Disk şifreleme

Disk şifreleme içerisindeki bilgiyi kimliği doğrulanmamış kişilerden korumak için kolayca çözülemeyecek okunmaz bir koda dönüştüren bir teknolojidir. Disk şifreleme disk şifreleme yazılımı veya diske veya diskin herhangi bir bölümüne giden her bir bit veriyi şifreleyen bir donanım kullanır. Veri belleğine kimliği doğrulanmamış kişilerin erişmesini engeller.

Tam Disk Şifreleme veya Tüm Disk Şifreleme teknolojisinin, ana önyükleme kaydı veya benzer alanda bir açılış disketi, işletim sistemini başlatma kodu dışında kalan her şeyi şifrelediği ifade edilir. Bazı donanım tabanlı tam disk şifreleme sistemleri ana önyükleme kaydı dahil olmak üzere bütün önyükleme diskini şifreler.

Şeffaf şifreleme ya da diğer adıyla gerçek zamanlı şifreleme ve havadayken şifreleme, bazı disk şifreleme yazılımı kullanılan bir yöntemdir. "Şeffaf" kelimesi kaydedilen veya yüklenen verinin otomatik olarak şifrelendiği veya çözüldüğü anlamına gelir.

Şeffaf şifreleme ile, dosyalar anahtar doğrulandıktan hemen sonra erişilebilir hale gelir, eğer fiziksel bir sürücü var ise sanki o disk bölümü bu sürücüye yerleştirilmiş gibi davranır ve şifresiz olan bütün dosyaları erişilebilir yapar.

Doğru şifre/anahtar dosyası veya doğru şifreleme anahtarları kullanılmadan hiçbir veri saklanan şifreli disk bölümü okunamaz (çözülemez).Tüm dosya sistemi o disk bölümü içerisinde şifrelenmiştir. (dosya isimleri, klasör adları, dosya içeriği, ve diğer üst-veriler).

Son kullanıcıya şeffaf olmak için, şeffaf şifreleme şifreleme işlemini devreye sokmak için genelde makinenin sürücülerini kullanma izni ister. Her ne kadar bazı sürücüleri kurmak için yönetici girişi istense de, şifrelenmiş disk bölümleri çoğunlukla normal kullanıcı hakları ile bu işlemleri gerçekleştirir.

Disk şifreleme tüm durumlarda dosya şifreleme yerine geçmez. Disk şifreleme bazen daha güvenli bir uygulama oluşturmak için dosya düzeyinde şifreleme ile birleştirilebilir. Disk şifreleme genellikle bütün sürücüyü aynı anahtar ile şifrelediği için, bütün veriler sistem çalışıyorken çözülebilir. Ancak, bazı disk şifreleme çözümleri farklı disk bölümleri için birden çok anahtar ile şifreleme yapar. Eğer bir saldırgan bilgisayarın çalışma zamanında erişim izni elde ederse, bütün dosyalara erişme yetkisi olur. Klasik Dosya ve klasör şifreleme bunun yerine farklı anahtarlar ile farklı disk parçalarına erişim sağlar. Böylece saldırgan hala-şifreli olan dosya ve klasörlerden bilgi elde edemez.

Disk şifrelemenin aksine, dosya düzeyinde şifreleme alışılan gibi dosya sisteminin üst-verisini, dizin yapısı, dosya isimleri, dosyanın son değiştirilme tarihi veya boyutu gibi bilgileri tipik bir şekilde şifrelemez.

Güvenilir Platform Modülü ana kart üstünde gömülü olan ve donanım aygıtlarının kimlik doğrulamasını yapan güvenli bir kripto işlemcisidir. Her Güvenilir Platform Modülü çipi benzersiz bir özel aygıt olduğundan, platform için kimlik doğrulama yapma yeteneğine de sahiptir. Bu modül erişmek isteyen sistemin beklenen sistem olduğunu doğrulamak için kullanılır.

