В статье пойдет речь о программном продукте для защиты данных BestCrypt NP. Доступны три различных версии для DOS/Windows 3.X, Windows 95/98 и Windows NT. Производитель в сопровождающей документации гарантирует, что контейнеры, хранящие зашифрованные данные, совместимы с различными версиями BestCrypt и могут читаться из любых операционных систем. Рассмотрена будет версия для Windows 95/98. (Версии: "Control Panel 4.14", "driver 4.16").

Реквизиты производителя

BestCrypt - программный комплекс шифрования для обеспечения приватности личных данных, разработан финской фирмой Jetico. Адрес в мировой "паутине": www.jetico.sci.fi. Электронная почта: jetico@sci.fi.

Работа программы

При инсталляции продукт занимает около двух мегабайт на жестком диске. После инсталляции появляется программная группа "BestCrypt NP", иконка на "рабочем столе" - "Dismount BestCrypt NP Drives" (размонтирование дисков BestCrypt), в группе "автозапуска" - иконка "BestCrypt NP AutoOpen" (автоматическое открытие дисков BestCrypt при запуске Windows) и добавляет в "проводнике" в контекстное меню пункт "Delete with wiping" (уничтожение без восстановления). В "проводнике" в меню "Создать" появляется дополнительный пункт: "Jetico BestCrypt Container" - "Создание нового контейнера BestCrypt". Всю функциональность программного пакета обеспечивает одна утилита BestCrypt.exe, занимающая при работе 648 Кбайт в ОЗУ, запускающая один поток, и системные драйверы, прописанные на уровне устройств в "свойствах системы".

Для обеспечения приватности BestCrypt предлагает создать виртуальный диск-контейнер. Это производится из "Control Panel" - "управляющего центра" всего программного продукта. "Control Panel" появляется, если запустить BestCrypt.exe без параметров или активизировать соответствующую иконку в группе "BestCrypt NP". По умолчанию предлагается размер 10 Мбайт и алгоритм Blowfish. Здесь же нужно ввести имя файла, в котором будет размещен зашифрованный контейнер, описание контейнера в поле "Description" и диск, где физически будет размещен контейнер. Для зашифровки данных программа предоставляет на выбор три криптоалгоритма: "Blowfish", "GOST28147-89" и "DES". В выпадающем "окне со списком" "GOST28147-89" обозначается сокращено - "GOST". Кстати, криптоалгоритмы расположены в окне со списком по мере убывания криптостойкости (надежности). Далее при работе программа будет осуществлять шифрование/дешифрование изменяемых данных на лету, "прозрачно" для пользователя и приложений. И все! Теперь пользователь может размещать свои критические данные и приложения на виртуальных дисках, защищающих данные с помощью сильной криптографии.

При открытии диска появляется диалоговое окно, где ниже окна для ввода пароля есть две помечаемых опции: "Reconnect at logon" - автоматическое открытие диска при запуске Windows, "Read only" - открытие контейнера в режиме "только для чтения".

Созданные виртуальные диски совместимы с утилитами для обслуживания дисков других производителей. Другими словами, их можно обслуживать, используя ScanDisk или Defrag из Windows, или аналогами из пакета Norton Utilities. Во избежание возможной порчи данных производитель рекомендует закрыть все контейнеры BestCrypt перед обслуживанием дисковыми утилитами дисков, на которых размещены файлы-контейнеры. Файл-контейнер можно разместить и на файл-сервере, и работать с ним по сети, в этом случае нет необходимости устанавливать какое-либо клиентское программное обеспечение - это будет "обыкновенный" равноправный диск.

Программа не допускает длину пароля меньше шести символов. Обязательно следует отметить, что при введении пароля программа считывает не символы, а коды нажатых клавиш, поэтому цифры, знаки "+", "-", "/", набранные на основной и дополнительной частях клавиатуры для авторизации доступа, будут различными. Вставка пароля из буфера обмена разрешена, что снижает безопасность системы. Для смены пароля или криптоалгоритма контейнер необходимо предварительно демонтировать (закрыть), и активизировать правой клавишей мыши из контекстного меню пункт "Properties". После введения пароля помечается окно "Change password" и программа выдаст диалог смены пароля. Теперь придется набраться терпения, особенно владельцам медленных компьютеров - программа перенесет данные, перезашифрует их, вернет назад и безопасно удалит созданные временные файлы.

Для обеспечения дополнительного сервиса при работе с контейнерами предусмотрены следующие функции:

1. Time Out - по истечении указанного промежутка времени, после открытия контейнера, если пользователь не нажимал клавиш и не работал мышью, контейнеры демонтируются.
2. Hot Key - при задействовании этой функции виртуальные диски будут закрыты по нажатию комбинации горячих клавиш. Комбинацию выбирает пользователь. Это позволяет быстро закрыть "критические" данные при опасности или уходе с рабочего места. Эту же функцию дублирует кнопка на панели "Центра управления" BestCrypt "Alarm" - тревога, и иконка на "рабочем столе" - "Dismount BestCrypt NP Drives".

