Středoevropské centrum pro finance a management

2012-06-01

Alternativy k šifrování pevného disku

V minulém díle (Moderní metody zabezpečení uživatelských počítačů) jsme srovnali výhody a nevýhody hardwarového a softwarového šifrování pevných disků a upozornili na funkce a aspekty, které je vhodné při pořizování těchto technologií zvážit. V tomto pokračování se zaměříme na další často používané formy zabezpečení uživatelských počítačů a představení jejich výhod a nevýhod.

HDD On Password (heslo pro přístup k disku)

Kromě hardwarového a softwarového šifrování dat, další z možností jak zabezpečit data na disku stolního počítače, notebooku nebo serveru je heslo pro přístup k pevnému disku. Toto zabezpečení se obvykle nazývá „HDD On password“, známé je i pod názvy „hard drive password lock“ nebo „ATA password“. Heslo pro přístup k disku je vhodné použít tam, kde je nutné zabezpečit přístup „do počítače“ ze stavu vypnuto, tedy například jako ochrana pro případy ztracených nebo ukradených notebooků. Prakticky funguje tak, že uživateli se okamžitě po zapnutí počítače zobrazí obvykle černá obrazovka pro zadání přístupového hesla. Uživatel zadá přístupové heslo a pokud je správné, následuje běžný bootovací proces.

Jedná se v podstatě o lehčí formu přístupového hesla jako u hardwarového šifrování. Ve srovnání s hardwarovým šifrováním ale heslo pro přístup k disku není zabezpečeno principem oddělených diskových oblastí. Jelikož heslo nezabezpečuje samotná data, ale pouze přístup k nim, pokud je útočník schopen diskové plotýnky z disku přečíst na jiném zařízení nebo alespoň vyměnit elektroniku disku zajišťující toto heslo (tzv. „HDD Controller Attack“), k datům se dostane. Přenesením disku do jiného počítače tedy není možné heslo obejít, protože přístup zajišťuje diskový řadič, který je součástí elektroniky disku.

Hlavní provozní výhodou tohoto řešení je, že není nutné do počítače nic instalovat a heslo pro přístup k pevnému disku je nezávislé na operačním systému. Zapíná a nastavuje se v setupu BIOS. Hlavní nevýhodou hesla pro přístup k disku je nemožnost jeho správy systémem centrálního managementu. V případě, že uživatel své heslo zapomene, je nezbytná osobní asistence administrátora, přičemž alespoň on musí znát své heslo (tzv. „supervisor password“). Pokud své heslo nezná ani administrátor, což se může stát například při odchodu předchozího administrátora ze společnosti, přístup k datům může být ztracen.

Zatímco u starších počítačů bylo zabezpečení heslem pro přístup k pevnému disku prolomitelné například slovníkovým útokem a na internetu jsou k tomu za cca 50 USD dostupné aplikace, současné verze obsahují základní politiky jako restart počítače po třech neúspěšných zadáních hesla, čímž jeho prolomení už tak snadné není. Nicméně, existují komerční firmy, které se specializují na „obnovu“ hesla pro přístup k pevnému disku i u nových verzí a za poplatek ho údajně umí odstranit. Prolomitelnost tohoto řešení potvrzuje i soudní spor mezi Michael Crookerem a společností Compaq, ve kterém Crooker žaluje Compaq za klamavou reklamu. Společnost Compaq propagovala heslo pro přístup k pevnému disku za bezpečné, bohužel ale americká FBI ho v počítači M. Crookera dokázala prolomit.

Power On Password

Power On Password známé také pod pojmem „BIOS heslo“ přímo nezabezpečuje data na pevném disku ani přístup k němu, ale pouze zapnutí nebo vypnutí počítače. Toto zabezpečení samo o sobě není dostatečně bezpečné, protože data lze z pevného disku snadno přečíst jeho přendáním do jiného počítače. BIOS heslo je navíc možné u starších počítačů odstranit vyjmutím baterie, na internetu lze najít software pro prolomení tohoto zabezpečení a do BIOS existují různá záložní hesla. Toto zabezpečení je také často možné vypnout změnou přepínačů na základní desce. Velkou nevýhodou BIOS hesla je i absence praktického systému obnovy při zapomenutí hesla uživatelem.

Windows Password

Zabezpečení přístupu do operačního systému může plnit dvojí úlohu. Heslo do operačního systému jako zabezpečení dat při studeném startu počítače (například při zcizení notebooku) není samo o sobě příliš silná ochrana. Důvodem je to, že heslo operačního systému je možné obejít nabootováním počítače z CD/DVD s jiným operačním systémem. Na internetu jsou navíc dostupné programy, kterými je možné heslo operačního systému odstranit. Použití těchto programů je tak snadné, že celá akce trvá zhruba minutu až dvě. Ačkoliv toto zabezpečení dat není příliš silné, běžně se používá a jeho použití smysl má, a to z toho důvodu, že v běžném provozu je potřebné ošetřit přístup do počítače skrze počítačovou síť nebo zabezpečení stanice při dočasné nepřítomnosti pracovníka v kanceláři spořičem obrazovky.

