Человек в офисе за клавиатурой. Логотипы электронных писем друг на друге и логотип щита/замка.

Защищенные паролем документы по электронной почте: новая и скрытая уязвимость

Жов 2024
Блог

Ми занадто покладаємося на електронну пошту

Електронне листування, як для особистих, так і для ділових цілей, стало невід’ємною частиною нашого сучасного життя. Із появою пандемії COVID бізнес дедалі більше покладається на віддалені зустрічі замість особистих візитів. Співробітники компаній почали надсилати більше файлів колегам, клієнтам, замовникам або третім особам (наприклад, постачальникам послуг, підрядникам, фінансовим, юридичним та інженерним партнерам). Вкладаючи файли з конфіденційною інформацією в наші електронні листи, ми маємо відчувати себе максимально в безпеці. Ми повинні бути впевнені, що наші конфіденційні дані надійно захищені провайдерами електронної пошти за допомогою наскрізного шифрування.

Багато хто йде далі. Такі програми, як Word, Excel®, Adobe® Acrobat® та багато інших, дають можливість користувачам використовувати пароль для захисту файлів. Вбудоване шифрування покликане підвищити впевненість у тому, що дані зберігатимуться в безпеці й будуть доступні лише тим адресатам, які мають відповідний пароль.

Однак ця впевненість може виявитися хибною. ІТ-відділи не завжди перевіряють вихідну електронну пошту на предмет потенційних витоків захищених даних, які зберігаються на власних або хмарних серверах, як того вимагають закони та нормативні акти. У більшості випадків підрядник, який зіткнувся з витоком даних електронної пошти, може не повідомити про цю проблему своїх партнерів.

Отже, наскільки безпечно надсилати вкладення електронною поштою?

Ми повинні сподіватися, що наші поштові сервери, інтернет-провайдери та сервери клієнтів/партнерів належним чином захищені. Постійно з’являються історії про витоки хмарних або корпоративних даних, але повідомлень про злам електронної пошти дуже мало.

Однак у липні 2023 року хакери зламали електронні поштові скриньки уряду США. У січні 2024 року компанія Microsoft® виявила, що стала жертвою двомісячного зламу електронної пошти, під час якого були викрадені внутрішні повідомлення та вкладення керівників.

Чи можна захистити конфіденційні дані? Люди багатьох професій, таких, як юристи, фінансові радники, податкові спеціалісти, страхові компанії, займаються обробкою цінної інформації. Захист файлів паролем може допомогти їм у цьому, але його не можна більше вважати запорукою безпеки.

Файли, захищені паролем за допомогою програмного шифрування

Людина сидить за столом, використовуючи клавіатуру та мишу. Накладена графіка із зображенням документа, захищеного паролем.

Захищені паролем електронні таблиці Microsoft Excel з інформацією про клієнтів або зашифровані PDF-файли Acrobat з юридичними доказами можуть забезпечити необхідну впевненість і спокій, але що можуть зробити хакери, якщо заволодіють цими документами?

Такі файли шифруються програмно на комп’ютері, а для доступу до даних додається пароль. У разі введення неправильного пароля файл не надасть дозволу на його відкриття та залишиться недоступним.

На жаль, такі файли не мають захисту від методу перебору паролів (тобто або перебір всіх можливих комбінацій символів, які можуть скласти пароль, або використання словників паролів, якими часто користуються).

Наприклад, припустимо, що надійний складний пароль використовує три набори символів із чотирьох доступних (великі літери, малі літери, цифри та спеціальні символи). Це стандартний тип пароля згідно з вимогами найкращих політик інформаційної безпеки. Найчастіше складні паролі містять 8 символів.

Загалом, щоб вгадати такі складні паролі, комп’ютеру може знадобитися багато років. Файли, захищені паролем, не мають жодного захисту від перебору паролів, окрім випадковості (або ентропії) вибраного пароля.

Сучасні комп’ютери та інструменти

Сучасні комп’ютери здатні перебирати понад 1 мільярда паролів щосекунди, зробивши величезний стрибок у розвитку з моменту, коли був розроблений захист файлів паролем.

Як кіберзлочинці зламують захищені паролем файли?

В Інтернеті можна знайти багато безкоштовних інструментів для видалення пароля з файлів Excel або Acrobat. Файли зі спеціальним шифруванням можуть стати мішенню для платних інструментів, які атакують захищений паролем файл з одного комп’ютера або тисячі комп’ютерів, об’єднаних у мережу (якщо зловмисники сповнені рішучості розкрити дуже важливі дані). Деякі з цих потужних інструментів використовуються правоохоронними органами як криміналістичні засоби, але їх можна легко придбати та завантажити в Інтернеті.

За даними Home Security Heroes інструмент для зламу паролів на основі ШІ може зламати звичайний 8-символьний складний пароль за лічені хвилини або не більше ніж за сім годин. На комп’ютерах, об’єднаних у мережу, атака методом перебору паролів на один захищений паролем файл може бути здійснена за коротший проміжок часу.

Як захистити мобільні дані

USB-накопичувач Kingston IronKey Vault Privacy 50 під’єднаний до багатопортового концентратора на столі, що забезпечує зв’язок із офісним комп’ютером.

Наразі ми чітко розуміємо, що під час будь-якої передачі конфіденційних даних електронними засобами може статися витік даних, наприклад, перехоплення файлу або злам сервера, що містить файл чи вкладення. Те саме стосується й зашифрованих файлів, що зберігаються у будь-якій хмарі, яка використовує програмне шифрування. Якщо зловмисник перехопить захищений паролем файл, він може здійснити атаку методом перебору паролів, використовуючи відповідне програмне забезпечення.

