Комментарии 32
Шифрование каждого файла одним ключом увеличивает вероятность атаки открытого текста.
Это чисто теоретическое рассуждение или есть конкретная информация, что такой способ атаки реально эффективен, требует разумных усилий на реализацию и практически используется в отношении обычных в настоящее время способов шифрования?
А её либо нигде нет, либо её невозможно установить по причине, например, кончины сертификата
Ну чтобы достаточно популярный open source продукт нельзя было так или иначе найти и установить через несколько лет - должен как минимум ядерный апокалипсис случиться (и даже от этого люди страхуются - гуглим Arctic Code Vault :) )
Да принцип-то я знаю. И то, как от него защищаются, тоже, в общих чертах. Интересно на конкретном примере. Вот, скажем, у меня сейчас:
на ноуте Bitlocker с каким там он сейчас алгоритмом (шифровалось с нуля под Win11 недавно);
на сервере встроенное шифрование ZFS, aes-256-ccm;
для передачи в облако шифрование aes-256-cbc.
Везде ключ один и тот же.
Исходим из предположения, что месяцы работы суперкомпьютеров на расшифровку моих файлов никто выделять не будет, за новостями я слежу, поэтому если в каком-то из алгоритмов найдут значимую уязвимость, квантовые компьютеры начнут щёлкать обычные шифры как орешки и т.п. - то я об этом узнаю и перешифрую данные актуальным способом.
Мне уже начитать бояться или можно пока спать спокойно? ;)
с каким там он сейчас алгоритмом
AES-128-XTS для фиксированных накопителей и -CBC для съёмных. Через групповые политики можно форсировать -256-
newdaynews.ru/technology/539941.html
Я так понимаю, ключ у майков можно просто попросить если есть на то основания.
Предусмотреть в лицензионном соглашении что угодно - это одно, реально это делать - другое. Информации о случаях, когда ключи Bitlocker реально были бы получены от MS, хоть у нас, хоть в забугорье, я не находил, а такой прецедент явно привлёк бы внимание.
Опция бекапа ключа в аккаунт MS прямо предусмотрена, и таки да, если я ей воспользуюсь, то, вероятно, этот ключ будет предоставлен по запросу соответствующих органов. Но я ей не пользуюсь и вообще пользуюсь локальной учёткой. Пока что пребываю в надежде, что этого достаточно :)
P.S. В моей личной практике был случай, когда правоохранители расшифровали диск, зашифрованный Bitlocker. Всё было куда прозаичнее, без запросов в MS, бэкдоров и пр. Одному бизнесмену (бизнес малый, так что никаких централизованных систем) ноут настраивал доверенный IT-специалист. В т.ч. зашифровал диск, ключ сохранил на флэшку. Ввиду невысокой квалификации бизнесмена в компьютерных делах ключ восстановления этот специалист записал у себя, разумно подозревая, что пригодится.
И вот в один прекрасный день бизнесмен флэшку с ключом теряет... Утром звонит тому самому ITшнику, тот диктует ему ключ восстановления, он записывает его на листочек бумаги, загружает ноут. А в обед приходит маски-шоу и изымает и ноут, и лежащий рядом с ним листочек. Про флэшку-то бизнесмен помнил и, вероятно, выкинул бы её куда подальше, а вот про листочек в суете забыл.
Когда ноут вернули, сняв образ диска, в логах, естественно, было записано, что использован ключ восстановления. Никаких доказательств не имею, но такое совпадение по времени между утратой флэшки и визитом органов слишком удивительно, чтобы быть совпадением...
Зачем ключи от файлов хранить где-то отдельно? Ключи можно хранить зашифрованными на асимметричном ключе пользователя в заголовке самого файла. Именно так сделано в EFS.
Так формат не позволяет так сделать
поскольку рандомные ключи нужно хранить в отдельном файле
Зачем ключи от файлов хранить где-то отдельно? Ключи можно хранить зашифрованными на асимметричном ключе пользователя в заголовке самого файла. Именно так сделано в EFS.
Я пробовал CryptSync с настройками синхронизации в каталог OneDrive.
Для Dropbox есть отличное решение - https://cryptomator.org/
Преимущество облачного хранилища перед другими вариантами в том ...
Недостаток облачного хранилища в том, что не везде есть доступ в интернет. И не любые файлы можно в интернет отправлять.
Авария в одном из дата-центров не подрывает сохранности данных.
Было уже некоторое количество историй о том, что "облачное хранилище" размещалось в одном единственном дата-центре.
