ITコンサルタントは、完全なディスク暗号化をいつ使用する必要がありますか？

ITコンサルタントは、クライアントのコード/データを保護するために、どのような状況でハードドライブを暗号化する必要がありますか？

それがあなたの仕事の負荷に多くを追加しない場合、あなたがラップトップが盗まれた場合でも、たとえ誰かがあなたのラップトップが盗まれたとしても、誰かがあなたのメールファイルや他のドキュメントにアクセスするのを少なくとも防ぐために「弱い」パスワードでフルディスク暗号化を使うのもよいと私は考えていますデータベースファイルやその他の非常に機密性の高いデータにはアクセスできません。

security

— ジョン・フィッシャー
ソース

TrueCryptのようなものを使用して、暗号化されたボリュームを作成することもできます。したがって、ドライブ全体を暗号化するのではなく、機密情報を格納するために使用できる「仮想」ドライブを作成します。盗まれた場合に備えて、私のラップトップ上のソースコードとドキュメントにそれを行います。

— GrandmasterB

残念ながら、暗号化されたボリュームはフルディスク暗号化よりもかなり簡単に解読できます。これは通常、ボリュームに関連するデータが多すぎるため、Evil Maid攻撃（schneier.com/blog/archives/2009/10/evil_maid_attac.html）のようなものが必要です。メモリまたは一時スペースにキーを！ノートパソコンのデータの機密性が高い場合は、実装をよく確認してください。

— Rory Alsop

@Rory Alsop：暗号化されたボリュームはIMOであり、セキュリティと使いやすさの間の妥当なトレードオフです。ポータブル（例：Dropboxの200 MB TCボリューム）で、実際には秘密ではない（ただし完全に公開したくない）データに役立ちます。言い換えれば、暗号化をまったく行わないよりもわずかに優れています。これは、一部のシナリオでは十分な場合があります。

— Piskvorが建物を去った

回答:

特にラップトップに機密データがある場合は、フルディスク暗号化が適切であることに同意します（おそらくそうします）。したがって、新しいラップトップモデルは非常に高速なので、「常に」と言います。

とはいえ、注意事項があります。

パスワードを忘れた場合、これはすべてのデータがなくなったことを意味します（もう一度パスワードを覚えるまで）。
（当然のことですが、「パスワードの回復」オプションがある暗号化ソリューションは、おそらく暗号化ではなく、ヘビの油です。）
弱いパスワード ==保護なし（牛飼い主はおそらくあなたのコンピューターに侵入しようとはしませんが、盗まれたラップトップのデータはお金の価値があるかもしれません;さらに、パスフレーズは非常に強力で覚えやすいです）
フルディスク暗号化は、不可能ではないにしても、スリープモード/ハイバネーションを非実用的にする可能性があります（使用する製品を確認してください）
一部のデータには追加の場所からアクセスできる場合があります（たとえば、電子メールはサーバーに保存され、コピーはコンピューターのローカルに保存されます）
フルディスク暗号化は魔法のピクシーダストではありません-それは他の攻撃ベクトルに対するセキュリティを提供しません、それでもそれらに個別に対処する必要があります（バックアップ、アンチウイルス、ファイアウォール、フィッシング保護、ソーシャルエンジニアリング、ゴムホース暗号解読）

暗号化を誰からもデータを永久に保護する方法と見なすべきではないことに注意してください。その目的は、攻撃者が興味をそそるほど長く攻撃者を遅らせることです。強力な暗号化を使用すると、攻撃者がブルートフォースでデータに到達するまでに数年かかるはずです。その時点で、データは古すぎて役に立たなくなります。国家安全保障局（または同様の強力なエンティティ）は、暗号化をはるかに速くクラックできます（膨大な量のコンピューティング能力をスローする可能性があるため）が、フルディスク暗号化は、他の誰か（たとえば、競合他社やランダム泥棒）。

おまけに、暗号化によって偶然の覗き見がなくなります。（電源がオフになっている）ラップトップをどこかで忘れてしまった場合、ほとんど正直な人が、好奇心から、ファイルを返却する前にファイルを閲覧することに決めるかもしれません。「ほとんどのロックは正直な人々を正直に保つために作られている」という格言があります。強力なロックはそれを実現し、本当に悪意のある人々を十分に長く締め出します。

— Piskvorが建物を出た
ソース

金融会社と契約したときに私に起こったことの1つは、会社が発行したラップトップが完全ディスク暗号化されていて、ソフトウェアのインストールによってねじ込まれて起動しなかったということです。したがって、Windowsから何かにアクセスする方法はありませんでした。起動しないか、独立して、暗号化されているためです。IT担当者は、データを取得する方法を見つけることができませんでした。取り出されたラップトップまたはディスクには、すべてのデータをアーカイブする必要があるため、ワイプして復元するだけでは不十分であるという要件がありました。彼らがそれをどのように解決したか私にはわかりません。

— David Thornley、

@David Thornley：ああ、S ** tは起こります。会社にはバックアップポリシーがあったと思いますか？（そしてエンドユーザーが私がブートローダーやシステムの内部をいじる必要があるソフトウェアをインストールすることがそれほど頻繁ではないので、それらをめちゃくちゃにする可能性があり、ドライブ障害の近くのどこかにこれをランク付けする必要があります：珍しいことではありません、しかし実際には日常の出来事ではなく、回復計画に何かを含める必要があります（私は、日常の操作で特権ユーザーとして実行していないことも想定しています））？

