Hardveres vagy szoftveres titkosítás?

A „Hogyan válassz titkosított adattárolót?” sorozat első részében a biztonsági minősítéseket néztük meg kicsit alaposabban. A sorozat második részében a fizikai ellenállóképességet jellemző rövidítésekről esett szó. A harmadik részben pedig azt járjuk körül, hogy melyek a hardveres és szoftveres titkosítások előnyei és hátrányai.  

Ugyan hitvita szokott az ilyen kérdésből kialakulni, de próbáljuk meg kicsit konstruktívabban megközelíteni a témát.

Sebesség

A hardveres titkosítás (az adattároló eszközbe épített titkosító áramkör végzi a kriptográfiai műveleteket (enkriptálás, dektriptálás)) – hívei a sebességet szokták felhozni első érvként: a titkosító áramkör gyorsabb, mintha egy szoftver a számítógép processzorát terhelve végezné el a titkosítási műveleteket.

Ezt az érv az egyre erősödő processzorok világában nem minden esetben állja meg a helyét, egyszerűen már olyan nagykapacitású CPU-kkal működnek a munkaállomások, hogy ez az érv nem minden esetben igaz.

Az biztos, hogy a titkosítási műveletek erős terhelést okoznak, tehát egy terhelt processzor számára igencsak megerőltető feladat, és ezt a felhasználó is meg fogja érezni a sebességen.

Biztonság

A hardveres titkosítás mellett érvelők második főtétele, hogy mivel a titkosítási folyamat a számítógéptől függetlenül, az adattároló titkosító áramkörében megy végbe, a titkosításhoz szükséges kulcsok soha nem kerülnek ki a titkosító áramkörből, tehát nem szerezhetők meg a számítógép memóriájának elemzésével.

Touché! – Ez bizony ül, a szoftveres titkosítás legnagyobb hátránya, hogy a titkosító szoftver megkerülésével/manipulációjával, vagy a számítógép processzorának és memóriájának vizsgálatával hozzáférhetőek lehetnek a titkosító kulcsok, azokon keresztül pedig kompromittálhatók a védett adatok.

Hibrid megoldások problémája

A tisztán hardveres vagy szoftveres megoldások (AxCrypt, TrueCrypt) mellett megjelentek a vegyes módusú eszközök: azaz a titkosítás a titkosító áramkörben történik, viszont a számítógép felől szükséges valamilyen kulcs vagy jelszó, amellyel az áramkör hozzáfér az eszközben tárolt titkosításhoz szükséges kulcsot (rosszabb esetben a felhasználó által megadott jelszó feldolgozott, hashelt eredménye lesz a titkosító kulcs).

Mint látjuk, a hibrid megoldás se ilyen se olyan, de ettől nem lesz sokkal biztonságosabb: a felhasználó által az eszköz titkosítását feloldó jelszó keyloggerrel vagy a memóriából megszerezhető, onnantól kezdve pedig a védelem megkerülhető.

Átláthatóság problémája

A szoftveres megoldások – és itt konkrétan a forráskóddal elérhető, többnyire opensource/GPL/stb. szoftverekre gondolunk - mellett megemlítik érvként, hogy pontosan lehet tudni, mit és hogyan csinál a szoftver, azaz backdoor és mindenféle kiskapu nélküli megoldások – hiszen ellenőrizhető a forrás és a működés. 

A hardveres megoldások esetében viszont nem tudjuk, mit és hogyan csinálnak, azokban bármi, és annak ellenkezője is előfordulhat: nem lehet ellenőrizni az eszköz működését.

Ez bizony ül, valóban a zártság miatt nem lehet tudni, hogy van-e kiskapu, vagy nem-e találtak fel valami új titkosítást a gyártóéknál (titkosítással kapcsolatban, ha azt halljuk, hogy „Az általunk fejlesztett és teljesen egyedi titkosítás... – MENEKÜLJÜNK!”).

Viszont azt el kell mondani, hogy ezért fontosak azok a tanúsítványok, minősítések, amelyeket korábbi fejezetben kicsit megnéztünk („Mit jelentenek a FIPS, CC-EAL, BSI, stb. tanúsítványok?”), ezek bizonyítják, hogy a megoldás ellenőrzött és szabványos kriptográfiát és biztonságos környezetet valósít meg. Nyilván ez sem feltétlenül jelenti, hogy az NSA vagy a gyíkemberek nem „ülnek benne az eszközben”, de ezek ellen a halandó és főleg egy vállalat vajmi keveset tehet (és nem is feltétlen ellenük akar védekezni!).

Végső konklúzio

Számunkra a döntő érv mindenképpen az adattároló modultól való szeparált titkosító kulcs tárolás, azaz mi a hardveres titkosítás mellett tesszük le a voksunkat.

Véleményünk szerint a hardveres titkosítás és a számítógéptől független titkosítás-feloldás a legbiztonságosabb megoldás.

További jó érv a hardveres titkosítás (a hardveres titkosítás és hardveres nyitás) mellett, hogy ilyen megvalósításban az adattároló eszközünk teljesen operációs rendszer és szoftver független – hiszen semmiféle szoftverre, nyitóalkalmazásra nincsen szükség.

A sebességre pedig mi azt mondjuk, amit a Mondoshawanok, mielőtt átadják a titkosító kulcsot:

Time Not Important, Only Data Important!

(nem egészen így mondják, de majdnem!).

Szóval a titkosított adattárolók esetében a sebesség legfeljebb harmadlagos tényező tud lenni, mivel a cél a biztonságos adattárolás és biztonságos elérés, nem pedig a gyors adattárolás és elérés.

A fizikai ellenállóképességet jellemző fontosabb rövidítések

A „Hogyan válassz titkosított adattárolót?” sorozat első részében a biztonsági minősítéseket néztük meg kicsit alaposabban. A sorozat második részében pedig a fizikai ellenállóképességet jellemző rövidítéseket nézzük meg közelebbről. Szerencsére, a fizikai ellenállóképesség jelölésére egy jól dokumentált nemzetközi szabvány vonatkozik, elvileg sokkal egyszerűbb eligazodni rajta – bár mindig lehetnek kakuktojások.

