В последнее время в блоге "Информационная безопасность" проскакивало несколько топиков про способы шифрования данных для защиты от маски-шоу. Но все эти способы, исходя из бурных обсуждений в комментариях, не проходят проверку паяльником.
Поэтому я хочу предложить свой способ защиты данных от особо интересующихся лиц в масках — шифрование данных на скрытом диске, который имеет дополнительный уровень в защите от паяльника.
Пока такую возможность нашёл только в программе truecrypt (opensource, win/linux/mac) — "hidden volume", поэтому буду рассказывать на её примере. Хотя возможно и в других шифровальшиках есть что-то подобное.
Работает это следующим образом:
Итого всё получившееся выглядит примерно так:
Используя первый пароль, мы получаем доступ только к первому диску, а о наличии второго диска, как заявляют разработчики truecrypt (сам глубоко не вникал в тему, доверился их словам), никаким образом узнать нельзя, не зная второй пароль.
А, соответственно, зная второй пароль, можно без особых проблем получить доступ ко второму диску с основными данными.
Также в программе предусмотрен режим подключения первого диска с защитой от порчи данных второго диска (в этом случае спрашиваются оба пароля), иначе при записи на с первый диск в обычном режиме можно попортить данные второго скрытого диска.
Всё это делается с помощью GUI-интерфейса программы, особых сложностей в настройках вызвать не должно. Также поддерживается работа в консольном режиме, что позволяет работать с этими дисками через скрипты.
Итого, если к нам пришли маски-шоу, план действий следующий:
UPD: Я не предлагаю способ стопроцентной защиты от паяльника и решение всех проблем, я просто описал дополнительную возможность защитить свои данные вторым уровнем секретности, который со стороны никак не заметен даже после тщательного поиска.
И если недоброжелатели не догадываются о существовании у вас второго скрытого диска, то по внешним признакам никак не заметят его присутствие и, соответственно, не будут тратить лишнюю электроэнергию на паяльник. А уж как сделать так чтобы они об этом не догадались — задача для каждого индивидуальная, с применением смекалки и творчества.
И этот способ более надежен, чем рабочий сервер в фирме с якобы пустым винчестером без разделов (со скрытыми шифрованными разделами), который сразу вызовет подозрение. А тут файл вызвал подозрение, мы его расшифровали первым паролем, показали все данные и успокоились, подозрения что в этом же файле может быть ещё один шифрованный диск маловероятно что появятся без прямой наводки.
Поэтому я хочу предложить свой способ защиты данных от особо интересующихся лиц в масках — шифрование данных на скрытом диске, который имеет дополнительный уровень в защите от паяльника.
Пока такую возможность нашёл только в программе truecrypt (opensource, win/linux/mac) — "hidden volume", поэтому буду рассказывать на её примере. Хотя возможно и в других шифровальшиках есть что-то подобное.
Работает это следующим образом:
- Создаётся файл с шифрованным диском, который шифруется первым паролем, например data.img, подключается как диск.
- На этот диск записываются какие-либо полу-палевные данные, которые после долгих уговоров в случае угрозы применения паяльника можно и показать недоброжелателям, набрав этот первый пароль. Ну т.е. чтобы они были похожи на данные, которые действительно вы хотели скрыть от глаз владельцев паяльника, но на самом деле не особо страшно если они их найдут.
Этими данными нужно забить не весь диск под завязку, а только часть, оставив свободное место. - Поверх оставшегося свободного места от данных первого диска в файле data.img создается ещё один диск, который шифруется вторым паролем. На этот диск уже записываются самые ценные данные, которые нельзя показывать даже после прямого контакта с паяльником.
Итого всё получившееся выглядит примерно так:
Используя первый пароль, мы получаем доступ только к первому диску, а о наличии второго диска, как заявляют разработчики truecrypt (сам глубоко не вникал в тему, доверился их словам), никаким образом узнать нельзя, не зная второй пароль.
А, соответственно, зная второй пароль, можно без особых проблем получить доступ ко второму диску с основными данными.
Также в программе предусмотрен режим подключения первого диска с защитой от порчи данных второго диска (в этом случае спрашиваются оба пароля), иначе при записи на с первый диск в обычном режиме можно попортить данные второго скрытого диска.
Всё это делается с помощью GUI-интерфейса программы, особых сложностей в настройках вызвать не должно. Также поддерживается работа в консольном режиме, что позволяет работать с этими дисками через скрипты.
Итого, если к нам пришли маски-шоу, план действий следующий:
- Мы отдаём пришедшим специалистам на тщательное прощупывание свой сервер.
- Они находят на нём подозрительно большой файл, начинают приставать к нам с вопросами.
- Мы сначала отнекиваемся, говорим что это просто своп, бекапы, архив с проном, или ещё что-то, вобщем ломаем комедию.
- После того, как от них начинают сыпаться серьёзные угрозы, всё же что это признаемся шифрованный диск с данными, со слезами и соплями сообщаем им первый пароль.
- Они радуются, подключают с помощью этого пароля первый диск, получают данные, находят в них что-то неособо страшное, слегка дрючат вас за это и отпускают.
UPD: Я не предлагаю способ стопроцентной защиты от паяльника и решение всех проблем, я просто описал дополнительную возможность защитить свои данные вторым уровнем секретности, который со стороны никак не заметен даже после тщательного поиска.
И если недоброжелатели не догадываются о существовании у вас второго скрытого диска, то по внешним признакам никак не заметят его присутствие и, соответственно, не будут тратить лишнюю электроэнергию на паяльник. А уж как сделать так чтобы они об этом не догадались — задача для каждого индивидуальная, с применением смекалки и творчества.
И этот способ более надежен, чем рабочий сервер в фирме с якобы пустым винчестером без разделов (со скрытыми шифрованными разделами), который сразу вызовет подозрение. А тут файл вызвал подозрение, мы его расшифровали первым паролем, показали все данные и успокоились, подозрения что в этом же файле может быть ещё один шифрованный диск маловероятно что появятся без прямой наводки.
