EDMS "Corporate Document Management" mendukung penggunaan tanda tangan digital elektronik (EDS) saat bekerja dengan file sistem. EDS didukung pada tingkat yang dibangun ke dalam platform "1C: Perusahaan 8.3 / 8.2" mekanisme kriptografi dan enkripsi, serta menggunakan objek metadata konfigurasi tambahan.
Untuk mengaktifkan kemungkinan menggunakan EDS dalam sistem alur kerja, buka formulir untuk mengatur parameter sistem "Pengaturan parameter: Sistem" (terletak di subsistem "Administrasi Sistem").
Pada tab "Pengaturan umum", aktifkan kotak centang "Gunakan tanda tangan digital elektronik", lalu klik tombol "Pengaturan kriptografi".
Di jendela yang terbuka, pilih jenis penyedia (untuk penyedia KriptoPro nilai harus sama dengan 75) dan parameter lainnya. Saat menggunakan penyedia CryptoPro (Crypto-Pro GOST R 34.10-2001 Cryptographic Service Provider), nilai berikut akan diganti secara otomatis:
- Algoritme tanda tangan: GOST R 34.10-2001
- Algoritme hash: GOST R 34.11-94
- Algoritma enkripsi: GOST 28147-89
Jika verifikasi EDS dilakukan di server dan sistem operasi Linux digunakan sebagai server, maka Anda harus menentukan jalur ke modul kriptografinya.
Contoh pengaturan modul kriptografi untuk CryptoPro ditunjukkan pada gambar di bawah ini.
Untuk bekerja dengan tanda tangan digital elektronik dalam sistem manajemen dokumen, Anda harus mendapatkannya terlebih dahulu dari penyedia EDS. Untuk menguji pekerjaan dan melatih pengguna, Anda bisa mendapatkan uji tanda tangan digital di pusat sertifikasi uji CryptoPro. Bagian selanjutnya menunjukkan contoh langkah demi langkah untuk mendapatkan dan memasang tanda tangan digital.
Memperoleh dan memasang EDS
Untuk mendapatkan dan menginstal EDS, Anda harus menginstal perangkat lunak"CryptoPro CSP 3.6". Produk dapat diunduh di situs web cryptopro.ru di bagian "Produk CIPF CryptoPro CSP / TLS / JSP" item "Unduh file".
Sebelum mengunduh kit distribusi dan mulai membuat EDS, Anda harus mendaftar di situs dan masuk ke akun Anda.
Sesuai dengan sistem operasi Anda, Anda dapat mengunduh kit distribusi yang Anda butuhkan, contohnya ditunjukkan pada gambar di bawah ini.
Setelah mengunduh, jalankan penginstalan dari distribusi, tunggu penginstalan selesai dan mulai ulang komputer Anda. Sekarang Anda dapat melanjutkan ke pembentukan EDS untuk karyawan.
Setelah masuk dengan akun Anda di situs penyedia Crypto-Pro, buka bagian "Dukungan" dan pilih "Otoritas Sertifikasi Uji" atau gunakan akses komersial ke pembentukan EDS dari penyedia ini.
Pembentukan EDS di situs web Crypto-Pro harus dilakukan di browser Internet Explorer (lebih disukai setidaknya versi 9), sementara itu diperlukan untuk memungkinkan bekerja dengan kontrol ActiveX.
Untuk memulai proses pembuatan tanda tangan digital, pilih item "Buat kunci dan kirim permintaan sertifikat".
Pada lembaran baru Pilih "Buat dan keluarkan permintaan ke CA ini".
Halaman entri data karyawan terbuka. Perlu untuk menunjukkan nama lengkapnya, surel dan data lainnya.
Di bagian Type of Certificate Needed, tentukan "Client Authentication Certificate". Tunjukkan juga bahwa Anda perlu membuat set baru kunci Penyedia Layanan Kriptografi CSP Crypto-Pro GOST R 34.10-2001.
Penting untuk menandai kunci sebagai dapat diekspor, pilih format permintaan PKCS10 dan algoritma hashing GOST R 34.11-94 di parameter tambahan. Untuk memulai proses pembuatan sertifikat EDS, klik tombol "Terbitkan".
Setelah mengklik tombol "Masalah", sebuah dialog akan terbuka untuk memilih lokasi kunci yang diekspor. Disarankan untuk memilih media yang dapat dilepas. Dalam contoh kami, kami akan memilih flash drive bernama MyDrive.
Dalam proses menghasilkan EDS, perlu bekerja dengan sensor biologis angka acak. Angka acak diperoleh melalui gerakan mouse, penekanan tombol.
Jika Anda menekan tombol mouse, ini juga akan mengarah pada pembentukan nilai acak, tetapi Anda tidak boleh terbawa suasana, karena pada akhir pembuatan paket nomor acak, alih-alih jendela yang ditampilkan, sebuah jendela akan muncul. ditampilkan di mana Anda perlu membuat kata sandi untuk tanda tangan digital dan Anda dapat secara tidak sengaja mengklik tombol yang tidak perlu di jendela pembuatan kata sandi.
Setelah berhasil menyelesaikan pembuatan sertifikat, sistem akan menawarkan untuk menginstalnya di sistem operasi Anda. Mengeklik tautan "Pasang sertifikat ini" akan memasang sertifikat EDS Anda.
Sertifikat diinstal di bagian sertifikat pengguna saat ini di direktori "Personal Certificates Registry".
Membuka daftar ini sertifikat dapat melalui item menu "Mulai Program" "Crypto-Pro". Gambar di bawah menunjukkan contoh untuk "Windows 7".
Setelah membuat sertifikat, Anda dapat melanjutkan penggunaannya di EDMS "Corporate Document Management".