В BestCrypt реализован "Container Guard" - утилита, не позволяющая удалить контейнер на локальном диске, пока не деинсталлирован BestCrypt. Эта же защита распространяется на Dos-сессию или попытку удалить контейнер, используя Dos-приложения. Защищаются контейнеры, расположенные только в корневой директории. Контейнер можно скопировать в другую папку, и там он может подвергаться изменению (удалению) как обычный файл. Удалить контейнер можно из "Control Panel" BestCrypt после введения пароля. Однако если по сети имеется доступ "по записи" к корневой директории, хранящей контейнер, то защита не сработает. Защита работает только на компьютерах, где установлен BestCrypt, поэтому во избежание порчи или удаления контейнера производитель не рекомендует давать доступ "по записи" к корневому директорию, где расположены контейнеры.

Работа с гибкими дисками

Для обеспечения приватности информации, хранящейся на гибких дисках BestCrypt, предлагает два сервиса:

1. "Encrypt" - зашифровать содержимое диска, "Decrypt" - расшифровать содержимое диска. Содержимое диска шифруется и превращается в информационный мусор.
2. После можно установить еще один режим - "Set (Reset) floppy secure mode" (установить безопасный режим флоппи-диска). Если при установке этого режима пометить флажок "Check Password", диск становится недоступным для работы, пока не введется правильный пароль. При обращении к диску вылетает ошибка о "неформатированном или не готовом диске".

После дешифровки содержимого гибкого диска он автоматически сбрасывает режим "secure mode" в "off" - выключено.

Очистка остаточной информации

Для уничтожения временных и удаленных файлов BestCrypt имеет две встроенные функции:

1. "Delete with wiping" (удаление без восстановления) при вызове правой клавишей мыши контекстного меню из "проводника", если выделен файл или папка.
2. "Wipe free space" (очистка свободного пространства диска) - эта функция появляется, если выделить из "проводника" корневой каталог диска или вызвать контекстное меню из "Control Panel" BestCrypt.

После нажатия кнопки "Option" в диалоге подтверждение появляется выбор из двух опций безопасного удаления: "Normal", "US DoD". "DoD" - "Department of Defense" (департамент защиты). Во втором случае, стоящем по умолчанию, предлагается запись семь раз с изменением "забивающего" символа - для защиты диска от исследования с помощью специальной аппаратуры, которая может быть у спецслужб. В первом, "нормальном", предлагается двукратный проход по очищаемому месту, чтобы, цитирую документацию производителя, "сделать диск бесполезным для любопытных хакеров". Другими словами, применение утилит типа "UnErase" будет бесполезным. Сразу же предлагается очистка файлов, помещенных после удаления в "корзину".

Криптоалгоритмы

Для зашифровки данных программа предоставляет на выбор три криптоалгоритма: "DES", "GOST28147-89" и "Blowfish". Чаще всего стойкость криптоалгоритмов классифицируют по десятибалльной шкале, где 0 - низкая стойкость (фактически ее отсутствие), 10 - наивысшая надежность, отсутствие зарегистрированных случаев взлома. В тексте статьи я расположил алгоритмы в порядке возрастания стойкости и скорости работы.

DES

Государственный правительственный стандарт США для коммерческих применений. Размер ключа - 56 бит. Самый быстрый алгоритм из числа предложенных в программе.

Стойкость - 3 балла. На сегодняшний день алгоритм морально устарел и его применение для защиты критических данных не рекомендовано.

GOST28147-89

Разработанный в России криптоалгоритм. Алгоритмически близок к DES. Размер внешнего ключа, реализованного в программном комплексе - 256 бит. Внутренний ключ - 512 бит. Хотя он спроектирован добротнее DES, тем не менее, авторы программы проявляют скептицизм по отношению к его криптостойкости. Действительно, не стоит доверять защиты серьезных данных "Кулибиным из совка". Стойкость - 10 баллов.

Blowfish

Алгоритм, разработанный Брюсом Шнайером. Размер ключа, реализованного в BestCrypt, - 256 бит. Алгоритм специально оптимизирован для 32-битных вычислений. Из трех алгоритмов - он самый надежный и быстрый. Стойкость - 10 баллов. Так что опасаться нужно лишь солидной спецслужбы, имеющей высокоскоростной вычислительный комплекс и огромный период времени для криптоатаки - 256 бит недостаточно для 100-процентной уверенности.

Условия распространения

Программный продукт является Shareware на 30 дней. Для легализации требует серийный номер, состоящий из четырех групп, подобный следующему: BC-AFFE-1CE-26CF. После истечения срока программа выдает отключаемый диалог с просьбой регистрации, и созданные виртуальные диски переходят в режим "только для чтения". Однако если ввести другой случайный серийный номер, в котором обязательной должна быть первой группа из двух букв "BC", то демонстрация продлится еще на тридцать дней, и снова станут доступны все функциональные возможности.

P.S. Для защиты "критических" данных с помощью программного комплекса BestCrypt необходимо обеспечить контроль системного реестра и защиту от РПС (разрушающих программных средств), иначе систему можно элементарно "высадить". Это предупреждение системным администраторам, в детали вдаваться не стану - статья по "защите" информации, а не по "хэкингу".

Black Prince,
www.geocities.com/SiliconValley/Way/5801/index.htm