DriveCrypt Plus Pack

Když mě před časem postihl záchvat paranoie, přestalo mi stačit šifrování jen kritických dat a začal jsem pátrat po možnostech, jak zašifrovat celý disk. Ono to ostatně má svou logiku i bez paranoie – každý operační systém, a Windows zvlášť, prozrazuje v rámci své činnosti spoustu informací, které by možná radši měly zůstat utajené, například prostřednictvím dočasných souborů nebo stránkovacího souboru. Šifrování celého disku tento problém řeší docela uspokojivě – prostě jsou zašifrované i tyhle „potenciálně zrádné“ soubory. Postupně jsem si prošel několik nástrojů, které to umí. Jako první mi do rány padl DriveCrypt Plus Pack (neplést s DriveCrypt bez Plus Packu, ten šifruje jen kontejnery, ne celé disky) od německé firmy SecurStar.

DriveCrypt Plus Pack (dále jen DCPP) není prvním nástrojem svého druhu (i v maličké ČR vznikly přinejmenším dva programy řešící stejný problém), ale je jedním z prvních, pokud ne úplně prvním, z „moderní vlny“ těchto programů – tím mám na mysli hlavně to, že funguje pod Windows XP a stojí na ověřených šifrách. Je to ovšem komerční program (125 Euro) a je docela zvláštní směsicí poměrně pokročilých funkcí a zarážejícího amatérismu. Přesto jsem ho koupil (část těch nedostatků nebyla na demoverzi poznat a část jsem tehdy ještě neuměl odhalit jen pouhou četbou dokumentace), nějakou dobu používal a nakonec zapudil.

Instalace programu je velice jednoduchá, stačí postupovat podle instrukcí a za chvíli je program připraven k činnosti. Vlastní zašifrování už je trochu složitější: Napřed si musíte založit nový „keystore“, tedy soubor, ve kterém budete skladovat šifrovací klíče. Ten je pochopitelně zašifrován vaším heslem, lze k němu jako alternativu přidat i hesla uživatelská. Podporovány jsou také šifrovací tokeny Aladdin. V tomto keystore si následně necháte vygenerovat vlastní šifrovací klíč nebo klíče. Proces je to velice jednoduchý, chce se po vás pouze ten klíč pojmenovat, všechno ostatní si zařídí program sám.

Keystore v DCPP

Druhý krok spočívá v instalaci prográmku BootAuth na bootovací disk. BootAuth je vlastně zavaděč, který se nastartuje ještě před operačním systémem, zeptá se uživatele na heslo a po jeho správném zadání zpřístupní (už zašifrovaný) hlavní zavaděč. V průběhu instalace si můžete vybrat některá nastavení (jestli má být vyžadováno jen hlavní heslo nebo jestli jsou povolena i hesla dodatečná, jestli má být vyžadován token, atd.) a také vzhled bootovací obrazovky – kromě „tradiční textové“ totiž DCPP nabízí i obrazovku grafickou. Několik základních už je připraveno, použít však lze i uživatelskou – program umí použít uživatelův obrázek ve formátu PCX, u kterého si jen vyžádá informaci o umístění políček pro zadání hesla. Zvolit lze i spartánskou/paranoidní variantu, ve které se nezobrazuje nic.

Jedna z dodávaných bootovacích obrazovek

Teprve po instalaci BootAuthu můžete začít šifrovat. Postup je velice jednoduchý – vyberete si disk k zašifrování a klíč, který se k tomu má použít. Program pak stráví pár minut, hodin nebo dnů šifrováním (záleží na velikosti disku), v průběhu kterého můžete s počítačem normálně pracovat. Po doběhnutí šifrovacího procesu je celý disk zašifrovaný a bez hesla se k němu nedostanete. Pro Windows i pro všechny aplikace je ovšem celé šifrování kompletně transparentní – při čtení z disku jsou data dešifrována, při zápisu zase šifrována. Podporováno je šifrování stránkovacího souboru a od verze myslím 3.8 i hibernační soubor a crashdumpy. Podporovány však nejsou RAID (je zvykem psát „RAID pole“, ale to je stejná blbost jako „číslo PIN“ nebo „identifikační ID“) ani dynamické disky. Na rychlosti pocítíte, že šifrování běží, ale je to docela dobře snesitelné, pokud se ovšem nezabýváte hlavně zvyšováním výsledku benchmarků.

