Szyfrowanie danych
Szyfrowanie danych - mini poradnik.
Poniżej mini poradnik dotyczący szyfrowania danych (plików na komputerze).
Wstęp
Zanim przejdę do opisu metod szyfrowania muszę poruszyć temat pobierania oprogramowania z sieci. Przed instalacją oprogramowania w systemie Windows bardzo ważne jest aby pobrane instalatory były zweryfikowane. Weryfikacja powinna dotyczyć nie tylko tego czy dany plik instalacyjny nie został uszkodzony podczas pobierania, ale co ważniejsze czy ten plik instalacyjny został stworzony przez twórcę danego oprogramowania. W przypadku systemu linux ten temat jest systemowo rozwiązany przez sposób udostępniania w repozytoriach danej dystrybucji linux. Wszystkie pliki udostępnione w repozytorium są odpowiednio weryfikowane i podpisywane. Choć jeżeli instalujemy w systemie linux oprogramowania „ręcznie” pobierając je z sieci należy stosować metody weryfikacji tak samo jak to ma miejsce w systemie Windows. W przypadku systemu Windows oprogramowanie jest wystawiana na stronach twórców danego oprogramowania, wraz z podpisami i kluczami PGP wymaganymi do weryfikacji. Zdarza się jednak że oprogramowanie jest hostowane przez inne serwisy, co sprawia że pliki instalacyjne należy dodatkowo sprawdzać. W tym celu stosuje się metody polegające na podpisywaniu plików. Twórca oprogramowania wystawia pliki instalacyjne (exe, msi, zip), oraz sygnatury tych plików (sig). Przy czym sygnatury plików są podpisywane kluczem PGP danego twórcy oprogramowania aby wykluczyć sytuację gdy ktoś inny celowo spreparował pliki instalacyjne i sygnatury. Dlatego też przed omówieniem metod szyfrowania nie da się pominąć tematu związanego z podpisywaniem plików przy pomocy PGP.
Weryfikacja plików przy pomocy PGP
Aby wykonać weryfikacje plików pobranych z sieci należy zainstalować oprogramowanie służące do szyfrowania, podpisywania, weryfikacji PGP. Dlatego też należy zainstalować:
- w systemie linux: gnupgp, oraz Klepopatra która posiada GUI, czyli dla przykładu w dystrybucji opartej na debianie należy wykonać: apt install gnupg2 kleopatra,
- w systemie Windows wystarczy zainstalować pakiet gpg4win, który zawiera wszystkie podstawowe narzędzia potrzebne do pracy z PGP, również Kleopatra, gpg4win należy zainstalować z adresu: gpg4win.org.
Szyfrowanie danych
Istnieje wiele metod szyfrowania danych. Nie będę się jednak zajmował wszystkimi rodzajami oprogramowania do szyfrowania. W tym artykule opiszę tylko TrueCrypt.
TrueCrypt jest oprogramowaniem open source, oraz z potwierdzonymi audytami bezpieczeństwa. Nie ma informacji o tym aby dane szyfrowane TrueCrypt były z powodzeniem rozszyfrowane metodami „siłowymi”. Istnieją tylko informacje mówiące o tym że dane zaszyfrowane TrueCrypt mogą być rozszyfrowane, ale tylko wtedy gdy jest używany niewłaściwie, lub poprzez wyłudzenie czy wymuszenie podania hasła czy klucza do szyfrowania danych.
Najważniejsze cechy TrueCrypt to:
- Tworzy wirtualny zaszyfrowany dysk w pliku i montuje go jako prawdziwy dysk.
- Szyfruje całą partycję lub urządzenie pamięci masowej, takie jak dysk flash USB lub dysk twardy.
- Szyfruje partycję lub dysk, na którym zainstalowany jest system Windows (uwierzytelnianie przed uruchomieniem systemu).
- Szyfrowanie jest automatyczne, w czasie rzeczywistym (w locie) i przezroczyste.
- Równoległość i potokowanie umożliwiają odczyt i zapis danych tak szybko, jak gdyby dysk nie był zaszyfrowany.
- Szyfrowanie można przyspieszyć sprzętowo na nowoczesnych procesorach.
- Zapewnia wiarygodne zaprzeczenie w przypadku, gdy ktoś zmusi cię do ujawnienia hasła: Ukryty wolumin (steganografia) i ukryty system operacyjny.
Instalacja TrueCrypt
Stroną domową projektu TrueCrypt Foundation jest truecrypt-foundation.org i truecrypt.org. Przy czym 28 maja 2014 r. strona internetowa TrueCrypt i wersje sprzed v7.2 zostały usunięte, a tajemniczy komunikat "TrueCrypt nie jest bezpieczny" został opublikowany na stronie SourceForge (truecrypt.sourceforge.net), wraz z wydaniem wersji 7.2, która nie jest w stanie tworzyć zaszyfrowanych woluminów.
Dlatego też używanie wersji 7.2 nie ma sensu i jedyną sensowną wersją TrueCrypt jest wersja 7.1a, która jest dostępna na stronie truecrypt71a.com.
Tam są dostępne pliki instalacyjne dla systemów Windows, Mac OS, Linux, wraz z plikami sygnatur, oraz co najważniejsze pliki te są podpisane kluczem PGP, który został wygenerowany przez TrueCrypt Foundation.
Klucz PGP jest dostępny pod adresem:
https://keys.openpgp.org/search?q=C5F4BAC4A7B22DB8B8F85538E3BA73CAF0D6B1E0
Po zaimportowaniu okazuje się że ten klucz jest nieprawidłowy.
Prawidłowy klucz PGP jest tutaj: C5F4BAC4A7B22DB8B8F85538E3BA73CAF0D6B1E0
Po zaimportowaniu tego klucza można zweryfikować czy pliki instalacyjne są prawidłowo podpisane przez twórcę, czyli przez TrueCrypt Foundation.