Денис Суховей, компания Аладдин: Чем может навредить бизнесу шифровальщик от Microsoft12.07.2023 15:47

Вместе с экспертом в области криптографической защиты информации в этой статье CNews рассмотрела насущные проблемы, беспокоящие экспертов по безопасности в российских компаниях. А именно риски применения BitLocker в корпоративной среде и наличие альтернатив этому продукту. Наш собеседник — Денис Суховей, руководитель департамента развития технологии компании Аладдин. 

CNews: Расскажите, пожалуйста, о BitLocker, что это за продукт, какова его история?

Денис Суховей: Microsoft при создании своей ОС Windows изначально ориентировались на B2C-рынок. Задача была распространить как можно больше копий ПО на персональных домашних компьютерах. Это был хороший старт и результативная стратегия. На момент выпуска первых версий ОС вопрос безопасности хранения информации не был в приоритете, дело ограничивалось предотвращением оффлайн атак. Распространены были ситуации, когда злоумышленник из числа сотрудников офиса или специалист службы сервиса, имея загрузочную флешку со своей ОС и набором утилит для поиска паролей, мог забрать любые данные с корпоративного компьютера. Единственное условие — физический доступ к компьютеру.

Появление в Microsoft Windows механизма BitLocker как раз стало ответом на такой тип атак. В середине 2000х годов выходят первые релизы ОС, нацеленные на корпоративный сегмент. Попав в среду бизнеса, операционная система от Microsoft начала трансформироваться под потребности целевой аудитории. В Windows Vista впервые был анонсирован BitLocker, а в Windows 7 — BitLocker To Go.

Что такое BitLocker? Это функция шифрования дисков, встроенная в Microsoft Windows. Простая опция была добавлена для того, чтобы удовлетворить нарастающий спрос в обеспечении безопасности данных, хранящихся на компьютере. Использование BitLocker не требует применения особых навыков от пользователя и не сильно отражается на работе компьютера.

СNews: Как обстоят дела сейчас на корпоративном рынке?

Денис Суховей: На сегодняшний день обнаружилась угрожающая тенденция. Многие компании начали пользоваться BitLocker еще на заре его появления. Поскольку этот компонент не требует никаких усилий — не нужно ничего устанавливать, не нужно обучаться, даже дополнительной оплаты не требуется. Он постепенно врос в корпоративную среду и прижился на рабочих станциях как простейший механизм шифрования информации. В ряде компаний его применение стало корпоративным стандартом.

BitLocker как неотделимый элемент операционной системы из года в год существовал в ИТ-инфраструктуре компаний, от версии к версии он претерпевал изменения, развивался и все бы было хорошо, если бы не ряд обстоятельств.

Во-первых, наличие уязвимостей в продукте. Так как он был не основным компонентом, а шел «в довесок», соответственно и ресурсов на его качественное развитие выделялось мало.

Во-вторых, компания Microsoft довольно вольно обращалась со своими пользователями — могла добавлять или исключать различные механизмы защиты из операционной системы по своему усмотрению, не уведомляя при этом клиентов.

Я об этом подробно говорил на недавнем онлайн-семинаре, показывая историческую трансформацию неоднозначного поведения компании Microsoft.

В-третьих, архитектура и логика, заложенная в BitLocker, концептуально не подходит для распространения в больших и сложно устроенных ИТ-инфраструктурах. И это, пожалуй, самая важная глубинная проблема, которая на сегодняшний день не имеет решения. Более того, Microsoft и не стремится её решать.

Исходя из поступающих только в нашу компанию обращений от заказчиков, столкнувшихся с этими неоднозначными проблемами, мы видим, что ситуация принимает массовый характер.

Когда компания Microsoft «ушла» с отечественного рынка и отказалась от своих обязательств, масштаб бедствия стал кристально ясен. Сотни тысяч рабочих станций у нас в стране зашифрованы сегодня продуктом, производитель которого осуществляет открытые недружественные действия по отношению к нашему государству.