Sınırlı sayıdaki Disk şifreleme çözümlerinin Güvenilir Platform Modülü desteği bulunmaktadır. Bu uygulamalar GPM kullanarak çözme anahtarını paketleyebilir, böylece sabit diski belli bir aygıta bağlamış olur. Eğer sabit disk belirlenmiş aygıttan kaldırılır ve başka birine bağlanırsa, çözme işlemi başarısız olur. Çözme şifresi veya jetonu (token) ile geri dönüşüm sağlanabilir.

Ancak bir avantaj olarak, diskin bir aygıttan tam olarak çıkarılamaması, tek nokta hatası olarak şifreleme yaratabilir. Örneğin, GPM veya anakarta bir şey olursa, kullanıcı sabit diski bir başka bilgisayara bağlayarak veriye erişim sağlayamaz, ancak kullanıcı kurtarma anahtarını diskten çıkartabilir.

Piyasada disk şifrelemeye izin veren birden fazla araç var. Ancak, hepsinin farklı özellikleri ve güvenlik seviyeleri bulunmakta. Bu uygulamaları üç ana kategoriye ayırabiliriz: Yazılım tabanlı, depolama aygıtının içinde bulunan donanım tabanlı ve başka bir yerde (örneğin işlemci veya ana bilgisayar veri yolu bağdaştırıcısında) bulunan donanım tabanlı uygulamalar. Depolama aygıtının içinde bulunan donanım tabanlı tam disk şifreleme uygulamasına kendini şifreleyen aygıtlar denir ve performansa kötü etkisi bulunmaz. Ayrıca, medya-şifreleme anahtarı aygıtı asla tek başına bırakmaz bunun sonucunda işletim sistemindeki hiçbir virüs buraya erişemez.

Güvenilir Bilgi İşlem Grubu Opal aygıtı endüstride kendini şifreleyen aygıtlar konusunda standart haline gelmiştir. Dış donanım yazılım tabanlı çözümlere göre çok daha hızlıdır ancak işlemci versiyonları hala performansı etkileyebilir ve medya şifreleme anahtarları yeterince iyi korunmuyor olabilir.

Ön yükleme aygıtı için bütün çözümler ön yükleme öncesi kimlik doğrulama bileşeni ister. Bu bileşen birkaç sağlayıcı firma tarafında bütün çözüm tipleri için mevcuttur. Bütün durumlarda kimlik doğrulama bilgileri çok önemlidir ve  simetrik şifreleme genel hatlarıyla güçlü olduğu için genellikle potansiyel en zayıf nokta burası oluyor.

Güvenli ve güvenilir kurtarma mekanizmaları ve kurum içinde herhangi bir disk şifreleme çözümleri büyük ölçekli dağıtım için gereklidir. Çalışanın haber vermeden şirketten ayrılması veya şifresini unutması durumunda uygulama, güvenli ama bir o kadar da kolay bir şekilde şifreleri (en önemli veri) kurtarma özelliği sağlaması gerekir.

Eğer bir meydan okuma–karşılık verme mekanizması kullanmak küçük şirketler için pahalı olduğu için imkânsız ise, acil durum bilgi kurtarma bir alternatif sağlar.

Çoğu tam disk şifreleme projeleri soğuk önyükleme saldırısına karşı savunmasız haldedir, bu saldırı şifreleme anahtarlarının halihazırda çalışan makinenin işletim sistemini soğuk-önyükleme yaparak çalınması ve hafızadaki verilerin içeriklerini kaybolmadan önce ele geçirilmesidir. Bu saldırı bilgisayar hafızasının veri mıknatıslama özelliğine dayanır, mıknatıslama özelliği, verinin güç kesildikten sonra bilgisayarın veri bitlerini parçalamasının birkaç dakika sürmesi olarak belirtilir. Bu saldırı karşısında Güvenilir Platform Modülü de etkili olmaz, çünkü işletim sistemi diske erişmek için kullanılan çözme anahtarlarını hafızasında tutar.

Tam disk şifreleme teknolojisinin bilgisayarın askıya alınması durumunda da zafiyetleri bulunmaktadır. Bilgisayar uyandığında BIOS önyükleme buyrukları veya dizilmine ihtiyaç duymaz, yani tam disk şifreleme şifresini sormaz. Hibernasyon modunda ise BIOS önyükleme dizilimi karşılaştırılır, ve bu işlem bu modu güvenli kılar.

