今日のPCとストレージ上のデータを保護する方法と方法

現在、さまざまなメールサービス、パーソナルコンピューター、クラウドストレージで企業情報やユーザー情報の安全性を保証することはほとんど不可能です。 メールがハッキングされたり、コンピューターまたは同僚のコンピューターからの情報が会社の従業員によってコピーされ、自分の目的に使用される可能性があります。 情報を保護する方法はありますか？ 今日、どの企業も今日のデータ保護を100％保証しているわけではありません。もちろん、データの保存に向けて良い一歩を踏み出すことができます。 データを保護するために一般的に使用されるのは暗号化です。



暗号化は対称および非対称であり、唯一の違いは暗号化および復号化に使用されるキーの数です。 対称暗号化では、単一のキーを使用して情報をエンコードおよびデコードします。 ロシア連邦の法律は、その活動をライセンスすることなく、長い間、対称キーの使用を許可しています

56ビット以下。 非対称暗号化では、2つのキーが使用されます。1つはエンコード（オープン）用、もう1つはデコード用です

（閉じた）。 非対称暗号化の場合、ロシア連邦の法律では、アルゴリズムに応じて、256ビットの最大キー長が許可されています。

リムーバブル上の情報を保護するためにいくつかのデバイスを検討してください

ドライブ：

1. 英国の会社iStorageのDatAshurは、ケースにボタンが付いたフラッシュドライブです。 デバイスは、AES256対称アルゴリズムを使用してハードウェア暗号化を実行します。 PINコードの入力は10回試行されます。入力が間違っている場合、デバイス上のデータは
   
   破壊された。 デバイスには、PCに接続する前にPINコードを入力するためのバッテリーが含まれています。
   
   利点：頑丈なケース、PINコードの列挙に対する保護、データ破壊。
   
   欠点：バッテリーが切れた場合に何が起こるかは明確ではありません。 摩耗したボタンでPINコードを拾うか、単に競合他社のデータをすべて削除して気付かないようにすることができますが、これは競合他社のデータをコピーするよりも潜在的に有害です（ただし、保護することは可能です）。
2. サムライモスクワの会社は、iStorageまたはそのディストリビューターと協力して仕事をしているだけでなく、サムライナノドライブなどの製品も作っていると思います。 256ビットの暗号化を使用し、情報の破壊をさらに目的としたさまざまなデバイスをリリースします。
   
   長所と短所はDatAshurに似ています。
3. 暗号化機能を備えたMilander製フラッシュカード用の暗号化USBフラッシュドライブリーダーを使用すると、microSDカード上の情報を暗号化できます。 デバイスは、会社独自のプロセッサで作成されます。 通常のフラッシュドライブとして作成。
   
   利点 ：56ビットキー長のGOST-89暗号化アルゴリズム（ドキュメントから、GOST-89が256ビットに変換された方法が明確ではない）は、無制限の数のmicroSDカードで動作します。
   
   欠点：デバイスはmicroSDカードでのみ動作し、より堅牢な暗号化アルゴリズムに切り替えることができるかどうかは不明です。
4. Key_P1 Multiclet-プロセッサ開発者であるOJSC Multikletから情報を保護するためのデバイス。 デバイスをさらに詳しく検討します（以降、デバイスはKey_P1として指定されます）。

Key_P1には、USB-ソケットとプラグ、SDカード用のスロットの3つのコネクタがあります。







デバイスの初期機能（将来、ソフトウェアが拡張されます。追加機能については以下を参照してください）：

• 変更された（スパイウェア）フラッシュドライブに対する保護。
• 56ビット長のDES暗号化
  
  （256ビットのキー長でAESおよびGOST-89ライセンスを取得した後）。
• Key_R1デバイスとドライブが失われた場合に情報を復元する機能。
• ユーザー間でファイルを交換するためのキーを同期する機能。
• デバイスのシャットダウン時間の表示Key_P1。

デバイスの機能の詳細については、この記事の後半で説明します。 暗号化のためのキーは、問題のデバイスのプロセッサのフラッシュメモリに保存されます。

Klyuch_P1は、無制限の数のドライブで動作でき、無制限の数のパーソナルコンピューターで、特定のPCにバインドされていません。



システム全体の構造図：







構造要素の説明：

• サーバーはファームウェアを生成し、ユーザーのドライブ（フラッシュドライブ）のKey_P1 Manager、ファームウェアおよびアプリケーションKey_P1_for_Windows（またはKey_P1_for_Linux）を更新します。
• （OSソフトウェア）Key_P1マネージャー-コンポーネントの更新、Key_P1の初期化を実行し、Key_P1などのキーのセットを生成します。
• ファームウェアKey_P1-デバイスKey_P1で実行されるプログラムです。
• ドライブのアプリケーションはKey_P1_for_Windows（Key_P1_for_Linux）です（両方のアプリケーションはユーザーのUSBフラッシュドライブにダウンロードされ、ユーザーを認証し、WindowsおよびLinuxでデバイスが最後にオフにされた時刻を表示します）。

