Привет, Хабр! Сегодня мы расскажем вам об одном из простых способов сделать наш мир немного безопаснее.
Флешка — привычный и надежный носитель информации. И несмотря на то, что в последнее время облачные хранилища все больше и больше их вытесняют, флешек все равно продается и покупается очень много. Все-таки не везде есть широкий и стабильный интернет-канал, а в каких-то местах и учреждениях интернет вообще может быть запрещен. Кроме того, нельзя забывать, что значительное количество людей по разным причинам с недоверием относятся к разного рода «облакам».
К флешкам мы все давно уже привыкли и многие из нас помнят, как сначала робко появилась поддержка usb mass storage в Windows 2000, а потом, немного погодя и в Windows Me. Многие понимают, насколько удобно сейчас пользоваться флешками и помнят, как раньше мы все мучались с ненадежными дискетами и непрактичными оптическими дисками.
Автор этих строк примерно в 2004-м году был счастливейшим обладателем симпатичного 128-мегабайтного носителя в моднейшем корпусе с металлической вставкой. Он был моим верным спутником и хранителем ценной для меня информации долгие годы, пока я наконец не потерял его вместе со связкой ключей, к которой он был прицеплен.
И, казалось бы, потеря ключей — это довольно рядовое событие, которое наверняка происходило с каждым, но меня оно заставило срочным образом поменять все замки в доме.
Все дело в том, что в дебрях файловой системы моей флешки лежали сканы моего паспорта, сделанные на всякий случай (кто же знает, когда могут пригодиться сканы паспорта?). А в сочетании с настоящими ключами от реальной квартиры, данные о прописке превращаются в заманчивую возможность даже для тех людей, которые раньше может быть и не помышляли о квартирных кражах.
Чему этот инцидент меня научил?
В первую очередь — бережнее относиться к своим вещам, а во вторую — тому, что любую информацию, которую хоть каким-либо даже косвенным образом можно использовать во вред тебе, необходимо защищать.
Что могут предложить флешки в плане защиты?
Первый, самый очевидный вариант, флешки с аппаратной защитой и без внешнего программного управления, у них обычно клавиатура на корпусе — все в них вроде бы неплохо, но стоят они в большинстве своем совершенно диких денег, может быть за счет своей малосерийности, а может быть и жадности продавцов. Очевидно, ввиду высокой стоимости, особого распространения не нашли.
Второй вариант — навесная программная защита для обычной флешки.
Вариантов много (их можно легко нагуглить), но все они имеют явный плюс в виде почти нулевой стоимости и неизбежные ограничения, связанные с необходимостью установки специального программного обеспечения на компьютер. Но главный минус навесной защиты — это ее слабость.
В чем же слабость — спросите вы.
А дело в том, что любая шифрующая диски программа использует в качестве ключа шифрования последовательность полученную по особому алгоритму, например PBKDF, из пароля, который вы будете использовать для разблокировки. И что-то мне подсказывает, что вряд ли пароль, который придется часто набирать, будет длинным и сложным.
А если пароль короткий и простой, то подобрать его по словарю будет не таким уж и сложным делом.
Злоумышленник, завладев вашей зашифрованной флешкой даже на короткое время, может скопировать с нее криптоконтейнер. Вы так и будете думать, что данные по-прежнему в безопасности. А на самом деле все это время кто-то усиленно подбирает ключ к вашему контейнеру и с каждой минутой подходит все ближе к своей цели.
Поэтому, если вы не враг самому себе, то пароль должен быть «стойким». Но поскольку вам же потом этот же «стойкий» пароль придется многократно набирать — это начинает противоречить утверждению на предыдущей строке.
Что же делать — спросите вы.
Можно ли поставить между защищаемой флеш-памятью и компьютером аппаратную защиту так, чтобы это было удобно, надежно и более-менее доступно? Чтобы хотя бы можно было обойтись без монструозного корпуса с аппаратными кнопками.