Az IP-védettség (International Protection Marking) jelentése Nemzetközi Védettségjelölés.

Egy műszaki berendezés áramköreit védő tokozás (készülékház) környezeti behatások elleni védettségét jelzik vele.

Az IP-besorolást Magyarországon az MSZ EN 60529:2015 „Villamos gyártmányok burkolatai által nyújtott védettségi fokozatok (IP-kód) (IEC 60529:1989)” nemzetközileg az IEC 60529:1989 szabvány (és pl. 2013-as frissítése) írja le, amelyet gyakorlati tesztek alapján határoztak meg.

Az első számjegy a szilárd anyagok (pl: por), a második a vízzel szembeni védelemre, az esetleges harmadik jelszám a szilárdságra vonatkozik (ez a legtöbb esetben nincs feltüntetve). A magasabb szám minden esetben magasabb védelmi szintet jelent, pl. IP65. A védettségi érték hiányát (nem adják meg) gyakran X betűvel jelzik, de kiegészítő betűk is lehetségesek.

IP65:

A „6” mutatja, hogy az eszköz teljesen zárt és védett a szilárd anyagok és szennyeződések ellen, míg az „5” jelszám arra vonatkozik, hogy az eszköz kisnyomású vízsugár ellen védett.

Egy IP67-es minősítésű eszköz teljesen védett a szilárd anyagok és szennyeződések ellen (az első „6”-os jelszám), míg a második „6”-os jelszám arra vonatkozik, hogy az eszköz kibírja a vízbe merítést (3m mélységig, 30 perc időtartamig) is.

IPX8:

Csak a vízállóság jelölésére használják és a szilárd anyagokkal szembeni ellenállási képesség ilyenkor nincs megadva („X”).

A „8” a vízállósági értéket mutatja, jelen esetben azt jelenti, hogy az eszköz kibírja folyamatos víz alatti tartózkodást 1m mélységig. Ha ez az eszköz egyébként teljesen porvédett is, akkor a teljes minősítése IP68.

IP65 tesztelő labor

Nem egészen hivatalos tesztelő labor :)

Professzionális IP65/IP67 tesztelés

Fontosabb biztonsági minősítések – FIPS 197, FIPS-140-2, CC-EAL, BSI

 Következzen egy rövid összefoglaló a biztonsági minősítésekről, a teljesség igénye és főleg a nagyon részletes magyarázat nélkül. Az összefoglaló remélhetőleg segítséget nyújt abban, hogy megértsük az egyes minősítések jelentését és értékét, ezáltal pedig eldönthessük, hogy melyik mágikus varázsszó fontos a számunkra.

Az eszközökre vonatkozó biztonsági minősítéseknek komoly szerepük van: meghatározzák az adott eszköz biztonsági funkcióit, titkosításának megfelelőségét – tehát azt, hogy mennyire lehet megbízni az adott eszközben.

FIPS 197 (FIPS PUB 197)

A minősítés nem az eszközre, hanem a titkosításhoz használt Advanced Encryption Standard (AES) algoritmusra vonatkozik. Az AES algoritmus szimmetrikus kulcsú titkosítás, tehát az adatok titkosításához ugyanazt a titkosító kulcsot használja, mint az adatok kititkosításához.

A FIPS minősítés tehát csak annyit jelent, hogy az eszközben felhasznált titkosító algoritmus megfelel a NIST által megfogalmazott AES szabványnak, a szabványnak megfelelően működik, nem pedig a gyártó hozott létre egy újabb, és ellenőrizetlen titkosítási metódust.

A FIPS 197 minősítés alapvető fontosságú az eszközök választásában, ha olyan megoldást szeretnénk, amely szabványos, ellenőrzött és megbízható.

FIPS-140-2 (Level X)

 A FIPS-140-2 az USA kormányának biztonsági szabványa, és a minősítés jóval többet jelent, mint a FIPS 197, mert nem csak a titkosító algoritmus, hanem a teljes eszköz kriptográfiai működése, funkciói kerülnek ellenőrzésre.

A FIPS-140-2 Level 3 minősítés elvárja az eszköztől, hogy a felhasznált kriptográfiai áramkör és a titkosítási környezet (beleértve az algoritmust is) fizikailag és logikailag is ellenálló legyen a támadásokkal és visszaélésekkel szemben.

Alapvető elvárása a szabványnak, hogy az eszközök zártak legyenek, ne lehessen hozzáférni a titkosító áramkörökhöz, az eszköz reagáljon a bontási és behatolási kísérleteknek (tamper proof), valamint a működését befolyásoló módosítási kísérleteknek.

Csak az az eszköz kapja meg a minősítést, amelyet az erre hivatott szervezetek laboratóriumi körülmények között nagyon alaposan leteszteltek.

CC-EAL-5

A Common Criteria nemzetközi biztonsági ajánlás/szabványa a FIPS-140-hez hasonlóan, de még részletesebb elvárásokat fogalmaz meg az eszközökkel kapcsolatban, tehát egy CC-EAL-5 minősítésű eszköz magasabb biztonsági elvárásoknak kell megfeleljen, mint a FIPS-140-2 esetén, mivel nem csak a felhasznált kriptográfiai áramkör és a titkosítási környezet, de a teljes eszköz működése ellenőrzésre kerül biztonsági szempontok alapján.

A minősítés megszerzéséhez a gyártónak át kell adnia a hivatott szervezetnek az eszköz dokumentációját és terveit, majd az eszközt laboratóriumi környezetben vizsgálják és penetrációs tesztekkel (betörési, hekkelési kísérletek) ellenőrzik az eszköz megfelelő működését és ellenálló képességét.

Nemzeti/állami minősítések – BSI/NSA/NSM

Az egyes államok megfogalmazzák saját biztonsági szabványaikat, amelyet teljesítő eszközöket nemzeti minősítéssel látják el. (Végső soron a FIPS-140-2 is nemzeti minősítés, de ennek ellenére világszerte is használják és elismerik).

