Шифрование SSD-диска каждого корпоративного ноутбука (BitLocker, LUKS2, FileVault 2): как защитить компанию от 15-миллионного штрафа за утечку ПДн при краже ноутбука
До сих пор 60 % руководителей малого и среднего бизнеса живут в смертельно опасном заблуждении: «У нашего кадровика и главбуха на ноутбуке стоит сложный 14-символьный пароль на вход в Windows/Linux — значит, если ноутбук украдут из машины у торгового центра, вор ничего не прочитает!».
ЖЕСТОКАЯ РЕАЛЬНОСТЬ: если раздел NVMe SSD не зашифрован криптографически, ЛЮБОЙ пароль учётной записи ОС не защищает файлы НИ НА ОДНУ СЕКУНДУ! Нашедший ноутбук злоумышленник за 90 секунд загружается с обычной флешки или вынимает планку M.2 SSD, вставляет её во внешний USB-бокс за девятьсот рублей и в открытом виде копирует себе все трудовые договоры, сканы паспортов 800 сотрудников, выгрузки 1С:ЗУП и коммерческие контракты!
А с учётом действующих жёстких составов ч. 12–18 ст. 13.11 КоАП РФ (многомиллионные и оборотные штрафы за утечку персональных данных!) потеря всего ОДНОГО незашифрованного ноутбука кадровика официально признаётся инцидентом неправомерного доступа к ПДн с обязанностью уведомить Роскомнадзор в течение 24 часов (ч. 3.1 ст. 21 ФЗ № 152-ФЗ)! При этом аппаратное ускорение инструкций AES-NI в любом современном процессоре делает полнодисковое шифрование XTS-AES-256 абсолютно незаметным для скорости работы ноутбука!
Сравнение штатных технологий шифрования диска на трёх корпоративных ОС
| Операционная система ноутбука | Штатный механизм XTS-AES-256 |
Как работает защита ключа на чипе | Обязательное централизованное хранение резервного ключа восстановления (Key Escrow)! |
|---|---|---|---|
| Windows 10 / 11 Pro & Enterprise | BitLocker Drive Encryption (только программный режим Software-based BitLocker, НЕ доверяйте дырявому аппаратному OPAL дешёвых SSD!) |
Чип TPM 2.0 с проверкой целостности UEFI Secure Boot PCR 7 + стартовый Pre-Boot PIN (TPM + PIN)! |
Автоматическое сохранение 48-значного цифрового ключа восстановления в защищённом атрибуте msFVE-RecoveryInformation объекта компьютера в Active Directory ДО начала шифрования тома (GPO: Do not enable BitLocker until recovery information is stored to AD DS)! |
| Российские ОС Linux (Astra Linux SE, РЕД ОС, Альт) | dm-crypt / LUKS2 (cryptsetup, PBKDF Argon2id) |
Парольная фраза предзагрузки + привязка слота к TPM 2.0 + PIN (systemd-cryptenroll), либо ключ на токене Рутокен PKCS#11, либо сетевая разблокировка в офисе Clevis + Tang! |
При автоматической раскатке золотого образа ОС Ansible скрипт создаёт второй резервный админский слот Key Slot #1 с уникальной случайной 32-символьной фразой и сразу отправляет её по TLS в защищённое хранилище секретов ИБ (HashiCorp Vault / Passwork)! |
Apple macOS (MacBook Air / Pro) |
FileVault 2 (APFS Hardware Encryption в кристалле Apple Silicon M1–M4) |
Аппаратный сопроцессор Secure Enclave (защита от брутфорса с аппаратными задержками на уровне кремния!) |
Автоматическое депонирование индивидуального Personal Recovery Key (PRK) и Institutional Recovery Key на сервере MDM при вводе в Apple Business Manager! |
ВАЖНЕЙШИЙ НЮАНС ИБ: почему режим «прозрачного автостарта TPM-Only без ПИН-кода» уязвим для целевой кражи топ-менеджера!
Во многих компаниях включают BitLocker в ленивом режиме TPM-Only (ноутбук при нажатии кнопки питания сам молча расшифровывает диск до экрана входа Windows):
- Если вор физически украл такой ноутбук и включил его в лаборатории: на ряде плат с дискретным чипом
dTPMна шинеLPC/SPIатакующий за 15 минут паяет дешёвый логический анализатор на дорожку шины между чипомTPMи процессором и в открытом виде перехватывает мастер-ключ тома (VMK) в момент включения питания (TPM Sniffing Attack), либо читает память через портPCIe DMA, если не включена защитаKernel DMA Protection / IOMMU! - Для ноутбуков генерального директора, финансового директора, главного бухгалтера и юристов включайте СТРОГО двухфакторный режим предзагрузки
TPM + Startup PIN(ввод 6–8-значного ПИН-кода на синем экране ДО старта загрузчика ОС!) + отключение спящего режима в оперативную памятьS3при закрытии крышки в пользу шифрованной гибернации на дискHibernate S4! Пока злоумышленник не введёт стартовый ПИН-код, чипTPM 2.0вообще не отдаёт ключ ни по одной шине, а после 30 неверных попыток уходит в аппаратную блокировкуAnti-Hammering Lockout!
Чек-лист сисадмина, спасающий данные при поломке материнской платы!
- [ ] ПРОВЕРКА № 1 РАЗ В КВАРТАЛ: убедитесь скриптом аудита, что 100 % активных зашифрованных ноутбуков реально имеют сохранённый и читаемый в
AD / Vaultключ восстановления! Если на ноутбуке сотрудника сгорит материнская плата (вместе с распаянным на ней чипомTPM!), вы переставите абсолютно живойM.2 SSDв подменный ноутбук — и без48-значного ключа восстановленияНИКТО В МИРЕ И НИКАКАЯ ЛАБОРАТОРИЯ ВОССТАНОВЛЕНИЯ ДАННЫХ НИКОГДА НЕ РАСШИФРУЕТAES-256! С наличием ключа в базе ИБ данные бухгалтера поднимаются на новом ноутбуке за 4 минуты! - [ ] Акт выдачи ноутбука сотруднику дополнен обязательством об экстренном уведомлении службы ИБ в течение 1 часа при утере устройства (правильное оформление ответственности по ТК РФ).
Частые вопросы
Является ли встроенный в Windows BitLocker или LUKS2 сертифицированным ФСБ России криптосредством ГОСТ?
Нет — BitLocker, LUKS2 и FileVault реализуют международный стандарт симметричного шифрования AES-256. Для коммерческих организаций и стандартных ИСПДн они де-факто являются мощнейшей технической мерой исключения несанкционированного доступа при краже носителя, а вот для государственных информационных систем, ЗОКИИ и сведений ограниченного доступа, где модель угроз требует применения сертифицированных ФСБ России средств криптозащиты дисков по ГОСТ Р 34.12-2015 («Кузнечик»), устанавливаются отечественные сертифицированные продукты защиты от НСД и шифрования дисков (Secret Disk 5, Dallas Lock, Соболь, Континент ЗНСД / ViPNet SafeBoot)!
Сокращает ли XTS-AES-256 шифрование ресурс перезаписи TBW твердотельного накопителя NVMe SSD?
Практически нет: размер одного зашифрованного сектора 4 КБ на выходе XTS-AES равен ровно 4 КБ (коэффициент усиления записи Write Amplification от самого шифрования равен 1.00), важно лишь в Linux crypttab не забывать опцию проброса команды очистки свободных блоков discard (TRIM), чтобы контроллер SSD сохранял максимальную скорость!