Disk şifreleme

Disk şifreleme içerisindeki bilgiyi kimliği doğrulanmamış kişilerden korumak için kolayca çözülemeyecek okunmaz bir koda dönüştüren bir teknolojidir. Disk şifreleme disk şifreleme yazılımı veya diske veya diskin herhangi bir bölümüne giden her bir bit veriyi şifreleyen bir donanım kullanır. Veri belleğine kimliği doğrulanmamış kişilerin erişmesini engeller.

Tam Disk Şifreleme veya Tüm Disk Şifreleme teknolojisinin, ana önyükleme kaydı veya benzer alanda bir açılış disketi, işletim sistemini başlatma kodu dışında kalan her şeyi şifrelediği ifade edilir. Bazı donanım tabanlı tam disk şifreleme sistemleri ana önyükleme kaydı dahil olmak üzere bütün önyükleme diskini şifreler.

Şeffaf şifreleme

Şeffaf şifreleme ya da diğer adıyla gerçek zamanlı şifreleme ve havadayken şifreleme, bazı disk şifreleme yazılımı kullanılan bir yöntemdir. "Şeffaf" kelimesi kaydedilen veya yüklenen verinin otomatik olarak şifrelendiği veya çözüldüğü anlamına gelir.

Şeffaf şifreleme ile, dosyalar anahtar doğrulandıktan hemen sonra erişilebilir hale gelir, eğer fiziksel bir sürücü var ise sanki o disk bölümü bu sürücüye yerleştirilmiş gibi davranır ve şifresiz olan bütün dosyaları erişilebilir yapar. Doğru şifre/anahtar dosyası veya doğru şifreleme anahtarları kullanılmadan hiçbir veri saklanan şifreli disk bölümü okunamaz (çözülemez).Tüm dosya sistemi o disk bölümü içerisinde şifrelenmiştir. (dosya isimleri, klasör adları, dosya içeriği ve diğer üst-veriler).^[1]

Son kullanıcıya şeffaf olmak için, şeffaf şifreleme şifreleme işlemini devreye sokmak için genelde makinenin sürücülerini kullanma izni ister. Her ne kadar bazı sürücüleri kurmak için yönetici girişi istense de, şifrelenmiş disk bölümleri çoğunlukla normal kullanıcı hakları ile bu işlemleri gerçekleştirir.^[2]

Genel olarak, verilerin yazmak için şeffaf olarak şifrelenmesi veya okunmak için çözülmesi için kullanılan metotlar şeffaf şifreleme metotlarıdır.

Disk şifreleme vs. Dosya düzeyinde şifreleme

Disk şifreleme tüm durumlarda dosya şifreleme yerine geçmez. Disk şifreleme bazen daha güvenli bir uygulama oluşturmak için dosya düzeyinde şifreleme ile birleştirilebilir. Disk şifreleme genellikle bütün sürücüyü aynı anahtar ile şifrelediği için, bütün veriler sistem çalışıyorken çözülebilir. Ancak, bazı disk şifreleme çözümleri farklı disk bölümleri için birden çok anahtar ile şifreleme yapar. Eğer bir saldırgan bilgisayarın çalışma zamanında erişim izni elde ederse, bütün dosyalara erişme yetkisi olur. Klasik Dosya ve klasör şifreleme bunun yerine farklı anahtarlar ile farklı disk parçalarına erişim sağlar. Böylece saldırgan hala-şifreli olan dosya ve klasörlerden bilgi elde edemez.

Disk şifrelemenin aksine, dosya düzeyinde şifreleme alışılan gibi dosya sisteminin üst-verisini, dizin yapısı, dosya isimleri, dosyanın son değiştirilme tarihi veya boyutu gibi bilgileri tipik bir şekilde şifrelemez.

Disk şifreleme ve Güvenilir Platform Modülü

Güvenilir Platform Modülü ana kart üstünde gömülü olan ve donanım aygıtlarının kimlik doğrulamasını yapan güvenli bir kripto işlemcisidir. Her Güvenilir Platform Modülü çipi benzersiz bir özel aygıt olduğundan, platform için kimlik doğrulama yapma yeteneğine de sahiptir. Bu modül erişmek isteyen sistemin beklenen sistem olduğunu doğrulamak için kullanılır.