Anti-Theft Technology

Technologie Anti-Theft je založena na instalaci speciálního čipu do počítače, který zabezpečuje kontrolu nad počítačem podle definovaných politik. Není to konkrétní forma zabezpečení dat, ale infrastruktura pro implementaci a řízení politik pro přístup. Anti-Theft je zajímavá technologie pokud chceme zabezpečit notebooky proti jejich dalšímu používání po jejich ztrátě.

Politika může být nastavena například tak, že počítač má povinnost přihlásit se v určitém časovém intervalu k monitorovacímu serveru (skrze internet) a pokud se k němu nepřihlásí, Anti-Theft čip použití počítače zablokuje (zablokuje bootování OS a přístup k šifrovacím klíčům pokud je disk šifrován softwarově). Jiná politika může nařizovat smazání obsahu pevného disku po 20. neúspěšných pokusech o přihlášení (tzv. politika otrávených pilulek, z anglického „poison pills“). Politika může být nastavena také tak, že instrukci, aby obsah pevného disku notebooku byl smazán zadáme monitorovacímu centru až v případě ztráty notebooku. V okamžiku, kdy se počítač připojí k internetu, dostane instrukci od monitorovacího centra a sám okamžitě vymaže obsah pevného disku (tzv. politika sebezničení, z anglického „self-destruction“).

Výhodou této technologie je možnost aktivace bezpečnostních prvků až při nastání bezpečnostní události (ztrátě notebooku). Nevýhodou je, že útočník může získat přístup k datům ještě než dojde k aktivaci bezpečnostních instrukcí (tj. například data najít, přečíst a zálohovat na jé zařízení dříve než počítač připojí k internetu). Pokud útočník ví, že počítač je technologií Anti-Theft vybaven, je možné ji obejít tím, že útočník přemístí pevný disk do jiného počítače. To ale útočník musí předem vědět, že počítač je touto technologií vybaven. Náklady na Anti-Theft jsou řádově 500 Kč za počítač za rok, což ji činí snadno dostupnou jako doplňkový prvek bezpečnosti obzvláště u firemních notebooků.

Šifrování souborů

Data je možné zabezpečit na úrovni souboru, ve kterém jsou uložena. K tomu slouží buď externí programy (například Truecrypt, PGP, Private Disk, DriveEncrypt, WinZip, WinRar a mnoho dalších) nebo některé kancelářské programy jako například MS Word, MS Excel a PDFCreator obsahují už v sobě integrovanou funkci zašifrování (zaheslování) souboru. Funkce šifrování jednotlivých souborů je dostupná i ve Windows. Šifrování individuálních souborů s daty je sice možná cesta, jak data na uživatelském počítači zabezpečit, ale má dvě obrovské nevýhody, které jeho plošné rozšíření pro firemní účely téměř vylučují.

V korporátním prostředí je důležité, aby k datům měl přístup nejen sám pracovník, který data uložil a zahesloval, ale prostřednictvím nějaké standardní metody i jeho nadřízený nebo případně z důvodu obnovy (například při zapomenutí hesla) i pověřený správce. Systémy, které individuálně šifrují soubory z principu neposkytují „zadní vrátka“ nebo funkce obnovy. Druhý problém individuálního šifrování souborů spočívá v tom, že v něm není možné centrální politikou vynutit komplexitu použitého hesla, což prakticky znamená, že ochranu je možné prolomit například útokem hrubou silou (z anglického „Brute Force Attack“) nebo v rychlejší verzi pomocí útoku s pomocí duhových tabulek (z anglického „Rainbow Tables Attack“), případně slovníkovým útokem (z anglického „Dictionary Attack“). Pokud totiž není centrální politikou vynucena komplexita hesla, běžní uživatelé obvykle volí jednoduchá hesla do 9 znaků. Jednoduchá hesla je možné s dnes už relativně snadno dostupnými prostředky prolomit (viz tabulka 1), čímž se šifrování individuálních souborů (i navzdory použití silného šifrovacího klíče s délkou 256 bitů) stává jen slabou formou ochrany.

Tabulka 1: Průměrný čas nutný k prolomení hesla útokem hrubou silou
Předpoklad 1: Heslo tvořeno kombinací malých a velkých písmen anglické abecedy a číslic.
Předpoklad 2: Útok proveden na dvoujádrovém PC s 2,66 GHz procesorem.
Délka hesla [znaků] Počet kombinací* Prům. čas k prolomení
1 31 0,0001 sec
2 1 922 0,003 sec
3 119 164 0,2 sec
4 7 388 168 13 sec
5 458 066 416 14 min
6 28 400 117 792 14 hod
7 1,8E+12 36 dnů
8 1,1E+14 6 roků
9 6,8E+15 383 roků
10 4,2E+17 23 763 roků
* Počítáno se střední hodnotou souboru hesel, tedy, že heslo bude v průměru odhaleno po dosažení (otestování) poloviny souboru kombinací. Hesla začínající písmenem "a" jsou odhalena dříve než ta začínající písmenem "Z".
Poznámka: Ačkoliv se zdá, že hesla o 7 a více znacích nejsou snadno prolomitelná, není to úplně pravda. Použití tzv. Rainbow Tables nebo distribuce úlohy na více a rychlejších počítačů (do tzv. gridu) sníží čas nutný k prolomení dramaticky.
Zdroj: autor

