Каким образом оптимально организовать сохранность данных на планшете с Bitlocker?

Question

[IvanRivan]

Был неприятный случай с HDD на котором стояла система зашифрованная через Bitlocker. Судя по всему накрылся один сектор на HDD и из за этого стало невозможно получить доступ к зашифрованному диску, не смотря на то что сам диск остался живой и вполне работоспособный. Не знаю какие подводные камни в случае с твердотельными накопителями, в любом случае может накрыться диск целиком.

Подскажите пожалуйста, каким оптимальным образом безопасно хранить данные и всю систему в зашифрованном виде на планшете с распаянным на плате твердотельным накопителем?

На данный момент есть мысли сделать загрузочную флешку с ПО, позволяющим создавать образ диска и сохранять образ на ту же флешку время от времени, ну или для надежности сохранять образы на удаленный сервер. Диск зашифрован, значит и образ будет зашифрован. В случае смерти планшета восстанавливать из образа систему на ПК и получать доступ к данным. Является ли этот метод оптимальным?

Answer 1

[Drno]

Бэкапы. Каждый день или неделю. куда то в отдельное хранилище. Свое, облако, итд. И лучше в НЕ шифрованном виде.

Comments

[IvanRivan]

Если в НЕ шифрованном виде бекапы, тогда смысл шифрования теряется?
И что может пойти не так, если бекапы в шифрованном виде будут?
И возможно ли создавать бекапы прямо из под запущенной системы, чтобы не проводить дополнительных манипуляций с загрузочной флешкой?

[Drno]

IvanRivan, смысл в том, что шифрование имеет свойство "ломаться"
можно создать бэкап данных архиватором и зашифровать.
если про работающую систему - то обычно не советуют делать образ системы из работающей системы)

но можете попробовать rDriveImage

[IvanRivan]

Drno, а как так получается что шифрование ломается? В основе поломки лежит не поломка носителя, а именно шифрования? И если зашифровать бекап архиватором, то не поломается ли такого рода шифрование тоже?

К тому же, если шифровать только бекапы, то сама система с данными получается шифрованной не будет.

И еще такой момент - если из спортивного интереса мыслить в сторону наибольшей защиты данных, то после шифрования бекапа, не шифрованный бекап удаляется и без перезаписи области памяти на носителе, этот бекап возможно восстановить в не шифрованном виде. Не знаю как на флешках, но на SSD если trim не работает (а он может не работать по разным причинам) то восстановить можно и на SSD (не только на HDD) если не ошибаюсь.

[mayton2019]

Непонятен критерий оптимальности. Если считать по-мегабайтно (оплата за пользование сервером бекапов) то тогда нужно копировать не образ диска а его файлы в открытом виде. А потом эти файлы архивировать tar например и еще раз шифровать. Я так делаю уже лет 10. И ничего пока практичнее для домашних бекапов не было придумано. Можно еще архиваторы добавить с контрольными кодами восстановления если вы параноик. Но в простом случае я-бы сказал что раз в неделю - бекап файлов. И хранить минимум 2-3 последних по дате на внешнем хранилище.

[Drno]

IvanRivan, насчет TRIM и этого не подскажу.
а насчет "ломания" шифрованного - даже на этом сайте хватает вопросов с просьбой восстановить данные, после поломки bitlocker или veracrypt...когда пароль есть, он верный, но контейнер с данными его не принимает.
Так что я бы не советовал хранить только шифрованные данные. на ПК еще можно заюзать, мало ли его украдут.
Но в "голом" виде я бы где то тоже имел бэкап этих данных.

[IvanRivan]

Drno, может ли быть причина поломки шифрования не в самом шифровании как таковом, а в bitlocker или veracrypt? И например какие либо другие средства работают надежно и таких проблем не создают? Или другой вариант - те кто жалуются, у них HDD и сектора побились (диск остался рабочим с незначительной потерей емкости, но шифрование пришло в негодность), т.е. причина в устройстве для хранения данных на самом деле, а не в битлокере?

[IvanRivan]

mayton2019, оптимально я имел ввиду проще и надежнее. А то может я от жизни отстал и никто уже так не делает, как я собирался сделать. А вообще после ваших слов пришла мысль - систему с файлами шифровать например тем же битлокером, а на случай если битлокер или диск сломается - делать бекапы в виде зашифрованных отдельных файлов и хранить их в облаке.

[IvanRivan]

Drno,

поломки bitlocker или veracrypt...когда пароль есть, он верный, но контейнер с данными его не принимает

У меня кстати пароль принимал но при попытке зайти на зашифрованный диск, выдавал ошибку или что то такое.

[Drno]

IvanRivan, проблема бывает и как в носителе, и в багах ПО... когда как. так что тут не угадаешь

[mayton2019]

IvanRivan, я дам только один совет. Не клади все яйца в одну корзинку.

Имеется в виду НЕ ДОВЕРЯЙ только чему-то одному. У тебя должен быть план А и план Б
по восстановлению. И оба плана должны быть независимыми. Хочешь Битлок и Вера-крипт?
Пожалуйста. Но озаботься еще и простым архивированием открытых файлов на домашний
переносной диск. И храни его в сейфе. Четная неделя - образ Битлока. Нечетная неделя
простая архивация всех файлов.

[IvanRivan]

mayton2019, а если буду параллельно с Битлоком/Вера-криптом архивировать файлы на диск/флешку (ну и параллельно в облако), но при этом зашифрованные (запароленные) архиватором? Почему именно открытые файлы?

[mayton2019]

IvanRivan, ну если у тебя диск размером 4Тб. Ты его зашифровал. То далее архиватор его объем не уменьшит никак. Тоесть в облако пойдет 4Тб и ты оплатишь либо сеть либо хостинг файла. А если там логический размер файлов - где-то на 2Тб - то архивируй их в открытом виде. Получится там допустим 1.5 Тб после архивации.
Вот и экономия. И вот эти 1.5Тб ты можешь шифровать обычными утилитами типа openssl и хранить дома в сейфе или тоже сливать в облако.