Sınırlı sayıdaki Disk şifreleme çözümlerinin Güvenilir Platform Modülü desteği bulunmaktadır. Bu uygulamalar GPM kullanarak çözme anahtarını paketleyebilir, böylece sabit diski belli bir aygıta bağlamış olur. Eğer sabit disk belirlenmiş aygıttan kaldırılır ve başka birine bağlanırsa, çözme işlemi başarısız olur. Çözme şifresi veya jetonu (token) ile geri dönüşüm sağlanabilir.

Ancak bir avantaj olarak, diskin bir aygıttan tam olarak çıkarılamaması, tek nokta hatası olarak şifreleme yaratabilir. Örneğin, GPM veya anakarta bir şey olursa, kullanıcı sabit diski bir başka bilgisayara bağlayarak veriye erişim sağlayamaz, ancak kullanıcı kurtarma anahtarını diskten çıkartabilir.

Uygulamaları

Piyasada disk şifrelemeye izin veren birden fazla araç var. Ancak, hepsinin farklı özellikleri ve güvenlik seviyeleri bulunmakta. Bu uygulamaları üç ana kategoriye ayırabiliriz: Yazılım tabanlı, depolama aygıtının içinde bulunan donanım tabanlı ve başka bir yerde (örneğin işlemci veya ana bilgisayar veri yolu bağdaştırıcısında) bulunan donanım tabanlı uygulamalar. Depolama aygıtının içinde bulunan donanım tabanlı tam disk şifreleme uygulamasına kendini şifreleyen aygıtlar denir ve performansa kötü etkisi bulunmaz. Ayrıca, medya-şifreleme anahtarı aygıtı asla tek başına bırakmaz bunun sonucunda işletim sistemindeki hiçbir virüs buraya erişemez.

Güvenilir Bilgi İşlem Grubu Opal aygıtı endüstride kendini şifreleyen aygıtlar konusunda standart haline gelmiştir. Dış donanım yazılım tabanlı çözümlere göre çok daha hızlıdır ancak işlemci versiyonları hala performansı etkileyebilir ve medya şifreleme anahtarları yeterince iyi korunmuyor olabilir.

Ön yükleme aygıtı için bütün çözümler ön yükleme öncesi kimlik doğrulama bileşeni ister. Bu bileşen birkaç sağlayıcı firma tarafında bütün çözüm tipleri için mevcuttur. Bütün durumlarda kimlik doğrulama bilgileri çok önemlidir ve simetrik şifreleme genel hatlarıyla güçlü olduğu için genellikle potansiyel en zayıf nokta burası oluyor.

Şifre/veri kurtarma mekanizması

Güvenli ve güvenilir kurtarma mekanizmaları ve kurum içinde herhangi bir disk şifreleme çözümleri büyük ölçekli dağıtım için gereklidir. Çalışanın haber vermeden şirketten ayrılması veya şifresini unutması durumunda uygulama, güvenli ama bir o kadar da kolay bir şekilde şifreleri (en önemli veri) kurtarma özelliği sağlaması gerekir.

Meydan okuma–karşılık verme ile şifre kurtarma mekanizması

Meydan okuma–karşılık verme şifre kurtarma mekanizması şifrenin güvenli biçimde kurtarılmasını sağlar. Bu özellik sınırlı sayıdaki disk şifreleme uygulamalarında bulunur.

Meydan okuma–karşılık verme şifre kurtarma mekanizmasının bazı yararları:

Kurtarma şifreleme anahtarı ile bir disk taşımak için bir kullanıcıya gerek yok.
Hiçbir gizli veri kurtarma işlemi sırasında değiştirilemez.
Hiçbir bilgi sızıntısı/dinlenmesi olamaz.
Bir ağ bağlantısı gerektirmez, yani uzak bir yerde olan kullanıcılar için de çalışır.

Acil durum bilgi kurtarma-dosya şifre kurtarma mekanizması

Eğer bir meydan okuma–karşılık verme mekanizması kullanmak küçük şirketler için pahalı olduğu için imkânsız ise, acil durum bilgi kurtarma bir alternatif sağlar.

Acil durum bilgi kurtarma-dosya kurtarma mekanizmasının bazı faydaları:

Küçük şirketler uygulama zorlukları olmadan kullanabilir.
Hiçbir gizli veri kurtarma işlemi sırasında değiştirilemez.
Hiçbir bilgi sızıntısı/dinlemesi olamaz.
Bir ağ bağlantısı gerektirmez, yani uzak bir yerde olan kullanıcılar için de çalışır.