Hingga saat ini, mekanisme berikut terkait EDS telah diterapkan dalam sistem:
- Menandatangani dokumen dengan tanda tangan digital
- Verifikasi Tanda Tangan Dokumen
- Mengunggah dokumen dan tanda tangan ke file
- Memuat dokumen dan tanda tangan dari file
- Enkripsi file dengan kemampuan untuk membuka daftar orang tertentu
Tindakan dasar dapat dilakukan dari kartu file. Gambar di bawah menunjukkan kartu file, di bagian bawah formulir pada tab "EDS", Anda dapat menandatangani dokumen. Untuk menandatangani dokumen, klik tombol "Masuk" dan daftar tanda tangan karyawan yang ada di komputer ini akan ditampilkan di layar, pilih tanda tangan yang diperlukan, masukkan kata sandi dan klik tombol "Tanda". File akan ditandatangani.
Catatan muncul di bagian tabular yang berisi nama lengkap karyawan yang menandatangani, tanggal dan waktu penandatanganan, dan komentar.
File yang ditandatangani dapat memiliki satu atau lebih tanda tangan; jika ada setidaknya satu tanda tangan, tombol pengeditan file menjadi tidak tersedia.
Pengguna dapat memeriksa status tanda tangan kapan saja dengan mengklik tombol "Periksa" atau "Periksa Semua". Jika tanda tangan pegawai sudah benar dan dokumen belum diubah, maka akan muncul tulisan “Verna” pada kolom “Status”.
File dapat disimpan dari kartu ke disk komputer, untuk melakukan ini, pilih dari menu "EDS dan enkripsi" item "Simpan dengan EDS".
Asumsikan bahwa file yang disimpan telah dimodifikasi, Anda dapat menambahkan satu karakter ke konten file yang disimpan untuk diperiksa. Sekarang mari unggah file ke sistem manajemen dokumen, unggah juga tanda tangan digital yang disimpan dengannya.
Mari buat dokumen perusahaan baru di EDMS "Corporate Document Management" dan tambahkan file yang disimpan ke dalamnya, Anda dapat menambahkan file dengan menyeret file ke bidang daftar file dokumen dengan mouse. Kami akan mengunggah file tanda tangan p7s nanti.
Sekarang buka kartu dari file yang diunduh dan pilih item "Tambahkan EDS dari file" di menu "EDS dan enkripsi". Pilih tanda tangan karyawan yang disimpan dari disk dan tekan tombol "OK". Contoh unduhan ditunjukkan pada gambar di bawah ini.
Karena file kami telah diubah oleh kami, verifikasi tanda tangan memberikan kesalahan. Di kolom "Status", entri "Tidak valid, nilai hash salah" muncul.
Pesan ini menunjukkan bahwa tanda tangan digital karyawan telah disusupi dan tidak valid lagi. Jika kami tidak mengubah file kami di disk, pemeriksaan tanda tangan digital akan memberikan hasil yang benar.
EDMS "Corporate Document Management" memungkinkan Anda untuk mengenkripsi file menggunakan EDS.
Enkripsi file memungkinkan Anda membatasi akses ke file hanya untuk karyawan yang ditentukan dalam daftar pengguna, karyawan lain tidak akan dapat membaca file tersebut, bahkan jika mereka memiliki akses fisik ke sana. File disimpan dienkripsi menurut GOST 28147-89.
Setelah enkripsi, daftar pengguna yang dapat menampilkan file ada di tab Terenkripsi untuk formulir kartu file.
Upaya membuka file untuk melihatnya menghasilkan kebutuhan untuk memasukkan kata sandi untuk tanda tangan digital.
1C: Platform perusahaan versi 8.2.14 atau lebih baru diperlukan untuk bekerja dengan mekanisme tanda tangan digital.
Mengenkripsi sistem file
Mengenkripsi berkas sistem adalah layanan yang terintegrasi erat dengan NTFS dan berada di inti Windows 2000. Tujuannya adalah untuk melindungi data yang disimpan di disk dari akses tidak sah dengan mengenkripsinya. Kemunculan layanan ini bukanlah kebetulan, dan sudah diharapkan sejak lama. Faktanya adalah bahwa sistem file yang ada saat ini tidak memberikan perlindungan data yang diperlukan dari akses yang tidak sah.
Pembaca yang penuh perhatian mungkin keberatan dengan saya: bagaimana dengan Windows NT dengan NTFS-nya? Lagi pula, NTFS menyediakan kontrol akses dan perlindungan data dari akses tidak sah! Ya itu benar. Tapi bagaimana ketika akses ke partisi NTFS Apakah dilakukan tidak menggunakan alat sistem operasi Windows NT, tetapi secara langsung, di tingkat fisik? Lagi pula, ini relatif mudah diimplementasikan, misalnya dengan mem-boot dari floppy disk dan menjalankannya program khusus: misalnya, ntfsdos yang sangat umum. Contoh yang lebih canggih adalah produk NTFS98. Tentu saja, Anda dapat memberikan kemungkinan ini dan menyetel kata sandi untuk memulai sistem, tetapi praktik menunjukkan bahwa perlindungan semacam itu tidak efektif, terutama ketika beberapa pengguna bekerja di komputer yang sama sekaligus. Dan jika penyerang dapat mengekstrak HDD dari komputer, maka tidak ada kata sandi yang akan membantu di sini. Dengan menghubungkan drive ke komputer lain, isinya dapat dibaca dengan mudah seperti artikel ini. Dengan demikian, penyerang dapat dengan mudah mendapatkan informasi rahasia yang disimpan di hard drive.
