Szyfrowanie skutecznie chroni dane przed osobami, które nie powinny mieć do nich dostępu. Jednocześnie ten sam mechanizm może zablokować dostęp również właścicielowi urządzenia. Wystarczy utrata hasła, klucza odzyskiwania albo dostępu do konta, na którym zapisano klucz.
Z perspektywy laboratorium odzyskiwania danych szyfrowanie stanowi więc zarówno zabezpieczenie, jak i dodatkowy warunek skutecznego odzyskania plików. Możemy naprawić uszkodzony nośnik, wykonać jego kopię sektorową i odzyskać zapisane sektory. Jeżeli jednak dane nadal pozostają zaszyfrowane, do ich odczytania potrzebujemy właściwego klucza.
Czy zatem warto szyfrować dane? Tak, pod warunkiem że równocześnie zadbamy o bezpieczne przechowywanie kluczy odzyskiwania oraz prawidłowo wykonane kopie zapasowe.

Czym jest szyfrowanie danych?

Szyfrowanie przekształca czytelne informacje w postać, której nie można poprawnie odczytać bez odpowiedniego klucza. W zależności od zastosowanego rozwiązania może ono chronić cały dysk, wybraną partycję, pojedyncze pliki, kopię zapasową albo dane przesyłane przez sieć.
Jeżeli szyfrowanie działa prawidłowo, osoba, która ukradnie laptop, telefon lub dysk zewnętrzny, nie powinna uzyskać dostępu do zapisanych informacji. Co więcej, samo przełożenie dysku do innego komputera również nie wystarczy, ponieważ nośnik nadal będzie wymagał podania klucza lub hasła.
Trzeba jednak pamiętać, że szyfrowanie chroni przede wszystkim poufność danych. Nie zabezpiecza natomiast nośnika przed awarią, usunięciem plików, nadpisaniem danych ani uszkodzeniem systemu plików.

Jakie dane warto szyfrować?

W praktyce warto szyfrować przede wszystkim urządzenia i nośniki, które przechowują:

dane osobowe klientów lub pracowników,
dokumentację księgową i kadrową,
dane medyczne,
bazy danych i dokumentację techniczną,
poufną korespondencję,
informacje finansowe,
prywatne dokumenty i zdjęcia,
kopie zapasowe ważnych danych.

Szczególnie istotne jest szyfrowanie laptopów, telefonów i nośników przenośnych, ponieważ takie urządzenia łatwo zgubić, pozostawić bez nadzoru albo utracić w wyniku kradzieży.
Firmy powinny również chronić dyski serwerowe, urządzenia NAS, macierze oraz backupy. W ich przypadku samo włączenie szyfrowania jednak nie wystarczy. Równolegle trzeba wdrożyć centralne zarządzanie kluczami, ponieważ dostęp do danych całej organizacji nie powinien zależeć od hasła znanego tylko jednej osobie.

Jak działa szyfrowanie?

Współczesne systemy korzystają głównie z szyfrowania symetrycznego i kryptografii asymetrycznej. Oba mechanizmy pełnią różne funkcje, dlatego zwykle stosuje się je równolegle.
Szyfrowanie symetryczne wykorzystuje ten sam klucz do zaszyfrowania i odszyfrowania danych. Ponieważ działa szybko, systemy stosują je między innymi do ochrony dysków, baz danych i kopii zapasowych. Najczęściej wykorzystują przy tym standard AES, zwykle w wariantach AES-128 lub AES-256.
Z kolei kryptografia asymetryczna korzysta z pary kluczy: publicznego i prywatnego. Służy głównie do bezpiecznej wymiany kluczy, uwierzytelniania oraz podpisów cyfrowych.
Nie należy więc traktować jednej metody jako automatycznie bezpieczniejszej od drugiej. W praktyce obie techniki uzupełniają się i rozwiązują różne problemy.

Szyfrowanie całego dysku

Szyfrowanie całego dysku chroni dane przed odczytaniem po przełożeniu nośnika do innego urządzenia. Do popularnych rozwiązań należą między innymi:

BitLocker w systemie Windows,
FileVault w komputerach Apple,
szyfrowanie urządzeń z systemami Android i iOS,
VeraCrypt używany do ochrony woluminów i kontenerów.

Tego typu ochrona szczególnie dobrze sprawdza się w razie zgubienia lub kradzieży sprzętu. Gdy komputer pozostaje wyłączony, osoba bez odpowiedniego klucza nie powinna odczytać zapisanych plików.
Sytuacja zmienia się jednak po uruchomieniu komputera i zalogowaniu użytkownika. System odblokowuje wtedy dysk i na bieżąco udostępnia pliki. W rezultacie złośliwe oprogramowanie działające na koncie użytkownika może uzyskać do nich dostęp.
Dlatego szyfrowanie nie zastępuje aktualizacji, ochrony kont, ograniczania uprawnień ani kopii zapasowych. Stanowi tylko jeden z elementów całego systemu bezpieczeństwa.

