Encryption is the only secure way to control who can access your data. If you are currently not using encryption software for your hard disk, emails, or files, you should pick an option here.
Мультиплатформенные приложения¶
Перечисленные здесь программы являются многоплатформенными и отлично подходят для создания зашифрованных резервных копий ваших данных.
Cryptomator (Облако)¶
Protects against the following threat(s):
Cryptomator is an encryption solution designed for privately saving files to any cloud Service Provider, eliminating the need to trust that they won't access your files. Программа может создавать хранилища в виртуальном диске, содержимое которых зашифровано и синхронизировано с твоим облачным хранилищем.
Cryptomator использует шифрование AES-256 для шифрования как файлов, так и их имён. Cryptomator не может зашифровать метаданные, такие как: время создания, изменения и доступа к файлу, количество и размер файлов и папок.
Cure53 провёл аудит некоторых криптографических библиотек Cryptomator. Эти библиотеки включают в себя cryptolib, cryptofs, siv-mode и cryptomator-objc-cryptor. Аудит не проходила cryptolib-swift, которая сейчас используется в iOS.
Cryptomator's documentation details its intended security target, security architecture, and best practices for use in further detail.
Picocrypt (Файлы)¶
Protects against the following threat(s):
Picocrypt - это маленькая и простая программа, предоставляющая современное шифрование. Picocrypt использует безопасный шифр XChaCha20 и функцию формирования ключа Argon2id для обеспечения высокого уровня безопасности. Для функций шифрования он использует стандартные модули Go x/crypto.
VeraCrypt (Диск)¶
Protects against the following threat(s):
VeraCrypt - это свободно распространяемая утилита с исходным кодом, используемая для шифрования "на лету". Программа может создавать виртуальный зашифрованный диск в файле, зашифровать логический раздел или даже зашифровать все устройство с предзагрузочной аутентификацией.
VeraCrypt - это форк, прекратившего свое существование, проекта TrueCrypt. По словам разработчиков, были реализованы улучшения безопасности и решены проблемы, найденные в ходе первоначального аудита кода TrueCrypt.
При шифровании с помощью VeraCrypt ты можешь выбрать различные хэш-функции. Мы настоятельно рекомендуем выбрать только SHA-512 и блочное шифрование по алгоритму AES.
Аудит Truecrypt проводился несколько раз. Veracrypt проходил аудит уже отдельно.
Шифрование всего диска¶
Protects against the following threat(s):
For encrypting the drive your operating system boots from, we generally recommend enabling the encryption software that comes with your operating system rather than using a third-party tool. This is because your operating system's native encryption tools often make use of OS and hardware-specific features like the secure cryptoprocessor in your device to protect your computer against more advanced physical attacks. For secondary drives and external drives which you don't boot from, we still recommend using open-source tools like VeraCrypt over the tools below, because they offer additional flexibility and let you avoid vendor lock-in.
BitLocker¶
BitLocker - решение для полного шифрования диска в Microsoft Windows. The main reason we recommend it for encrypting your boot drive is because of its use of TPM. ElcomSoft, a forensics company, has written about this feature in Understanding BitLocker TPM Protection.
BitLocker is only supported on Pro, Enterprise and Education editions of Windows. Эту функцию можно включить и в Home версии при соответствии условиям.
Enabling BitLocker on Windows Home
To enable BitLocker on "Home" editions of Windows, you must have partitions formatted with a GUID Partition Table and have a dedicated TPM (v1.2, 2.0+) module. You may need to disable the non-Bitlocker "Device encryption" functionality (which is inferior because it sends your recovery key to Microsoft's servers) if it is enabled on your device already before following this guide.
-
Откройте командную строку и проверьте формат таблицы разделов диска с помощью следующей команды. Вы должны увидеть "GPT" в разделе "Стиль раздела":
powershell Get-Disk -
Выполните эту команду (в командной строке от имени администратора), чтобы проверить версию вашего TPM. Вы должны увидеть
2.0или1.2, перечисленные рядом сSpecVersion:powershell Get-WmiObject -Namespace "root/cimv2/security/microsofttpm" -Class WIN32_tpm -
Access Advanced Startup Options. Необходимо перезагрузиться, нажав клавишу F8 до запуска Windows, и перейти в командную строку в разделе Устранение неполадок → Дополнительные параметры → Командная строка.
-
Войдите под учетной записью администратора и введите следующее для запуска шифрования:
manage-bde -on c: -used -
Закройте командную строку и продолжите обычную загрузку в Windows.
-
Откройте командную строку от имени администратора и выполните следующие команды:
manage-bde c: -protectors -add -rp -tpm manage-bde -protectors -enable c: manage-bde -protectors -get c: > %UserProfile%\Desktop\BitLocker-Recovery-Key.txt
Tip
Создайте резервную копию файла `BitLocker-Recovery-Key.txt` с рабочего стола на отдельном устройстве хранения данных. Потеря этого кода восстановления может привести к потере данных.
