Neprolomitelné Windows. Díky šifrování

Chcete, aby vaše Windows nikoho kromě vás k sobě nepustily? Zašifrujte je. Ochraňte i USB klíčenky či externí disky.

O šifrování programem TrueCrypt jsme psali ve článcích:
Chraňte obsah disku před nezvanými hosty. Zašifrujte jej!
Šifrování tajných dat na disku. Podrobný návod pro vás

V minulém díle jsme se věnovali praktické ukázce toho, jak můžeme pomocí programu TrueCrypt vytvořit tzv. souborový kontejner, šifrovaný soubor, do kterého ukládáme cenná data a který se k Windows připojí v podobě virtuálního pevného disku.

Dnes si ukážeme, že snadno lze šifrovat celé externí disky, USB klíčenky, oddíly pevného disku nebo i systémový oddíl s Windows. Výhody tohoto řešení jsou jasné: velké kontejnery podléhají na disku fragmentaci, což zásadní zpomaluje práci. To se vám však při šifrování celého oddílu disku nemůže stát. Navíc šifrováním Windows zaručíte, že nikdo nebude mít ponětí o tom, co na disku máte, jaký systém a jaké programy používáte a ani nikdo nijak nezjistí citlivá data související s historií navštívených webových stránek, uložená hesla apod.

TrueCrypt se hodí i pro šifrování externích médiích, které často slouží k zálohování. Používáte-li nějaký ze známých programů pro zálohování celého systému (např. Acronis True Image, Norton Ghost aj.), pak byste externí média měli pro větší bezpečí neodkladně šifrovat. Případný nenechavec by totiž při odcizení jednoho malého disku se zálohou měl všechny vaše soubory i s nimi související údaje a hesla jako na dlani. 

Šifrování externích disků a oddílů pevného disku

Ve většině případů jsou od výroby pevné disky v počítačových sestavách či laptopech rozděleny na více oddílů (standardně C a D). První oddíl bývá systémový ― jsou na něm nainstalované Windows a programy. Není to sice pravidlem, ale disk D pak většinou slouží jako úložiště multimediálního obsahu, instalačních souborů, záloh nebo dokumentů (pokud nepoužíváte Dokumenty v uživatelském účtu, ale i ty se dají přesunout na oddíl D). Výhoda takového řešení je ta, že pokud se náhodou stane, že oddíl C se při havárii systému stane nepřístupný, jeho zformátováním a nainstalováním Windows o data na D nepřijdete. 

Ukažme si teď, jak zašifrovat nesystémový oddíl, externí disky či USB klíčenky.

V programu TrueCrypt klikneme na tlačítko Vytvořit svazek a zvolíme Encrypt a non-system partition/drive (Zašifrovat nesystémový oddíl/disk). Opět jako v příkladech v minulém díle si můžete vybrat, zda oddíl/disk bude skrytý, nebo standardní (povídání na toto téma najdete rovněž v minulém díle). Nyní pro jednoduchost zvolíme standardní svazek, v dalším kroku vybereme zařízení, v našem zvoleném případě USB klíčenku. (Postup pro šifrování oddílu pevného disku je samozřejmě stejný.)

Po upozornění následuje výběr, jak disk šifrovat: buď jej zformátovat a šifrovat (rychlé řešení, při kterém se ale ztratí všechna data z disku), nebo šifrovat disk/oddíl z místa, což sice potrvá podstatně déle, ale o data nepřijdete (funguje však jen pod Windows Vista a vyššími). (Pozn.: Samozřejmě že situaci můžete vyřešit tak, že si nejprve data z disku/oddílu zazálohujete ― třeba vypálením na DVD ―, disk zašifrujete rychle s formátováním a data pak ze záloh zkopírujete do šifrovaného oddílu/disku.) 

V dalším kroku nás čeká známá volba šifrovacího algoritmu a zadání hesla, poté výběr souborového systému (FAT, NTFS) a samotné formátování (pokud jste zvolili tedy první možnost). 

Po připojení do USB portu (v případě šifrování klíčenky či externího disku) se sice zařízení připojí, ale Windows hlásí, že disk není naformátovaný, a dotáží se vás, zda jej chcete naformátovat. V žádném případě tohle nedělejte. Zašifrovaný disk musíte připojit k systému zase pomocí TrueCrypt, jak jsme si to uvedli v minulém díle. Tzn. v hlavním okně programu klikněte pravým tlačítkem na nějaké z dostupných písmenek disku, zvolte Select Device and Mount (Vybrat zařízení a připojit) a zadejte heslo. Hotovo.

