Duomenų šifravimas šiandien nebe kažkokia egzotika ar paranojikų pomėgis – tai praktiškai būtinybė kiekvienam, kas nešiojasi nešiojamąjį kompiuterį su darbo failais, asmeninėmis nuotraukomis ar tiesiog nenori, kad pavogus laptopą kažkas galėtų pasižiūrėti, kas jame yra. Ir čia beveik visada iškyla tas pats klausimas: BitLocker ar VeraCrypt? Abu įrankiai daro iš esmės tą patį – užšifruoja diską taip, kad be teisingo rakto niekas nieko neperskaitys. Bet po šiuo paviršutinišku panašumu slepiasi gana skirtingos filosofijos, skirtingi kompromisai ir skirtingi vartotojai, kuriems vienas ar kitas sprendimas tinka geriau.
Kas per žvėrys šitie du
BitLocker – tai Microsoft gimtoji šifravimo sistema, integruota į Windows operacinę sistemą jau nuo Vistos laikų (na, gerąja versija – nuo Windows 7/8). Jis veikia tyliai, fone, dažnai vartotojas net nesupranta, kad jo diskas apskritai užšifruotas, nes viskas įvyksta automatiškai per Windows nustatymus arba per įmonės IT politiką. Tai integruotas sprendimas – jokių papildomų programų diegti nereikia, tiesiog įjungi funkciją nustatymuose ir viskas.
VeraCrypt – visai kitokia istorija. Tai atviro kodo projektas, kilęs iš legendinio TrueCrypt (kuris, kaip žinia, staiga ir gana paslaptingai buvo nutrauktas 2014 metais, sukeldamas nemažai spekuliacijų bendruomenėje). VeraCrypt perėmė TrueCrypt kodą, pataisė žinomas saugumo spragas ir tęsia gyvavimą kaip savarankiškas, nepriklausomas projektas. Jis veikia ne tik Windows, bet ir Linux, macOS sistemose, ir suteikia vartotojui žymiai daugiau kontrolės – bet ir reikalauja daugiau supratimo, ką tu darai.
Kaip veikia po gaubtu
Techniniu požiūriu abu naudoja panašius šifravimo algoritmus – AES yra standartas abiejuose. BitLocker daugiausia remiasi AES-XTS arba senesniu AES-CBC, o VeraCrypt siūlo dar daugiau pasirinkimų: AES, Serpent, Twofish, ir netgi galimybę juos sudėti į kaskadas (pavyzdžiui, AES-Twofish-Serpent), jei kažkas nori paranojiškai apsidrausti nuo hipotetinio vieno algoritmo pažeidimo ateityje.
Didelis skirtumas – aparatinės įrangos naudojimas. BitLocker labai mėgsta TPM (Trusted Platform Module) čipą, kuris saugo šifravimo raktus tiesiogiai plokštėje ir automatiškai atrakina diską paleidžiant sistemą, jei viskas atrodo taip, kaip turi būti (nesikeitė BIOS nustatymai, boot tvarka ir pan.). Tai patogu – vartotojui net nereikia įvesti slaptažodžio kiekvieną kartą. VeraCrypt tokio automatinio patogumo nesiūlo – ten dažniausiai reikia rankiniu būdu įvesti slaptafrazę kiekvieną kartą paleidžiant kompiuterį arba montuojant konteinerį. Tai mažiau patogu, bet tam tikra prasme ir saugiau, nes nėra automatinio atrakinimo mechanizmo, kurį teoriškai galima apeiti.
Atvirumas prieš juodąją dėžę
Čia prasideda tikrasis filosofinis ginčas. VeraCrypt kodas yra viešai prieinamas, jį gali peržiūrėti bet kas, ieškoti spragų, siūlyti pataisas. Buvo atlikti net keli nepriklausomi saugumo auditai (dar TrueCrypt laikais ir vėliau VeraCrypt), kurie nors ir rado tam tikrų smulkmenų, bendrai patvirtino, kad sistema yra patikima. Tai svarbu žmonėms, kurie nenori aklai pasitikėti didele korporacija ir nori patys (ar bendruomenei) įsitikinti, kad nėra jokių paslėptų durų (backdoor).