Interface pro šifrování disků

Nedostatky

Nedostatky DCPP, kvůli kterým jsem od něj odešel hned, jak se objevila přijatelná alternativa, spadají do tří hlavních kategorií: Dokumentace, ochrana proti kopírování a disaster recovery (záchranným postupům v případě nějakého poškození).

Dokumentace DCPP je velice slabá, dostat se k nějakým techničtějším informacím je skoro nemožné. O šifře se dozvíte jenom to, že je použit AES s 256bitovým klíčem, ale už nic dalšího. To je naprosto zásadní nedostatek, protože jakákoliv šifra (i kvalitní a bezpečná jako AES) může být použita dobře nebo špatně a může na tom fatálně kolabovat celá její bezpečnost. U DCPP jsem se například nikde nedozvěděl o postupu, jakým se program ze znalosti hesla dostává ke znalosti klíče (čili jak je program odolný proti brute-force útokům na heslo), nebo o použitém šifrovacím režimu (ECB například i ze zašifrovaných dat umožňuje získat určité informace, ve vhodné situaci i hodně informací). Důsledkem slabé dokumentace je, že o bezpečnosti programu nemám dostatečnou představu a musím počítat s nejhorším. Srovnejte si to třeba s pozorností, jakou TrueCrypt věnuje důkladnému rozpitvání, co a proč dělá.

Tím se plynule dostáváme k ochraně proti kopírování. DCPP byl, jak už jsem uvedl, jeden z prvních programů svého druhu a jeho autoři správně předpokládali, že proto bude cílem pirátů. Tudíž do svého produktu zabudovali protipirátskou ochranu založenou na aktivaci. Licence je nyní vázána na konkrétní počítač, z jehož konfigurace je vypočítáno číslo „Machine profile“ a na jeho základě vám aplikace na stránkách výrobce vygeneruje licenční soubor. Zároveň licenci zablokuje, aby se už nedala použít – odblokovat ji lze pouze tím, že necháte DCPP odinstalovat a poté, co se to podaří, dostanete odinstalovací kód, kterým program zase otevřete.

Registrační formulář

Problémů to má hned několik. Zaprvé, pokud se vám podaří vygenerovat licenční soubor, ale už ne ho načíst do aplikace, máte smůlu – licence je zablokovaná a vy ji neodblokujete, protože nemáte co odinstalovat a tudíž nedostanete odinstalovací kód. Za druhé, totéž v bledě modrém se vám může stát při odinstalaci – DCPP odinstalujete, ale odinstalační kód buď nedostanete nebo z nějakého důvodu nejde použít. Oba problémy mě mimochodem postihly a v obou případech se to podařilo vyřešit tím, že jsem napsal na support a ten licenci odblokoval ručně, ale stejně – chcete být rukojmím toho, jestli to pro vás support udělá nebo ne? Jeden z těch případů mě, mimochodem, postihl v sobotu a support pracoval jen ve všedních dnech…

Za třetí, a tady se opět vracíme k nedostatečné dokumentaci, machine profile je závislý na konfiguraci. Bohužel není jasné, jak konkrétně – nikde se nedozvíte, co vlastně můžete změnit, aniž by to aplikace vyhodnotila jako přesun na jiný počítač (na kterém se pochopitelně zablokuje). Když jsem se na to ptal supportu, bylo mi řečeno, že bych například do systému neměl přidávat další disky, a pokud to chci udělat, že mám prý všechno dešifrovat, DCPP odinstalovat, přidat disk, nainstalovat DCPP a zase všechno zašifrovat. Takže operací, která normálně trvá pár minut, s klidem zabijete celý den nebo i déle.

Za čtvrté, a to je další obrovský problém, si autoři byli vědomi možnosti, že jejich program někdo crackne a zabudovali proti tomu určité pojistky. Pokud například DCPP zjistí, že byl pravděpodobně cracknut, tak si to pěkně nechá pro sebe a do demo režimu potichu přepne jen šifrovací komponentu. V demo režimu se ovšem nepoužívají silné 256bitové klíče, ale jen 24bitové, které s trochou nadsázky rozlousknete i na kalkulačce. Takže pokud máte jenom trochu smůlu a třeba trochu nevhodně upgradujete, program vás může vyhodnotit jako odporného piráta a přepnout se do režimu, ve kterém vaše data chráněna nejsou skoro vůbec; uživatelské rozhraní ovšem bude i nadále sebejistě tvrdit, že používáte neprolomitelnou 256bitovou šifru…