Эти факторы стимулировали процесс импортозамещения и российские компании активнее начали переходить на Linux. Чтобы лучше понять потребности наших клиентов в защите информации в этот непростой период, мы проводим опрос. Приглашаю ИТ и ИБ экспертов, чья деятельность связана с обеспечением безопасности информации пройти его прямо сейчас. В благодарность за участие мы дарим 1 год бесплатного использования Secret Disk для Linux.

Сnews: Давайте поговорим об уязвимостях в BitLocker. Есть мнение, что этот продукт буквально изобилует уязвимостями. Так ли это?

Денис Суховей: В целом эта программа зарекомендовала себя неплохо. За ней богатая событиями история развития, мощная команда квалифицированных разработчиков и своя позиция на рынке ИБ — эти свойства заставляют относится к BitLocker c профессиональным уважением. А что касается уязвимостей, то любой программный продукт может иметь уязвимости. Важнее в этом вопросе, насколько оперативно эти уязвимости устраняются после обнаружения. Негативное мнение скорее складывается в силу проблем применимости продукта — на домашних компьютерах или в корпоративных организациях. Во втором случае применение сопряжено с чрезвычайно низким уровнем безопасности инструментов администрирования BitLocker.

СNews: Расскажите подробнее, что это значит? Как вы пришли к выводу что для корпоративного использования ПО не подходит?

Денис Суховей: На техническом уровне я бы разделил проблему на две составляющие.Первая — механизмы защиты информации и используемые криптоалгоритмы вызывают одобрение экспертного сообщества и дают основание полагать, что для доступа к зашифрованной BitLocker информации понадобятся крайне большие вычислительные ресурсы и длительный период времени, возможно годы, т.е. информация зашифрована надежно. Вторая — наряду с надежностью защитных механизмов, ключевая схема, методы защиты и хранения ключей шифрования, схема хранения и передачи паролей восстановления крайне уязвимы к компрометации (т.е. нежелательному доступу со стороны злоумышленников). Именно вторая составляющая активно эксплуатируется в корпоративной инфраструктуре. Крупная компания просто обречена на использование централизованного управления программными средствами и хранения ключей шифрования — и именно это и делает защищенность данных крайне низкой, а возможность компрометации крайне высокой.

СNews: На какие проблемы безопасности BitLocker вы бы посоветовали обратить внимание нашим читателям?

Денис Суховей: Проблем немало, но на общем фоне выделяются несколько наиболее критичных.

Псевдорасшифровка. В ряде случаев поведение BitLocker крайне подозрительное. Внимательный пользователь заметит, что процесс зашифровывания занимает у BitLocker некоторое время. А вот «расшифровывание» почему-то производится мгновенно. Хотя по временным затратам на вычисления эти операции вполне сопоставимы. К сожалению, чудес не бывает и такое явление «мгновенного расшифровывания» типично для BitLocker. Случается оно не регулярно и зависит от версии и типа ОС Windows, ряда установленных обновлений, версии самого BitLocker и возможно режима подключения рабочей станции к корпоративному каталогу Microsoft Active Directory.

Если у вас в компании хотя бы на 100–200 рабочих станциях применяется этот механизм шифрования, отследить такое поведение невозможно. Мои наблюдения основаны на практике. Сама проблема катастрофична: возможность псевдорасшифровки означает наличие остаточной ключевой информации и неконтролируемую вероятность доступа к ней. Полученные ключи можно, к примеру, использовать для компрометации резервных копий, которые ранее делались на этой рабочей станции. Мало того, если в будущем будет принято решение о возврате BitLocker, то применяться будут именно эти «старые» ключи шифрования, которые реально не были удалены при прошлом расшифровывании. С моей точки зрения это «зияющая дыра в безопасности», которая сводит на нет все преимущества шифрования.

Небезопасные обновления. Здесь проблемой является не сам продукт, а особенности его архитектуры внутри ОС и применения ключевой схемы. При выполнении ряда обновлений возникает ситуация, когда требуется промежуточная перезагрузка со специального мини-образа операционной системы. Так как системный раздел при этом зашифрован, то ключ шифрование этого раздела условно должен быть доступен на этапе перезагрузки компьютера.

