Как правильно зашифровать диск Windows?
=========================================

 Всем привет! С Новым годом!  

Я только набираю информацию в этой теме. На компе стоят SSD и HDD. Есть у меня задача разрабатывать проект именно в среде windows. Слышал что его могут взламывать все кому не лень. Тем не менее хочу поинтересоваться у знающих людей, возможно ли обезопасить данные на диске таким образом, чтобы ни один технарь не смог бы расшифровать данные без необходимого пароля?  

Какими средствами и как (если это возможно) это можно осуществить? Как видите вопрос задан неконкретно, извиняюсь. Был бы рад обсуждению под ним, чтобы можно было все таки разобраться что и как. 

 У вас 2 варианта шифрования - на уровне файлов и на блочном уровне.  

  

Первый вариант - самый простой для реализации - в свойствах файла/каталога указываешь флаг шифрования (только для NTFS) и все, только ваш windows аккаунт будет иметь к нему доступ (осторожно, при сбросе пароля или переустановке системы, без резервного копирования ключей шифрования, доступ к данным будет потерян).  

Этот способ образно защищает ваши данные от любого пользователя windows но администраторы могут установить приложение, которое сможет скопировать или изменить данные в момент, когда они доступны (администратора же можно создать, имея доступ к железу, загрузившись со специальной флешки).  

  

Второй вариант (bitlocker, truecrypt) защищает весь диск от сторонних пользователей (которые имеют физический доступ к вашему диску), пароль (или ключ шифрования на usb или иной способ) будет запрашиваться при запуске системы (точнее монтировании диска, но не шифровать системный диск в этом случае не имеет смысла), сами данные будут доступны всем пользователям windows на общих основаниях, так будто шифрования нет (но возможны штатные права доступа).  

  

Осторожно, второй вариант отключает использование TRIM у SSD дисков, это очень важная технология, позволяющая ускорить работу с диском и даже продлить его срок службы.  

  

p.s. полная защита данных от тех кто имеет физический доступ к диску - это очень сложный вопрос, в конечном счете задача будет сводиться к технологиям шифрования загрузчика и подтверждения его целостности (например загрузкой своих ключей шифрования в биос материнской платы, такие технологии есть не на дешевых материнках) так как если к примеру вы шифруете диск в датацентре, администраторы этого датацентра могут при следующей перезагрузке подсунуть не настоящее железо, а свое собственное специальное или к примеру хост виртуальной машины, и это железо дождется ввода ключа шифрования и позволит украсть его или данные оперативной памяти а значит доступ к данным. Один из способов борьбы с этим - административный, включение/перезагрузка машины должна проводиться с физическим доступом к ней, с проверкой пломб (корпус не вскрыт, сейф) и личным загрузчиком на флешке/специальном устройстве. 

 Не один технарь в мире никогда не сможет взломать даже шифрование битлокера да возможно у него и есть лазейки но доступны они очень немногим людям скорее всего доступ есть у спецслужб США да и то они им не пользуются они делают иначе там в рамках закона дают сразу максимальный срок 20 лет если человек сотрудничает и выдает пароль добровольно срок реально могут скостить до трех лет а те кто идет в отказ сидят реально по 20 лет так что большинство сами выдают пароль притом без пыток   

  

Есть еще программа трукрипт она имеет открытый исходный код и прецедентов ее взлома еще не было хотя пытались многие