Вся статья это какой то процесс усложнения собственной жизни бесконечный, борьба за антишпионский уровень приватности не оправдывающий затраченных усилий потому что каждый первый из нас тот самый Неуловимый Джо.
Для рядового пользователя ноута под виндой зашифровать раздел с данными встроенным битлокером банально по паролю обыденно и просто. На этом же разделе лежит папка синхронизирующая все важные файлы в облако любого вендора. 1ТБ от 416 рублей в год - дешевле только даром. На облаке при авторизации двухфакторка. Все, можно расходиться и больше ничего не мусолить, справится даже домохозяйка.
Корпоративные ноутбуки с секреткой всегда полностью шифрованы по сертификату, всегда под контролем MDM, всегда разблокируются по двухфакторке и при малейшем признаке утери удаленно вайпаются, как только увидят инет. Там нет рабочих данных не синхронизированных с корпоративном облаком. Что обсуждать то?
полностью согласен. Кроме того, корпоративные ноуты заблокированы по самое немогу - там просто физически нельзя ничего записать на внешние носители - все USB порты заблокированы, все облачные хранилища кроме корпоративных - в том числе. И там всё предварительно настроено, так что у пользователя вообще голова не болит по поводу архивации. К тому же как правило такие ноуты берут в лизинг, раз в несколько лет их меняют и юзер получает новый ноут ровно с теми же данными, какие были на отданном.
Что обсуждать то?
А вот весь тот большой и прекрасный мир, который расположился в промежутке между домохозяйками и большими корпорациями*, и обсуждать :) Когда данные уже более важные, чем 1001 фоточка любимого кота, но вся ИБ обеспечивается либо условным эникейщиком (часто приходящим) либо пользователем самостоятельно.
Автор, конечно, местами правда усложняет, на что я попытался намекнуть в своём комментарии выше, но тема-то полезная, и популяризовать её надо.
--
*- да и в больших корпорациях ответственные за ИБ часто имеют очень наивную уверенность, что за пределы огороженного MDM, DLP и прочими аббревиатурами периметра у них муха не пролетит :)
На облаке при авторизации двухфакторка.
Но нужно сделать так, чтобы данные были криптографически защищены. Насколько я знаю, в платной подписке Microsoft3 скоко там шифруют данные. Но за это вы должны кому то заплатить.
под виндой зашифровать раздел с данными встроенным битлокером банально по паролю обыденно и просто
Если мне в линукс все данные понадобятся. Зачем дополнительно вытаскивать их из закриптованного битлокером раздела
Слишком много "если", и ни одного ответа на "Зачем?".
Чего Вы боитесь мистер Андерсон?
А в случае чего я хочу быстро всё восстановить хоть в виндовс, хоть в линукс. И мне не нужно искать программу и поддерживаемую версию ОС, чтобы вытаскивать данные из какого то там контейнера. Мне не нужно искать потерявшиеся флешки, поскольку и файлы и пароли хранятся в облаке. У меня есть общепринятый формат, который понимает множество программ. А 7z в семёрке, он и в десятке 7z, и в линукс 7z
А что случится, если Вы туда зальете не заархивированные исходники своих программ?
Смысл — обеспечить беспроблемное восстановление в случае чего.
Можете подробнее рассказать про восстановление или "восстановление". Потому что учитывая вот этот фокус ...
Предварительно вычисленные их хеши сэкономили мне немало времени на их восстановление, поскольку восстанавливал вручную из MFT, дабы избежать полной потери данных.
... либо я не понимаю математики, либо вы. Объясните, как их хэша удалось восстановить файл? Мы точно про те хеши, которые однонаправленная функция, ставящая в соответствие бесконечное множеств конечному подмножеству?
Как восстанавливаются файлы из MFT, при каких условиях это срабатывает?
Много недосказанностей в статье.
Это я неосторожно вытащил флешку из компа и у меня полетела ФС. Восстанавливал вручную, чтобы не запороть окончательно.
А проверял через Total Commander -> Проверить-CRC.
Но статья в целом не об этом
Я в облачных тарифах не разбираюсь, чувствую себя тупее домохозяйки.
А где найти 416 рублей в год за ТБ?
В черную пятницу Microsoft Office 365 для семьи (Электронная лицензия на 1 год) стоила на ОЗОНе 2499 рублей (при стандартной цене в магазинах в 3499 рублей). В этой лицензии может быть до 6ти пользователей, каждый из которых получает 1ТБ облачного диска, на сдачу там еще отсыпают актуальнейшую версию самого пакета Microsoft Office, и еще по мелочи.