Co tedy vybrat

Při rozhodování o výběru systému pro zabezpečení počítače je nutné zvážit nejen jaká data jsou na počítači uchovávána, ale především, jaký je náš cíl, proti čemu se chceme ochránit a jaké funkce související se zabezpečením jsou pro nás důležité. Zabezpečení počítače pouze heslem do operačního systému v dnešní době už nestačí. U soukromého notebooku s jedním uživatelem, který je zároveň i jeho správce a vlastník nám snadno stačí například heslo pro přístup k disku. V korporátním prostředí je obvykle nutné sáhnout po složitějším řešení, které zahrnuje funkci centrálního managementu, což je doména systémů softwarového a hardwarového šifrování. Pokud je naším cílem maximální zabezpečení, systémy je vhodné kombinovat. Zabezpečení firemního notebooku kombinací hardwarového a softwarového šifrování s heslem pro přístup k disku a Anti-Theft systémem bude pro útočníka hodně složitý hlavolam.

Ing. Vladimír Jech, MBA, FRM

Máte odbornou práci, studii nebo analýzu, o kterou byste se s námi rádi podělili? Chybí něco na těchto stránkách? Napište nám.

Nejsledovanější knihy:   
Nejsledovanější knihy:   
Ekonomie
Holman Robert
(Sledovanost: 175)
Introduction to Financial Accounting
Charles T. Horngren, Gary L. Sundem, John A. Elliott, Donna Philbrick
(Sledovanost: 168)
Marketing
Boučková Jana, a kol.
(Sledovanost: 168)
Corporate Finance
Stephen A. Ross, Randolph W Westerfield, Jeffrey Jaffe
(Sledovanost: 162)
(Sledovanost: 162)

Diskuzní fórum

Středoevropské centrum pro finance a management podporuje veřejnou diskuzi týkající se různých ekonomických i společenských témat.

Diskuze na těchto stránkách je neredigovaná a nemoderovaná. V zájmu zachování vysoké úrovně diskuze i tohoto servru je však administrátor fóra oprávněn konat patřičné kroky, aby bylo zabráněno projevům rasové, národnostní, náboženské nebo jinak nepřípustné diskriminace. Administrátor je rovněž oprávněn zasahovat, pokud objeví v diskuzích vulgární nebo jinak nepřístojné projevy.

Středoevropské centrum pro finance a management nenese žádnou faktickou ani implicitní odpovědnost za obsah jednotlivých příspěvků, ani neručí za skutečnou identitu jejich autorů.

V zájmu udržení vysoké úrovně diskuzí žádáme autory, aby identifikovali své příspěvky svým jménem nebo alespoň přezdívkou a pokud možno i elektronickou adresou.

Děkujeme za přízeň a doufáme, že naše www stránky nabízejí co hledáte.

Středoevropské centrum pro finance a management
Svět plný ověřené vzdělanosti

Dnešní datum:

V diskuzi zatím není žádný příspěvek. Máte možnost být první.

Podmínky provozu | © Copyright 2005-2012 Středoevropské centrum pro finance a management | Mapa stránek
Upozornění
Spolupráce: Napsali jste kvalitní odbornou práci, studii nebo analýzu, která Vám nyní leží v šuplíku? Publikujte ji zde. Co Vám za to můžeme nabídnout najdete na stránce informace pro autory.

Upozornění na novou službu: Právě jsme spustili Katalog odborníků, konzultantů a profesionálů. Odkaz Odborníci.
Novinky
Sharpe Ratio
Treynor Ratio
Sortino Ratio
Crashophobia
Portfolio Turnover Ratio (PTR)
Opce - delta hedging
Black-Scholes Model
Další zajímavé čtení
Nejčtenější pojmy
z financí a managementu
SWOT analýza SWOT je typ strategické analýzy stavu firmy, podniku či orga...
(Přečteno: 143717x)
Zrušení, likvidace, zánik společnosti Zrušení a zánik společnosti se řídí v České republice zákonem 51...
(Přečteno: 129218x)
Definice cíle SMART (Project Management) SMART je souhrn pravidel, která pomáhají především v r...
(Přečteno: 106572x)
Lorenzova křivka Lorenzova křivka, nebo anglicky Lorenz Curve (LC), je grafické znáz...
(Přečteno: 76963x)
Giniho koeficient Giniho koeficient, sestrojený italským statistikem Coradem Gini v r...
(Přečteno: 75915x)
Zajímavosti od sousedů
Anketa
Doporučené www stránky
Vybrané finanční
a manažerské okruhy
aneb
Co ještě možná neznáte?
Reklama
Reklama Ilist.cz
.