デバイスの主な機能をより詳細に検討してみましょう。

1. 情報は1つのキーではなく、複数（最大1024）で暗号化されます。 暗号化は、各ドライブのセクターごとに発生します。 したがって、単一のファイルを数十個のキーで暗号化できます。
2. SCSIコマンドを使用して送信されるサービス情報の制御により、変更されたドライブに対する保護が発生します
3. 情報の回復：
   
   
   • キーは、Key_P1プログラムを使用してPC上でユーザーが生成します。 マネージャー（この場合、ユーザー）は、回復の場合にキーをバックアップできます。
   • キーはKey_P1デバイスによって生成されます。 この場合、ユーザーはキーをバックアップできません。
   • ユーザーは暗号化された情報をバックアップできます。
4. キー同期とは、指定された初期値と選択されたアルゴリズムに従って、異なるユーザーに対して同じキーを形成することです。 デバイスKey_P1は、同期のために50個のキーを保存する機能を提供します。 つまり ユーザーは8バイトのラベルとキー自体を保存できます。 キーを同期し、暗号化されたファイルの交換を開始するには、ユーザーは以下を行う必要があります。
   
   
   • 口頭での合意、電話、SMS、電子メール、または砂の中の碑文、キーを初期化するための初期値、およびキー生成アルゴリズムを介して、相互に送信します。
   • キーを生成し、ラベルを割り当てます-8文字（バイト）以下。
   • キーをデバイスKey_P1にコピーします。
   • 暗号化されたファイルは、どのPCからでも交換できます。 ソフトウェアをダウンロードし、Plugin_P1デバイスが接続された「エイリアン」PCにインストールする場合、PINコードを入力すると、ユーザーはキーとそれに対応するタグを確認し、他のユーザーとの交換に必要なキーでファイルを暗号化できます。
5. デバイスkey_P1は、プログラムkey_p1_for_windows.exe（Windowsの場合）またはkey_p1_for_linux（Linuxの場合）を開始した後に、最後のデバイスのシャットダウン時刻に関する情報を2分の精度で表示します。 この機能により、ユーザーおよび/または企業のセキュリティサービスは事実を確立し、不正なシャットダウンKlyuch_P1の時間を決定できます。これにより、攻撃者のアクションが複雑になり、検索が容易になります。

デバイスでの作業を開始するには、次を行う必要があります。

1. ソフトウェアのインストール、サーバーからのファームウェアのダウンロード
2. Key_P1の初期化（ファームウェアのインストール、PIN、PUKコードの設定）
3. ドライブを初期化します（ドライブを2つのセクションに分割します：オープンとクローズ、これはPINコードの入力後にのみ利用可能です）

PIN入力ウィンドウは次のようになります（サムネイルバージョン）。







個々のバージョンに加えて、企業バージョンも利用できます。



会社の従業員は、企業サーバーまたはリムーバブルメディアからプログラムKlyuch_P1 Managerをダウンロードし、OSにインストールします。 次に、セキュリティサービスまたは企業のITサービスによって生成されたキーがダウンロードされます。 さらに、個々のバージョンとの類推により、P_Key_1とドライブが初期化されます。 ユーザーバージョンとは異なり、複数の部門の本社長は、ファイルを暗号化する部門を選択できます。 部門のリストは、会社の許可された従業員によって形成されます。







部門内では、従業員は暗号化された情報を交換し、Key_P1 ManagerおよびKey_P1を介してファイルをエンコードできます。 エンタープライズセキュリティサービスには、部門ごとにさまざまな権利の線引きを作成する機能があります（たとえば、プログラマ部門は経理部門のファイルを暗号化できます）。 さらに、企業は、セキュリティを強化し、商用およびその他の種類の秘密を保護するために、サーバー、コンピューターなどで認証用のワンタイムパスワードを生成するアルゴリズムをデバイスに組み込むことができます。

