Szyfrowanie dysku, TCG Opal i dyski samoszyfrujące – kompendium wiedzy o bezpieczeństwie danych

Szyfrowanie dysków to jeden z filarów bezpieczeństwa. Chroni przed kradzieżą i niepowołanym dostępem do plików, strzegąc prywatności, pomagając w ochronie własności intelektualnej i pozwalając uniknąć poważniejszych kłopotów – czy to finansowych, czy też natury prawnej. W tym poradniku, stanowiącym kompendium wiedzy o bezpieczeństwie danych, wyjaśniamy dlaczego warto zdecydować się na dyski z szyfrowaniem danych, przedstawiamy sposoby na zabezpieczenie plików i tłumaczymy, jak to wszystko ma się do RODO, czyli unijnych przepisów dotyczących ochrony danych.

DyskiKingston NV3 M.2 Pcie 4.0 NVMe 1TB719 zł

DyskiWD Red Plus 4TB989 zł

DyskiSamsung 990 Pro 2TB1 599 zł

DyskiSeagate BarraCuda 2TB519 zł

DyskiWD Purple 8TB1 859 zł

DyskiWD Red Pro 8TB2 049 zł

DyskiWD Blue 4TB830 zł

DyskiKingston KC3000 M.2 Pcie 4.0 NVMe 1TB869 zł

DyskiSeagate IronWolf 4TB949 zł

DyskiKingston KC3000 M.2 Pcie 4.0 NVMe 2TB1 539 zł

DyskiSamsung 990 Pro 1TB899 zł

DyskiKingston NV3 M.2 Pcie 4.0 NVMe 2TB1 059 zł

DyskiKingston SSD A400 480GB469 zł

DyskiCrucial E100 M.2 PCIe 4.0 NVMe 1TB629 zł

DyskiSamsung 990 Pro 4TB3 099 zł

Promocja DyskiWD Blue SN5100 M.2 PCIe NVMe 2TB1 099 złCena bez promocji: 1 099 złNajniższa cena z 30 dni przed obniżką: 999 zł

DyskiWD Blue SN5100 M.2 PCIe NVMe 1TB719 zł

DyskiSeagate IronWolf 8TB ST8000VN0041 439 zł

DyskiKingston Fury Renegade G5 M.2 Pci-e 5.0 NVMe 2TB1 679 zł

DyskiKingston NV3 M.2 Pcie 4.0 NVMe 500GB519 zł

Dlaczego warto szyfrować dane na dysku?

Szyfrowanie danych na dysku to proces, w wyniku którego zapisane dane stają się kodem na pozór losowych znaków, a odszyfrowanie ich możliwe jest dopiero po podaniu hasła. Pozwala więc zabezpieczyć się przed sytuacją, w której pliki trafiają w niepowołane ręce.

Na komputerach każdego z nas znajdują się prywatne zdjęcia, dokumenty, a może i pliki z hasłami (co jednak stanowczo odradzamy) i nikt chyba nie chciałby, żeby dostęp do nich miał ktoś z zewnątrz. Tymczasem szyfrowanie chroni zarówno w przypadku fizycznego dostępu do komputera (np. poprzez kradzież), jak i cyberataku (czyli próby zdalnego przejęcia kontroli nad sprzętem).

Jeszcze większe znaczenie ma to w przypadku komputerów firmowych. Wówczas bowiem na dysku mogą znajdować się dokumenty powiązane z wewnętrznymi projektami, najrozmaitsze dane o znaczeniu strategicznym czy też bazy klientów.

Kiedy tak ważne pliki trafiają w ręce (cyber)przestępców, mogą zostać wykorzystane przez konkurencję, posłużyć do pogrążenia przedsiębiorstwa, a także zniweczyć jego plany i cele. Taki niepowołany dostęp może również wiązać się z bezpośrednimi konsekwencjami finansowymi. Tu dochodzimy do kolejnego punktu, jakim jest…

Bezpieczeństwo danych a RODO

Wprowadzona w 2018 roku dyrektywa Unii Europejskiej o ochronie danych osobowych – RODO – narzuciła na przedsiębiorstwa wymóg odpowiedniego zabezpieczania wrażliwych informacji. Firmy muszą stosować strategie i rozwiązania technologiczne zapobiegające wyciekom i kradzieżom danych, a także zapewniać właściwą ochronę samych plików, w czym najlepiej sprawdza się właśnie szyfrowanie.

Niedopilnowanie tego wiąże się ze sporymi konsekwencjami finansowymi. W najgorszym wypadku za ujawnienie danych osobowych firma może zostać ukarana grzywną w wysokości nawet 4% rocznych obrotów przedsiębiorstwa w skali globalnej (albo maksymalnie 20 milionów euro).