A nemzeti minősítések általában valamely nemzetközi ajánlásra/szabványra és minősítő eljárásra épülnek (pl. Common Criteria), de tartalmazhatnak olyan elvárásokat, amelyek az adott országra specifikusan vonatkoznak.

A BSI német állam (Bundesamt für Sicherheit in der Informationstechnik) nemzet(i)biztonsági felügyeletének neve és minősítése, az EU-ban elterjedt és nagyra becsült tanúsítvány. A BSI minősített eszközök megfelelnek a német állam nemzet(i)biztonsági felügyelete által megfogalmazott elvárásoknak és az általuk végrehajtott teszteket is sikeresen teljesítette.

Az NSM a norvég nemzet(i)biztonsági felügyelet neve és minősítése, az EU-ban elterjedt és nagyra becsült tanúsítvány. Az NSM minősített eszközök megfelelnek a norvég állam nemzet(i)biztonsági felügyelete által megfogalmazott elvárásoknak és az általuk végrehajtott teszteket is sikeresen teljesítette.

Július 14-től interneten is megvásárolhatóak a BKK napi- és hetijegyek, valamint a félhavi- és havibérletek – név, cím, és valamely okmány adatainak megadása után. Maga a díjtermék csak egy weboldalon keresztül érhető el, melyet egy okostelefonon betöltve mutathatunk fel ellenőrzésnél. 

Számos sérülékenységről adtak már hírt a szakértők, és az RTL Klub Hiradó műsora körtelefonnal igyekszik szakértőket toborozni, akik el tudják mondani a nézőknek, hogy miért rossz a BKK rendszere (nem vicc, szó szerint ez a szövege a telefonáló RTL-es kollégának). 

Mi is találtunk nagyon súlyos biztonsági rést a rendszeren, ma reggel 10.00-kor észleltük, 10.02-kor írtunk az info@bkk.hu címre, és mivel most 12.00-van és se nem javították ki, se nem válaszoltak, megosztjuk a Nagyérdeművel:

A BKK egyébként még mindíg nem válaszolt a megkeresésünkre!

Igen kiváló cikk jelent meg a Frappa Magazinban Keleti Arthurral. A téma természetesen a titkok természete, a titokvédelem illetve a kiber.

A cikket olvasva szaporán bólogattam, mert Arthur kimondta, hogy:

 Azaz a termékben gondolkodás – minden problémára van silver bullet, csak meg kell venni és eljő a szép világ – nem feltétlenül az üdvözítő út; a "mindenmentes" ételek mintájára a "mindenellen" védő piacvezető "szupertermékek" sem feltértlenül azt kínálják, amit a marketingesek és a salesek hirdetnek.

A másik, ami eszembe jutott, annak igazából az ál- és klikkvadász hírekkel és dezinformációs tartalmakkal kapcsolatos, vajon melyik hazai média milyen címmel foglalná össze Arthur gondolatait? :)

Természetesen ez csak fikció, Arthur szemléletes példái igen kiválóan alkalmasak a hatásvadász címekre és összefoglalókra:

Ripost

Keleti Arthur rettegésének oka: „megcsalom a feleségem”!

Blikk

Rájár a rúd Keleti Arthurra mostanában. A hírneves kibervédelmi stratéga és jövőkutató nyomorog, máról holnapra tengődik! „a bankszámlámon levő pár tízezer forint – amiből ebben a hónapban élek – számomra kritikus, nagyon fontos dolog.”

Bors

Őszintén kitárulkozott a neves jövőkutató: „a világ megtudja, hogy drogfüggő vagyok” – vallott Keleti Arthur a nehéz időszakról.

Detektor Plusz Magazin

Kibervédelmi kutató mutatott rá a személy- és vagyonvédelem fontosságára. Keleti Arthur a GPS-alapú személykövetés és a napjainkban egyre szaporodó betörések példáin keresztül hívja fel a figyelmet arra, hogy a vagyonvédelem és a kibervédelem ugyanazon érem két oldala.

Index

Senki nincs biztonságban. A titkaink nyitott könyvkent olvashatók a hekkerek és kiberbűnözők számára! A hekkerek beférkőztek a játékgépekbe, ott vannak minden számítógép kamerájában és mikrofonjában. A védelmi szakemberek tehetetlenek, nincs megfelelő védekezési módszer a támadók és hallgatózók ellen. A javasolt megoldás, ha a felhasználó eltüzeli a berendezéseket:  „nem bízhatsz meg benne, hogy szoftveresen meg tudod védeni” – nyiltakozta Keleti Arthur kibervédelmi szakértő. Egészségügyi eszközök is érintettek lehetnek vírustámadásokban.

444

A Szili nemigazán akarja megint megszagolni, de állítja, hogy valami bűzlik Dániában. Lehet a sajt, de lehet, hogy Keleti Arthur, aki mostanság új szenvedélyének hódol, az Egy Év egy Zokni kihívásnak: „-minden nap ugyanazt a pár zoknit veszem fel” – jelentette ki a jövőkutató.

Tök igaza van a HVG-nek, hogy megpróbál eszközöket ajánlani a felhasználóknak, csak azzal van a baj, hogy ezt úgy teszi, hogy nem hívja fel a figyelmüket arra, hogy az ajánlott alkalmazással kapcsolatban mire kellene figyelni: konkrétan adatszivárgást idézhetnek elő.

A NOBOT egyik funkciója – és amit a HVG is kiemelt, - hogy a fájlokat feltöltheti a Virus Total-ra és levizsgáltathatja a Virus Total ötven AV/AM motorjával.

Az ezzel a baj, hogy a felhasználó önként átad fájlokat egy harmadik fél részére, aki a fájl és az adattartalom megismerésére nem jogosult.

Ezt hívják adatszivárgásnak.