デバイスの追加機能として：

• Mac OSサポート。
• Key_P1を使用して、サーバーで2要素認証を整理するためのワンタイムパスワードを生成できます。
  
  さまざまなサービス。 二要素認証は、アカウントをさらに保護します。 これを行うには、システムに入るときに、ユーザー名とパスワードだけでなく、一意の「確認コード」も要求されます。 攻撃者がパスワードを見つけたとしても、アカウントにアクセスすることはできません。
• ソーシャルネットワーク、支払いシステムなどでの認証中に自動置換を使用した個人データの保存
• PCでの認証にデバイスを使用します。

このリストから最も興味深いのは、さまざまなリソースからのユーザーログインとパスワードの保存です。 唯一の質問は、それがいかに便利かということです。 Google Chromeブラウザーで許可されているように、PINコードを入力すると、ユーザー名とパスワードのペアを自動的に置き換えるか、ユーザーがクリアな形式でユーザー名とパスワードを表示できるようにします。



次に、デバイスのハードウェアレベルを見てみましょう。



デバイスの主な機能は、暗号化とドライブの不正操作に対する保護です。



デバイスでデータを暗号化する方法を検討してください。

• ドライブ上のファイルを暗号化する-この場合、ファイルは1つのランダムキーで暗号化されませんが、ファイルのサイズとドライブセクターのサイズ（これはドライブ内の最小のアドレス可能なストレージの場所）に応じて、ファイルはドライブセクターごとに複数のキーで暗号化されます;
• PC上のファイルを暗号化する-この場合、ファイルはデバイス上でランダムに選択されたキーで暗号化され、ファイルの内容はデバイスによって暗号化された形式でPCに返されます。さらに、このコンテンツはファイルが暗号化されたキー番号を含む特別なコンテナーに「ラップ」されます;
• 別のユーザーのファイルを暗号化する-この場合、ファイルは、対応するラベル（たとえば、「colleagues1」）を持つ以前に生成されたキーを使用して、コンテナーなしでデバイスによって暗号化され、ファイルの内容がPCに返されます。

ドライブ上の既存のファイルを同じ名前の新しいファイルで置き換える場合に、ファイルサイズの変更をユーザーに通知する機能も使用できます。 このデバイスの機能は読み取り専用モードを提供し、ウイルスに感染したPCで作業する際にドライブへの情報の不正コピーを防止します。



スパイデバイスを遮断するために、Klyuch_P1はドライブに送信されるサービスコマンドを除外し、ハードウェアウイルスによるドライブの感染から保護します。Klyuch_P1デバイスは、ドライブによって送信された記述子テーブルを分析し、この情報に基づいて、PCシステムで結合されたデバイスとして表示されるドライブをブロックします（キーボードやドライブなど）またはドライブ以外のデバイス。



回路レベルでのデバイスの実装を検討してください。



このデバイスは、ロシアのマルチセルラープロセッサP1に基づいて実装されています。 USBホストインターフェイスと対話するために、stm32f205プロセッサが回路に導入されています。 マルチセルラープロセッサはstm32f205プロセッサからクロックされ、ファームウェアはspiインターフェイスを介してダウンロードされます。 P1プロセッサは、情報の暗号化とハッシュ化のすべての基本機能を処理します。 ほとんどの暗号化アルゴリズムの興味深い機能の1つは、優れた並列化です。 このため、ハードウェアの並列化処理を備えたプロセッサを使用するのが合理的です。





デバイスをアップグレードした結果、次のスキームが想定されます。







USBホストとの相互作用は、FTDIチップによって提供できます。

デバイスには、USBドライブとmicroSD、SDカードを操作できるコネクタがあります。











利点：

• ドライブセクターごとのハードウェアレベルでの多数のキーセットによる暗号化
• PCとドライブ間のサービスコマンドの制御
• 「ログインパスワード」のペアを保存する
• 読み取り専用モードで動作します
• USBドライブ、SD、microSDカードのサポート
• 無制限の数のドライブで動作します
• 法人版
• 情報を回復する機能

短所：特殊なケースではなく、タンパープロテクションの欠如（タンパープロテクションは、BarsMonsterのようなHabrのユーザーにとって決定的なものではありませんが:)



PS追加機能として、Skype、qipと同様に、直接接続するだけで、接続サーバーを持たない特定のユーザー向けに、安全な交換用のアプリケーションを作成するというアイデアが検討されましたが、何らかの理由でこの領域に影響を与えないことが決定されました。

さらに、3月25日に、このデバイス専用のプロジェクトがKickstarter.comで開始されました。