Poza dotkliwym uszczupleniem budżetu w przypadku wycieku firma ponosi również inne konsekwencje, jak chociażby utrata renomy czy zaufania ze strony klientów i partnerów. Dlatego właśnie warto czym prędzej wdrożyć rozwiązania zabezpieczające, takie jak szyfrowanie dysku.

Jak zabezpieczyć dane na dysku?

Są dwie podstawowe metody, pozwalające na zabezpieczenie danych na dysku. Pierwszą jest regularne tworzenie kopii zapasowej, które chroni przede wszystkim przed utratą plików w wyniku awarii sprzętowej (np. uszkodzenia dysku twardego). Drugim sposobem jest szyfrowanie dysku – skuteczne w zabezpieczaniu plików przed kradzieżą i niepowołanym dostępem.

Tak właściwie, to na czym polega szyfrowanie dysku twardego? Otóż w tym procesie zaawansowane algorytmy przekształcają pliki w ciąg znaków, który jest absolutnie nieczytelny. Praktycznie niemożliwe jest jego rozszyfrowanie bez klucza, który robi to automatycznie po podaniu hasła lub zastosowaniu innej metody uwierzytelniającej.

Użytkownik, który zaszyfrował pliki na swoim dysku, musi więc tylko podać hasło i odzyskuje bezproblemowy dostęp do swoich danych. Dla osoby z zewnątrz, która nie zna tego hasła, jest to właściwie bariera nie do przejścia.

Istnieje kilka sposobów na realizację tego zadania i w dalszej części poradnika, przejdziemy przez nie wszystkie. Na początek rozróżnijmy…

Szyfrowanie sprzętowe a programowe. Co wybrać?

Można wyróżnić dwa podstawowe rodzaje szyfrowania:

• szyfrowanie programowe jest niezależne od dysku twardego. Aby z niego skorzystać, robi się użytek z zainstalowanego na komputerze oprogramowania (takiego jak systemowy BitLocker czy otwartoźródłowy VeraCrypt), a za sam proces szyfrowania odpowiada procesor,
• szyfrowanie sprzętowe natomiast jest realizowane bezpośrednio na dysku, a konkretnie w jego kontrolerze. Dzięki temu jest wydajniejsze i nie obciąża procesora, który ma wiele innych zadań do wykonania.

Szyfrowanie programowe zapewnia większą elastyczność, ponieważ może być stosowane niezależnie od tego, jakie dyski znajdują się w komputerach. Do tego istnieje możliwość korzystania z różnych rozwiązań – dostosowanych do obecnych wymagań i potrzeb. Minusy są tak naprawdę tylko dwa: pierwszy jest związany z możliwym obniżeniem wydajności komputera (ze względu na obciążenie procesora), drugi – z podatnością na niestandardowe typy ataków (polegające na przykład na próbach odzyskania danych z pamięci operacyjnej).

Szyfrowanie sprzętowe z kolei jest wydajniejsze, ponieważ odbywa się niezależnie od pozostałych elementów komputera i systemu operacyjnego. Odpowiada za nie specjalnie do tego przeznaczony układ scalony znajdujący się bezpośrednio na dysku. Dzięki temu szyfrowanie odbywa się wydajniej, a i sam komputer może działać płynniej. Taka metoda zapewnia również wyższy poziom bezpieczeństwa (szczególnie w przypadku ataków ukierunkowanych na pamięć RAM), ale ma też swoje minusy. Przede wszystkim wymaga zastosowania kompatybilnego dysku (tzn. wyposażonego w funkcje kryptograficzne), a to bezpośrednio przekłada się na wyższe koszty wdrożenia.

Przyjrzyjmy się teraz bliżej szyfrowaniu sprzętowemu, rozpoczynając od odpowiedzi na pytanie…

Jak działa dysk SED?

SED – czyli Self-Encrypting Drive – to dysk HDD lub dysk SSD z szyfrowaniem sprzętowym. Jego działanie skupia się na dwóch elementach. Pierwszym z nich jest klucz szyfrowania mediów, który jest generowany losowo, już na etapie produkcji nośnika, po czym zapisywany w jego kontrolerze. To on odpowiada za natychmiastowe i automatyczne szyfrowanie danych.

Drugim elementem jest klucz uwierzytelniania – nadawany przez użytkownika. Jest to nic innego jak hasło, które będzie stosowane do aktywacji klucza szyfrowania mediów, a co za tym idzie – deszyfratora. Krótko mówiąc: aby uzyskać dostęp do plików, należy podać klucz uwierzytelniania, który odblokowuje klucz szyfrowania mediów.

