Архивы: по дате | по разделам | по авторам

Хранитель секретов

Архив
автор : Андрей Драница   17.10.2003

В PGP реализовано шифрование как открытыми, так и зарекомендовавшими себя симметричными (секретными) ключами: AES с шифрованием до 256-битного, CAST, TripleDES, IDEA и Twofish.

Если вам нечего скрывать — вы счастливый человек, но, к сожалению таких счастливцев все меньше и меньше. Большинству из нас не чужда мысль о том, что неплохо бы обзавестись каким-нибудь пакетом для защиты информации. Самое важное, чтобы во главе угла стояла надежность во всех ее проявлениях — не дай бог, зашифрованный диск не будет открываться из-за какой-нибудь ошибки или вскрыть шифр сможет даже школьник.

Требование к надежности автоматически отсекает целый ворох всяких софтверных поделок — как-то не хочется доверять ценные данные программе безызвестного автора, в которой использован сомнительный алгоритм защиты, да и ошибок целый ворох.

И тут на сцене появляется замечательный пакет PGP Personal Desktop. Замечательный уже хотя бы потому, что выпущен сей продукт под руководством Филиппа Зиммермана (Philip Zimmermann) — бесспорного авторитета в области криптографии.

Кратко перечислю, что можно делать с помощью этой программы:

- шифровать и ставить цифровую подпись (и, естественно, расшифровывать и проверять подлинность) в электронных письмах вложениях;
- защитить ICQ;
- создавать и управлять PGP-ключами;
- создавать защищенные (шифрованные) диски, папки, файлы и резервные копии;
- удалять данные с дисков так, что их не удастся восстановить никакими инструментальными средствами.

Если сравнить этот набор с последним релизом PGP Personal Security, выпущенным под патронажем Network Assosiatеs, — 7.0.3, то, к сожалению, обнаруживается отсутствие персонального брандмауэра и средства для построения VPN (PGPnet). Некоторые возможности по защите сетевого трафика перекочевали в виде модуля PGP Admin в версию пакета PGP Corporate Desktop.

PGP Personal Desktop 8.0 включает плагины для почтовых клиентов MS Outlook, Outlook Express, Eudora, Apple Mail и Entourage1. Работа с Microsoft Exchange, Lotus Notes и Novell GroupWise возможна лишь в «продвинутых» версиях — Corporate Desktop и Workgroup Desktop.

В PGP реализовано шифрование как открытыми, так и зарекомендовавшими себя симметричными (секретными) ключами: AES с шифрованием до 256-битного, CAST, TripleDES, IDEA и Twofish2. Для управления ключами шифрования имеется опция PGP Keys, которая выводит окошко с отображением пользовательских ключей и добавленных в список открытых ключей (рис. 1).

Программа тесно интегрируется в операционную систему и в приложения, с которыми работает. Во-первых, в трей помещается значок, через меню которого можно получить доступ ко всем опциям. Во-вторых, в контекстном меню проводника отображается дополнительный пункт PGP (в Mac OS X это выглядит так — рис. 2). Наконец, во всех программах, где нужен (и был установлен при инсталляции) доступ к функционалу пакета, появляются соответствующие иконки (рис. 3).

Схема работы модуля для шифрования дисков — PGP Disk — проста и элегантна. На обычном диске создается файл-криптоконтейнер (в любом каталоге с любым именем и расширением), см. рис. 4. При этом вы вольны указать емкость диска, а на вкладке Advanced — алгоритм защиты и букву, которой будет назван диск после подключения (рис. 5). Далее просто указываете пароль — и через несколько секунд (или минут, что зависит от заявленной емкости) у вас появляется шифрованный диск. Причем при указании пароля отображается специальный индикатор стойкости (качества), который, кстати, наглядно демонстрирует актуальность сложных паролей: так, стойкость пароля, состоящего из восьми цифр, примерно равна стойкости шестибуквенного или четырехзначного, в котором есть один спецсимвол (восклицательный знак) и три буквы.

В любой момент параметры диска можно подредактировать, изменив размер, пароль, метод шифрования и букву (или каталог, куда диск будет подмонтирован, — при работе с NTFS).

Для подключения диска достаточно два раза щелкнуть на файлe (если у него установлено расширение по умолчанию — pgd) или выбрать в трее PGP Disk — Mount Disk — Файл. При этом файл-контейнер можно свободно переименовывать, копировать и вообще проводить с ним любые операции (только если в данный момент диск не подключен), то есть можно создать шифрованный диск, записать его на CD под произвольным именем, и никто никогда о нем не узнает.

Помимо всего прочего, PGP Personal Desktop работает со множеством обычных Windows-программ, даже если их поддержка не включена в пакет напрямую, например — с Блокнотом через доступ к текущему окну или буфер обмена.

Разумеется, не обойден вниманием такой популярный продукт, как ICQ. После установки в окошке «аськи» появляется специальная иконка, с помощью которой и включается защита сессий. Все, что нужно предварительно сделать, — это обменяться со своим корреспондентом открытыми ключами.