Для того чтоб процесс обновления и перезагрузки не слишком тревожил пользователя и не загружал ИТ-администратора лишними задачами, компания Microsoft решила временно помещать ключ шифрования в открытом виде в контейнер протектора без установленного пароля. Это означает, что в момент процедуры обновления злоумышленник может легко получить доступ к самому охраняемому элементу — к ключу шифрования. Это не потребует применения сложного инструментария и глубоких знаний криптоанализа. Все делается штатными средствами или простыми коммерчески доступными утилитами.

Хранение ключей восстановления. Эта проблема уже стала легендой. При включении шифрования в Windows BitLocker предложит сохранить ключи восстановления доступа в ряде внутренних служб, среди которых будет MS Active Directory и пространство учетной записи MS Azure.

В обоих случаях передача и хранение ключа будет осуществляться в открытом виде. А это, конечно же, означает, что все без исключения сотрудники ИТ-отдела компании, использующей BitLocker, будут иметь доступ к хранилищу этих ключей.

Вероятность, что уволенный ИТ-администратор заберет с собой флешку с полным набором ключей шифрования, можно попробовать оценить самостоятельно. Но с нашей точки зрения она выше 70% — это прямая угроза безопасности рабочих станций и всей организации.

CNews: Довольно много информации для размышления. Как вы в итоге оцениваете общие риски от использования этого средства в корпоративной инфраструктуре?

Денис Суховей: Информационная безопасность — это борьба добра со злом, тут вроде бы все должно быть однозначно. Но применение таких средств как BitLocker опрокидывает все с «ног на голову». Многие годы крупные организации в нашей стране практикуют шифрование рабочих станций средством, которое должно обеспечить надежную защиту информации.

При этом крайне высокая политизированность производителя этого средства и острая внешнеполитическая повестка повышают вероятность злонамеренного поведения вендора по отношению к отечественным организациям. На простом техническом языке это звучит так: BitLocker намного «эффективней» вируса шифровальщика — жертвы сами охотно устанавливают его в больших количествах и попадают в глубокую зависимость от возможных действий Microsoft. Ведь шифрование в Windows устроено так, что небольшое и не отслеживаемое обновление операционной системы может превратить в «кирпич» сотни тысяч отечественных рабочих станций мгновенно. Расшифровать такие машины за биткойны, как это делается в случае с вирусом-шифровальщиком не получится.

Cnews: Как заказчики подходят к решению этой проблемы для себя?

Денис Суховей: Проблемы, о которых я говорю, не являются тайной. Сообщество ИБ-экспертов уже находится на пути выработки унифицированного подхода, который бы позволил компенсировать как уже нанесенный, так и предполагаемый ущерб.

В крупных компаниях так же ощущают эту проблему и делают шаги по ее устранению. Каждый ищет свой способ решения проблемы. Кто-то находится в поиске бесплатного аналога (что само по себе утопия), кто-то занял выжидательную позицию, и делает вид что все и так работает без сбоев, кто-то вступает на сложную тропу поиска замещающих средств защиты.

CNews: Давайте поговорим о последней категории заказчиков. Каким критериям на ваш взгляд должно отвечать решение, которое заменит BitLocker в корпоративной среде?

Денис Суховей: Это в первую очередь должен быть ответственный производитель с репутацией. Естественно, решение должно быть полностью отечественным. Важно, чтобы разработчик корректно организовывал полный жизненный цикл разработки продукта, в том числе согласно принятому в России «Стандарту разработки безопасного ПО». Обязательная составляющая — отсутствие сторонних включений и компонентов от «недоверенных» производителей, полноценная служба поддержки в РФ и наличие сертификатов, подтверждающих успешное прохождение испытаний на соответствие требованиям к средствам защиты у ключевых регуляторов.

Также немаловажно обеспечить возможность безболезненного перехода с BitLocker, наличие версий продукта как для Windows, так и для Linux для комфортного ведения бизнеса в условиях импортозамещения ПО, гибкая лицензионная политика перехода и преемственность технологий.

■ Токен: Kra247w9pРекламодатель: АО Аладдин Р.Д.ИНН/ОГРН: 7719165935/1027739490415Сайт: https://www.aladdin-rd.ru/

Полный текст статьи читайте на CNews