2499 рублей делите на 6 человек = 416,5 рублей на каждого.
Покупаете лицензию на распродаже, кооперируетесь с еще 5 друзьями или коллегами, расшариваете доступ к подписке на их аккаунты и они вам компенсируют 2082,5 рубля.
+100500. Отличное решение вопроса.
А если 1TB мало, есть какие-то большие, но редко используемые архивы, можно их хранить в другом аккаунте той же семейной подписки (т.е. самостоятельно использовать 2-3 терабайта).
Скажем, NAS бэкапить программно. Например, GoodSync умеет один набор директорий в OneDrive под одним аккаунтом, другой набор - под другим аккаунтом (в том числе шифруя локальным ключом). Наверняка и бесплатные синронизилки есть.
Спасибо. А что можете сказать, например по поводу Amazon S3?
3 Glacier Deep Archive обещают по 0,0018 $ за гигабайт в месяц, но я не совсем понял, там по видимому за каждое действие - загрузка или скачивание отдельно доплачивать придется. Ну и явно эти данные на ленте там хранятся, потому что ждать выгрузку своего архива надо будет 12 часов.
У меня в свое время сложилось впечатление, что туда можно относительно дешево архивировать. Но восстановить оттуда выльется даже не в копеечку, а придется полновесно золотом отсыпать.
Мои данные стоят дешевле. А то, что действительно ценнно (не восстанавливается типа типа видео с дитем) - то просто в разных местах раскидано. Но оно и статическое достаточно, апдейтов не требует. Какие-то копии в разных облаках, какие-то н адругой площадке, какие-то периодически переписываются (с DVD на винчестер и т.п.). Но такого мало.
Во-первых, тонны чьих-то там путаных файлов никому не нужны без инструкции, как это употребить во вред конкретному имярек. Ну, конечно, если имярек кому-то важен в качестве объекта шантажа, компрометации, чего там еще.
Во-вторых, шифрование как таковое является красной тряпкой для тех, кто может задать вопрос "что ты там шифруешь?" с последующим или параллельным применением термокриптоанализа и т.д.
В-третьих, более или менее достаточно регулярно скидывать архив документов на пару недавно купленных внешних дисков (разных марок :), а также озаботиться бэкапом свежих "разработок" (впрочем, они обычно в почте болтаются)
В-четвертых, шифрование от дурака вещь достаточно доступная, когда-то я полюблял TrueCrypt (однако см. пп. 1 и 2), потом тупо в Линуксе создавал шифрованные пользовательские разделы, потом наплевал на это дело - раньше архивный диск выйдет из строя, чем его украдут.
В-пятых, надежно защитить данные можно только путем ограничения физического доступа, например положить пресловутый диск в банковскую ячейку. Копировать шифрованные контейнеры в облако это такое...
В-шестых, необходимо работать вне доступа к [корпоративной] сети [через VPN]? Вот так прямо с сотнями тысяч файлов? Ну так если нет сети, некуда и бэкапить, не о чем разговаривать. Зашифруйте контейнер на винте. На бэкапных дисках не надо шифровать, их сами надо "зашифровать" в гермоконтейнер и закопать.
Во-первых, тонны чьих-то там путаных файлов никому не нужны без инструкции, как это употребить во вред конкретному имярек. Ну, конечно, если имярек кому-то важен в качестве объекта шантажа, компрометации, чего там еще.
И вы серьёзно этим руководствуетесь?
Слабо представляю, какие файлы пятилетней давности можно употребить мне во вред, чтобы это стало действительно существенной угрозой.
Впрочем, даже и более свежие.
Проекты. коды у простого человека - вряд ли что-то супер-пупер. Если организация пишет серьезный софт, так они не будут целиком проектом на одном ноуте лежать (не украсть).
А условно военные чертежи так не таскают, чтобы их легко посеять можно было.
Я не стал разводить сопли в статье, мало кому это нравится. Но вот в моём случае такова реальность
Не верите, что я это не выдумал — я могу показать скриншот лога
Круто
Вопрос не в недоверии. Я знаю, что всему есть логическое объяснение. Это как если не учить физику и химию, то мир вокруг будет наполнен магией.
И как человек сопровождающий корпоративный NextCloud могу сказать, что могу зайти в папку облачного диска любого сотрудника не через веб интерфейс самого NextCloud - и не будет никаких логов видимых пользователю.
Показывайте лог, мне реально интересно.
К вопросу об архивации данных