Szyfrowanie danych

„Mam hasło - moje dane są bezpieczne." To zdanie słyszymy w 9 na 10 firmach, które obsługujemy. I w 9 na 10 przypadków jest fałszywe. Hasło do Windowsa, macOS czy Linuxa chroni dostęp do systemu operacyjnego - nie do danych na dysku. Wystarczy wyjąć dysk z komputera, podłączyć jako zewnętrzny do innej maszyny (adapter SATA/NVMe-USB za 40 zł) - i masz pełny dostęp do WSZYSTKICH plików. Bez żadnego hasła. To trwa dosłownie 5 minut.

Scenariusze, w których nieszyfrowane dane wyciekają: kradzież laptopa (w Polsce ok. 15 000 zgłoszeń kradzieży laptopów rocznie), zgubiony pendrive z danymi klientów, wyrzucony niezniszczony dysk (firma wymienia sprzęt i sprzedaje stare komputery bez czyszczenia danych), nieautoryzowany dostęp pracownika, naprawa komputera w serwisie (serwisant ma fizyczny dostęp do nośnika danych). W każdym z tych scenariuszy szyfrowanie dysku sprawia, że dane są bezwartościowe bez klucza deszyfrującego.

RODO (art. 32) wymaga „szyfrowania" jako jednego ze środków ochrony danych osobowych. Jeśli Twoi pracownicy przetwarzają dane klientów na laptopach bez szyfrowania - naruszasz RODO. UODO może nałożyć karę, a notyfikacja o wycieku danych (art. 33, 34) jest obowiązkowa. Szyfrowanie dysku to jedno z najtańszych i najskuteczniejszych zabezpieczeń - a mimo to wciąż większość firm go nie stosuje.

Microsoft BitLocker (Windows Pro/Enterprise) i Apple FileVault (macOS) to wbudowane narzędzia do szyfrowania dysku. Są wygodne - włączasz jednym kliknięciem, transparentne dla użytkownika, zintegrowane z systemem. Ale mają fundamentalne problemy, o których producenci wolą nie mówić.

BitLocker: zamknięty kod źródłowy, klucze w chmurze. BitLocker to oprogramowanie o zamkniętym kodzie - nikt poza Microsoftem nie wie, co dokładnie robi z Twoimi kluczami szyfrowania. Domyślnie BitLocker backupuje klucz odzyskiwania na Twoje konto Microsoft (OneDrive/Azure AD) - co oznacza, że Microsoft MA dostęp do klucza deszyfrującego Twój dysk. Czy ufasz, że Microsoft nigdy nie udostępni tego klucza? Czy ufasz, że ich infrastruktura nigdy nie zostanie zhackowana? W 2023 roku Microsoft potwierdził naruszenie bezpieczeństwa kluczy podpisywania (Storm-0558) - jeśli klucze signing key mogą zostać skompromitowane, to klucze BitLockera też.

BitLocker na Windows Home w ogóle nie istnieje (potrzebujesz Pro/Enterprise). BitLocker z TPM (Trusted Platform Module) deszyfruje automatycznie po uruchomieniu komputera - co oznacza, że jeśli ktoś ukradnie włączony/uśpiony laptop, ma dostęp do danych (atak cold-boot, DMA attack). Badacze bezpieczeństwa wielokrotnie demonstrowali obejście BitLockera przez TPM sniffing - przechwycenie klucza z magistrali LPC/SPI.

FileVault (macOS) - podobnie, zamknięty kod, klucz odzyskiwania może być przechowywany na koncie iCloud. Apple kontroluje hardware i software - i historycznie współpracował z organami ściganymi (choć odmówił FBI w sprawie San Bernardino w 2016). Ale Twój klucz FileVault jest w ekosystemie Apple - im mniej podmiotów ma dostęp do klucza, tym lepiej.

Nie twierdzimy, że BitLocker i FileVault są bezwartościowe - chronią przed okazjonalnym złodziejem laptopa. Ale jeśli zależy Ci na realnm bezpieczeństwie danych - potrzebujesz narzędzia, którego kod jest otwarty, audytowany, i nad którym masz pełną kontrolę. Tym narzędziem jest VeraCrypt.

