии с требованиями российского законодательства является возможным совместное использование XTS и ГОСТ 28147-89.


Экстренное отключение дисков, ввод пароля «под принуждением», отрицание причастности

Экстренное отключение шифрованных дисков — неоспоримо необходимая функция в ситуациях, требующих мгновенного реагирования для защиты информации. Но что же происходит дальше? «Оппонент» видит систему, на которой установлена криптозащита и недоступный для чтения системными средствами диск. Вывод о сокрытии информации очевиден.

Наступает этап «принуждения». «Оппонент» будет использовать физические или юридические меры воздействия, чтобы заставить владельца раскрыть информацию. Отечественное устоявшееся решение «ввод пароля под принуждением» из разряда «умру, но не выдам» становится неактуальным. Невозможно удалить информацию, которую предварительно скопировал «оппонент», а он это сделает — не сомневайтесь. Удаление ключа шифрования лишь подтверждает то, что информация действительно важна, а запасной ключ обязательно где-то спрятан. Да и без ключа информация все еще доступна для криптоанализа и взлома. Не буду распространяться, насколько эти действия приближают владельца информации к юридическому фиаско, но расскажу о логическом методе правдоподобного отрицания причастности.

Использование скрытых разделов и скрытой ОС не позволит «оппоненту» доказать существование информации, которая защищена. В таком свете, требования раскрыть информацию становятся абсурдными. Разработчики TrueCrypt рекомендуют еще больше запутывать следы: помимо скрытых разделов или операционных систем создавать шифрованные видимые, которые содержат обманные (фиктивные) данные. «Оппонент», обнаружив видимые шифрованные разделы, будет настаивать на раскрытии именно их. Раскрыв такую информацию под принуждением, владелец ни чем не рискует и снимает с себя подозрения, потому что настоящие секреты останутся невидимыми на скрытых шифрованных разделах.


Подведение итогов

Нюансов в защите информации великое множество, но освещенного должно хватить для подведения промежуточных итогов — окончательное решения каждый примет для себя сам. К преимуществам бесплатной программы TrueCrypt стоит отнести ее функционал; возможность для всех желающим участвовать в тестировании и улучшении; избыточное количество открытой информации по работе приложения. Это решение создано людьми, которые многое знают о безопасном хранении информации и постоянно совершенствуют свой продукт, для людей, которым важен действительно высокий уровень надежности. К недостаткам отнесем отсутствие поддержки, высокая сложность для рядового пользователя, отсутствие двухуровневой аутентификации перед стартом ОС, невозможность подключать модули сторонних криптопровайдеров.

Коммерческие продукты полны заботой о пользователе: техническая поддержка, превосходная комплектация, низкая стоимость, наличие сертифицированных версий, возможность использовать алгоритм ГОСТ 28147-89, многопользовательский режим с разграниченной двухуровневой аутентификацией. Огорчает лишь ограниченная функциональность и наивность в поддержании секретности хранения зашифрованных данных.


Обновлено: июнь 2015 года.

Не смотря на то, что версия TrueCrypt 7.1а вышла 7 февраля 2011 года, она остается последней полноценной функциональной версией продукта.

Любопытна загадочная история с прекращением разработки TrueCrypt. 28 мая 2014 года с сайта разработчиков удалены все предыдущие версии продукта и выложена версия 7.2. Данная версия умеет только расшифровывать ранее зашифрованные диски и контейнеры — возможность шифрования была удалена. С этого момента на сайте и в программе появляется призыв использовать BitLocker, а использование TrueCrypt называется небезопасным.

Это вызвало волну пересудов в интернете: авторов программы заподозрили в установке «закладки» в коде. Подогреваемые информацией от бывшего работника АНБ Сноудена о том, что спецслужбы намеренно ослабляют средства криптографии, пользователи начали сбор средств для проведения аудита кода TrueCrypt. На проверку программы было собрано более 60 тысяч долларов.

Аудит был полностью окончен к апрелю 2015 года. Анализ кода не выявил каких-либо закладок, критических недостатков архитектуры или уязвимостей. Было доказано, что TrueCrypt — качественно спроектированное криптографическое средство, хоть и не идеальное.

Теперь совет разработчиков переходить на Bitlocker рассматривается многими как «свидетельство канарейки». Авторы TrueCrypt всегда высмеивали Bitlocker и его безопасность в частности. Использование Bitlocker также неразумно по причине закрытости программного кода и недоступности его в «младших» редакция Windows. Из-за всего вышесказанного интернет-сообщество склонно считать, что на разработчиков оказывается воздействие спецслужбами, и они своим молчанием намекают на что-то важное, неискренне рекомендуя Bitlocker.


Повторно подведем итоги

TrueCrypt продолжает оставаться самым мощным, надежным и функциональным средством криптографии. И аудит, и давление спецслужб только подтверждают это.

Zdisk и Secret Disk имеют версии сертифицированные ФСТЭК. Следовательно эти продукты имеет смысл использовать для соответствия требованиям законодательства РФ в области защиты информации, например, защиты персональных данных, как того требует Федеральный Закон 152-ФЗ и подчиненные ему нормативные акты.



Для тех, кто всерьез обеспокоен безопасностью информации, есть комплексное решение «Сервер в Израиле», в котором осуществляется комплексный подход к защите данных предприятия.



EFSOL

Системная интеграция. Консалтинг

Защита от утечек коммерческой информации

обязательные поля
* Антиробот:
Введите ответ

Защита от утечек коммерческой информации

Все поля формы выделенные значком * обязательны к заполнению
* Антиробот:
Введите ответ
Поделиться:
  • Да жаль закрытия проекта, хороший софт был.Кстати,тем кто на Win рекомендую посмотреть в сторону Rohos Mini Drive.Вполне неплохая альтернатива TrueCrypt.К тому же,помимо всего прочего,есть функция увеличения размера диска налету.Советую попробовать ;)

У вас конкретная задача? Свяжитесь с нами прямо сейчас!


Обратный звонок RedConnect