Omezení demoverze

Autoři jdou dokonce tak daleko, že vám spolu s demoverzí do systému nainstalují prográmek DCPPaid, který vás má „upozornit na to, že vám končí zkušební doba a je třeba koupit plnou verzi“. Prý to není spyware. Možná že opravdu není. Pokud mu ovšem zabráníte ve spouštění, tak se rozlučte s tím, že byste spustili i samotný DCPP…

Třetí vážný problém DCPP je v jeho laxním přístupu k disaster recovery. Což o to, určité možnosti máte – z hlavního okna programu máte možnost vygenerovat záchranné CD nebo záchrannou disketu, a program vás k tomu po kritických operacích sám vybízí. Záchranný disk obsahuje mimo jiné nástroj pro kompletní dešifrování celého disku, takže když se vám třeba naboří startovací soubory Windows, budete moci nastartovat z CD, dešifrovat celý disk, opravit Windows a pak to zase všechno zašifrovat. I když pominu dobu, kterou to potrvá, je tu „drobný“ problém – to záchranné CD je postavené na DOSu a jste tedy vázáni na to, jaká zařízení jsou ze strany BIOSu vaší základní desky podporována. A také, jak jsou podporována – nejisté je třeba chování dešifrovací utility na diskách větších než 128 GB. Klidně se vám může stát, že se z DOSu ke svému disku nedostanete vůbec nebo (ještě horší případ) jen k jeho části. A na to, že byste použili nějaké záchranné CD typu UBCD4Win zapomeňte – máme tu ochranu proti kopírování… O tom, co má člověk dělat například v případě poškozeného disku (měl jsem třeba jeden takový, ze kterého šlo bez problémů číst, ale při prvním zápisu se zakousl), jsem se nedozvěděl nic.

Zvláštnosti

Spolupráce DCPP s bezpečnostním hardwarem je prý velice dobrá – sám to nemohu posoudit z první ruky, protože v době, kdy pro mě byl DCPP aktuální, jsem žádný token neměl, ale informace z druhé rüky mám poměrně pozitivní. Už jenom seznam podporovaného HW vypadá dobře.

DCPP byl myslím úplně první nástroj pro šifrování celého disku, který uměl vytvořit skrytý operační systém – prostě zadáte jedno heslo a dostanete se do jedněch Windows, zadáte druhé heslo a dostanete se do druhých Windows, schovaných ve volném místě těch prvních. Pokud tuto funkci používáte dobře, může jít o velice silný ochranný prvek – kdyby přišlo na otázku, jak se tváříte na waterboarding, můžete prozradit základní heslo a útočník se o těch druhých Windows vůbec nemusí dozvědět. Samozřejmě to předpokládá, že ty základní Windows nastavíte tak, aby vypadaly důvěryhodně – pokud budete mít na 250 GB disku 10 nepodstatných dokumentů s datem posledního přístupu před pěti lety, asi to útočníka trkne, že by v těch zbylých 240 GB třeba mohl existovat ještě skrytý oddíl…

DCPP obsahuje několik často žádaných funkcí, o kterých nevím, co si myslet – zřejmě mohou být v některých situacích užitečné, ale spíš mi připadají jako taková šidítka pro začátečníky, které je mají oslnit a zabránit jim ve zjištění závažnějších nedostatků. To je mimo jiné ochrana před keyloggery (nikde nepopsaná, jak funguje – a i kdyby fungovala, zkompromitovaný počítač už není bezpečný) nebo speciální heslo, které umožní smazat zaváděcí program (to je zřejmě myšleno jako ochrana před mentálně zaostalými útočníky, kteří si před zkoumáním počítače neudělají zálohu). Ale jak říkám, hodně lidí tuhle funkčnost chce.

Zvláštní a ne zrovna bezpečné je, že pokud chcete, aby se vám při startu systému připojily všechny disky, musí být všechny zašifrované stejným klíčem (dokonce i stejné heslo by nebylo úplně v pořádku, tady jde dokonce o stejný klíč).

Pozitivní je, že až na protipirátské potíže při instalaci a odinstalaci jsem za celou dobu používání programu nenarazil na žádnou nestabilitu, pády systému nebo tak něco. V tomto ohledu si na DCPP nemohu stěžovat. Přesto ale ty výše popsané nedostatky stačily k tomu, že jakmile se objevila alternativa, mávl jsem rukou nad oběma koupenými licencemi a pořídil nové u konkurence. O té se zmíním zase příště (a pak napíšu něco i k TrueCryptu, který mezitím také dospěl do stavu, kdy umí šifrovat celý disk i s operačním systémem).

Podobné příspěvky:

Leave a Reply

Themocracy iconWordPress Themes

css.php