Satu-satunya cara untuk melindungi dari pembacaan fisik data adalah dengan mengenkripsi file. Kasus paling sederhana dari enkripsi semacam itu adalah pengarsipan file dengan kata sandi. Namun, ada sejumlah kekurangan serius di sini. Pertama, pengguna perlu mengenkripsi dan mendekripsi data secara manual (yaitu, dalam kasus kami, mengarsipkan dan membatalkan pengarsipan) data setiap kali sebelum dan sesudah bekerja, yang dengan sendirinya mengurangi keamanan data. Pengguna mungkin lupa untuk mengenkripsi (mengarsipkan) file setelah pekerjaan selesai, atau (bahkan lebih dangkal) hanya meninggalkan salinan file di disk. Kedua, kata sandi buatan pengguna biasanya mudah ditebak. Bagaimanapun, ada cukup banyak utilitas yang memungkinkan Anda membongkar arsip yang dilindungi kata sandi. Sebagai aturan, utilitas semacam itu melakukan tebakan kata sandi dengan menghitung kata-kata yang direkam dalam kamus.
Sistem EFS dirancang untuk mengatasi kekurangan ini. Berikut ini, kita akan melihat lebih dekat detail teknologi enkripsi, interaksi pengguna EFS, dan metode pemulihan data, mengenal teori dan implementasi EFS di Windows 2000, dan melihat contoh mengenkripsi direktori menggunakan EFS.
teknologi enkripsi
EFS menggunakan arsitektur Windows CryptoAPI. Ini didasarkan pada teknologi enkripsi kunci publik. Untuk mengenkripsi setiap file, kunci enkripsi file dibuat secara acak. Dalam hal ini, algoritme enkripsi simetris apa pun dapat digunakan untuk mengenkripsi file. Saat ini, EFS menggunakan satu algoritma, DESX, yang merupakan modifikasi khusus dari standar DES yang banyak digunakan.
Kunci enkripsi EFS disimpan di kumpulan penyimpanan penduduk (EFS sendiri terletak di kernel Windows 2000), yang mencegah akses tidak sah ke mereka melalui file halaman.
Interaksi pengguna
Secara default, EFS dikonfigurasikan sehingga pengguna dapat segera mulai menggunakan enkripsi file. Operasi enkripsi dan sebaliknya didukung untuk file dan direktori. Jika direktori dienkripsi, semua file dan subdirektori dari direktori ini dienkripsi secara otomatis. Perlu dicatat bahwa jika file terenkripsi dipindahkan atau diganti namanya dari direktori terenkripsi ke yang tidak terenkripsi, itu akan tetap terenkripsi. Operasi enkripsi/dekripsi dapat dilakukan dengan dua cara berbeda - menggunakan penjelajah jendela atau utilitas konsol Cipher.
Untuk mengenkripsi direktori dari dalam Windows Explorer, pengguna hanya perlu memilih satu atau lebih direktori dan mencentang kotak enkripsi di jendela properti lanjutan direktori. Semua file dan subdirektori yang dibuat nanti di direktori ini juga akan dienkripsi. Dengan demikian, Anda dapat mengenkripsi file hanya dengan menyalin (atau memindahkan) ke direktori "terenkripsi".
File terenkripsi disimpan di disk dalam bentuk terenkripsi. Saat membaca file, data secara otomatis didekripsi, dan saat menulis, secara otomatis dienkripsi. Pengguna dapat bekerja dengan file terenkripsi dengan cara yang sama seperti file biasa, yaitu, buka dan edit di editor teks Microsoft Word dokumen, edit gambar di Adobe Photoshop atau editor grafis cat, dan sebagainya.
Perlu dicatat bahwa Anda tidak boleh mengenkripsi file yang digunakan saat startup sistem - saat ini, kunci pribadi pengguna, yang digunakan untuk mendekripsi, belum tersedia. Hal ini dapat menyebabkan sistem tidak dapat memulai! EFS memberikan perlindungan sederhana terhadap situasi seperti itu: file dengan atribut "sistem" tidak dienkripsi. Namun, hati-hati: ini dapat membuat "lubang" di sistem keamanan! Periksa apakah atribut file disetel ke "sistem" untuk memastikan file tersebut benar-benar akan dienkripsi.
Penting juga untuk diingat bahwa file terenkripsi tidak dapat dikompresi. Alat Windows 2000 dan sebaliknya. Dengan kata lain, jika direktori dikompresi, isinya tidak dapat dienkripsi, dan jika isi direktori dienkripsi, maka tidak dapat dikompresi.
Jika dekripsi data diperlukan, Anda hanya perlu menghapus centang pada kotak enkripsi untuk direktori yang dipilih di Windows Explorer, dan file serta subdirektori akan didekripsi secara otomatis. Perlu dicatat bahwa operasi ini biasanya tidak diperlukan, karena EFS menyediakan operasi "transparan" dengan data terenkripsi untuk pengguna.
Pemulihan data
EFS menyediakan dukungan bawaan untuk memulihkan data jika perlu didekripsi, tetapi untuk beberapa alasan hal ini tidak dapat dilakukan secara normal. Secara default, EFS akan secara otomatis menghasilkan kunci pemulihan, instal sertifikat akses akun administrator dan simpan saat pertama kali Anda masuk. Dengan demikian, administrator menjadi apa yang disebut agen pemulihan, dan akan dapat mendekripsi file apa pun di sistem. Tentu saja, kebijakan pemulihan data dapat diubah, dan orang khusus yang bertanggung jawab atas keamanan data, atau bahkan beberapa orang tersebut, dapat ditunjuk sebagai agen pemulihan.