Оказывается, да, можно, если вы российский производитель устройств электронной подписи (токенов и смарт-карт).
Безопасная флешка все-таки существует
В устройствах Рутокен ЭЦП 2.0 Flash флеш-память подключена через специальный защищенный контроллер, прошивка которого, карточная операционная система Рутокен, целиком и полностью разработана специалистами компании «Актив» (карточная ОС Рутокен находится в реестре отечественного ПО Минкомсвязи).
В эту прошивку встроен специальный управляющий модуль, который контролирует потоки данных, входящие на флешку и выходящие из нее.
А так как в карточной операционной системе Рутокен испокон веков есть функциональность, обеспечивающая доступ к криптографическим ключам электронной подписи по PIN-кодам, мы реализовали в ней своего рода «вентиль», который может быть открыт, закрыт или открыт в одностороннем режиме (например, только для чтения). Вентиль этот как раз и управляется PIN-кодом. Не зная его, этот вентиль невозможно повернуть.
Теперь представьте, что такой вентиль по умолчанию находится в положении «закрыт». А чтобы открыть его, нужно предъявить PIN-код, который знаете только вы. Причем, вентиль автоматически закрывается при извлечении устройства из компьютера. И количество попыток ввода неправильного PIN-кода жестко ограничено. Причем, устройство защищено от физического взлома и извлечения флеш-карты.
Получается вполне безопасная, надежная и удобная система. Мы реализовали ее в виде небольшой управляющей программы, которая называется — «Рутокен Диск».
Флеш-память устройства Рутокен ЭЦП 2.0, на котором работает «Рутокен Диск», разбита на 2 области: одна служебная, для эмулирующего CD-ROM раздела с управляющей программой; вторая — для пользовательских данных.
При подключении такого устройства к компьютеру вы увидите два физических диска. CD-ROM раздел сразу доступен для чтения и автоматически монтируется, а в операционных системах Windows еще и всплывает симпатичное окошко.
Защищенный раздел выглядит как ридер карт памяти, но без вставленной в него карты, доступа к данным нет.
Однако, запустив приложение и введя простой PIN-код, вы моментально получаете доступ к своим файлам.
Сам токен уже много лет продается и возможность реализации защищенной флешки в нем была изначально. Но сейчас мы написали удобное приложение и если у кого-то из читателей уже есть такое устройство – программное обеспечение «Рутокен Диск» можно загрузить с нашего сайта и инсталлировать на устройство по инструкции.
Вместо резюме:
Если вы доверяете свою информацию обычной флешке — храните ее, как зеницу ока. В случае же с Рутокеном ЭЦП 2.0 Flash и Рутокен.Диском — можно быть гораздо спокойнее за конфиденциальность своих данных. Хотя и полностью расслабляться никогда не стоит.
Заранее отвечу на некоторые вопросы, которые обязательно у кого-нибудь появятся:
- GUI под macOS и linux — будет.
- Возможность открывать защищенный раздел в режиме read-only, чтобы без опаски засовывать флешку в самые непредсказуемые места — будет.
- Кнопочка для безопасного извлечения раздела, чтобы не тыкать мышкой в трей — будет.
Остальные вопросы, пожелания и замечания оставляйте в комментариях — постараемся ответить на все вопросы.
Комментарии (26)
AVX
29.06.2017 19:28Каков объём рутокенов красного и синего цветов? Какова совместимость этой утилиты с Крипто-Про? (в плане — не испортится ли случайно работа ЭЦП? или другие проблемы вдруг).
Sleuthhound
29.06.2017 21:02-1Flash-память
Объем 4 ГБ.
Увеличенный объем: 8-64 ГБ доступен под заказ.
Класс 10.
Скорость чтения: не менее 9,63 МБ/с.
Скорость записи: не менее 3,80 МБ/с.
Не густо :( Еще бы цену на эти 4 Гб знать.