BitLocker – uždaro kodo produktas. Microsoft teigia, kad jokių backdoor’ų nėra, ir tikriausiai taip ir yra, bet patikrinti to negali niekas iš išorės. Kai kuriose šalyse ir tarp tam tikrų vartotojų grupių tai kelia nerimą, ypač turint omenyje, kad valstybinės institucijos istoriškai yra prašiusios technologijų kompanijų suteikti prieigą prie užšifruotų duomenų. Ar tai realus pavojus paprastam vartotojui, kuris tiesiog nenori, kad vagis pavogtas laptopas turėtų priėjimą prie jo failų? Tikriausiai ne. Bet principo klausimas kai kam labai svarbus.
Windows versijos ir tas nemalonus siurprizas
Vienas dalykas, kurio daug kas nežino, kol nesusiduria asmeniškai – BitLocker pilna versija (su visomis funkcijomis, tokia kaip diskų šifravimas skiltyse be sistemos disko ar detalesnis politikos valdymas) prieinama tik Windows Pro, Enterprise ar Education versijose. Windows Home vartotojai gauna tik supaprastintą variantą, vadinamą „Device Encryption“, kuris veikia tik su tam tikra aparatine įranga ir susietas su Microsoft paskyra – tai reiškia, kad tavo atrakinimo raktas automatiškai siunčiamas į Microsoft serverius. Kai kam tai patogu (jei pamiršai slaptažodį, gali atkurti prisijungęs prie savo Microsoft paskyros), bet kitiems – tai tiesiog nepriimtina dėl privatumo priežasčių.
VeraCrypt šiuo atveju demokratiškesnis – jis veikia vienodai visose Windows versijose, nesvarbu ar tai Home, ar Pro, nes tai nepriklausoma programa, o ne integruota OS funkcija. Tai vienas rimtų argumentų VeraCrypt naudai žmonėms, kurie naudoja pigesnę Windows versiją, bet vis tiek nori pilnaverčio šifravimo be dirbtinių apribojimų.
Patogumas prieš kontrolę
Realiame gyvenime dažnas žmogus renkasi pagal tai, kiek jis nori vargti su nustatymais. BitLocker laimi patogumu – trys paspaudimai nustatymuose, kompiuteris persikrauna, ir viskas veikia. Integracija su Windows Hello, automatinis atrakinimas per TPM, sklandus veikimas su Windows Update ir kitomis sistemos dalimis – viskas suprojektuota taip, kad vidutinis vartotojas net nepajustų, jog jo diskas yra šifruotas.
VeraCrypt reikalauja daugiau įsitraukimo. Reikia pačiam pasirinkti algoritmą, sukurti stiprią slaptafrazę (ir ją prisiminti, nes atkūrimo per debesį čia nėra – pamiršai slaptažodį, prarandi duomenis amžiams, be jokių išimčių), suprasti skirtumą tarp viso disko šifravimo ir paslėpto tūrio (hidden volume) funkcijos, kuri, beje, yra gana unikali VeraCrypt savybė – galimybė sukurti „diską disko viduje“, kurio egzistavimą galima paneigti net esant prievartai atskleisti slaptažodį.
Ta paslėpto tūrio funkcija, tarp kitko, verta atskiro paminėjimo – tai vienas iš tų dalykų, dėl kurių žurnalistai, aktyvistai ar žmonės, gyvenantys autoritariniuose režimuose, renkasi būtent VeraCrypt. Sukuriama išorinė talpykla su nekenksmingais failais, o viduje jos – paslėptas tūris su tikrai svarbiais duomenimis, kurio egzistavimo neįmanoma įrodyti be atskiro slaptažodžio.
Sistemos poveikis ir greitis
Šifravimas visada šiek tiek apkrauna procesorių, bet šiuolaikiniai CPU turi aparatinį AES pagreitinimą (AES-NI instrukcijų rinkinį), tad realaus greičio skirtumo tarp BitLocker ir VeraCrypt paprastas vartotojas praktiškai nepajus, jei naudoja standartinį AES algoritmą. Skirtumas tampa juntamas, jei VeraCrypt nustatai naudoti algoritmų kaskadą (pvz., trys algoritmai iš eilės) – tada apkrova padidėja, ir SSD diskuose tai gali sumažinti skaitymo/rašymo greitį pastebimai, ypač senesniuose kompiuteriuose be tinkamo aparatinio pagreitinimo.
