information-security___pl

Dlaczego AxCrypt jest bezpieczny?

AxCrypt jest bezpieczny, ponieważ stara się używać tylko zaakceptowanych praktyk i algorytmów i nie próbuje wymyślać żadnych nowych algorytmów ani metod szyfrowania. Jest również open source; Każdy może sprawdzić kod źródłowy, sprawdzić go pod kątem błędów, pominięć lub tylnych drzwi. Jest używany i sprawdzany pod kątem luk w zabezpieczeniach od ponad 15 lat i wypróbowany przez ponad 30 milionów użytkowników bez żadnych znanych słabości.

Jak bezpieczny jest AxCrypt?

To pytanie sprowadza się do efektywnych długości kluczy szyfrowania. Użyta długość klucza wynosi 128 lub 256 bitów - w żadnym przypadku nie uważa się obecnie, aby wyczerpujące wyszukiwanie było opcją i jest niewykonalne obliczeniowo w kategoriach kryptograficznych. Problem tkwi w zastosowanych hasłach - to jest słaby punkt. Możesz przeczytać więcej o tym, co wziąć pod uwagę przy wyborze hasła poniżej.

Uwagi dotyczące hasła

AxCrypt używa AES-128 lub AES-256 w wersji Premium - ale jeśli chcesz osiągnąć ten poziom bezpieczeństwa, musisz zapewnić 128 lub 256 bitów prawdziwie „losowych” danych. Jest to bardzo trudne, ale najłatwiejszym sposobem na rozwiązanie tego problemu jest użycie generatora haseł zawartego w Premium.

Aby faktycznie uzyskać 128 lub 256 bitów, w praktyce musisz zapisać to hasło w pliku tekstowym, a następnie zachować ten plik tekstowy w tajemnicy. Używając typowego języka angielskiego w haśle, 128 bitów jest w przybliżeniu odpowiednikiem 10 „losowych” słów, a więc 256 bitów dwukrotnie więcej. Nie używaj znaczących zdań i absolutnie nie znanych, a nawet niejasnych cytatów! Wprowadzając odmiany w przypadku, a także znaki niealfabetyczne, możesz zmniejszyć liczbę potrzebnych słów. Nie zaleca się używania mniej niż 5 słów. Jeśli korzystasz z całkowicie losowego doboru wielkich i małych liter oraz cyfr, potrzebujesz 22 znaków, aby osiągnąć 128-bitowe bezpieczeństwo, a więc 44 znaki na 256 bitów. (Powyższe jest niewielkim uproszczeniem problemu, ale powinno posłużyć.) Funkcja niszczenia, czyli wymazywania, programu AxCrypt umożliwia usuwanie plików w sposób uniemożliwiający odzyskanie ich zawartości za pomocą oprogramowania do przywracania danych. Istnieją jednak pewne zastrzeżenia:

• Nazwę pliku, jak również rozmiar, można odzyskać.

• Jeśli plik był przeglądany lub edytowany w aplikacji, która tworzy tymczasowe kopie zawartości (na przykład Microsoft Office), te tymczasowe kopie mogą być nadal dostępne do odzyskania na dysku twardym.

Zobacz sekcję poświęconą bezpieczeństwu lokalnego komputera, aby uzyskać wskazówki, jak zwiększyć margines bezpieczeństwa w tych sprawach.

Bezpieczeństwo lokalnego komputera

AxCrypt sam w sobie nie ochroni twojego lokalnego komputera przed, na przykład:

Narażenie danych z powodu:

• Twoje aplikacje zachowują czysty tekst w pamięci, który jest następnie umieszczany w pliku stronicowania.

• Twoje aplikacje tworzą pliki tymczasowe, które nie są prawidłowo czyszczone.

• Głęboki odczyt nadpisanych danych z dysku twardego za pomocą niestandardowego oprogramowania i sprzętu laboratoryjnego.

Narażenie hasła z powodu:

• Przedwczesne przełączanie zasilania komputera i późniejsza kryptoanaliza.

• Sniffery klawiatury, sprzętowe lub programowe.

Zaniedbanie użycia:

• Narażenie hasła z powodu:

• Wygaszacze ekranu chronione hasłem.

Klucze konta

Klucz konta umożliwia wdrażanie różnych nowych, bogatych funkcji, takich jak umożliwianie innym członkom zespołu otwierania zabezpieczonych plików przy użyciu własnych haseł. Z technicznego punktu widzenia klucz konta AxCrypt składa się z pary kluczy publicznych składającej się z części publicznej (niejawnej) i prywatnej (tajnej) oraz kilku innych metadanych.

Klucz konta jest zawsze chroniony hasłem, chociaż jedna jego część nie jest tajna i jest używana do zabezpieczania plików dla Ciebie i Twojego zespołu. Korzyścią dla Ciebie jest to, że możesz zmienić hasło do wszystkich plików w jednej operacji. Korzyścią dla członków Twojego zespołu jest to, że Ty i Twój zespół możecie pozwolić sobie nawzajem na otwieranie zabezpieczonych plików bez udostępniania haseł, po prostu podając adres e-mail drugiego członka.