Nastya_d
29.06.2017 21:25Скорость не очень высокая так как устройство не просто флешка, но ещё и Рутокен.
Nastya_d
29.06.2017 21:27-1Совместимость с Криптопро CSP никак не пострадает. Сценарии использования ключей с сертификатом и флешки почти никак не пересекаются.
Igor_O
29.06.2017 21:29Вообще… В тех местах где:
в каких-то местах и учреждениях интернет вообще может быть запрещен.
Втыкание флешки в USB-порт обычно вызывает визит юноши лет 40 в недорогом костюме с просьбой объяснить, зачем флешка втыкалась в компьютер… После чего, обычно, флешку, на всякий случай, забирают для проверки, не окзалась ли на ней какая-то информация, которая не должна была на ней оказаться…
Однако, запустив приложение и введя простой PIN-код
Простой пин-код быстро подбирается простым перебором. С одной стороны. С другой стороны, пин-код будет записан где-то рядом с флешкой у 99% пользователей. С третьей стороны, должен быть механизм разблокирования флешки после блокировки по количеству неверно введенных пин-кодов, иначе корпоративные клиенты быстро откажутся от… (помните анекдот? чем отличается хакер от юзера? хакер подбирает пароль с третьей попытки, а юзер — набирает с пятой).
И опять же, за последние 20 лет у меня аж на одной работе была возможность поставить любой софт на свой рабочий компьютер. Просто потому, что я пользовался личным ноутбуком.Nastya_d
29.06.2017 21:56-11) если такие флешки купила вам та же компания, то они будут в белом списке
2) перебор с огромной вероятностью закончится неудачей, так как количество попыток ограничено
Анекдот помним :) Разблокирование PIN-кода защиты флеш-памяти возможно если вы знаете PIN-код администратора.
3) приложение Рутокен Диск не нужно устанавливать оно запускается с этой же флешки и не требует прав администратора компьютера для своей работыIgor_O
29.06.2017 23:133) приложение Рутокен Диск не нужно устанавливать оно запускается с этой же флешки и не требует прав администратора компьютера для своей работы
Это работает, только если администратор и администрация — в курсе и одобряют. Иначе — можно получить много забавных проблем… Именно с целью борьбы с этим явлением сейчас компании активно закупают средства контроля USB. (Ну и да, разрешить пользователю запускать что-то с USB — подписаться на получение кастомного трояна. Один из реально хорошо работающих методов — разбросать вокруг проходной атакуемого офиса флешки с трояном. Почти полная гарантия, что хотябы одну из них воткнут в компьютер в защищенной части сети).
Neraverin
30.06.2017 09:42Конечно, такой носитель только для сценария администратор в курсе и одобряет.
На самом деле устройство определяется как защищенная флеш часть и как отдельный CD-ROM, на котором и находится приложение разблокирующее доступ. Так что это не сценарий с доступа чего угодно с флешки.
Да и цель тут собственно другая — возможность носить конфиденциальную информацию и не парится, если ее потеряешь.
saege5b
30.06.2017 10:09Пришёл в гости, а там или пингвин или что-то древнее типа 9х или ХР.
А может и современное, но Комод антивирус. А он всех эмуляторов СД-РОМ посылает в лес и вежливо закрывает за ними дверь (много лет назад так было).
Во многих конторах, запуск такой флешки — гарантированный способ получить трудовую с чёрной меткой.
И вообще, за такие финты, необходимо отрывать руки и ноги.
texder
30.06.2017 10:16"… карточная операционная система Рутокен, целиком и полностью разработана специалистами компании «Актив» (карточная ОС Рутокен находится в реестре отечественного ПО Минкомсвязи)"
А не значит ли это, что доступ к твоим будут иметь все, кому они понадобятся? Это защита только от случайной потери. Чувствительные данные, например, бизнеса, я бы хранить не стал
netadresastranici
30.06.2017 10:16Ввести длинный пароль — долго и сложно.