Sedikit teori
EFS mengenkripsi data menggunakan skema kunci bersama. Data dienkripsi dengan cepat algoritma simetris menggunakan kunci enkripsi file (FEK). FEK adalah kunci yang dihasilkan secara acak dengan panjang tertentu. Panjang kunci dalam EFS versi Amerika Utara adalah 128 bit, dalam versi internasional EFS digunakan panjang kunci yang dikurangi 40 atau 56 bit.
FEK dienkripsi dengan satu atau lebih kunci enkripsi bersama, menghasilkan daftar FEK terenkripsi. Daftar kunci FEK terenkripsi disimpan dalam atribut EFS khusus yang disebut DDF (bidang dekripsi data). Informasi yang digunakan untuk mengenkripsi data tertanam pada file ini. Kunci publik diekstraksi dari pasangan kunci pengguna sertifikat X509 dengan kesempatan tambahan menggunakan "Enkripsi file". Kunci privat dari pasangan ini digunakan untuk mendekripsi data dan FEK. Bagian pribadi dari kunci disimpan di kartu pintar atau di tempat aman lainnya (misalnya, di memori, yang diamankan menggunakan CryptoAPI).
FEK juga dienkripsi menggunakan satu atau beberapa kunci pemulihan (berasal dari sertifikat X509 yang direkam dalam Kebijakan Pemulihan Data Terenkripsi untuk komputer ini, dengan opsi "Pemulihan file" ditambahkan).
Seperti pada kasus sebelumnya, bagian umum dari kunci digunakan untuk mengenkripsi daftar FEK. Daftar kunci FEK terenkripsi juga disimpan bersama file di area EFS khusus yang disebut DRF (bidang pemulihan data). Hanya bagian umum dari setiap pasangan kunci yang digunakan untuk mengenkripsi daftar FEK di DRF. Hanya kunci pemulihan bersama yang diperlukan untuk operasi file normal. Agen pemulihan dapat menyimpan kunci pribadi mereka di lokasi yang aman di luar sistem (misalnya, di kartu pintar). Gambar tersebut menunjukkan diagram proses enkripsi, dekripsi, dan pemulihan data.
Proses enkripsi
File pengguna yang tidak terenkripsi dienkripsi dengan FEK yang dibuat secara acak. Kunci ini ditulis dengan file, file didekripsi menggunakan kunci publik pengguna (direkam dalam DDF) dan juga menggunakan kunci publik agen pemulihan (direkam dalam DRF).
Proses dekripsi
Pertama, kunci pribadi pengguna digunakan untuk mendekripsi FEK - untuk ini, versi terenkripsi dari FEK digunakan, yang disimpan di DDF. FEK yang didekripsi digunakan untuk mendekripsi file blok demi blok. Jika di berkas besar blok tidak dibaca secara berurutan, maka hanya blok baca yang didekripsi. File tetap terenkripsi.
Proses pemulihan
Proses ini mirip dengan dekripsi, dengan perbedaan bahwa kunci pribadi agen pemulihan digunakan untuk mendekripsi FEK, dan versi terenkripsi FEK diambil dari DRF.
Implementasi di Windows 2000
Angka tersebut menunjukkan arsitektur EFS:
EFS terdiri dari komponen-komponen berikut:
sopir EF
Komponen ini secara logis berada di atas NTFS. Ini berinteraksi dengan layanan EFS, memperoleh kunci enkripsi file, DDF, bidang DRF, dan data manajemen kunci lainnya. Pengemudi meneruskan informasi ini ke file system runtime library (FSRTL) untuk menjalankan berbagai operasi file secara transparan. operasi sistem(misalnya, membuka file, membaca, menulis, menambahkan data ke akhir file).
Perpustakaan Waktu Proses EFS (FSRTL)
FSRTL adalah modul di dalam driver EFS yang melakukan panggilan NTFS eksternal untuk melakukan berbagai operasi sistem file seperti membaca, menulis, membuka file dan direktori terenkripsi, serta mengenkripsi, mendekripsi, memulihkan data saat menulis ke disk dan membaca dari disk. Meskipun driver EFS dan FSRTL diimplementasikan sebagai komponen tunggal, keduanya tidak pernah berinteraksi secara langsung. Mereka menggunakan mekanisme panggilan NTFS untuk bertukar pesan satu sama lain. Ini memastikan bahwa NTFS berpartisipasi dalam semua operasi file. Operasi yang diimplementasikan menggunakan mekanisme manajemen file termasuk menulis data ke atribut file EFS (DDF dan DRF) dan meneruskan kunci FEK yang dihitung EFS ke pustaka FSRTL, karena kunci ini harus disetel dalam konteks buka file. File ini membuka konteks kemudian memungkinkan enkripsi dan dekripsi file secara diam-diam saat file ditulis dan dibaca dari disk.
layanan EF
Layanan EFS adalah bagian dari subsistem keamanan. Ini menggunakan port komunikasi LPC yang ada antara LSA (otoritas keamanan lokal) dan monitor keamanan mode kernel untuk berkomunikasi dengan driver EFS. Dalam mode pengguna, EFS berinteraksi dengan CryptoAPI untuk menyediakan kunci enkripsi file dan menghasilkan DDF dan DRF. Selain itu, EFS menyediakan dukungan untuk Win32 API.
API Win32
Menyediakan antarmuka pemrograman untuk enkripsi membuka file, mendekripsi dan memulihkan file tertutup, menerima dan mengirim file tertutup tanpa mendekripsi terlebih dahulu. Diimplementasikan sebagai standar perpustakaan sistem advapi32.dll.
Sedikit latihan
Untuk mengenkripsi file atau direktori, lakukan hal berikut:
- Luncurkan Windows Explorer, klik kanan pada direktori, pilih Properties.
- Pada tab General, klik tombol Advanced.
