Повнодискове шифрування (FDE, full disk encryption) шифрує весь накопичувач, зокрема операційну систему, застосунки й тимчасові файли, тож дані неможливо прочитати без правильного ключа чи пароля.
Як працює повнодискове шифрування
FDE працює нижче за файлову систему: кожен сектор шифрується під час запису й розшифровується під час читання — прозоро для користувача. Сучасні реалізації зазвичай використовують AES у режимі XTS. Відомі інструменти:
- BitLocker у Windows;
- FileVault 2 у macOS;
- LUKS/dm-crypt у Linux;
- VeraCrypt — open-source-наступник TrueCrypt;
- самошифрувальні накопичувачі (SED), які шифрують дані апаратно.
Сам ключ шифрування даних захищений паролем користувача, ключем відновлення або модулем TPM, який видає його лише за незміненого ланцюжка завантаження. iPhone і сучасні Android-пристрої шифрують сховище за замовчуванням.
Чому це важливо
FDE захищає дані у стані спокою. Загублений або вкрадений ноутбук із зашифрованим диском не призводить до витоку даних — тому регулятори та GDPR вважають шифрування ключовим заходом захисту. Однак увімкнену розблоковану систему воно не захищає: шкідливе ПЗ і віддалені зловмисники бачать розшифровані дані, як будь-яка інша програма. Дослідження на кшталт атаки холодного перезавантаження (cold boot, 2008) показали, що ключі можна видобути з оперативної пам’яті невдовзі після вимкнення, а атаки «злої покоївки» (evil maid) спрямовані на пристрій, залишений без нагляду.
Зловмисники й самі використовують FDE: деякі програми-вимагачі застосовують вбудований BitLocker, щоб позбавити жертв доступу до їхніх систем, як у випадку ShrinkLocker, описаному «Лабораторією Касперського» 2024 року.
Рекомендації
- Вмикати FDE на всіх ноутбуках і мобільних пристроях.
- Використовувати PIN-код перед завантаженням на пристроях із цінними даними й у поїздках вимикати їх, а не переводити в режим сну.
- Надійно й централізовано зберігати ключі відновлення та відстежувати несподівані зміни BitLocker.