VeraCrypt to następca legendarnego TrueCrypta - open source'owe narzędzie do szyfrowania dysków, partycji i kontenerów. Kod źródłowy jest publicznie dostępny i został przejrzany w niezależnym audycie bezpieczeństwa (OSTIF/QuarksLab, 2016). Każdy może zweryfikować, że VeraCrypt robi dokładnie to, co deklaruje - i nic więcej. Brak backdoorów, brak chmurowych backupów kluczy, brak telemetrii. Twój klucz - Twoja odpowiedzialność - Twoje bezpieczeństwo.

Mamy wieloletnie doświadczenie w stosowaniu VeraCrypt w środowiskach biznesowych. Wdrażamy VeraCrypt od lat - na laptopach firmowych, serwerach, nośnikach wymiennych, backupach. Znamy niuanse: pełne szyfrowanie dysku systemowego (pre-boot authentication), kontenery szyfrowane (wirtualne dyski), hidden volumes (ukryte woluminy - plausible deniability), kaskadowe szyfrowanie (AES-Twofish-Serpent). Więcej o VeraCrypt i praktycznych poradnikach znajdziesz na veracrypt.pl - polskim blogu o szyfrowaniu, który prowadzimy.

VeraCrypt vs BitLocker - kluczowe różnice: VeraCrypt: open source i audytowany, klucze NIGDY nie opuszczają Twojego urządzenia, działa na Windows/macOS/Linux, obsługuje hidden volumes i kaskadowe szyfrowanie, darmowy. BitLocker: zamknięty kod, klucze backupowane do Microsoft cloud (domyślnie!), tylko Windows Pro/Enterprise, brak hidden volumes, „darmowy" z licencją Windows. VeraCrypt wymaga ręcznego podania hasła przy każdym uruchomieniu - to nie bug, to feature. Automatyczne deszyfrowanie (jak BitLocker + TPM) to kompromis bezpieczeństwa na rzecz wygody.

„Dane w chmurze są bezpieczne - Google/Microsoft/Amazon się tym zajmują." Częściowo prawda. Dostawcy chmur publicznych (AWS, Azure, Google Cloud) szyfrują dane at-rest (na dyskach w data center) i in-transit (TLS między Tobą a serwerem). Ale klucze szyfrowania kontroluje dostawca - nie Ty. Co oznacza, że Google/Microsoft MOGĄ odczytać Twoje dane (i robią to na żądanie organów ścigania). „Server-side encryption" w chmurze publicznej chroni przed kradzieżą fizycznego dysku z data center - ale nie przed dostawcą chmury ani przed hackerem, który przejmie Twoje konto.

Chmura publiczna (AWS, Azure, GCP, Google Drive, OneDrive, Dropbox): rozwiązanie - client-side encryption (szyfrowanie PRZED uploadem). Szyfrowane kontenery VeraCrypt w chmurze: tworzysz kontener, montujesz lokalnie, edytujesz pliki, demontowujesz - synchronizacja dosyła zaszyfrowany plik. Dostawca widzi tylko losowe dane. Alternatywnie: Cryptomator (open source, dedykowany do szyfrowania plików w chmurze, file-by-file encryption), rclone z szyfrowaniem (CLI, automatyzacja backupów). Kluczowe: klucz szyfrowania nigdy nie opuszcza Twojego urządzenia - dostawca chmury nie ma dostępu.

Chmura prywatna (Nextcloud, ownCloud, Synology, QNAP): masz pełną kontrolę nad infrastrukturą - serwer w Twojej firmie lub na Twoim VPS. Szyfrowanie: LUKS/dm-crypt na poziomie dysku serwera, Nextcloud server-side encryption (ale klucze na serwerze - czyli administrator serwera ma dostęp), lub client-side encryption (Nextcloud E2EE app - end-to-end encryption, klucze tylko na urządzeniach klienta). Chmura prywatna + szyfrowanie serwerowe + szyfrowany backup off-site = poziom bezpieczeństwa niedostępny w chmurze publicznej. Pomagamy wdrożyć i skonfigurować oba warianty - publiczna chmura z client-side encryption i prywatna chmura z pełnym szyfrowaniem, dopasowane do potrzeb i budżetu Twojej firmy.