Każdy może użyć Twojego adresu e-mail, aby umożliwić Ci otwarcie zabezpieczonego pliku z Twoim własnym hasłem, a Ty możesz zezwolić każdemu, kto ma adres e-mail, na otwarcie pliku zabezpieczonego przez Ciebie. Wszystko to umożliwia publiczna część klucza konta dostępna na naszym serwerze.

Algorytmy

Prymitywy kryptologiczne to AES-128 lub AES-256 do szyfrowania masowego, PBKDF2 z HMAC-512 do wyprowadzania klucza, 4096-bitowy RSA dla klucza konta i HMAC-512 do sprawdzania integralności.

Stosowane algorytmy, zgodnie z naszą najlepszą wiedzą, są uznawane za bezpieczne jako takie przez rząd Stanów Zjednoczonych i społeczność internetową. Aby uzyskać szczegółowe informacje, zapoznaj się z pakietem dokumentów i kodem źródłowym.

Zawijanie klucza hasła jest wykonywane przy użyciu specyfikacji NIST dla zawijania klucza AES. Klucz uzyskany z hasła z PBKDF2-SHA512 jest używany tylko jako klucz szyfrujący klucz.

Jako środek przeciwdziałający brutalnej sile, owijanie klucza wykonuje się z co najmniej 5000 iteracjami, zwiększając wysiłek pracy o około 12 bitów. Rzeczywista liczba iteracji jest określana dynamicznie, typowa wartość to 25 000 do 100 000, dodając 14-17 bitów efektywnej długości klucza. Im szybsza maszyna, na której zainstalujesz AxCrypt - tym większe bezpieczeństwo!

AxCrypt wykorzystuje Zaawansowany Standard Szyfrowania z 128-bitowymi lub 256-bitowymi kluczami w trybie licznika z „losowym” IV do szyfrowania danych.

Do weryfikacji integralności AxCrypt używa HMAC-SHA512, tj. Hash Message Authentication Code przy użyciu SHA-512 z 512-bitowym wyjściem.

Używany generator liczb pseudolosowych (PRNG) to przede wszystkim system operacyjny, w niektórych przypadkach z dodaną entropią.

Nasza implementacja może zawierać błędy - dlatego jest to oprogramowanie typu open source, więc Ty i nasi współpracownicy możecie ją przejrzeć i zabezpieczyć. Nie należy tego traktować jako niskiego poziomu zaufania do naszego kodu - każdy, kto mówi ci, że jego kod jest bezbłędny, jest albo niedoświadczony, albo kłamie.

Czy AxCrypt jest zgodny z HIPAA?

Nie ma czegoś takiego jak oprogramowanie zgodne z HIPAA. Tylko organizacje i procedury mogą być zgodne z ustawą HIPAA.

Właściwe użycie szyfrowania i innych technicznych zabezpieczeń jest regulowane przez standardy bezpieczeństwa HIPAA, 45 CFR 160, 162 i 164. Odpowiednia sekcja to 164.312 Zabezpieczenia techniczne. Nie ma tam również zaleceń ani wymagań dotyczących konkretnych technologii szyfrowania, zaznaczono, że rozporządzenie jest neutralne pod względem technologii. Każda organizacja musi ocenić swoją pozycję i ryzyko, a następnie wdrożyć wymagane lub możliwe do rozwiązania specyfikacje.

Chociaż norma nie odnosi się do niego w żaden sposób z wyjątkiem komentarzy, Polityka bezpieczeństwa internetowego CMS, która jest aktualnym poglądem Centers for Medicare i Medicaid Services na własny użytek, określa pewne minimalne poziomy technologiczne dla niektórych przypadków. AxCrypt spełnia te wymagania dotyczące transmisji przez Internet - ale Twoja organizacja musi niezależnie ocenić, czy jest wystarczająca do korzystania z tego samego poziomu, co Centers for Medicare & Medicaid Services.

Części, w których AxCrypt może (i powinno) wystarczyć jako (część) Zabezpieczenia Technicznego, to:

• Kontrola dostępu / szyfrowanie i deszyfrowanie - AES-128 / AES-256

• Integralność/uwierzytelnianie - transmisja HMAC-SHA-512

• Kontrola bezpieczeństwa/integralności, szyfrowanie AES-128/AES-256/HMAC-SHA-512

Standard bezpieczeństwa HIPAA zezwala na stosowanie szyfrowania jako podstawy kontroli dostępu, to znaczy w celu ochrony prywatności danych w spoczynku (przechowywanych na dysku twardym w przeciwieństwie do na przykład przechodzenia przez Internet). AxCrypt spełni również wymagania większości przedsiębiorstw.