Nyilván nem az okoz ebben gondot, ha a felhasználó futtatható állományokat ad a Virus Total-nak, hanem az, amikor dokumentumokat is ellenőriztet, amelyek lehet, hogy házon belül keletkeztek, lehet, hogy külső féltől érkeztek, lehet, hogy valamelyik partnertől érkezett – de szenzitív és az adatvagyon leltárba tartozó adatokat tartalmazhatnak.

A VirusTotal a fájlokat tárolja, feldolgozza, elemezi – és az információt - valamint akár a fájlt is - megosztja egyrészt a fizetős partnerekkel, másrészt pedig eladja/kiadja a vírusvédelmi cégeknek.  

Ehhez elegendő csak gyanúsnak vagy furcsának találni – amelyet simán okozhat néhány jóféle marketinges által tákolt makró, vagy akár csak egy VirusTotal motor túlérzékeny heurisztikája (és lássuk be, a Yandex neve különösen rosszul cseng itthon mostanában, és a Jiangmin vagy a Qihoo neve sem az a kifejezett garancia).  

Érdemes lenne a VirusTotal adatvédelmi tájékoztatását elolvasni - itt a személyes adatok vonatkozásában tekinti át a szolgáltató, hogy mire számítson a felhasználó.

Érdemes lenne a VirusTotal felhasználási feltételeit is átolvasni, ahol ilyen gyöngyszemeket lehet találni:

(Ki itt felöltsz, hagyj fel minden reménnyel)

Frész Ferenc Cyber Services-i evangelista (ez olyan biztonsági fórum, mint a Vidám Vasárnap, csak a tagjaik hekkerek és biztonsági szakértők) mantrája, miszerint: „Ha ingyenes a szolgáltatás, az áru Te magad vagy!” tökéletesen illik a Virus Total-ra is.

A biztonság a kockázat tudatos felvállalása (OMG!!!), viszont a NOTBOT és hasonló társaik nemigazán tájékoztatják a jóhiszemű felhasználót arról, mivel jár, vagy járhat a használatuk, így azok a kockázatok és mellékhatások tekintetében legfeljebb gyógyszerészükhöz fordulhatnának – már ha tudnának róla egyáltalán.  

Mivel a Hackerfeleség és párja, Thor jelenleg BBQ hackeléssel tölti napjait (ezúton is gratula a hétvégi fényes BBQ versenyeredménynek!), így rám maradt a szomorú tájékoztatási kötelesség, és hogy posztoljam: az elektromos cigik bizony, mint malware terjesztő eszközök keseríthetik meg a gőzlér vagy az egyszeri felhasználó életét.

Hát nincs nekünk amúgy is elég bajunk a hazai e-cigaretta szabályozással?

Nem ér elegendő bosszúság a Nemzeti Trafikokban?

Most már azzal is foglalkozni kell, hogy a liquiden kívül vajon még mit hordoz az e-cigi?

A FourOctets névre hallgató ügyes kezű hacker mutatott be egy elég kényelmetlen érzéseket keltő videót, egy e-cigibe rejtett BadUSB támadóeszközről, amely a klasszikus RubberDucky/PoisonTap mintájára USB billentyűzetet emulál, és képes parancsokat beküldeni a számítógépnek, amelyhez csatlakoztatták.

Szóval most már az elektromos cigaretták is bármikor hordozhatnak a lidquiden és a gőzön kívüli, nem kívánt mellékhatást. De szuper!

Hogyan működnek ezek a cuccok?

A BadUSB eszközök keystroke injection tool elven működnek, azaz az eszközt a fogadó számítógép szabványos USB billentyűzetként érzékeli.

A csatlakoztatás után az eszköz billentyűzet leütéseket küld a számítógépnek, amelyeket – mivel szabványos USB billentyűzetként észlelte – a számítógép végre is fog hajtani.

Az eszközben előre felprogramozva billentyűzet leütésenként tárolásra kerül a támadó kód, amelyet aztán az eszköz leütésenként beküld a számítógépnek, és megtörténik az, amit nem szeretnénk: malware töltődik le a gépünkre, backdoor nyílik, adatok másolódnak az eszközbe épített tárolóra, stb.

Hogyan lehet védekezni a BadUSB-jellegű támadások ellen?

A legfontosabb, hogy ismeretlen USB eszközt szigorúan tilos a munkaállomáshoz csatlakoztatni. Még csak azért se, hogy egy kis áramot kölcsönözzünk neki.

(Itt jegyezném meg, hogy az adatszivárgásvédelmi DLP, illetve USB eszközök csatlakoztatását menedzselő port- és eszközmenedzsment rendszerek - mivel USB billentyűzet csatlakoztatását érzékelik – nem foglalkoznak az ilyen eszközökkel, szóval egy DLP által védett munkaállomás is simán áldozattá válhat!)

A második legfontosabb dolog, hogy soha, SOHA ne hagyd lezáratlanul a munkaállomásodat! Egy BadUSB eszköz csatlakoztatása, és a támadó kód beküldése csak néhány másodpercig tart, ezért mindig figyelj oda, hogy ha eltávolodsz a munkaállomásodtól, azt mindig zárold.

Ha mégis ismeretlen/vendég eszközt kell a gépedhez csatlakoztatni...

Ha mégis alkalmi viszonyba kívánunk lépni ismeretlen USB eszközökkel, csak mint az életben: védekezz!

Használj kondomot!

Az USB Condom – illetve újabb nevén SyncStop – csak az áramfelvételt engedélyezi a csatlakoztatott eszköznek, semmiféle adatkommunikáció nem tud kiépülni a csatlakoztatott eszköz és a fogadó munkaállomás között (USB firewall).

USB Condom/SyncStop

Ez fordítva is igaz, ha te szeretnéd a telefonodat, tabletedet vagy más, USB csatlakozású eszközödet csatlakoztatni idegen aljzatokhoz, az USB Condom/SyncStop megvédi az eszközödet, mert csak a töltést fogja engedélyezni az adatkapcsolatot nem.

