Данные под замком

Что вы делаете, когда хотите ненадежнее сохранить что-либо важное? Кладете в сейф и закрываете на надежный замок. Применительно к информации, хранящейся на жестком диске вашего компьютера в этой роли выступают надежный криптографический алгоритм и персональный электронный идентификатор.

Хорошо известно, что для защиты серьезной конфиденциальной информации требуются мощные системы, строящиеся, как правило, на базе серьезных криптографических алгоритмов.

Подходов здесь может быть два. Первый — шифруются отдельные файлы, и драйвер «на лету» их расшифровывает для чтения и зашифровывает при записи. Но в случае когда файлов много, используется «виртуальный» логический диск. Схема работы обычно такова: после установки программного обеспечения в системе создается новый логический диск. Его устройство похоже, например, на встроенные системы сжатия данных типа DoubleSpace, когда логический диск существует виртуально: все данные и оглавление хранятся в некотором отдельном файле, и при обращении к нему операционной системы имитируется работа с физическим устройством при помощи специального драйвера, установленного в операционной системе. В нашем случае такой драйвер должен обеспечивать шифрование и дешифрование всех хранящихся на таком диске данных. И при этом использование зашифрованного логического диска равнозначно встраиванию криптографической системы во все приложения (например, бухгалтерскую программу, Word, Excel и т. д.), данные которых хранятся на нем.

Сейчас на российском рынке представлено несколько таких систем защиты конфиденциальной информации отечественного и западного производства. Большинство из них реализуют чисто программный способ защиты: доступ к данным осуществляется после ввода специального пароля при подключении с достаточно надежными криптографическими алгоритмами, так что за их сохранность можно быть спокойным даже в случае попадания техники в руки хорошо обученных и оснащенных злоумышленников. Однако есть одно «но». Довольно легко на компьютер можно установить специальную программу-перехватчик вводимого пароля. И после этого никакой тайны ваши данные представлять уже не будут. По-другому эта проблема решена в недавно появившейся системе Secret Disk компании «Аладдин Р.Д.».

В Secret Disk используется смешанная программно-аппаратная схема защиты. Точнее, защита также осуществляется чисто программными средствами. Она предусматривает возможность использования встроенного в Windows алгоритма RC4 с длиной ключа 40 битов (в неамериканской версии этой операционной системы), собственного алгоритма с длиной ключа 128 битов или ГОСТ. Последнее возможно в версии Professional, где используется известная криптосистема «Криптон» фирмы «Анкад». В обязательную поставку входит программный эмулятор платы «Криптон», по отдельному запросу может быть поставлена и аппаратная система. Отметим важный факт: криптоплаты «Криптон» сертифицированы ФАПСИ для защиты сведений, составляющих государственную тайну. Примечательно, что разработчики позаботились и о тех, кто доверяет только самому себе и никому другому: к Secret Disk возможно подключение внешнего криптомодуля того стандарта и с той длиной ключа, которую вы считаете допустимой для своих приложений.

Главная же особенность Secret Disk заключается в том, что для доступа к защищенной информации необходим не только вводимый пользователем пароль, но и электронный идентификатор. В качестве такого идентификатора может использоваться обычный электронный ключ для параллельного порта, ключ, подключаемый к новой шине USB, карточка PCMCIA для ноутбуков или смарт-карта (в этом случае необходимо установить в компьютер специальный считыватель). «Секретный диск» подключается только после того, как пользователь введет пароль и система обнаружит соответствующий идентификатор. Поэтому в случае, если пользователь, отходя от компьютера, вытащит из него электронный ключ, злоумышленникам никакое знание пароля не поможет.

Для забывчивых существует специальная возможность автоматической блокировки диска при неактивности пользователя в течение установленного времени (например, 5 минут).

Каждый личный электронный идентификатор пользователя изготавливается индивидуально. При этом создается специальная аварийная дискета, используя которую можно восстановить электронный идентификатор. С ее помощью при необходимости можно изготовить и дубликат идентификатора, например, для работы дома или для партнера. Впрочем, вряд ли стоит это делать без особой необходимости: как известно, чем больше ключей от замка, тем больше вероятность того, что его откроют.

Разработчиками предусмотрен специальный режим для экстремальных ситуаций «Работа под принуждением», название которого говорит само за себя. В случае, когда нет выбора — показывать или нет свои данные, — надо вместо обычного пароля доступа ввести другой специальный пароль. После этого доступ к диску будет открыт, но при попытке считать с него данные или переписать их на другой диск будут генерироваться системные ошибки Windows — а ведь все знают, насколько ненадежна эта система! При этом будет разрушено содержимое памяти электронного идентификатора, без чего расшифровать содержимое секретного диска практически невозможно. В результате и вам, и вашим обидчикам останется только на чем свет стоит клясть Билла Гейтса.

После того как опасность минует, вы можете спокойно взять из известной только вам ячейки банковского сейфа спасательную дискету и восстановить идентификатор. Но не храните такую дискету в офисном сейфе — в случае чего он будет вскрыт первым.

Так что не стоит надеяться на простой русский «авось», тем более что защитить свою информацию несложно. Следует помнить, что затраты на обеспечение ее сохранности, как правило, значительно меньше возможных потерь от ее разглашения.