Вставить флешку, которая определяется как диск и флешка, зайти в диск, ввести пароль, перейти к флешке — легко и удобно.Neraverin
30.06.2017 10:21Длинный пароль все-такие еще помнить надо. Обычно именно это главная проблема.
Yuri_M
30.06.2017 10:16Настоящие защищенные флешки — те, на которых надо набирать пин-код на самой флешке. Типа Kingston DataTraveler 2000.
Любой же ввод пинкода через компьютер — как минимум уязвим для кейлоггеров.Neraverin
30.06.2017 10:23Да пин-код на корпусе это еще лучше. Но и ценник выше. Тут каждый выбирает, что больше подходит.
Igor_O
30.06.2017 18:30Есть одна засада с аппаратными пинкодами на корпусе — если флешка попала в руки «хорошо вооруженного» злоумышленника, у которого есть проходной USB кабель с датчиками тока и напряжения, плюс с хорошим осциллографом, большинство защит ломается по разнице в характеристике потребляемого тока при вводе правильной и неправильной цифры. При этом, 10 попыток ввода PIN гарантированно хватает на взлом (попытка в любом случае засчитывается только если пин введен весь и при этом неправильный). Бороться с этим можно, но в результате борьбы значительная часть «обычных пользователей» флешку заблокируют при первой попытке использования.
Yuri_M
01.07.2017 08:34У Кингстона упомянутого, насколько я понял, нет сравнения "правильных" и "неправильных" цифр, там полноценный крипточип, сравнивающий не по цифрам, а хеши от полностью введенного пина.
BerkutEagle
30.06.2017 10:16Сами данные хранятся в зашифрованном виде? можно слить данные напрямую с флеш-памяти, минуя CardOS?
myemuk
30.06.2017 10:16Давно уже запилил для такого случая набор скриптов для монтирования/размонтирования зашифрованного контейнера на флешке. А после прописывания алиасов вообще жить стало круто. Хотя можно ли такое сделать на винде — не знаю.
Neraverin
30.06.2017 10:25Отличное решение. Но плохо работает при необходимости что-то перенести на соседний комп. Выложите скрипты? Интересно посмотреть.
MKMatriX
30.06.2017 10:17Вспоминается зеркальное копирование для взлома четырехзначного pin на айфоне. Действительно важные данные коротким ключем не защитишь.
Neraverin
30.06.2017 10:29Это там где по словарю перебирали? Или какая-то другая история? Если что эта флешка блокируется после 10 неверных попыток ввода(а можно и меньше поставить). Перебор тут вряд ли сработает, даже если PIN четырехзначный.
FSA
30.06.2017 10:58Вроде есть ещё флешки со сканером отпечатка пальцев. Стоят, вроде, не сильно дорого.
Igor_O
30.06.2017 18:29Очень сильно зависит от качества и способностей сканера. Как-то в одной организации столкнулись с достаточно крутым сканером (правда, еще в начале 2000-х) отпечатков. Хотели сделать систему с тонкими клиентами, со сканерами. Сотрудник садится на случайное рабочее место, вводит логин, прикладывает палец и получает свой десктоп с цитрикса. Но обнаружилось, когда в базу отпечатков занесли примерно 30 человек… любой человек открывал рабочий стол любого сотрудника.
Я это к тому, что сканеры разные бывают и сам факт его наличия еще не значит, что перебрав 2-3 десятка пальцев не найдется такой, который опознается как правильный, особенно, когда стоят они не сильно дорого…
Sobic
Я потерял флешку со сканами, потому устротлся в компанию разрабатывающую защищенную флешку. В ней когда-нибудь будут крутые функции и поддержка ОСей кроме винды, но вы покупайте уже сейчас. А вообще тега «я пиарюсь не хватает» ведь по сути кроме рекламы в статье ничего нет.
Nastya_d
Ну тут мне кажется вы не очень то правы. Любую статью можно рассказать в десять слов. В любом случае, спасибо за внимание.