Полнодисковое шифрование (FDE, full disk encryption) шифрует весь накопитель, включая операционную систему, приложения и временные файлы, так что данные невозможно прочитать без правильного ключа или пароля.
Как работает полнодисковое шифрование
FDE работает ниже файловой системы: каждый сектор шифруется при записи и расшифровывается при чтении — прозрачно для пользователя. Современные реализации обычно используют AES в режиме XTS. Известные инструменты:
- BitLocker в Windows;
- FileVault 2 в macOS;
- LUKS/dm-crypt в Linux;
- VeraCrypt — open-source-преемник TrueCrypt;
- самошифрующиеся накопители (SED), которые шифруют данные аппаратно.
Сам ключ шифрования данных защищён паролем пользователя, ключом восстановления или модулем TPM, который выдаёт его только при неизменённой цепочке загрузки. iPhone и современные Android-устройства шифруют хранилище по умолчанию.
Почему это важно
FDE защищает данные в состоянии покоя. Потерянный или украденный ноутбук с зашифрованным диском не приводит к утечке данных — поэтому регуляторы и GDPR считают шифрование ключевой мерой защиты. Однако работающую разблокированную систему оно не защищает: вредоносное ПО и удалённые атакующие видят расшифрованные данные, как любая другая программа. Исследования вроде атаки холодной перезагрузки (cold boot, 2008) показали, что ключи можно извлечь из оперативной памяти вскоре после выключения, а атаки «злой горничной» (evil maid) нацелены на оставленное без присмотра устройство.
Злоумышленники и сами используют FDE: некоторые программы-вымогатели применяют встроенный BitLocker, чтобы лишить жертв доступа к их системам, как в случае ShrinkLocker, описанном «Лабораторией Касперского» в 2024 году.
Рекомендации
- Включать FDE на всех ноутбуках и мобильных устройствах.
- Использовать PIN-код перед загрузкой на устройствах с ценными данными и в поездках выключать их, а не переводить в сон.
- Надёжно и централизованно хранить ключи восстановления и отслеживать неожиданные изменения BitLocker.