FileVault¶
FileVault - это решение для шифрования томов "на лету", встроенное в macOS. FileVault рекомендуется, поскольку он использует аппаратные возможности безопасности, представленные в SoC процессорах Apple или чипе безопасности T2.
Мы рекомендуем хранить локальный ключ восстановления в надежном месте, а не использовать для восстановления учетную запись iCloud.
Linux Unified Key Setup (LUKS)¶
LUKS - это стандартный метод FDE для Linux. Его можно использовать для шифрования полных томов, разделов или создания зашифрованных контейнеров.
Creating and opening encrypted containers
dd if=/dev/urandom of=/path-to-file bs=1M count=1024 status=progress
sudo cryptsetup luksFormat /path-to-file
Opening encrypted containers¶
We recommend opening containers and volumes with udisksctl as this uses Polkit. Большинство файловых менеджеров, например, входящих в состав популярных настольных сред, могут разблокировать зашифрованные файлы. Tools like udiskie can run in the system tray and provide a helpful user interface.
udisksctl loop-setup -f /path-to-file
udisksctl unlock -b /dev/loop0
Remember to back up volume headers
Мы рекомендуем всегда создавать резервные копии заголовков LUKS на случай частичного отказа диска. This can be done with:
cryptsetup luksHeaderBackup /dev/device --header-backup-file /mnt/backup/file.img
Для командной строки¶
Protects against the following threat(s):
Инструменты с интерфейсом командной строки полезны для интеграции shell scripts.
Kryptor¶
Kryptor - это бесплатный инструмент для шифрования и подписи файлов с открытым исходным кодом, использующий современные и безопасные криптографические алгоритмы. It aims to be a better version of age and Minisign to provide a simple, easier alternative to GPG.
Tomb¶
Tomb - это оболочка командной строки для LUKS. It supports steganography via third-party tools.
OpenPGP¶
Protects against the following threat(s):
OpenPGP иногда необходим для решения специфических задач, таких как цифровая подпись и шифрование электронной почты. PGP имеет множество функций и является комплексным, поскольку существует уже долгое время. Для таких задач, как подписание или шифрование файлов, мы предлагаем использовать вышеуказанные варианты.
При шифровании с помощью PGP у вас есть возможность настроить различные параметры в файле gpg.conf. We recommend staying with the standard options specified in the GnuPG user FAQ.
Use future defaults when generating a key
When generating keys we suggest using the future-default command as this will instruct GnuPG use modern cryptography such as Curve25519 and Ed25519:
gpg --quick-gen-key alice@example.com future-default
GNU Privacy Guard¶
GnuPG - это GPL-альтернатива криптографическому пакету PGP. GnuPG совместим с RFC 4880, который является текущей спецификацией IETF для OpenPGP. The GnuPG project has been working on an updated draft in an attempt to modernize OpenPGP. GnuPG является частью фонда свободного программного обеспечения GNU и получил крупное финансирование от правительства Германии.
Downloads
GPG4win¶
GPG4win - это пакет для Windows от Intevation и g10 Code. Он включает в себя различные инструменты, которые могут помочь вам в использовании GPG в Microsoft Windows. Проект был инициирован и первоначально финансировался федеральным управлением по информационной безопасности Германии (BSI) в 2005 году.
Downloads
GPG Suite¶
Note
We suggest Canary Mail for using PGP with email on iOS devices.
GPG Suite provides OpenPGP support for Apple Mail and macOS.
We recommend taking a look at their First steps and Knowledge Base for support.
Downloads
Currently, GPG Suite does not yet have a stable release for macOS Sonoma.
OpenKeychain¶
OpenKeychain - это Android-реализация GnuPG. It's commonly required by mail clients such as K-9 Mail and FairEmail and other Android apps to provide encryption support. Cure53 completed a security audit of OpenKeychain 3.6 in October 2015. Технические подробности об аудите и решениях OpenKeychain можно найти на сайте здесь.
Downloads
Критерии¶
Обрати внимание, что у нас нет связей ни с одним проектом, который мы рекомендуем. В дополнение к нашим стандартным критериям мы разработали четкий набор требований, позволяющий давать объективные рекомендации. Перед тем, как вы решите выбрать какой-либо проект, мы рекомендуем вам ознакомиться со списком критериев и провести собственное исследование, чтобы убедиться в правильности своего выбора.
Минимальные требования¶
- Cross-platform encryption apps must be open source.
- Приложения для шифрования файлов должны поддерживать дешифрование на Linux, macOS и Windows.
- Приложения для шифрования внешних дисков должны поддерживать дешифрование в Linux, macOS и Windows.
- Приложения для шифрования всего диска должны быть кроссплатформенными или встроенными в операционную систему.
В лучшем случае¶
Эти критерии представляют собой то, что мы хотели бы видеть от идеального проекта в этой категории. Наши рекомендации могут не соответствовать всем или нескольким из этих критериев, но проекты, которые им соответствуют, расположены выше остальных.
- Приложения для шифрования операционной системы (FDE) должны использовать аппаратную защиту, такую как TPM или Secure Enclave.
- Приложения для шифрования файлов должны иметь поддержку мобильных платформ.