Praktiškai – jei nesi paranojiškas dėl valstybinių agentūrų ar teorinio kvantinio kompiuterio, kuris vieną dieną nulaušys AES, standartinis vieno algoritmo šifravimas yra visiškai pakankamas ir vienoje, ir kitoje sistemoje.
Kam kas tinka realiame gyvenime
Jei naudoji Windows Pro versiją darbe, kompiuteris turi TPM čipą, ir tau tiesiog reikia, kad diskas būtų apsaugotas be papildomų vargų – BitLocker yra logiškas ir patogus pasirinkimas. Ypač jei dirbi organizacijoje, kuri jau naudoja Microsoft ekosistemą su Active Directory ar Intune valdymu – tada BitLocker integruojasi centralizuotai, IT skyrius gali stebėti šifravimo būseną visuose įmonės kompiuteriuose, atkurti raktus per Azure AD, jei darbuotojas pamiršta slaptažodį. Verslo aplinkoje tai tiesiog praktiškiau.
Jei naudoji Windows Home, nori pilnos kontrolės, dirbi su keliomis operacinėmis sistemomis (pvz., dual-boot su Linux), nenori priklausyti nuo Microsoft paskyros, ar tiesiog nori atviro kodo sprendimo, kurį gali patikrinti pats ar bendruomenė – VeraCrypt yra geresnis pasirinkimas. Taip pat jei tau reikia to paslėpto tūrio funkcionalumo ar norisi šifruoti tik atskirą USB laikmeną ar konkretų failų konteinerį, o ne visą sistemos diską.
Vietoj išvadų: ką realiai reikėtų daryti šiandien
Jei manęs klaustų draugas prie kavos puodelio, atsakymas būtų maždaug toks: nesvarbu, kurį pasirinksi, svarbiausia – kad apskritai naudotum šifravimą. Didžioji dauguma žmonių, praradusių laptopą ar telefoną, kenčia ne dėl to, kad pasirinko blogą šifravimo algoritmą, o dėl to, kad apskritai nebuvo įjungę jokio šifravimo.
Praktiniai patarimai, jei jau ruošiesi tai daryti:
- Jei turi Windows Pro ar Enterprise ir TPM čipą plokštėje – tiesiog įjunk BitLocker per Nustatymus, tai užtruks minutę ir veiks fone be jokių papildomų rūpesčių.
- Jei naudoji Windows Home ir nenori priklausyti nuo Microsoft paskyros atkūrimo sistemos – parsisiųsk VeraCrypt oficialioje svetainėje (veracrypt.fr), ne kažkur kitur, nes yra buvę atvejų, kai netikros versijos platino kenkėjiškas programas.
- Slaptažodis ar slaptafrazė turi būti ilga ir unikali – trumpas, lengvai atspėjamas raktas paverčia visą šifravimo pastangą beprasme. 20+ simbolių frazė yra kur kas geriau nei 8 simbolių „stiprus“ slaptažodis su specialiais simboliais.
- Atsarginę kopiją atkūrimo rakto (recovery key) BitLocker atveju būtinai išsisaugok atskirai – USB laikmenoje arba atspausdink, nesikliauk vien tik automatiniu Microsoft debesiu, ypač jei vėliau keiti aparatinę įrangą.
- VeraCrypt atveju – niekada nepamiršk slaptafrazės. Rimtai. Nėra jokio „pamiršau slaptažodį“ mygtuko, nėra klientų aptarnavimo, kuris tau padėtų. Duomenys tiesiog dingsta amžinai.
- Jei dirbi su jautriais duomenimis ir naudoji nešiojamą kompiuterį kelionėse per sienas su griežtais reikalavimais atskleisti duomenis – pagalvok apie VeraCrypt paslėpto tūrio funkciją, tai gali būti tiesiog gyvybiškai svarbus dalykas tam tikrose profesijose.
Galiausiai, technologija čia tik įrankis. Ir BitLocker, ir VeraCrypt savo darbą atlieka gerai, jei naudojami teisingai. Renkantis tarp jų svarbiau suprasti savo pačių poreikius ir grėsmių modelį, nei ieškoti objektyviai „geresnio“ sprendimo – nes tokio, tiesą sakant, tiesiog nėra. Yra tik tinkamesnis konkrečiai tavo situacijai.