De a legtutibb, ha nem dugod ismeretlen lukba. Vagy nem hagyod, hogy ismeretlen bedugja. 

A Zalman VE-500 a titkosító HDD keretek poszthoz tartozna, de mivel legkevésbé a titkosító funkció vonzó benne, így megérdemli a külön főszerepet. Itt le is lövöm a poént, hardveres titkosítást biztosító eszközként gyenge, más valamiben viszont olyan csodálatos, hogy bepárásodik a tekintetem, ha ránézek.

Zalman VE-500 és a tok :)

Na kérem, a Zalman VE-500 egy külső HDD keret, amelybe gyakorlatilag bármilyen 2.5-es diszk vagy SSD belepakolható.

Külsejét tekintve nagyon hasonlít a Zalman SHE-500-as eszközre: érintőgombok és OLED-kijelző is található rajta, viszont funkcionalitását tekintve szerintem kissé más felhasználásra szánta koreai teremtője.

Titkosítás

Mert ugye, valahol mégis egy hardveres, AES-256-XTS titkosítást ígérő eszközről van szó. Hát, finoman fogalmazva a Zalman VE-500 (hasonlóan az SHE-500-hoz) nem „,military-grade” és nem a legbiztonságosabb eszközök közé tartozik.

Ez mindenféle reverse engineering nélkül is megállapítható: ha a már titkosított diszket áttesszük egy másik Zalman VE-500 keretbe (amelyen a titkosítás funkció engedélyezve van a menüben), az új keret bekéri a PIN kódot, majd tökéletesen feloldja az eszközt és minden adat elérhető: tehát a titkosító kulcs nem a keretben található, hanem magán a diszken.

Ettől ez az eszköz még jó.

Megint el kell mondani, hogy nem ultratitkos adatok tárolására való és nemigazán ajánlott topsecret környezetekben, de egy átlagos KKV vagy magánszemély szerintem minden további nélkül használhatja és jól és kényelmesen fogja tudni használni.

A biztonság a kockázat tudatos felvállalása (OMG!!!!): ha ismerjük az eszközünk gyenge pontjait, akkor úgy és arra tudjuk használni, amire az eszköz alkalmas és megfelelő.

A Zalman SHE-500-hoz képest az eszköz PIN funkciója kicsit erősebb, min 4, max 8 karakter lehet a PIN kódunk (SHE-500 sajnos 1-8 karakterrel működik). Természetesen lehetőség van a PIN kód megváltoztatására, a művelet simán a menü rendszeren keresztül elvégezhető.

A titkosításról ennyit.

Üzemmódok és OMG!

A menüben három üzemmód között lehet választani: HDD, VCD, DUAL.

A HDD üzemmódban az eszköz normál USB3-as vinyóként viselkedik, legfeljebb a titkosítás és az írásvédelem dobja meg a fílinget.

HDD mód kiválasztva

A VCD üzemmód az, ami miatt ez az eszköz izgalmas és érdekes: a Virtual CD üzemmód lehetővé teszi a diszken tárolt ISO képfájlok CDROM kiajánlását és mountolását!

A DUAL üzemmódban az eszköz mint HDD és CDROM is elérhető, tehát hozzáférünk a tárolt adatokhoz, valamint felcsatolhatunk az eszközök a tárolt ISO képfájlok közül.

A VCD és a DUAL mód közötti különbség, hogy VCD módban az eszköz menüjében felcsatolt ISO fájl mint CDROM használható bootoláskor! Azaz a felcsatolt ISO fájl mint CDROM bootolható lesz!

(Kis csalás, a kép a régebbi VA-300-on mutatja a bemountolt ISO fájlt)

Ez főleg a rendszergazdák és üzemeltetők vértolulásos izgalmi állapotát válthatja ki, de ha belegondolunk, hogy az IT-sok mennyi ISO fájlt hurcolásznak, írogatnak ki bootolható pendriveokra telepítőnek, remediáló eszköznek vagy akár hibajavító eszköznek, az megértheti, hogy ez mekkora könnyebbséget jelenthet a számunkra.

Egy VE-500 tulajdonosaként a büdös életben nem kell többet semmit bootolhato pendrive-ra írni, nincs több várakozás, stb.

Szerintem a VCD mód istenkirály, még akkor is, ha természetesen itt sem minden tökéletes.

Sajnos az eszközt egy régi firmware-el szállítják, ami valamiért nem akarta felolvasni az ISO fájlokat.

A probléma a gyártótól letöltött frissítő utility-vel megoldódott. Itt megint rá kell mutatni arra, hogy az eszköz nem a Szent Grál őrzésére hivatott: milyen biztonsági adattároló engedi meg a felhasználó általi firmware upgradet? Milyen biztonsági vonatkozásai vannak egy ilyen lehetőségnek?

A VCD funkció egyébként csak NTFS partícióról képes az ISO fájlokat felolvasni, majd mountolni és perzisztensen bootolhatóvá tenni.

Néhány káromkodás-cunami után végül ebbe bele tudtam nyugodni: csinálni kell a diszken egy NTFS és egy FAT partíciót, ahol az NTFS-en egy „_ISO” mappában tárolhatók a mindennapi ISO fájljaink, a FAT partíción pedig minden más adatunk. (Nyilván ez csak annak fontos, aki nem csak Windows, hanem Linux, Mac OS X rendszereket is használ, vagy azokon is el kell érnie a fájljait).

Write blocker

Az SHE-500-ból visszaköszönő funkció, és szintén rendkívül hasznos!

Az eszköz menüjében beállítható, és amíg nem kapcsolja ki a tulajdonos a funkciót, az eszköz HDD része csak írásvédetten csatolható fel.

Szintén olyan fícsör, ami nagyon jó szolgálatot tesz annak, aki mindig oda dugja...az eszközt, ahol éppen talál valami szabad USB portot – aztán csodálkozik, ha összeszed valami csúnya fertőzést.

