V současné době je na světovém trhu několik desítek šifrovacích produktů, které nabízejí různé funkce - od pouhé off-line šifrování přes šifrování disků nebo adresářů až po on-line šifrování včetně plné integrace do operačního systému. Proč vlastně data vůbec šifrovat, když různé programy nabízejí ochranu dokumentů pomocí hesla?

Možná rizika
Je důležité si uvědomit, že data jsou vystavena potenciálnímu riziku i v okamžiku, kdy s nimi manipuluje oprávněný uživatel. A specielně to platí v případech, kdy je počítač připojen do sítě či Internetu.

Z hlediska bezpečnosti musí pevný disk i operační paměť počítače čelit těmto rizikům:

. Pevný disk - útočník s právy administrátora systému má přístup ke všem datům; data z pevného disku bývají obvykle zálohována na nechráněné zařízení.

. Operační paměť - útočník může skenovat paměť; data z paměti lze odstránkovat na pevný disk.

Spolehlivost a bezpečnost hesel
Ochrana dokumentů prostřednictvím zaheslování datového souboru je defakto "šidítko" pro běžného uživatele. Ten si žije v domnění, že jeho citlivá data jsou chráněna dostatečně. Avšak získání dat z dokumentu chráněného heslem je problémem řešitelným v řádu minut. A není k tomu třeba žádných speciálních znalostí - postačuje pouhý uživatelský přístup. Na trhu je k dispozici celá řada programů, které tyto funkce nabízí. Jejich cena se pohybuje řádově v desítkách USD a k jejich provozu postačuje libovolný počítač.

Některé datové formáty souborů podporujících používání hesel tyto hesla přímo obsahují a lze je z nich snadno extrahovat. Toto nebezpečí je nutné si hlídat obzvláště u proprietárních a nedokumentovaných formátů. V takovém případě je jakákoliv představa o zabezpečení dat pouhou neopodstatněnou iluzí.

Například po zakoupení programu za 150 USD a pár kliknutích myši lze bez problémů během několika minut otevřít libovolný dokument MS Office či formát PDF. Na této skutečnosti mají nemalý podíl i sami uživatelé, neboť obvykle volí snadno rozluštitelná hesla. Situace s archivačními utilitami je obdobná.

Ale ani vhodná volba hesla potenciální útok nijak zásadněji neztíží. Celý problém se pouze posune z časového hlediska - z řádu minut se dostáváme pouze do řádu hodin nebo dní, uvažujeme-li při prolomení hesla o nasazení jediné pracovní stanice. V případě paralelního nasazení více počítačů potřebný čas rapidně klesá. Z dlouhodobějšího hlediska je tudíž situace úplně stejně kritická.

Logika funkce šifry
Jediným výpočetně bezpečným způsobem je chránit dokumenty s pomocí silných šifrovacích algoritmů.

Jejich příkladem jsou 3DES, IDEA, RC4 nebo nový celosvětový standard AES reprezentovaný algoritmem Rijndeal.

Je důležité si uvědomit, že neexistuje pojem dokonalé bezpečnosti. Síla těchto algoritmů je založena na skutečnosti, že jediný možný způsob jejich prolomení je použití útoku hrubou silou. Potenciální útočník musí zkoušet všechny možné kombinace a doba potřebná k prolomení šifry je závislá na délce použitého klíče. Při současné úrovni technologie jsou délky používaných klíčů voleny tak, aby útok na šifru musel trvat desítky či stovky let. A změnou délky používaného klíče lze šifru adaptovat na vývoj technologií.

On-line versus off-line šifrování
Jaký je z pohledu uživatele rozdíl mezi on-line a off-line šifrováním?

. V případě off-line šifrování je dokument v okamžiku úprav uživatelem uložený na pevném disku v nešifrované podobě. Před započetím úprav jej musí uživatel rozšifrovat. Po skončení úprav jej musí uživatel opět zašifrovat a smazat nešifrovanou podobu.

. Je-li použito on-line šifrování, dokument je na pevném disku stále v šifrované podobě. V okamžiku úprav je programem samočinně rozšifrován do paměti. Tento proces je plně automatický a nevyžaduje od uživatele žádné zvláštní kroky.

Při použití off-line šifrování je třeba vždy dokument manuálně šifrovat. Navíc se z hlediska existence nešifrované podoby dokumentu na disku nejedná o zcela bezpečné řešení. Tyto funkce však nabízejí programy formou freeware či shareware, a jsou tudíž zdarma.

V případě vhodné integrace do operačního systému je on-line šifrování vůči uživateli plně transparentní. Na první pohled tak není vůbec patrné, že je použito nějaké šifrování. Řešení tohoto druhu jsou komerční a je třeba za ně platit. Malou kompenzací této skutečnosti může být fakt, že k těmto řešením jsou nabízeny i fyzické předměty (čipové katry, tokeny) jako nosiče šifrovacích klíčů.

Pozn.: Článek vznikl na základě materiálů firmy Sodat Software, která patří mezi přední dodavatele řešení informační bezpečnosti na trhu ČR

www.areaguard.cz