Full crypto: Zvítězí spojení kryptografie a lenosti nad GDPR? | Kapitola 4

Samozřejmě, existují i typy útoků na takto zabezpečená zařízení. Není to absolutně odolné, jen „velmi výrazně odolné“, jde o zajímavý kompromis mezi zabezpečením, rozumnou praktičností pro uživatele a možností vzdálené správy. Útočník, který je ale ochoten dělat věci typu mražení pamětí na jedoucím notebooku anebo odbroušení epoxidu, aby se dostal fyzicky k čipům, je dost pravděpodobně ochoten pokročit ještě dál a například vám unést ženu, abyste mu data zpřístupnili pěkně po staru. S tímhle nic nenaděláme, vždy je to kompromis mezi vaší vůlí chránit data a jeho vůlí se k nim dostat.

To, čemu ale celodisková kryptografie zabrání, je drtivá většina normálních situací, jako je ztráta zařízení, ať už ztráta flashdisku anebo notebooku. Notebook jsem ještě neztratil, ale několik flashdisků ano – a pokud bych byl na nich měl data spadající pod GDPR, asi byl měl problém. Laptopy se kradou běžně, v pražské MHD se jich každý měsíc najde deset. Zde je důležité slovo „najde“, tedy jde o stroje, které jsou odevzdány Dopravnímu podniku – nejde o stroje, které někdo „vrátí“ do zastavárny anebo je přímo ukradne.

Někomu se možná zdá zběsilá snaha Apple u přenosných zařízení mít kryptografii aktivní trvale, mě to uhozené nepřijde – a to se bavíme o firmě, která paměti pájí přímo na základní desku, takže přístup k ní opravdu není věc pro amatéry. U PC stačí vytáhnout disk, strčit do do externího boxu (existují na všechny formáty disků) – a je to. U přenosných zařízení je kryptografie, která nepenalizuje výkon stroje, celkem jasná věc. Otázka je, jestli je potřeba i u desktopů, ale u těch, které obsahují cenná data, je to asi logická volba.

Celodisková kryptografie je jednoduchá, přímo líná metoda, jak zajistit data tak, aby prudce klesla pravděpodobnost jejich úniku, přičemž admin může zůstat stejně líný jako předtím a uživatelé zase stejně nezodpovědní: Vše za ně řeší kryptografie. Dokud je to uživatelsky transparentní, není žádný problém, prostě se naučí o heslo navíc. Staré notebooky IBM také uměly zamykat přístup k disku, což je sice řádově slabší bariéra, ale v praxi musím říct, že si na to snadno zvyknete. V okamžiku, kdy kryptované disky bude plně podporovat přímo UEFI, stane se práce s nimi pro uživatele prakticky úplně transparentní. Implementace hardwarové akcelerace AES navíc už dnes není příliš drahé, takže možná brzy přijde doba, kdy tak budou vybaveny všechny disky: Jen ty odolné přidají ještě nějakou ochranu proti mechanickému napadení.

Takto implementovaná celodisková kryptografie se mi líbí – a to ani ne kvůli zvýšení bezpečnosti, protože to jste mohli dělat snad už dřív, ale díky tomu, že se celá komplexita schovává před uživatelem a nekladou se na něj žádné nové nároky. Nemusíte ho nic užit, nemusíte mu vysvětlovat bezpečné a běžné úložiště, nenutíte ho přemýšlet nad tím, co má kam ukládat a proč. Všechno je jednoduché a zabezpečené. V případě, že zodpovídáte za bezpečnost dat ve firmě, je tohle prostě pecka.