- Centang kotak "Enkripsi konten untuk mengamankan data". Klik OK, lalu klik Terapkan di dialog Properti. Jika Anda telah memilih untuk mengenkripsi file individual, kotak dialog berikut juga akan muncul:
Sistem menawarkan untuk mengenkripsi direktori yang berisi file yang dipilih juga, jika tidak, enkripsi akan dibatalkan secara otomatis saat pertama kali file tersebut diubah. Ingatlah selalu hal ini saat mengenkripsi file satu per satu!
Ini melengkapi proses enkripsi data.
Untuk mendekripsi direktori, cukup batalkan pilihan kotak "Enkripsi konten untuk mengamankan data". Direktori, serta semua subdirektori dan file yang ada di dalamnya, akan didekripsi.
kesimpulan
- Sistem EFS di Windows 2000 memberi pengguna kemampuan untuk mengenkripsi direktori NTFS menggunakan skema kriptografi kunci pra-berbagi yang kuat, dengan semua file di direktori pribadi dienkripsi. Enkripsi file individu didukung tetapi tidak disarankan karena perilaku aplikasi yang tidak dapat diprediksi.
- EFS juga mendukung enkripsi file yang dihapus, yang diakses sebagai sumber daya bersama. Jika ada profil pengguna untuk sambungan, kunci dan sertifikat profil jarak jauh akan digunakan. Dalam kasus lain, profil lokal dibuat dan kunci lokal digunakan.
- EFS menyediakan cara untuk menetapkan kebijakan pemulihan data sehingga data terenkripsi dapat dipulihkan menggunakan EFS jika diperlukan.
- Kebijakan pemulihan data dibangun ke dalam Kebijakan Keamanan Umum Windows 2000. Penegakan kebijakan pemulihan dapat didelegasikan kepada individu yang berwenang. Setiap unit organisasi dapat memiliki kebijakan pemulihan datanya sendiri yang dikonfigurasi.
- Pemulihan data di EFS adalah operasi tertutup. Proses pemulihan mendekripsi data, tetapi bukan kunci pengguna yang digunakan untuk mengenkripsi data.
- Bekerja dengan file terenkripsi di EFS tidak mengharuskan pengguna melakukan langkah khusus apa pun untuk mengenkripsi dan mendekripsi data. Dekripsi dan enkripsi terjadi secara transparan kepada pengguna dalam proses membaca dan menulis data ke disk.
- Sistem EFS mendukung cadangan dan memulihkan file terenkripsi tanpa mendekripsinya. NtBackup mendukung pencadangan file terenkripsi.
- Sistem EFS dibangun ke dalam sistem operasi sedemikian rupa sehingga tidak mungkin membocorkan informasi melalui file swap, sambil memastikan bahwa semua salinan yang dibuat akan dienkripsi
- Banyak tindakan pencegahan dilakukan untuk memastikan keamanan pemulihan data, serta perlindungan terhadap kebocoran dan kehilangan data jika terjadi kegagalan sistem yang fatal.
Persyaratan dasar untuk sandi
Pesan terenkripsi harus dapat dibaca hanya jika kuncinya ada.
Jumlah operasi yang diperlukan untuk menentukan kunci enkripsi yang digunakan dari fragmen pesan terenkripsi dan teks biasa yang sesuai harus minimal jumlah total kemungkinan kunci;
Jumlah operasi yang diperlukan untuk mendekripsi informasi dengan mencari melalui semua kunci yang mungkin harus memiliki batas bawah yang ketat dan melampaui batas kemungkinan komputer modern(dengan mempertimbangkan kemungkinan menggunakan komputasi jaringan);
pengetahuan tentang algoritma enkripsi seharusnya tidak mempengaruhi keandalan perlindungan
sedikit perubahan pada kunci harus mengarah pada perubahan signifikan dalam bentuk pesan terenkripsi bahkan ketika teks sumber yang sama dienkripsi;
sedikit perubahan pada teks sumber harus mengarah pada perubahan signifikan dalam bentuk pesan terenkripsi meskipun menggunakan kunci yang sama;
Elemen struktural dari algoritma enkripsi harus tidak berubah;
bit tambahan yang dimasukkan ke dalam pesan selama proses enkripsi harus disembunyikan secara lengkap dan aman di dalam ciphertext;
Panjang ciphertext harus sama dengan panjang teks aslinya;
· Seharusnya tidak ada ketergantungan yang sederhana dan mudah dibuat antara kunci yang digunakan secara berurutan dalam proses enkripsi;
Kunci apa pun dari kumpulan kemungkinan yang harus disediakan perlindungan yang handal informasi;
Algoritme harus memungkinkan implementasi perangkat lunak dan perangkat keras, sementara mengubah panjang kunci tidak boleh menyebabkan penurunan kualitas algoritma enkripsi.
Implementasi perangkat lunak sandi
Kemungkinan implementasi perangkat lunak disebabkan oleh fakta bahwa semua metode transformasi kriptografi bersifat formal dan dapat direpresentasikan sebagai prosedur algoritmik terbatas.
Untuk kebajikan implementasi perangkat lunak dapat dikaitkan dengan fleksibilitas dan portabilitasnya. Dengan kata lain, sebuah program yang ditulis untuk satu sistem operasi dapat dimodifikasi untuk semua jenis sistem operasi. Juga, perbarui perangkat lunak mungkin dengan sedikit waktu dan uang. Selain itu, banyak pencapaian modern di bidang protokol kriptografi tidak tersedia untuk diimplementasikan dalam bentuk perangkat keras.
