Catalyst 11

Avaliando as opes
de criptograa. Por Pat Woodward
Consultor especializado: Criptograa de dados.
Com tantas opes de criptograa, escolher a melhor para sua
empresa pode ser difcil. Entender a diferena entre as principais
tecnologias e as vantagens e desvantagens de cada uma ajudar voc
a encontrar a soluo certa para seu ambiente.
Criptograa total de disco por meio de software
A criptograa total de disco (FDE - do ingls Full Disk Encryption)
geralmente criptografa todos os setores de um disco rgido, exceto os
arquivos crticos exigidos nos processos de boot. O objetivo proteger a
mxima quantidade de dados possvel, mas o master boot record (MBR)
no deve ser criptografado para permitir a inicializao do computador.
Normalmente, as implementaes de FDE tm um sistema de boot
complexo para carregar o sistema operacional (SO) criptografado do
usurio. As solues de FDE com frequncia incluem recursos como
autenticao de usurios por leitura de impresses digitais, Smart
Cards, autenticao de vrios fatores, reconhecimento facial e outras
tecnologias avanadas. No entanto, as solues de FDE podem dicultar
o gerenciamento do sistema operacional do usurio em funo da
interdependncia de software e sistema operacional. A interface de
gerenciamento de FDE geralmente proprietria e exige um console
de fornecedor de gerenciamento separado, alm de implementaes
exclusivas para recuperao e migrao.
Criptograa de arquivos e pastas
A criptograa baseada em arquivos diferente da FDE porque
criptografa arquivos e pastas, mas no aplicativos e sistemas operacionais.
Embora o conceito seja simples, a implementao pode ser complexa,
envolvendo aes como criptografar arquivos temporrios criados por
aplicativos, copiar e colar pastas e arquivos, imprimir arquivos, copiar e
colar telas e fazer backups de arquivos.
A criptograa de arquivos e pastas oferece recursos no encontrados
em solues FDE. Polticas de chave exvel podem ser denidas por
pasta, tipo de arquivo, usurio base ou base de usurios. As chaves s
so solicitadas para que permaneam na memria durante a abertura
do arquivo, depois so descartadas. O desempenho em uma unidade
criptografada de arquivo ou pasta normalmente melhor do que quando
o FDE usado. O gerenciamento simplicado porque o sistema
operacional e os aplicativos no so envolvidos, e a autenticao
geralmente nativa do sistema operacional.
Unidades com criptograa automtica
Unidades com criptograa automtica (SEDs - do ingls Self-Encrypting
Drives) so uma classe de dispositivos de armazenamento que incluem
aceleradores de criptograa internos. A interface padro para esses
dispositivos denida pela Opal Security Subsystem Class Specication 1.0
da Trusted Computing Group. A Opal especica o suporte de criptograa
AES tanto de 128 bits quanto de 256 bits, e a chave de criptograa
mantida nos circuitos internos da unidade e nunca liberada.
Para ativar a SED, comandos so enviados unidade para congur-la
para a operao de criptograa. Uma pequena partio na unidade
armazena o cdigo de boot, que usa a especicao Opal para autenticar
o usurio para a unidade. No h backup de chave porque a criptograa
nunca deixa a unidade. O backup de autenticao deve ser usado, e
as ferramentas de restaurao, que so especcas para fornecedores
diferentes, devem ser capazes de restaurar a sequncia de autenticao
da SED.
Pat Woodward, CCIE, CISSP, especialista em Enterprise da Dell,
que se concentra em operaes em rede e segurana.
A soluo de criptograa ideal:
o que deve ser considerado.
Para escolher a soluo de criptograa ideal para sua
organizao, necessrio considerar muitos fatores.
Quando voc entender os tipos de tecnologia, considere
estes pontos principais:
Suporte ao sistema legado: saiba quais so os sistemas
existentes em seu ambiente e o mtodo de criptograa
que pode ser usado para eles. O FDE e a criptograa de
arquivos e pastas funcionam com sistemas novos e legados,
enquanto a SED pode ter limites.
Fcil implantao: as solues FDE exigem que
desfragmentaes de disco sejam feitas com frequncia a
m de criar arquivos contnuos, ao passo que as solues
baseadas em agentes podem aplicar polticas de forma
transparente aos usurios.
Mdia removvel: entenda os riscos que armazenamentos
externos apresentam; o FDE e a SED podem exigir
que seja usado um produto separado para criptografar
dados externos.
Flexibilidade: o FDE e a SED so solues abrangentes,
enquanto a criptograa baseada em arquivos permite a
aplicao de polticas exveis.