Funkcji kryptograficznych w dysku SED nie da się tak po prostu wyłączyć. Jedyne, co można zrobić, to skasować klucz szyfrowania i zastąpić go nowym – to pozwala na całkowitą eliminację dostępu do zapisanych danych (co umożliwia jego ponowne wykorzystanie, bezpieczną utylizację czy też – na przykład – odsprzedaż).

Dysk SED nierzadko oferuje również tryb automatycznego blokowania, dzięki któremu nośnik uniemożliwia odczyt danych po wyłączeniu zasilania. Oznacza to, że gdyby ktoś spróbował wykraść dysk i odczytać z niego dane na swoim komputerze – po prostu nie będzie w stanie tego zrobić.

To, w jaki sposób dysk SED powinien zarządzać kluczami i komunikować się z oprogramowaniem, ustalają branżowe standardy, z których kluczowy jest TCG Opal.

Co to jest TCG Opal?

TCG Opal to otwarty standard opracowany przez organizację Trusted Computing Group (w skrócie TCG). Stanowi jasną definicję tego, jak samoszyfrujący dysk SSD lub HDD powinien zarządzać bezpieczeństwem danych.

Opisuje przede wszystkim polecenia i protokoły, przy użyciu których system nawiązuje kontakt z kontrolerem dysku (i na odwrót) oraz metody na wielopoziomowe uwierzytelnianie (w tym weryfikację jeszcze przed uruchomieniem systemu operacyjnego).

Dyski zgodne z TCG Opal – SSD, jak i HDD – spełniają rygorystyczne reguły, dzięki czemu z powodzeniem mogą być stosowane wszędzie tam, gdzie potrzeba najwyższego poziomu ochrony (od firmowych komputerów do przetwarzania wrażliwych danych korporacyjnych, aż po instytucje rządowe i placówki medyczne).

Najnowszą wersją standardu jest TCG Opal 2.0 wprowadzony w 2022 roku. Narzuca on konieczność stosowania jeszcze potężniejszych algorytmów szyfrowania, rekomenduje dynamiczne klucze szyfrowania i opisuje rozszerzoną integrację z systemami zarządzania bezpieczeństwem IT.

Jaki dysk samoszyfrujący wybrać?

Dobry dysk samoszyfrujący jest przede wszystkim zgodny ze standardem TCG Opal – informacja o spełnieniu tych reguł stanowi gwarancję, że nośnik jest w stanie zaoferować najwyższy poziom zabezpieczenia danych. Jeśli więc szukasz dysku, na którym mają być przechowywane wyjątkowo wrażliwe dane – jest to coś, na co koniecznie trzeba zwrócić uwagę.

Przy wyborze modelu zwróć również uwagę na rodzaj interfejsu – przede wszystkim musi on być kompatybilny z płytą główną w komputerze. Najczęściej spotykane są dyski SATA, ale w miarę możliwości lepiej jest postawić na format NVMe, który oferuje wyższą przepustowość i niższe opóźnienia (krótko mówiąc: jest wydajniejszy).

Tak, jak w przypadku każdego nośnika, tak i w dysku SED kluczowym elementem specyfikacji jest pojemność. Trudno doradzić jedną konkretną wartość, ponieważ wszystko zależy od tego, z jak dużymi katalogami i plikami ma się do czynienia. Na rynku bez problemu da się znaleźć modele o pojemności 512 GB, 1 TB, 2 TB, a nawet większej.

W dalszej kolejności zwróć uwagę na dodatkowe funkcje i narzędzia, takie jak:

• kryptograficzne wymazywanie (Crypto Erase) – umożliwia błyskawiczne i trwałe usunięcie danych z nośnika,
• analiza behawioralna – wykorzystuje sztuczną inteligencję, aby bez ingerencji administratora wykrywać nietypowe zachowania i na nie reagować (np. blokując dostęp),
• zaawansowany mechanizm audytu – rejestruje wszystkie operacje na plikach, pozwalając na sprawdzenie, kto, kiedy i gdzie próbował uzyskać dostęp do plików,
• automatyczne blokowanie – wymusza ponowne uwierzytelnienie w przypadku odcięcia (i przywrócenia) zasilania.

Zawsze warto też decydować się na zakup dysków z oferty renomowanych producentów. Aktualnie prym wiodą marki, takie jak Western Digital, Seagate, Kingston, Crucial oraz Samsung.

Na koniec przestroga: pamiętaj, że żaden sprzęt ani żadne oprogramowania nie zapewnia 100-procentowej ochrony. Warto z nich korzystać, ale nie mniej ważne jest to, by używać komputera w sposób racjonalny i stosować się do ogólnych zasad bezpieczeństwa – to najskuteczniejsza metoda na to, by pliki i dane nie trafiły w niepowołane ręce.

Mogą Cię też zainteresować:

• Jak wybrać szyfrowany pendrive? Na co zwrócić uwagę?
• Z czego składa się komputer?