Untuk kerugian alat perangkat lunak perlindungan kriptografi harus mencakup kemungkinan mengganggu pengoperasian algoritme enkripsi dan mendapatkan akses ke informasi kunci yang disimpan dalam memori publik. Operasi ini biasanya dilakukan dengan satu set sederhana alat perangkat lunak. Jadi, misalnya, di banyak sistem operasi crash dump dilakukan pada hard disk, sedangkan memori mungkin berisi kunci yang tidak sulit ditemukan.
Dengan demikian, keamanan fisik perangkat lunak yang lemah adalah salah satu kelemahan utama dari metode tersebut untuk mengimplementasikan algoritma enkripsi.
Implementasi perangkat keras dan perangkat lunak
DI DALAM Akhir-akhir ini sarana enkripsi gabungan mulai muncul, yang disebut. perangkat lunak dan perangkat keras. Dalam hal ini, semacam "koprosesor kriptografi" digunakan di komputer - perangkat komputasi yang berfokus pada pelaksanaan operasi kriptografi (penambahan modulo, pergeseran, dll.). Dengan mengubah perangkat lunak untuk perangkat semacam itu, Anda dapat memilih satu atau metode enkripsi lainnya.
Fungsi utama yang ditugaskan ke perangkat keras dari kompleks perangkat keras-perangkat lunak perlindungan informasi kriptografi biasanya adalah pembuatan informasi kunci dan penyimpanannya dalam perangkat yang dilindungi dari akses tidak sah oleh penyusup. Selain itu, dengan menggunakan jenis teknik ini, dimungkinkan untuk mengautentikasi pengguna menggunakan kata sandi (perubahan statis atau dinamis, yang dapat disimpan di berbagai pembawa informasi kunci), atau berdasarkan karakteristik biometrik yang unik untuk setiap pengguna. Perangkat untuk membaca informasi tersebut dapat menjadi bagian dari implementasi perangkat lunak dan perangkat keras dari alat keamanan informasi.
kantor Microsoft 2010 berisi opsi yang memungkinkan Anda mengontrol data yang dienkripsi saat menggunakan Microsoft Access 2010, Microsoft Excel 2010, Microsoft OneNote 2010, Microsoft PowerPoint 2010, Microsoft Project 2010, dan Microsoft Word 2010. Artikel ini membahas kriptografi dan enkripsi di Office 2010, menjelaskan opsi kemampuan enkripsi data dan menyediakan informasi kompatibilitas dengan versi sebelumnya versi Microsoft kantor.
Saat Anda merencanakan opsi enkripsi, pertimbangkan panduan berikut:
- Kami menyarankan agar Anda tidak melakukan perubahan pada pengaturan enkripsi default kecuali model keamanan organisasi Anda memerlukan pengaturan enkripsi yang berbeda dari default.
- Sebaiknya gunakan panjang dan kerumitan kata sandi untuk memastikan bahwa kata sandi yang kuat digunakan saat mengenkripsi data.
- Kami merekomendasikan Anda Bukan menggunakan enkripsi RC4.
- Tidak ada pengaturan administratif yang memungkinkan Anda memaksa pengguna melakukan enkripsi dokumen. Namun, ada pengaturan administratif yang memungkinkan Anda menghapus kemampuan menambahkan kata sandi untuk dokumen dan dengan demikian mencegah dokumen dienkripsi.
- Menyimpan dokumen di lokasi tepercaya tidak memengaruhi pengaturan enkripsi. Jika dokumen dienkripsi dan disimpan di lokasi yang aman, pengguna harus memberikan kata sandi untuk membuka dokumen.
Dalam artikel ini:
Tentang kriptografi dan enkripsi di Office 2010
Algoritme enkripsi yang tersedia untuk digunakan dengan Office bergantung pada algoritme yang dapat diakses melalui API (Application Programming Interface) di sistem operasi Windows. Office 2010, selain memberikan dukungan untuk API Kriptografi (CryptoAPI), juga menyertakan dukungan untuk CNG (CryptoAPI: Next Generation), yang pertama kali diperkenalkan pada sistem Microsoft Office 2007 Service Pack 2 (SP2).
CNG memungkinkan enkripsi yang lebih fleksibel, di mana Anda dapat menentukan algoritme yang mendukung berbagai enkripsi dan hash di komputer host untuk digunakan selama proses enkripsi dokumen. CNG juga memungkinkan perluasan enkripsi yang lebih baik di mana modul enkripsi pihak ketiga dapat digunakan.
Saat Manajemen menggunakan CryptoAPI, algoritme enkripsi bergantung pada mereka yang memasok CSP (Penyedia Layanan Kriptografi), yang merupakan bagian dari sistem operasi Windows. Kunci registri berikut berisi daftar CSP yang diinstal di komputer:
HKEY_LOCAL_MACHINE/software/Microsoft/encryption/default/provider
Algoritme enkripsi CNG berikut, atau cipher ekstensi CNG lainnya yang diinstal pada sistem, dapat digunakan dengan sistem Office 2010 atau Office SP2 2007:
AES, DES, DESX, 3DES, 3DES_112 dan RC2
Algoritme hash CNG berikut, atau ekstensi penyandian CNG lainnya yang diinstal pada sistem, dapat digunakan dengan Office 2010 atau sistem Office SP2 2007:
MD2, MD4, MD5, RIPEMD-128, RIPEMD-160, SHA-1, SHA256, SHA384 dan SHA512
Meskipun ada opsi Office 2010 untuk mengubah cara enkripsi dilakukan, saat mengenkripsi file format Open XML (.docx, .xslx, .pptx, dll.) nilai defaultnya adalah AES (Advanced Encryption Standard), kunci panjang 128-bit , SHA1, dan CBC (cipher block chaining) - memberikan enkripsi yang kuat dan seharusnya baik untuk sebagian besar organisasi. Enkripsi AES adalah algoritme standar terkuat yang tersedia dan telah dipilih oleh Badan Keamanan Nasional (NSA) untuk digunakan sebagai standar oleh pemerintah Amerika Serikat. Enkripsi AES didukung pada Windows XP SP2, Windows Vista, Windows 7, Server Windows 2003 dan Windows Server 2008.