 

Poté se ve Windows objeví nový disk. Všimněte si na obrázku, že USB klíčenka je připojena dvakrát. Jako disk G (Windows jej však vidí jako nenaformátovaný disk) a jako šifrovaný disk H, se kterým můžete normálně pracovat. 

Jestliže jste zašifrovali USB klíčenku, bude vás asi zajímat, zda je přenositelná a čitelná na všech počítačích, nebo jen na vašem, popř. na těch s nainstalovaným programem TrueCrypt. 

Každopádně tak, jak jsme ji právě vytvořili, je nutné, aby počítač, ke kterému ji připojíte, obsahoval nainstalovaný TrueCryp (bez ohledu na platformu, může to být i Linux či Mac OS X). Jinak se k jejímu obsahu nedostanete. 

Nicméně pro připojení na cizí počítač bez programu TrueCrypt můžete využít jedné funkce ― tzv. traveler mode, „cestovního režimu“. V českém překladu se tato funkce skrývá pod názvem Cestoví disk. Při této volbě bude na USB disk nakopírována kopie TrueCrypt, která se při připojení na cizí počítač spustí ― vy pak USB disk standardně připojíte. 

Aby tento způsob byl funkční, je nutné, aby část USB disku zůstala nezašifrována: spustitelné soubory a spouštěcí skript autorun.inf musejí být dostupné a čitelné i pro další systémy, ke kterým USB klíčenku připojíte. Proto odpadá možnost šifrování celé klíčenky: budete muset vytvořit souborový kontejner, jak jsme si to ukázali v minulém díle. 

Tzn. připojte nezašifrovaný USB disk k počítači, v programu TrueCrypt vyberte Nástroje | Cestovní disk..., vyberte USB klíčenku podle přiděleného písmenka a zvolte si, zda chcete, aby se TrueCrypt z klíčenky po jejím zastrčení do počítače spouštěl automaticky. Poté spusťte průvodce vytvořením svazku, vytvořte soubor, který poslouží jako kontejner, a dokončete průvodce standardní cestou. Kontejner pak pod jiným písmenem připojte v okně TrueCrypt, uložte na něj data a odpojte. Při zasunutí klíčenky do jiného počítače pak kontejner zase můžete bez problémů připojit zadáním hesla.

Šifrování Windows. Systém spustíte jen vy

Skvělou funkcí, která v programu TrueCrypt přibyla docela nedávno, je šifrování systémového disku. Jestliže zašifrujete Windows, nikdo kromě vás je nebude s to spustit a ani nijak zjistit, co na takto zašifrovaném oddílu/disku je. TrueCrypt nainstaluje vlastní zavaděč,  který vás při spuštění počítače vyzve k zadání hesla. Nesouhlasí-li, Windows se nespustí. Obsah disku bude navždy před zraky nepovolaných lidí skryt.

V okně TrueCrypt klikněte na Systém | Zašifrovat systémový oddíl/disk, dostanete na výběr, zda si přejete šifrovat jen část disku s Windows (pokud máte disk rozdělený), nebo celý. V dalším kroku uvidíte další už známou volbu, zda má být systém skrytý. Toto rozhodnutí opět necháváme na vás a pro jednoduchost pokračujeme ve standardním způsobu. 

Následuje série otázek a voleb související s přítomností dalšího operačního systému na disku (Linux, Mac OS X nebo další Windows). Většina z vás pravděpodobně nepoužívá systémy dva, takže tímto bychom se neměli teď zdržovat. I přesto malá poznámka: používáte-li i Linux, zavaděčem je Grub či Lilo. TrueCrypt je však nepodporuje, takže budete muset zavaděč přesunout z MBR jinam na disk (třeba na linuxový oddíl pomocí nějakého Live CD). TrueCryptu poté musíte zalhat, že jiný zavaděč nepoužíváte. Každopádně Windows se zašifrují, TrueCrypt nainstaluje vlastní zavaděč a pokud při startu počítače nezadáte správného heslo, můžete pokračovat a spustit Linux přes Grub či Lilo (popř. k němu přejít hned stisknutím Esc). 

Před spuštěním šifrování oddílu s Windows budete ještě vyzvání k vytvoření záchranného disku, který se bude hodit, kdyby došlo v budoucnu k nějakým potížím. TrueCrypt vám na pevný disk uloží ISO obraz záchranného disku, vy si jej budete muset vypálit a záhy vložit do mechaniky, aby jej TrueCrypt zkontroloval. Jinak vám šifrování systémového disku z bezpečnostních důvodů nepovolí. 

Poté už postupujeme stejně jako v mnoha zmíněných příkladech (tj. volba algoritmu, heslo apod.). Šifrování může v závislosti na velikosti systémového oddílu trvat několik desítek minut. 

28. 11. 2008

Autor: Oldřich Klimánek