— Piskvorが建物を去る

私はインストールをしていませんでした。それは一晩システムプッシュされたもので、おそらく管理者として実行されていました。当時は当然のことながら、開発者は当然管理者として実行されていました。インストールされるソフトウェアは、通常かなり無害なインストールであるVisual StudioのバージョンであるIIRCでしたが、明らかに何かがめちゃくちゃになりました。ラップトップには貴重なデータはなく、すべてプレインストールされたユーティリティであり、私の実際の作業は別のボックスで行われました。規制に違反していたら、IT部門は一掃してイメージを再作成でき、すべて問題なかったはずです。

— David Thornley

1：「弱い」パスワードは実際の問題ではありません。人々はオフィスにやって来ず、力ずくで機械に侵入します。実際の問題は、1）ソーシャルエンジニアリング、または2）キーボードロガーです。どちらも「強力な」パスワードを役に立たなくします。IT部門のそれほど技術的でない人々に、これら2つのこと、それらを見つける方法、およびそれらを処理する方法について教えれば、問題は発生しません。

2：誰かがあなたの暗号化されたディスクを手に入れたら、それが暗号化されていることは問題ではありません。彼らはデータを取得できます。それは彼らにとってどれだけのデータが価値があるかという問題です。核のコードやGoogleの検索アルゴリズムを保護しているのなら、武装した警備員を雇い、ドライブの暗号化を忘れます。

— 小禄崎
ソース

要点2：何でもブルートフォースで実行できるが、10年以内にブルートフォースで実行できるという意味ではない。データが古くなって興味をそそるようになるには、十分な時間です。（NSAは、より高速にデータを割るかもしれないが、自称産業スパイの専門家（ちょうど盗むために起こった実際に泥棒あなた、ポイント1のとおり-ポイントであるディスク）は、欲求不満に彼の手を投げるとあきらめるます） 3つの単語：多層防御。私は車のドアに鍵をかけています。イグニッションキーをそのままにしておくという意味ではありません。複数のリスクがあり、保護は互いに補完し合う必要があります。

— Piskvorが

私はこの点についてPiskvorに同意します。フルディスク暗号化を強引に強制することは、使用可能な時間枠では非現実的である可能性があります。何か価値のあるものがあれば、彼らは物理的な脅迫や拷問などに行きます。そのため、その価値があるなら、ディスクの暗号化に加えて物理的なセキュリティも提供します。それは深刻な抑止力です。

— ロリー・アルソップ

@Piskvor @ Rory Alsop-良い点。完全なドライブ暗号化は、時間を浪費する前に完全に証明するほうがよいというような不利益であると私は思います。しかし、私が保護しているものが非常に貴重なものであるなら、それを手に入れるのを少し難しくするために余分な努力を費やす価値があります。

— orokusaki

うん。それでも、機密データを含む暗号化されていないラップトップを紛失した会社がなければ、1か月が経過していません（例は豊富です。最新のニュースを検索してください-I / 2011で提供するものは、これを読んだときにすでに忘れられている可能性があります）。。

— Piskvorが建物を去る

@パン-強盗がいます。しかし、私はすべての所持品を金庫に入れるのではなく、最も重要なもの（パスポート、金など）だけを保管します。代わりに、私は誰かが私のすべての所持品にアクセスできないようにするのに役立つセキュリティを持っています。これは、私が水が欲しいときにカップを取り出すために金庫に行かなければならない、または朝に服を着るときにズボンを運ぶというオーバーヘッドの副作用から私を救います。私は金庫をロックするために推測しにくいパスワードを使用しているので、私が最も気にかけるものは盗まれる可能性が低くなります。

— orokusaki

率直に言って、私はのための任意の言い訳ないと思うない FDEを使用しては。私は何年も私のラップトップでそれを使用しましたが、実質的に問題はありません。

私は、Debianの一部であるLUKS暗号化を使用しています（インストーラーがそれをセットアップします）。

他の回答の懸念に対処するには：

パスワードを忘れた場合、これはすべてのデータが Trueになっていることを意味しますが、安全な場所（または適切なメモリ）にパスワードを書き留めておく必要があるだけです。起動するたびに入力する必要があるため、忘れることはそれほど問題ではありません。
フルディスク暗号化により、スリープモード/休止状態が実用的でなくなる可能性があります。RAMの内容は保持されるため、スリープは影響を受けません。ハイバネーションはそのまま使用でき、暗号化されたスワップパーティションにハイバネートします。
パフォーマンスの低下これは本当ですが、通常の操作では影響は最小限です。I / O と CPUの両方が使い果たされている場合にのみ、目立ちます。私が気づく唯一の状況はビデオのエンコード中です。それでもオーバーヘッドは約10％に過ぎません。
暗号化が解読される可能性はほとんどありません -強力なパスフレーズ（つまり、プログラムによって生成されたもの）を選択した場合、ブルートフォースする方法は（近い将来）ありません。

私の意見では、少しでもプライベートな情報でさえラップトップは常に FDEを使用するべきです。ラップトップは簡単に紛失したり盗まれたりします。

— sleske
ソース

「パスフレーズを忘れた」問題の簡単な解決策：異なるパスフレーズ（両方とも強い）を持つ2つのキーをインストールします。両方を同時に忘れることはほとんどありません。

— tdammers 2012年