Opsi Kriptografi dan Enkripsi
Tabel berikut mencantumkan opsi yang tersedia untuk mengubah algoritme enkripsi saat menggunakan versi Microsoft Office yang tersedia untuk CryptoAPI. Ini termasuk versi Office hingga dan termasuk Office 2010.
|
Pengaturan |
Keterangan |
| Jenis enkripsi untuk File kantor Buka XML, dilindungi kata sandi | Opsi ini memungkinkan Anda menyetel jenis enkripsi untuk file Open XML dari Cipher Service Provider (CSP) yang tersedia. Pengaturan ini diperlukan saat menggunakan enkripsi add-in COM khusus. Untuk informasi selengkapnya, lihat "Panduan Pengembang Enkripsi Sistem Office 2007," yang tersedia sebagai bagian dari SDK Sharepoint Server 2007. Pengaturan ini diperlukan jika Anda menggunakan sistem Office 2007 SP1 atau menggunakan versi Paket Kompatibilitas yang lebih lama dari Paket Kompatibilitas Microsoft Office untuk format file Word, Excel, dan PowerPoint dan Anda ingin mengubah algoritme enkripsi menjadi sesuatu selain default. |
| Jenis enkripsi untuk file Office 97-2003 yang dilindungi kata sandi | Opsi ini memungkinkan Anda menyetel jenis enkripsi untuk file Office 97-2003 (biner) dari layanan kriptografi (CSP) yang tersedia. Satu-satunya algoritme yang didukung saat menggunakan opsi ini adalah RC4, yang, seperti disebutkan sebelumnya, tidak kami rekomendasikan. |
Di Office 2010, jika Anda ingin mengubah pengaturan jenis enkripsi file Kantor Buka XML yang dilindungi kata sandi, Anda harus mengaktifkan opsi terlebih dahulu kompatibilitas enkripsi harap tentukan dan pilih opsi menggunakan format warisan. Parameter menentukan kompatibilitas enkripsi tersedia untuk Access 2010, Excel 2010, PowerPoint 2010 dan Word 2010.
Tabel berikut mencantumkan opsi yang tersedia untuk mengubah algoritme enkripsi saat menggunakan Office 2010. Opsi ini berlaku untuk Access 2010, Excel 2010, OneNote 2010, PowerPoint 2010, Project 2010, dan Word 2010.
|
Pengaturan |
Keterangan |
| Mengatur Algoritma Enkripsi CNG | Pengaturan ini memungkinkan Anda untuk menyesuaikan algoritma enkripsi CNG yang digunakan. Standarnya adalah AES. |
| Sesuaikan mode kopling cipher LNG | Pengaturan ini memungkinkan Anda untuk mengonfigurasi cipher, mode chaining yang digunakan. Standarnya adalah Rantai blok cipher (CBC). |
| Tetapkan Panjang Kunci Enkripsi LNG | Opsi ini memungkinkan Anda mengonfigurasi jumlah bit yang akan digunakan saat membuat kunci enkripsi. Nilai default adalah 128 bit. |
| Tetapkan Enkripsi Kompatibilitas | Opsi ini memungkinkan Anda menentukan format kompatibilitas. Nilai bawaan - menggunakan format generasi berikutnya. |
| Menetapkan parameter untuk konteks CNG | Opsi ini memungkinkan Anda menentukan opsi enkripsi yang akan digunakan untuk konteks LNG. Untuk menggunakan opsi ini, konteks CNG harus dibuat terlebih dahulu menggunakan CryptoAPI: Next Generation (CNG). |
| Tetapkan algoritme hashing LNG | Opsi ini memungkinkan Anda menentukan algoritme hashing yang akan digunakan. Nilai defaultnya adalah SHA1. |
| Tetapkan kata sandi untuk gulungan LNG | Opsi ini memungkinkan Anda menentukan berapa kali untuk memutar (parafrase) pemeriksaan kata sandi. Standarnya adalah 100000. |
| Tentukan Algoritma Pembuatan Angka Acak CNG | Opsi ini memungkinkan Anda mengonfigurasi CNG Random Number Generator untuk digunakan. Standarnya adalah RNG (Penghasil Angka Acak). |
| Tentukan Panjang Garam LNG | Opsi ini memungkinkan Anda menentukan jumlah garam byte yang harus digunakan. Nilai standarnya adalah 16. |
Selain opsi CPG yang tercantum dalam tabel sebelumnya, opsi CPG yang tercantum dalam tabel berikut dapat dikonfigurasi untuk Excel 2010, PowerPoint 2010, dan Word 2010.
Anda dapat menggunakan opsi yang tercantum dalam tabel berikut untuk menghapus kemampuan menambahkan kata sandi ke dokumen dan dengan demikian mencegah dokumen dienkripsi.
Kompatibilitas dengan versi Office sebelumnya
Jika Anda harus mengenkripsi dokumen Office, kami menyarankan agar Anda menyimpan dokumen sebagai file format Open XML (.docx, .xlsx, .pptx, dll.) daripada format Office 97-2003 (.doc, .xls, .ppt dan sebagainya pada). Enkripsi yang digunakan untuk dokumen biner (.doc, .xls, .ppt) menggunakan RC4. Hal ini tidak dianjurkan, sebagaimana dinyatakan dalam bagian 4.3.2 dan 4.3.3 untuk alasan keamanan, dokumen Kriptografi Struktur Spesifikasi Kantor. Dokumen yang disimpan dalam format Office biner lama hanya dapat dienkripsi menggunakan RC4 untuk menjaga kompatibilitas dengan versi Microsoft Office sebelumnya. AES, algoritme yang direkomendasikan, dan default untuk mengenkripsi file format Open XML.