Tüm yazılım tabanlı şifreleme sistemleri çeşitli yan kanal saldırılarına karşı  savunmasızdır, bu saldırıya akustik kripto analiz ve donanım tuş kaydedicisi saldırıları örnek gösterilebilir. Diğer açıdan, kendini şifreleyen aygıtlarında donanım şifreleme anahtarı asla diskin kontrolüne bırakılmadığı için bu tür saldırılara karşı zafiyet barındırmaz.

Ayrıca, hiçbiri tam disk şifreleme projesi verilerin kurcalanmasına (veya sessiz veri bozma durumu, örneğin bitrot) karşı korumaz. Bu projeler bütünlüğü değil sadece gizliliği sağlar anlamına gelir. Blok şifreleme tabanlı şifreleme modları tam disk şifreleme teknolojisini kendilerinin kimliğini şifrelemek yerine saklama alanı problemleri sebebiyle kimlik doğrulama etiketi ile kullanır. Böylece, eğer disk üzerindeki veriye müdahale edilirse, veri okunmaya çalışıldığı zaman karmakarışık rassal veri olarak çözülür ve hangi veriye müdahale edildiğine göre (örneğin, işletim sisteminin üst verisinin benzer bir program dosyasında işlenmesi) hataların ortaya çıkması beklenir. Bu kaygıları azaltmanın birkaç yolundan biri olarak, tam disk şifrelemenin üstünde dosya sistemlerinin sağlama toplaması (örneğin Btrfs veya ZFS) yaparak tam veri bütünlüğüne ulaşmak olabilir.

Takas alanı ve geçici dosyalar dahil olmak üzere neredeyse her şey şifreleniyor. Şifrelenmiş bu dosyalar önemlidir, bu dosyalar önemli güvenlik verilerini barındırabilir. Yazılım uygulamalarında, başlatma kodu şifrelenmiş olamaz. Örneğin, BitLocker Sürücü Şifreleme diskin önyükleme bölümünü şifrelenmemiş bir biçimde bırakır, öte yandan işletim sistemini içeren disk bölümü tamamen şifrelenmiştir.

Tam disk şifreleme ile, hangi dosyaların şifreleneceği kullanıcının seçimine bırakılmaz. Bu özellik ile hassas dosyaları şifrelemeyi unutan veya şifrelemek istemeyen kullanıcılar korunmuş olur.

Veri tahribatı durumda, örneğin basitçe kriptografik anahtarların yok edilmesi, ilgili veriyi kullanılmaz hale getirir. Ancak öte yandan, eğer güvenlik tarafı sonraki saldırılar konusunda kaygılı ise, temizleme veya fiziksel zarar verme (kullanılmaz hale getirmek) önerilir.

Tam disk şifrelemede işletim sisteminin saklandığı bloklar işletim sistemi başlatılmadan önce çözülmüş olmalı, yani anahtar kullanıcı arayüzü ile şifre sorulmadan önce mevcut durumda olmalıdır.Çoğu Tam Disk Şifreleme çözümleri Önyükleme Öncesi Kimlik Doğrulama'yı küçük ve oldukça güvenli işletim sistemini - sıkı sıkıya kilitlenmiş ve özeti çıkarılmış sisteme karşı sistem değişkenlerini önyükleme öncesi çekirdek bütünlüğü ile kontrol etmesi -  yüklemek için kullanır. BitLocker Sürücü Şifrelemesi gibi bazı uygulamalarda önyükleme çevresinin bütünlüğünden emin olmak için Güvenilir Platfrom Modülü gibi bazı donanımlar kullanılabilir, bu sayede önyükleme yükleyicisini modifiye edilmiş olanla değiştirilmesi saldırısını engeller. Bu özellik kimlik doğrulama işlemini önyükleme aygıtı kullanılması ve önyükleme öncesi çözülen verilerin bozulması ihtimalini ortadan kaldıracak şekilde kontrol edilmiş ortama yerleştirir.