Güvenlik kaygıları

Çoğu tam disk şifreleme projeleri soğuk önyükleme saldırısına karşı savunmasız haldedir, bu saldırı şifreleme anahtarlarının halihazırda çalışan makinenin işletim sistemini soğuk-önyükleme yaparak çalınması ve hafızadaki verilerin içeriklerini kaybolmadan önce ele geçirilmesidir. Bu saldırı bilgisayar hafızasının veri mıknatıslama özelliğine dayanır, mıknatıslama özelliği, verinin güç kesildikten sonra bilgisayarın veri bitlerini parçalamasının birkaç dakika sürmesi olarak belirtilir.^[3] Bu saldırı karşısında Güvenilir Platform Modülü de etkili olmaz, çünkü işletim sistemi diske erişmek için kullanılan çözme anahtarlarını hafızasında tutar.^[3]

Tam disk şifreleme teknolojisinin bilgisayarın askıya alınması durumunda da zafiyetleri bulunmaktadır. Bilgisayar uyandığında BIOS önyükleme buyrukları veya dizilmine ihtiyaç duymaz, yani tam disk şifreleme şifresini sormaz. Hibernasyon modunda ise BIOS önyükleme dizilimi karşılaştırılır ve bu işlem bu modu güvenli kılar.

Tüm yazılım tabanlı şifreleme sistemleri çeşitli yan kanal saldırılarına karşı savunmasızdır, bu saldırıya akustik kripto analiz ve donanım tuş kaydedicisi saldırıları örnek gösterilebilir. Diğer açıdan, kendini şifreleyen aygıtlarında donanım şifreleme anahtarı asla diskin kontrolüne bırakılmadığı için bu tür saldırılara karşı zafiyet barındırmaz.

Ayrıca, hiçbiri tam disk şifreleme projesi verilerin kurcalanmasına (veya sessiz veri bozma durumu, örneğin bitrot) karşı korumaz. Bu projeler bütünlüğü değil sadece gizliliği sağlar anlamına gelir. Blok şifreleme tabanlı şifreleme modları tam disk şifreleme teknolojisini kendilerinin kimliğini şifrelemek yerine saklama alanı problemleri sebebiyle kimlik doğrulama etiketi ile kullanır. Böylece, eğer disk üzerindeki veriye müdahale edilirse, veri okunmaya çalışıldığı zaman karmakarışık rassal veri olarak çözülür ve hangi veriye müdahale edildiğine göre (örneğin, işletim sisteminin üst verisinin benzer bir program dosyasında işlenmesi) hataların ortaya çıkması beklenir. Bu kaygıları azaltmanın birkaç yolundan biri olarak, tam disk şifrelemenin üstünde dosya sistemlerinin sağlama toplaması (örneğin Btrfs veya ZFS) yaparak tam veri bütünlüğüne ulaşmak olabilir.

Tam disk şifreleme

Faydaları

Tam disk şifreleme teknolojisinin sıradan dosya veya klasör şifrelemesi yapan teknolojilerle veya şifrelenmiş kasalarla karşılaştırıldığında çeşitli yararları bulunmaktadır. Disk şifrelemenin bazı yararları şunlardır:

Takas alanı ve geçici dosyalar dahil olmak üzere neredeyse her şey şifreleniyor. Şifrelenmiş bu dosyalar önemlidir, bu dosyalar önemli güvenlik verilerini barındırabilir. Yazılım uygulamalarında, başlatma kodu şifrelenmiş olamaz. Örneğin, BitLocker Sürücü Şifreleme diskin önyükleme bölümünü şifrelenmemiş bir biçimde bırakır, öte yandan işletim sistemini içeren disk bölümü tamamen şifrelenmiştir.
Tam disk şifreleme ile, hangi dosyaların şifreleneceği kullanıcının seçimine bırakılmaz. Bu özellik ile hassas dosyaları şifrelemeyi unutan veya şifrelemek istemeyen kullanıcılar korunmuş olur.
Veri tahribatı durumda, örneğin basitçe kriptografik anahtarların yok edilmesi, ilgili veriyi kullanılmaz hale getirir. Ancak öte yandan, eğer güvenlik tarafı sonraki saldırılar konusunda kaygılı ise, temizleme veya fiziksel zarar verme (kullanılmaz hale getirmek) önerilir.