Összefoglalva

A Zalman VE-500 egy nagyon kellemes eszköz, amelyben a titkosítási funkció végül is használható, és szerintem a legtöbb magánszemélynek vagy KKV-nek megfelelő tud lenni, ha tudják, hogy nem a legacélosabb védelemmel rendelkező készüléket használják.

A VCD üzemmód egyenesen csodálatos és hiánypótló, viszonylag kevés cucc tud ilyen funkciót, de általában azok jóval drágábbak, vagy csak limitált mennyiségű ISO állományt tudnak kezelni.

A write blocker szintén nagyon sokat dob az eszköz értékén és használhatóságán, nem kevésbé a csodálatos műbőr tok, amelyet adnak hozzá a dobozban J. Nekem mindenképpen bejövős, aki sok ISO fájlal birkózik, annak tényleg csak ajánlani tudom.

(avagy DIY majdnemsecure titkosított diszk – OL barátomnak, aki drágállja a kompakt dolgokat :) )

Annó, amikor elkezdtem evangelizálni a datAshur/diskAshur titkosított adathordozókat – és persze azóta is mondogatják, hogy drágák az i-Storage eszközei.

Tegnap OL barátom megint megjegyezte, hogy de milyen jók ezek a cuccok, csak az a bajuk, hogy drágák :).

Aztán ott van Lonczkor András barátom (aki annyira titkosítás-mániás, hogy a macskája Public, a kutyája Private névre hallgat) is felvetette, hogy kellene tolni valami olcsóbb alternatívát, úgyhogy gondoltam akkor itt az idő, hogy megnézzünk alternatívákat is a hardveresen titkosított, PIN-paddal feloldható külső „biztonsági” adattárolókra. 

Hopp. Miért fontos, hogy a titkosított adathordozó „hardveresen” legyen titkosítva, és miért fontos a saját PIN-pad felület?

A hardveres titkosítás (megint: nem feltétlenül gyorsabb, mint a szoftveres!) azért jó, mert a titkosítás odabent az eszközben valósul meg, abból titkosító kulcs nem jön ki (nem kerül a munkaállomás memóriájába, diszkjére, stb.) és „elvileg” a titkosító kulcs nem hozzáférhető.

A külső PIN-pad több okból is fontos. Az első, hogy a titkosítást feloldó kódot nem a munkaállomáson kell beütni, azaz keyloggerrel sem logolható. A másik, hogy a titkosítás feloldásához nincs szükség semmiféle szoftverre, agentre, middlerware-re vagy alkalmazásra. Nem kell telepíteni, elindítani, karbantartani – és természetesen nincs semmiféle OS-függőség.

A titkosítás feloldása még az előtt megtörténik, hogy a diszket vagy pendrive-ot csatlakoztatnánk a munkaállomáshoz – azaz, amikor már csatlakoztatjuk, a munkaállomás egy sima, szabványos, egyszerű USB tárolót lát, amelyet aztán jól le is kezel és felcsatol.

A hardveres titkosítás és a PIN-pad felület garantálja, hogy az ilyen adathordozó tényleg teljesen OS független, gyakorlatilag ami USB tárolót kezel, azzal működni is fog (egy időben Androidos projektorral demóztam ilyen eszközöket).

A DLP rendszerek szempontjából is ideális az ilyen megoldás, mivel a DLP bevezetés után (elvileg) a felhasználók csak olyan USB adathordozót csatlakoztathatnak, amelynek eszközazonosítója tárolva van a DLP rendszerben, és a DLP rendszer megengedi, hogy azt az eszközt arra a gépre az a felhasználó csatlakoztathassa.

A gond ezzel csak az, hogy nagyon sok hardveresen titkosított – de szoftverrel feloldható adathordozónak a feloldásig nincs olyan hardver azonosítója, amelyet a DLP rendszer kezelni tud, mert az csak a feloldás után fog megjelenni. Róka fogta csuka, amíg nincs azonosító, addig az eszközt feloldani se lehet (mert nem lehet csatlakoztatni), és amíg feloldani se lehet, addig meg nincs azonosító. Ez a hardveresen titkosított, de a saját PIN-pad felülettel rendelkező eszközöknél nem fordulhat elő: amikor csatlakoztatjuk, addigra már fel van oldva a titkosítás és ott van az azonosító is.

DIY – de miről is van szó?

Nem titkosított diszkekről beszélünk (self encrypted disk), hanem egy titkosító külső ház és egy jóféle, belehelyezhető belső, 2.5-es HDD (vagy SSD) párosításáról.

Azaz, ha a keretbe beletesszük a normál 2.5-es diszket, akkor megkapjuk a titkosított adathordozónkat.

A titkosító kereteknél a SATA interfész mögé van begyógyítva a titkosító modul, szóval tényleg bármilyen SATA csatolójú 2.5-es diszk vagy SSD rápattintható a csatolóra, és kész, megvan a titkosított adathordozónk.  

A csúcson kell kezdeni, úgyhogy mindjárt a Zalman által forgalmazott encryptor keretek jutottak eszembe (amikkel már régen szemezek) és az asztalomra – de természetesen sokféle keretet lehet kapni. A koreai Zalman gyártó két megoldását néztem meg közelebbről, az SHE-350 és az SHE-500 kereteket. 

Zalman SHE-350 (avagy a csúf)

Első ránézésre úgy néz ki, mint egy ronda kaputelefon. De tényleg. Direkte OL barátom kedvéért rángattam elő, mert olcsó (nem OL, az SHE-350).

Zalman SHE-350 HDD encryptor keret

Kemény műanyag az egész, nem túl masszív kivitel. Nem csak az ára, de a kinézete is olcsó. Szerencsére a tudása viszont nem az.

Zalman SHE-350 belső

A vinyót takaró fedél műanyag pántokkal pattan be a helyére, nincs csavar vagy más, erősebb rögzítés. Nem igazán mondanám tamperproof kivitelnek, de nyilván nem is arra a piaci szegmensre készült, amelyik elvárja a tamperproof kivitelt, tanúsítványokat, önmegsemmisítést és hasonlókat.