[IvanRivan]

mayton2019, я не весь диск имел ввиду в облако отправлять, а отдельные файлы, например файл с паролями архивирую с целью запаролить (зашифровать) и отправляю храниться в облако и на флешку. Ну и сама система вместе с файлами зашифрована - если накроется зашифрованная система то необходимые файлы будут останутся зашифрованные в облаке и на флешке и систему просто переустановлю. Саму систему целиком с диском не буду бекапить, да и диск на планшете 32 гигабайта - это далеко не 4Тб

Файлы зашифрованные архиватором сами по себе не испортятся ведь? Как Drno выше писал, сам битлокер может сломаться в любой момент из за программных глюков. А отдельные файлы то не сломаются, особенно если и на флешке и в облаке будут? Или они заархивироваться могут с глюком так что их потом не восстановить из запароленного архива?

[mayton2019]

IvanRivan, давай так. Ты напиши сценарии бэкапирования. По шагам. А я или другие посмотрят и покритикуют. А то у нас получается слишком вольная интерпретация желаний.

Шаги должны быть детальные. Иначе возникают вообще сомнения в целесообразности того что ты шифруешь на всех уровнях. Может тебе вообще не нужно ничего локально шифровать?

[IvanRivan]

mayton2019,
1) Шифрую всю систему битлокером (или другим подобным инструментом), в системе храню файлы и просто пользуюсь планшетом, браузером, где сохраняются авторизации, вкладки, история действий и т.д.
Таким образом при включении компьютера будет запрашиваться пароль, без которого не получить никакой информации с диска, где расположена система.
2) Время от времени, во время работы за этим планшетом, шифрую архиватором отдельные файлы (например файл с паролями) и кладу их в облако и на флешку (чтобы не все яйца в одну корзину и чтобы в случае поломки диска не потерять их). Хранение бекапов файлов в зашифрованном виде это на случай если украдут флешку или скопируют с нее файлы или каким либо образом получат доступ к облаку.

Таким образом в случае потери всей системы (украли планшет / вышел из строя диск / сломалось само шифрование из за программного глюка) смогу восстановить нужные мне файлы из бекапов, а потеря авторизаций в браузере и потеря истории действий в нем не так критичны, главное что прочим лицам невозможно будет получить доступ к зашифрованной системе, истории действий в ней и к файлам. А уже чтобы я сам не потерял наиболее важные для меня файлы - хранить их (в зашифрованном опять же виде) в облаке и на флешке.

Может тебе вообще не нужно ничего локально шифровать?

На самом деле у меня и острой нужны как таковой нет что либо шифровать, это скорее для эрудиции и удовлетворения любопытства. Хотя например в госуслуги и личные кабинеты на вебсайтах банков заходить с зашифрованного и защищенного устройства думаю есть смысл. Может вообще Linux поставить и альтернативой битлокера для линукса пользоваться и на этом планшете ничего кроме хранения паролей и входа в госуслуги и в ЛК банков с платежными операциями не совершать.

Answer 2

[CityCat4]

Шифрование - палка о двух концах. Никогда не сталкивались с ситуацией, когда есть архив, пароль к которому не помнишь? Бэкапить данные, используя разные методы шифрования - например openssl, архиватор с паролем etc. Свет клином не сошелся на контейнерах, тем более на BitLocker.

Еще можно держать отдельный архив/контейнер c паролями от других архивов/контейнеров. А пароль к нему либо в голове держать, либо хранить где-то так, чтобы никто не догадался, что это пароль :)

Comments

[IvanRivan]

Пока пришел к мысли зашифровать всю систему (не обязательно битлокером) и отдельные файлы бекапить через шифрование архиватором, отправляя эти файлы в облако и на флешку.
Если сломается диск с ОС или сам битлокер (или другая система шифрования) и не смогу войти в систему - не беда, нужные файлы останутся в бекапах зашифрованных, а систему переустановлю.

Битлокер мне нравится тем что в нем вся система зашифрована (в т.ч. история действий и браузер и все остальное) и никаких дополнительных манипуляций совершать не надо - выключил компьютер и потом без пароля систему не запустить и данные не получить (ну или получить, используя уязвимости битлокера). Это и называется контейнером или сам по себе контейнер в контексте шифрования это не то как я это понимаю?

Правильно ли понимаю что основной недостаток битлокера это уязвимости, позволяющие без пароля получить доступ к данным?

И подскажите пожалуйста, сам по себе битлокер может сломаться и произойдет такая ситуация, когда имея правильный пароль не удастся получить доступ к файлам? Или подобные ситуации могут быть исключительно из за неисправностей железа (сектор на HHD например умер, диск остался жив но битлокер напрочь сломался)?

[CityCat4]

IvanRivan, Каждый раз, когда встает задача шифрования или подобное - я спрашиваю - а какова модель нарушителя? От кого планируете защищаться?

[IvanRivan]

CityCat4, почему так ставите вопрос? У меня возникли свои вопросы, которые вызывают у меня живой интерес и я их озвучил, хотел бы получить ответы и закрыть пробелы в своих знаниях и эрудиции.
Я могу представить модель нарушителя и вы мне представите модель защиты, но это мне не очень по душе, потому что каких то моделей я могу не знать или забыть и не учесть - мне интересна общая модель безопасного хранения данных и использования устройства (или нескольких устройств для раздельных целей, например защищенный планшет для хранения паролей и взаимодействия с банками и платежные операции и настольный ПК для всего остального), которая имеет смысл в реальной жизни и предотвращает большую часть угроз.