Теперь разберемся со стойкостью защиты и безопасностью. В опциях можно задать автоматическое отключение шифрованного диска (или всех дисков) при простое более определенного интервала времени. Можно также назначить комбинацию клавиш для быстрого отключения всех дисков; при этом есть возможность задать поведение PGP Disk при отключении диска, на котором в данный момент открыты какие-либо файлы, — например, выводить предупреждение о возможной потере данных или же просто-напросто отключать диск.

Что касается самой больной темы — возможной утечки информации через своп-файл, в принципе авторы программы признают, что наглухо перекрыть этот канал утечки они не смогли ввиду особенностей функционирования операционной системы. С другой стороны, предприняты меры по уменьшению данной угрозы — все важные данные хранятся в памяти не дольше, чем это необходимо3. После завершения операции вся критически важная информация из памяти удаляется. Таким образом, эта уязвимость имеет место, и для ее ликвидации нужно либо отключить виртуальную память (что может привести к заметному ухудшению работы ОС), либо предпринять дополнительные меры по защите ПК.

Как я уже упоминал, наряду с коммерческим существует и бесплатный вариант PGP 8.0 (www. pgp.com/products/freeware.html). Он позволяет шифровать переписку по e-mail, файлы и папки. Cредства интеграции с почтовыми клиентами, а также модуль для шифрования дисков отсутствуют, зато пакет весьма неприхотлив к аппаратным ресурсам и компактен — дистрибутив весит менее 9 Мбайт.


1 (назад)  Поддержка The Bat! в виде плагина отсутствует, но последние версии этого почтового клиента имеют интегрированную поддержку стандарта OpenPGP.
2 (назад)  Подробнее о симметричных блоковых шифрах, используемых в PGP, можно прочитать, например, здесь: introtocrypto.narod.ru/chapter2.htm.
3 (назад)  Как говорит сам Зиммерман: «PGP не держит ценные данные (ключи, пароли, дешифрованный открытый текст) в памяти дольше, чем необходимо. Кроме того, мы старались, где это возможно, заставить ОС блокировать такие данные в физической памяти, не позволяя скачивать их на диск. Однако мы не даем никаких гарантий — есть вероятность, что ОС все равно может записать их на диск».

Background

Этот пакет — не что иное, как современная инкарнация популярной программы PGP Personal Security, выпускавшейся под маркой Network Assoсiates Inc. (NAI). За последние два года в жизни PGP произошло несколько кардинальных изменений.

Все началось с того, что в октябре 2001 года NAI передала часть продуктовой линейки PGP своему подразделению —  компании McAfee. Формальным поводом послужила тяжелая экономическая ситуация и невозможность извлечения прибыли из упомянутых продуктов. Впрочем, это официальная точка зрения, неофициальная же состоит в том, что после 11 сентября вся неподконтрольная государству индустрия безопасности попала под пристальное внимание госорганов под тем предлогом, что «террористы используют (или могут использовать) криптографические технологии для сокрытия своих злых намерений». В этом свете вполне логичными выглядят попытки NAI избавиться от PGP, а также закрытие (или серьезные задержки с публикаций) исходных текстов новых релизов.

В феврале прошлого года NAI известила своих клиентов о том, что больше не намерена поддерживать PGP. Это, мол, связано с тем, что попытки продать данные продукты оказались безуспешными, а «прибыли всё нет». Последняя ремарка удивительна, особенно с учетом того, что по многим параметрам PGP Personal Security и Desktop Security были не только технологическими лидерами, но и в некоторых нишах просто не имели конкурентов. Фил Зиммерман покинул компанию, и в сентябре 2002 г. события пошли по предсказуемому сценарию1:  Pretty Good Privacy перешла под крыло независимой компании PGP Corp.

Все перипетии и связанные с ними изменения названий конкретных пакетов создали некоторую путаницу, поэтому будет нелишним пояснить: на сегодняшний момент PGP Corp. выпускает три линии коммерческих продуктов с разной функциональностью — Personal, Workgroup и Enterpise (Corporate), а также стоящее особняком решение для мобильных устройств (это разделение является обычной попыткой заработать деньги путем сегментирования рынка). Параллельно существует бесплатный вариант PGP Freeware. Во все продукты восьмой версии добавлена поддержка Windows XP и Mac OS X; их исходные коды открыты.

Pretty Good Privacy —  это не только ПО, но и стандарт2. В связи с чем следует упомянуть и о проекте PGP International (www.pgpi.org), предлагающем свободные версии PGP, PGPdisk, PGPfone (защита телефонных коммуникаций), GNU Privacy Guard и др. Проект затеян ради преодоления ограничений на экспорт сильной криптографии из США. По сути, PGPi отличается от «родной» PGP лишь в деталях — вроде переноса сервера аутентификации из США в Европу и портирования продукта на экзотические платформы.


1 (назад) Подобная ситуация повторялась уже не раз: прекрасный пример — SSH и OpenSSH Project.
2 (назад)  RFC 2440: Open PGP Message Format (www.ietf.org/rfc/ rfc2440.txt).
 

© ООО "Компьютерра-Онлайн", 1997-2021
При цитировании и использовании любых материалов ссылка на "Компьютерру" обязательна.