BitLocker – skuteczna ochrona, ale także ryzyko utraty dostępu

BitLocker szyfruje dyski w komputerach z systemem Windows i często współpracuje z modułem TPM. Przy prawidłowym uruchamianiu system może automatycznie odblokować nośnik, dzięki czemu użytkownik nie zauważa działania szyfrowania podczas codziennej pracy.

System może jednak zażądać 48-cyfrowego klucza odzyskiwania, jeżeli wykryje istotną zmianę sprzętową albo problem z procesem uruchamiania. Może się tak zdarzyć między innymi po:

zmianie ustawień BIOS lub UEFI,
zmianie konfiguracji Secure Boot,
aktualizacji firmware,
awarii modułu TPM,
wymianie płyty głównej,
przełożeniu dysku do innego komputera,
uszkodzeniu systemu operacyjnego.

Klucz odzyskiwania może znajdować się na koncie Microsoft, w Microsoft Entra ID, Active Directory, na nośniku USB albo w dokumentacji użytkownika. Dlatego przed wystąpieniem awarii warto sprawdzić, gdzie rzeczywiście został zapisany. Jeżeli właściciel nie posiada właściwego klucza, laboratorium odzyskiwania danych nie może go po prostu wygenerować ani ominąć. Skuteczne obejście poprawnie działającego szyfrowania przeczyłoby jego podstawowemu przeznaczeniu.
Możemy więc naprawić elektronikę nośnika, wymienić uszkodzone głowice dysku HDD albo wykonać kopię sektorową uszkodzonego SSD. Jeżeli jednak odzyskany obraz nadal zawiera prawidłowo zaszyfrowane dane, potrzebujemy właściwego klucza, aby odczytać system plików.

Czy hasło, PIN i klucz odzyskiwania to jest to samo?

Użytkownicy często utożsamiają hasło do konta systemowego z kluczem szyfrującym. Tymczasem są to różne elementy zabezpieczeń.
Hasło lub PIN zwykle służą do zalogowania się do systemu. Klucz odzyskiwania pozwala natomiast odblokować zaszyfrowany wolumin w sytuacji awaryjnej. W związku z tym znajomość PIN-u nie zawsze umożliwi otwarcie dysku poza pierwotnym komputerem.

Przed awarią warto więc ustalić:

czy urządzenie korzysta z szyfrowania,
gdzie zapisano klucz odzyskiwania,
kto ma do niego dostęp,
czy firma potrafi odzyskać klucz bez udziału konkretnego pracownika.

Nie należy przy tym przechowywać jedynej kopii klucza na zaszyfrowanym komputerze. W razie awarii taki zapis może okazać się bezużyteczny.

Jak bezpiecznie przechowywać klucz odzyskiwania?

Klucz powinien znajdować się poza chronionym urządzeniem. Użytkownik prywatny może przechowywać go na zabezpieczonym koncie producenta systemu, w menedżerze haseł, na osobnym zaszyfrowanym nośniku albo w postaci papierowej w bezpiecznym miejscu.
Firma powinna natomiast zarządzać kluczami centralnie, na przykład za pomocą Microsoft Entra ID, Active Directory albo dedykowanego systemu zarządzania kluczami.
Jednocześnie dostęp do kluczy powinny mieć wyłącznie uprawnione osoby. Organizacja powinna również posiadać procedurę awaryjną na wypadek nieobecności administratora lub utraty dostępu do głównego systemu zarządzania.
Szyfrowanie bez zarządzania kluczami przypomina więc zamontowanie bardzo dobrego zamka i pozostawienie jedynego klucza w zamkniętym pomieszczeniu.

Czy szyfrowanie chroni przed ransomware?

Szyfrowanie całego dysku nie chroni bezpośrednio przed ransomware. Dzieje się tak dlatego, że podczas pracy użytkownika system ma dostęp do odszyfrowanych plików.
W rezultacie ransomware może je odczytać, zmodyfikować, usunąć albo zaszyfrować własnym kluczem. Szyfrowanie nadal ogranicza więc skutki kradzieży urządzenia, ale nie zastępuje ochrony kont, aktualizacji, kontroli uprawnień i odseparowanych kopii zapasowych.