Önyükleme anahtarı sorunu

Tam disk şifrelemede işletim sisteminin saklandığı bloklar işletim sistemi başlatılmadan önce çözülmüş olmalı, yani anahtar kullanıcı arayüzü ile şifre sorulmadan önce mevcut durumda olmalıdır.Çoğu Tam Disk Şifreleme çözümleri Önyükleme Öncesi Kimlik Doğrulama'yı küçük ve oldukça güvenli işletim sistemini - sıkı sıkıya kilitlenmiş ve özeti çıkarılmış sisteme karşı sistem değişkenlerini önyükleme öncesi çekirdek bütünlüğü ile kontrol etmesi - yüklemek için kullanır. BitLocker Sürücü Şifrelemesi gibi bazı uygulamalarda önyükleme çevresinin bütünlüğünden emin olmak için Güvenilir Platfrom Modülü gibi bazı donanımlar kullanılabilir, bu sayede önyükleme yükleyicisini modifiye edilmiş olanla değiştirilmesi saldırısını engeller. Bu özellik kimlik doğrulama işlemini önyükleme aygıtı kullanılması ve önyükleme öncesi çözülen verilerin bozulması ihtimalini ortadan kaldıracak şekilde kontrol edilmiş ortama yerleştirir.

Bir önyükleme öncesi kimlik doğrulama ortamı, anahtar kullanılarak şifrelenen veriler sisteme girdi olarak eklenen dıştan bir anahtar gelene kadar çözülmez.

Dış anahtarı saklamak için çözümler:

Kullanıcı adı / şifre
PIN ile birlikte bir akıllı kart kombinasyonu kullanmak
Parmak izi gibi, biyometrik kimlik doğrulama yöntemi kullanmak
Anahtarı saklamak için çalınmayacağından veya kaybolmayacağından emin olduğu bir güvenlik cihazı kullanmak
Önyükleme anında bir sürücü kullanarak kullanıcıya şifresini sormak
Anahtarı kurtarmak için ağda yer değişikliği yapmak, örneğin PXE önyüklemesinin bir parçası
Güvenilir Platform Modülü kullanarak çözme anahtarını saklamak, kimliği doğrulanmamış kişilerin çözme anahtarına erişmesini veya önyükleme yükleyicisini bozmasını engeller
Yukarıdaki çözümleri bir arada kullanarak

Tüm bu olasılıkların değişen güvenlik seviyeleri bulunmaktadır; ancak, çoğu şifrelenmemiş diskten çok daha iyidir.

Ayrıca bakınız

Disk şifreleme yazılımı karşılaştırılması
Dijital adli tıp
Disk şifreleme donanımı
Disk şifreleme yazılımı
Disk şifreleme teorisi
Şifreleme
Açık ve Gizli Anahtarlı Şifreleme
Depolama yığınında şifreleme katmanı
Dosya düzeyinde şifreleme
Donanım tabanlı tam disk şifreleme
Re Boucher içinde
Havada şifreleme
Tek oturum açma

Kaynakça

^ ""Truecrypt User Guide"" (PDF). 25 Aralık 2019 tarihinde kaynağından (PDF) arşivlendi. Erişim tarihi: 8 Nisan 2018.
^ ""LibreCrypt Installation Guide"". 10 Mayıs 2017 tarihinde kaynağından arşivlendi. Erişim tarihi: 8 Nisan 2018.
^ ^a ^b J. Alex Halderman, Seth D. Schoen, Nadia Heninger, William Clarkson, William Paul, Joseph A. Calandrino, Ariel J. Feldman, Jacob Appelbaum, and Edward W. Felten (21 Şubat 2008). "Lest We Remember: Cold Boot Attacks on Encryption Keys". Princeton University. 22 Temmuz 2011 tarihinde kaynağından arşivlendi. Erişim tarihi: 22 Şubat 2008.

[1] ""Truecrypt User Guide"" (PDF). 25 Aralık 2019 tarihinde kaynağından (PDF) arşivlendi. Erişim tarihi: 8 Nisan 2018.

[2] ""LibreCrypt Installation Guide"". 10 Mayıs 2017 tarihinde kaynağından arşivlendi. Erişim tarihi: 8 Nisan 2018.

[ColdBoot-3] J. Alex Halderman, Seth D. Schoen, Nadia Heninger, William Clarkson, William Paul, Joseph A. Calandrino, Ariel J. Feldman, Jacob Appelbaum, and Edward W. Felten (21 Şubat 2008). "Lest We Remember: Cold Boot Attacks on Encryption Keys". Princeton University. 22 Temmuz 2011 tarihinde kaynağından arşivlendi. Erişim tarihi: 22 Şubat 2008.

[1]

[2]

[3]