Bolondbiztosnak tűnik, egyszerűen kezelhető. Öt led kapott helyet a házon, ezek az állapotjelzők instruálják a felhasználót a PIN kód megadásakor, a kód cseréjekor, vagy jelzik a felhasználónak, hogy rossz kódot adott meg.

Cool funkciók:

Mivel egy elég egyszerű megoldásról van szó, nemigazán lehet túl sok cool funkciót összeszedni.

Ami nagyon tetszik benne, hogy van egy Lock gomb rajta, aminek nyomva tartásával unmoutolja és lezárja az eszközt. Szóval nem kell megkeresni a „Biztonságos eltávolítás” funkciót az operációs rendszeren, csak elég 2mp-ig nyomva tartani a Lock gombot és kész.

USB3. Tulajdonképpen ez tényleg jó dolog, alapból USB3-képes a keret, nekem 5200RPM-es diszk került bele, nyilván nem az USB volt a szűk keresztmetszet. Jó a sebessége – bár és ez minden titkosított adathordozóra igaz – a titkosítás jelentős sebességcsökkenéssel jár. Csak ugye nem mindegy, hogy USB2-ről csökken vagy USB3-ról. 

Jelszócsere – viszonylag egyszerű, a LED jelzések alapján beállítható a jelszó (PIN).

Nem cool funkciók - na ebből több van:

Ott kezdődik a dolog, hogy mivel a keret az USB-ről kapja az áramot, ezért feloldani is csak azután lehet, hogy áram alá került. A diskAshur eszközöknél saját akkumulátora van a diszknek, ezért valóban a csatlakoztatás előtt lehet feloldani. A Zalman esetében viszont előbb csatlakoztatni kell, amikor felpörög a diszk akkor az egyik led jelzésére meg kell adni a jelszót és a diszk decryptálódik és felcsatolódik a gépre.

Egyébként ez külön problémát nem okoz, mivel a saját PIN felületén kell feloldani az eszközt (addig csak áramot vesz fel), így természetesen teljesen OS független és minden DLP megoldással együttműködik.

1-8 karakter hosszúságú PIN kód. Miéééééééér??? Nem lehetett volna legalább a 4 karaktert megkövetelni? Sőt, inkább a 7 karaktert? Nem tetszik, hogy nincs rákényszerítve a felhasználó a bonyolultabb PIN kód használatára, és a következő ponttal együtt ez szerintem már okozhat gondot.

A biztonságos adathordozók (pl i-Storage diskAshur, Aegis/Apricorn) esetében néhány rossz PIN kód megadás után a PIN kód használhatatlanná válik és csak a PUK kóddal lehet feloldani az eszközt és új PIN kódot beállítani. Na ilyen a Zalmannál nincs, csak PIN kód van, és nem tiltódik le a rossz próbálkozások esetén.

Bár a doksija azt írja és még el is hiszem, hogy a PIN kód nélkül nem lehet hozzáférni az adatokhoz (AES-256-XTS titkosítás), viszont a Rescue opció némileg aggodalomra adhat okot:

Azaz, ha megsérül/elromlik a keret (de a diszk nem sérül) – akkor a gyártó valahogyan képes az új keretbe tett, és a régi keret által titkosított diszk adatait elővarázsolni. Mint felhasználó ennek örülök, de ha a biztonsági részét nézem, erről igen csak szeretnék többet megtudni...

Összességében az SHE-350 egy jó eszköz. Nem rendelkezik semmiféle biztonsági minősítéssel és nem tamperproof, nem lehet erős PIN-szabályt kikényszeríteni, de USB3-as, gyors és egyszerűen használható. Költségbarát megoldásként jó barátja lehet a magánszemélyeknek és kisebb cégeknek.

Zalman SHE-500 – a forró szépség

A 350-es nagytestvére az SHE-500 külsőleg igen csak szexi cucc. Nem kelt olcsó hatást, sőt, szerintem kifejezetten szép. Egyenesen menő a házba épített OLED-kijelző!

Zalman SHE-500 tényleg szép. 

Pontosan ugyanúgy működik, ahogy kisebb testvére, de nem csak szebb, de kicsit okosabb is.

Ott kezdődik, hogy nem nyomó, hanem érintőgombos a PIN-pad felülete, és a visszajelzések nem LED-eken keresztül történnek, hanem egy 3 soros OLED-kijelzőn.  

A ház anyaga jobban emlékeztet egy mobiltelefonra, főleg az érintős panellel. A hátlap pedig fém és csavarokkal rögzíthető. Ettől ez meg nem lesz tamperproof, de itt legalább már nem kell attól tartani, hogy esetleg leesik a hátlap.

A fém hátlap nagyon mutatós, egyetlen baja van csak: hogy rendesen melegszik. Őőő várjunk, presalesesen úgy mondják, hogy a hátlapon keresztül adja le a hőt! De majd látjuk, hogy legalább a hőmérséklet ellenőrizhető.

Cool funkciók:

USB3 – haleluja, mondjuk meglepődtem volna, ha a nem az.

Érintőgombos felület - egyszerűen cool faktor és kényelmes. 

Hőmérséklet állapot – a menürendszeren és az OLED-kijelzőn keresztül ellenőrizhetjük a diszk hőmérsékletét. Nálam jelentős használat nélkül 33 fokon, jelentős terhelés esetén 43-49 fokon ment a diszk. Nyilván amikor dolgozik a titkosító chip, jobban melegedik a kis drága.

USB kapcsolat – a menüvel és a kijelzőn ellenőrizhető, hogy USB2 vagy USB3 a kapcsolat.

Írásvédelem! – De nagyon jó, hogy van! A menüben simán bekapcsolható, a beállítás után az eszköz mindig írásvédetten csatolódik majd fel (amíg ki nem kapcsoljuk).

Nevesítés – jópofa, megadhatjuk a nevünket és a telefonszámunkat a menüben, és a nevünk megjelenik az OLED-kijelzőn. Haszna nincs, de ego service J

Jelszócsere – viszonylag egyszerű, az érintő gombokkal beállítható vagy cserélhető a jelszó (PIN).