Szyfrowanie nie zastępuje kopii zapasowej

Zaszyfrowany dysk może ulec uszkodzeniu mechanicznemu, elektrycznemu lub logicznemu dokładnie tak samo jak dysk nieszyfrowany.

Szyfrowanie nie zapobiegnie między innymi:

przypadkowemu usunięciu plików,
nadpisaniu danych,
sformatowaniu partycji,
awarii systemu plików,
uszkodzeniu kontrolera SSD,
degradacji macierzy RAID,
zaszyfrowaniu plików przez ransomware.

Dlatego szyfrowanie powinno działać równolegle z kopią zapasową. Co najmniej jedna kopia powinna pozostawać odłączona od głównego systemu albo chroniona przed zmianą i usunięciem.
Ponadto należy regularnie sprawdzać, czy dane da się odtworzyć. Backup, którego nikt nigdy nie próbował przywrócić, pozostaje jedynie założeniem, a nie potwierdzonym zabezpieczeniem.
Klucze do zaszyfrowanych kopii również trzeba przechowywać niezależnie od samych backupów. W przeciwnym razie utrata klucza może sprawić, że prawidłowo wykonana kopia stanie się bezużyteczna.

Co wtedy, gdy dane istnieją, ale nie można ich odszyfrować?

W laboratorium spotykamy nośniki, na których po reinstalacji systemu nadal znajdują się fragmenty poprzednich danych. Sam fakt, że sektory fizycznie istnieją, nie oznacza jednak, że można odtworzyć zapisane wcześniej pliki.
Jeżeli poprzednia instalacja systemu korzystała z BitLockera, a użytkownik utracił odpowiedni klucz, odzyskane sektory nadal pozostają zaszyfrowane. Dotyczy to zwłaszcza sytuacji, w których ponowna instalacja systemu utworzyła nowe klucze i usunęła informacje potrzebne do odblokowania starego woluminu.
W przypadku dysków SSD sytuację może dodatkowo pogorszyć mechanizm TRIM. System może oznaczyć usunięte obszary jako niepotrzebne, a kontroler nośnika może je później wyczyścić. Wtedy brakuje nie tylko klucza, lecz także części danych, które miałyby zostać odszyfrowane.
Z tego powodu po utracie dostępu do zaszyfrowanego nośnika nie należy instalować ponownie systemu, formatować dysku ani podejmować przypadkowych prób naprawy.

Szyfrowanie a odzyskiwanie danych

Szyfrowanie nie musi uniemożliwiać odzyskania danych z uszkodzonego nośnika. W wielu przypadkach laboratorium może:

naprawić uszkodzoną elektronikę,
ustabilizować pracę nośnika,
wymienić uszkodzone podzespoły dysku HDD,
wykonać kopię sektorową,
odtworzyć uszkodzoną strukturę logiczną.

Po wykonaniu tych czynności nadal trzeba jednak odblokować zaszyfrowany wolumin. Bez hasła lub klucza odzyskiwania dalsza analiza może okazać się niemożliwa.
Dlatego w przypadku awarii warto przekazać laboratorium: informację o użytym mechanizmie szyfrowania, dostępne hasła, klucz odzyskiwania, dane konta, na którym mógł zostać zapisany klucz,
oraz informacje o wcześniejszych zmianach sprzętowych lub systemowych.
Nie należy natomiast samodzielnie inicjalizować dysku, formatować go ani ponownie instalować systemu. Takie działania mogą nadpisać dane i metadane potrzebne do analizy.

Co zmienia kryptografia postkwantowa?

Rozwój komputerów kwantowych może w przyszłości wpłynąć na bezpieczeństwo części algorytmów asymetrycznych, takich jak RSA i ECC.
Nie oznacza to jednak, że użytkownicy powinni dziś rezygnować z AES, BitLockera, FileVaulta lub VeraCrypta. Dla większości osób znacznie bardziej realnym zagrożeniem pozostaje utrata klucza, brak kopii zapasowej albo nieprawidłowa konfiguracja szyfrowania.
Firmy, które muszą chronić poufne dane przez wiele lat, powinny natomiast śledzić rozwój standardów postkwantowych i wybierać rozwiązania pozwalające na późniejszą zmianę algorytmów.

Jak bezpiecznie wdrożyć szyfrowanie?

Przed włączeniem szyfrowania należy:

Wykonać aktualną kopię zapasową i sprawdzić możliwość jej odtworzenia.
Zapisać klucz odzyskiwania poza szyfrowanym urządzeniem.
Ustalić, kto może uzyskać dostęp do klucza.
Przed zmianami sprzętowymi lub systemowymi sprawdzić dostępność klucza.
Regularnie testować odtwarzanie danych i dostęp do backupu.