Найкращій спосіб мінімізувати ці ризики — це зберігати дані поза мережею, тобто коли немає з’єднання з Інтернетом. Дані можуть зберігатися на комп’ютері, не під’єднаному до мережі Інтернет, або ж передаватися на носії, захищеному від атак методом перебору паролів. Так, це громіздка робота, але вона пом’якшить наслідки, пов’язані з втратою цінних даних — витоки даних можуть коштувати мільйони доларів, включно з судовими витратами та покриттям збитків залежно від обсягу втрачених даних. Наприклад, втрата електронної таблиці клієнтських рахунків із реквізитами може завдати істотної шкоди бізнесу. Відомості про інтелектуальну власність клієнта, використані в судовій справі, можуть серйозно вплинути на компанію, якщо вони будуть втрачені або продані в «темній мережі».

Саме USB-накопичувачі з апаратним шифруванням або SSD-накопичувачі — це ті недорогі рішення, які здатні захистити ваші мобільні дані. Вони мають автономну апаратну екосистему безпеки, яка захищає від атак методом перебору паролів і використовує завжди ввімкнене шифрування AES 256-bit, яке неможливо зламати. Купуйте подібні пристрої лише у відомих і надійних виробників, оскільки недорогі рішення, що продаються в Інтернеті, можуть не мати належного парольного захисту або шифрування.

USB-накопичувачі з апаратним шифруванням або зовнішні SSD-накопичувачі, такі, як Kingston IronKey, не є типовими USB-накопичувачами чи SSD. Ці пристрої були розроблені з нуля з використанням спеціалізованих контролерів для захисту даних. Вони гарантують безпеку корпоративного та військового рівнів (що підтверджується сертифікацією за стандартом FIPS 140-3 Level 3 від американського урядового агентства NIST, яке займається розробкою шифрування AES-256 bit і встановлює стандарти для державних органів США). Понад 20 років компанія Kingston створює та виготовляє накопичувачі з апаратним шифруванням для підприємств і урядів країн зі всього світу.

Ефективний захист від атак методом перебору паролів

Будь-який доступ до даних накопичувача IronKey здійснюється через захищений мікропроцесор. Щоб надати відповідний доступ до даних, захищеному мікропроцесору потрібен або дійсний пароль, або PIN-код (для накопичувачів із клавіатурою). Захищений мікропроцесор враховує кількість невдалих спроб введення пароля (якщо вам доводилося скидати налаштування мобільного телефона, ви знаєте, як це працює). Накопичувачі IronKey можуть використовувати кілька паролів: пароль адміністратора, пароль користувача та одноразовий пароль для відновлення. Якщо одноразовий пароль для відновлення або пароль користувача буде введено неправильно 10 разів поспіль, накопичувач заблокує ці паролі. Якщо основний пароль адміністратора буде введено неправильно 10 разів поспіль, захищений мікропроцесор перейде в режим самознищення даних, виконавши криптографічне стирання всіх параметрів шифрування, форматування та скидання накопичувача до заводських налаштувань. На цьому етапі дані, які зберігалися на накопичувачі, будуть втрачені назавжди. Це забезпечить надійний захист ваших конфіденційних даних від більшості атак.

Найкращі методи захисту конфіденційних даних

На жаль, передача захищених паролем файлів електронною поштою або їх розміщення на хмарному сервері може призвести до витоку даних, оскільки самі файли неможливо захистити за допомогою сучасних технологій штучного інтелекту та комп’ютерних технологій. Найкращий спосіб захистити мобільні файли — це фізично носити їх у кишені або в сумці, щоб потім передати їх іншій стороні. Або ви можете надіслати накопичувач своєму клієнту/партнеру, повідомивши, як отримати доступ до даних. Ваш клієнт/партнер може залишити собі накопичувач. Дані будуть захищені, оскільки перебуватимуть поза мережею. Зовнішні SSD-накопичувачі IronKey ємністю до 8 ТБ здатні забезпечити надійний захист даних для широкого кола фахівців — від юридичних фірм до постачальників медичних і фінансових послуг.

Більшість виробників вже не надсилають електронною поштою ключові документи та відомості про інтелектуальну власність, натомість вони відправляють накопичувачі IronKey іншим користувачам (часто в різні країни) разом з інструкціями, як отримати доступ до даних. Адміністратор накопичувача IronKey може встановити постійний режим «Лише для читання», щоб користувач міг отримати доступ до даних, але не міг вносити в них будь-які зміни.

Накопичувачі IronKey відповідають найкращим практикам Тріади інформаційної безпеки ЦРУ, що робить їх комерційно привабливим рішенням для захисту ваших конфіденційних даних. Зрештою, все залежить від вашого ставлення до інформації.

Kingston’s Ask an Expert icon on a circuit board chipset

Зверніться до експерта

Планування правильного рішення вимагає розуміння цілей безпеки вашого проєкту. Дозвольте експертам Kingston допомогти вам.

Зверніться до експерта
Тріша тримає в руках USB флеш-накопичувач DT2000 2:53

Про USB-накопичувачі з шифруванням

USB-накопичувачі з шифруванням захищають дані, але як саме вони працюють?

Тріша тримає IKVP80ES поряд із зображеннями щита, екрана з кодом і навісного замка 5:38

Правильний спосіб безпечного зберігання файлів і надання доступу до них

Якщо ви творча людина, яка створює контент для крупних клієнтів, шифроване сховище може захистити важливі файли та допомогти вам виконати свої обов’язки щодо гарантування безпеки.

IKVP80ES на столі поруч з ноутбуком, камерою та експонометром 0:32

Шифроване сховище для креативщиків

Незалежно від того, чи працюєте ви самостійно або співпрацюєте з клієнтами по всьому світу, шифроване сховище може захистити ваші важливі файли та допомогти вам виконати свої обов’язки щодо гарантування безпеки.

Пов’язані публікації

Блог