Nem cool funkciók:

Aki nem akarja a menün keresztül nézegetni a homérsékletet, az fogja csak meg a fém hátlapot, azon pontosan érezni fogja J.

PIN szabályok – mint az SHE-350nél, nincs PUK kód, 1-8 karakteres kód, nincs PIN-megsemmisítés.

Itt sem jobb a Rescue opció helyzete. Amikor első bekapcsoláskor inicializálódik a titkosítás, az OLED kijelzőn megjelenik egy Master-Key, amelyet célszerű lejegyezni és elzárni. Ha a Master-Key, a diszk és a meghibásodott keret birtokában keressük fel, a gyártó vissza tudja nyerni az adatokat (nem hiszem, hogy a hazai disztri ezt megcsinálja, de ezt ellenőrzöm).

Összességében szintén jól használható eszköz, csak sokkal jobban néz ki, mint a kistestvére. Igazából ami jelentős tudástöbblet (és szerintem megéri az árbéli különbözetet) az írásvédett mód lehetősége.

Az eszköz kifejezetten jól megy az öltöny-nyakkendős kollégákhoz, igen magas cool-faktora van. Jó barátja lehet magánszemélyeknek, kisebb cégeknek.

Összefoglalva

 Aki magas biztonságú, minősített, tanúsított titkosított USB adathordozókat keres, az kénytelen megfizetni az árát. Nem véletlenül kerülnek ezek az eszközök többe.

 Olyan plusz biztonsági funkciókat is tudnak, amelyeket az egyszerűbb megoldások nem, viszont szerintem ezekre a funkciókra szükség van ahhoz, hogy ki lehessen jelenteni, tényleg biztonságos adathordozóval rendelkezünk.

Titkosított USB adathordozóknál (is) elő szokott előkerülni a kérdés, hogy kell-e a „Biztonságos eltávolítást” (Eject / Kiad) kérni, mielőtt kihúzzuk a gépből a pendrive-ot vagy külső diszket.

Mert amikor csak úgy kitépjük, hát, néha szokott hibaüzenet jönni :) - sok ilyen eltávolítás után meg mindenféle fájlrendszer-hiba, esetleg a végén eltűnt adatok borzolják az idegrendszert.

Előtte - utána

Nade MIBŰ? Izé, MIÉRT?

Az ok a „write cache”-re vezethető vissza, azaz arra az írási módra, ahogyan az operációs rendszerek (pl. Windows) kezelik a külső, USB-alapú adathordozókat

Amikor valaki másol egy USB eszközre, és a „write cahche” funkció be van kapcsolva, nem az eszközre írja a fájlt vagy fájlokat, hanem a cahce „tárolóba”, és ebből a tárolóból íródnak ki majd a fájlok a külső USB eszközre. A „write cache” lényege, hogy a sok egyidejű írási művelet teljesítése optimalizáltabban történik a cache-ből az USB tárolóra, mint direkt módon egyből az USB tárolóra.

A sok írási művelet (pl. sok fájl, vagy nagyméretű állományok másolása) optikailag gyorsabbnak tűnik, hiszen a cache elérése sokkal gyorsabb, mint a tényleges tárolóé, ezért a másolási ablakban már az látszik, hogy befejeződött a másolás, holott az valójában csak a cache-be írást jelenti, a háttérben még zajlik a fájlok kiírása a cache-ből az USB tárolóba.

A „write cache” hátránya, hogy bár úgy látjuk, a másolás már befejeződött, holott esetleg a cache-ből még nem kerültek kiírásra az adatok az USB eszközre, így, ha ekkor kihúzzuk az USB adattárolót a gépből, adatok maradhatnak a cache-ben, amelyek már nem tudnak a háttérben kiíródni az USB eszközre. Ilyen esetekben 

• az USB eszközön hiányos, sérült adathalmaz tárolódhat el (fele kíírva, fele a cache-ben maradt),
• megsérülhet az USB eszköz fájlrendszerének integritása,
• esetleg a hibás fájlrendszer miatt nem fogjuk tudni legközelebb megfelelően olvasni az eszközt és tartalmát.

A „Biztonságos eltávolítás” kényszeríti a rendszert, hogy az optimalizációt mellőzve mielőbb fejezze be a cache tartalom kiírását az USB adathordozóra – azaz fejezze be a másolást.  Ez gyakorlatilag a „flush cache” művelet kikényszerítése.

Mikor van szükség a „Biztonságos eltávolítás” vagy Kiad/Eject parancsra?

USB Mass Storage – az alapértelmezett USB csatolási rendszer (pendrive, külső diszk, stb.) esetén viszont szükséges a „Biztonságos eltávolítás”, ha a „write cache” be van kapcsolva.

Media Transfer Protocol – MTP-alapú csatlakozás esetén (pl. Android-eszközök fájlátvitel) nincs szükség a „Biztonságos eltávolítás” használatára, mert MTP esetén nincs write cache használat.

Picture Transfer Protocol – PTP-alapú csatlakozás esetén (pl. videókamerák, képi adatátvietel) szintén nincs szükség a „Biztonságos eltávolítás” használatára, mert PTP esetén sincs write cache használat.

Lassúbb de biztonságosabb?

Van lehetőség a „write cache” kikapcsolására, elegendő az Eszközkezelőben az adott USB tároló viselkedését átkapcsolni. A „Jobb teljesítmény” opció bekapcsolja, míg a „Gyors eltávolítás” kikapcsolja a „write cache” használatát.

A write cache bekapcsolva

És akkor most kell vagy nem kell a „Biztonságos eltávolítás”?

A „Gyors eltávolítás” esetén a Windows szerint sincs szükség a „biztonságos” módra, de nyilván nem fogom azt mondani, hogy tessék elfelejteni a használatát.

Inkább azt mondom, az adathordozóról készített mentés sokkal fontosabb.