Office 2010 dan sistem Office 2007 memungkinkan Anda menyimpan dokumen dalam format Terbuka file XML. Selain itu, jika Anda memiliki Microsoft Office XP atau Office 2003, Anda dapat menggunakan Paket Kompatibilitas untuk menyimpan dokumen sebagai file format Open XML.
Dokumen yang disimpan sebagai file format Open XML dan dienkripsi dengan menggunakan Office 2010 hanya dapat dibaca oleh Office 2010, Office 2007 SP2, dan Office 2003 dengan Paket Kompatibilitas Office 2007 SP2. versi sebelumnya Office, Anda dapat membuat kunci registri (jika tidak ada) di bawah HKCU\Software\Microsoft\Office\14.0\
Jika organisasi Anda menggunakan Paket Kompatibilitas Microsoft Office untuk format file Word, Excel, dan PowerPoint untuk mengenkripsi file format Open XML, Anda harus mempertimbangkan informasi berikut ini:
- Secara default, Paket Kompatibilitas untuk Mengenkripsi File Format Open XML menggunakan opsi berikut:
- PerpanjanganMicrosoftRSADanAESpenyedia crypto (prototipe),AES 128,128 (pada sistem operasi Windows XP Professional).
- PerpanjanganMicrosoftRSADanAESpenyedia layanan kriptografiAES 128,128 (di kamar operasi Sistem Windows Server 2003 dan Windows Vista).
- Pengguna tidak diberi tahu bahwa Paket Kompatibilitas menggunakan opsi enkripsi ini.
- Antarmuka pengguna grafis sebelumnya versi Office mungkin menampilkan pengaturan enkripsi yang salah untuk file format Open XML jika Paket Kompatibilitas diinstal.
- Pengguna tidak dapat menggunakan GUI di versi Office yang lebih lama untuk mengubah pengaturan enkripsi untuk file format Open XML.
3 tanggapan
adakah yang bisa mendapatkan data nyata atau melakukan sesuatu jika algoritma enkripsi diketahui
Jika penyerang mengetahui algoritme enkripsi, ia akan bekerja karena sekarang yang harus mereka lakukan hanyalah mencari tahu kunci apa yang digunakan untuk mengenkripsinya. Tetapi algoritma enkripsi yang mapan seperti AES tidak memiliki kelemahan yang diketahui. Dengan demikian, penyerang akan menggunakannya secara paksa untuk mendapatkan akses ke data.
Jika Anda menggunakan kunci dengan ukuran yang sesuai (misalnya, AES 256 bit atau lebih), ini akan menjadi tugas yang sangat sulit. DES juga tidak memiliki kelemahan yang diketahui, tetapi ukuran kuncinya yang kecil (56 bit) memungkinkan serangan brute force dalam waktu yang wajar (mis: hari). Itu sebabnya DES tidak lagi digunakan.
bahkan jika peretas tidak mengetahui tentang kunci privat, kunci publik, atau PV?
Perhatikan bahwa kunci publik hanya berlaku dalam konteks enkripsi asimetris. Dalam hal ini, kunci publik biasanya bersifat publik (maka nama "kunci publik"). Tetapi enkripsi asimetris dirancang sedemikian rupa sehingga meskipun Anda mengetahui kunci publiknya, Anda tidak dapat mendekripsinya kecuali Anda memilikinya kunci pribadi.
Dengan demikian, algoritme enkripsi seperti AES telah teruji oleh waktu dan terbukti cukup aman. Seperti yang ditunjukkan David Schwartz dalam jawabannya, jika Anda memiliki masalah, (biasanya) implementasi Anda yang salah, bukan algoritme enkripsi.
Hampir menurut definisi, jika enkripsi diterapkan dengan benar dan merupakan bagian dari sistem yang dirancang secara wajar, TIDAK. Itulah inti dari enkripsi.
Perhatikan bahwa enkripsi bukanlah sihir. Itu harus digunakan secara tepat untuk memberikan perlindungan yang bermanfaat. Ada banyak cara untuk melakukannya dengan salah.
Jika Anda tidak menggunakan produk dengan sangat hormat (seperti TrueCrypt, Firefox, atau GPG) dan menggunakannya persis seperti yang dimaksudkan untuk digunakan, ada kemungkinan besar Anda tidak akan mendapatkan keamanan nyata. Misalnya, Dropbox menggunakan AES, tetapi kelemahan keamanan di bagian lain dari sistem mereka memungkinkan satu pengguna untuk mendekripsi data pengguna lainnya. Jadi tidak membantu bahwa itu dienkripsi.
Ya, menjaga kerahasiaan algoritme sedikit membantu keamanan. Jika penyerang tahu Anda menggunakan DES (yang tidak terlalu sulit untuk dibobol), kemungkinan besar mereka akan mencoba untuk memecahkannya.
Saya pikir inti dari pertanyaan Anda adalah serangan statistik yang mencoba melihat melalui enkripsi untuk menguraikan sifat data. Algoritme modern apa pun dirancang secara matematis untuk menggagalkan upaya apa pun untuk menebak apa datanya.
Namun, David sangat momen yang bagus. Bahkan enkripsi yang sempurna (jika ada) akan rentan terhadap kesalahan manusia. Algoritme ini tidak berguna kecuali jika Anda berpisah dengan diri sendiri dan menyilangkan t Anda dan memiliki keyakinan mutlak (dan dibenarkan) pada mereka yang dapat menguraikan data.