Ochrana pevného disku heslom

Zabezpečenie pevného disku heslom, tzv. HDD password je často používaný spôsob ochrany dát pred neoprávneným prístupom najmä pre prípad straty, či odcudzenia prenosného počítača (notebooku). Ako táto ochrana pracuje a aká je skutočná bezpečnosť takto chránených dát priblížime v tomto článku.

Systém zabezpečenia obsahu pevného disku heslom je súčasťou špecifikácie (S)ATA diskov už viac ako dekádu. Pôvodne určený najmä pre disky do prenosných počítačov, dnes je implementovaný prakticky vo všetkých pevných diskoch s ATA, resp. SATA rozhraním. Základná funkcia je jednoduchá: po nastavení hesla sa pevný disk zamkne a po každom ďaľšom zapnutí počítača je nutné použitím rovnakého hesla disk odomknúť. Na takto zabezpečenom disku bez znalosti správneho hesla nie je možný prístup k dátam užívateľa.

Bezpečnostný systém pevného disku rozoznáva dve rôzne heslá - užívateľské (User-password) a supervízorské (Master-password), a umožňuje výber jednej z dvoch úrovní bezpečnosti. V oboch úrovniach sa disk uzamyká použitím užívateľského hesla a líšia sa ďaľšími možnosťami v prípade straty tohoto hesla:

Vysoký stupeň ochrany (High Security)

je základným stupňom ochrany. V tomto móde je možné na odomknutie disku použiť okrem užívateľského aj supervízorské heslo. To umožňuje obnoviť prístup k dátam užívateľa aj v prípade straty (zabudnutia) užívateľského hesla.

Maximálna ochrana (Maximum Security)

v tejto úrovni bez znalosti užívateľského hesla nie je možné obnoviť prístup k obsahu disku. Použitím supervízorského hesla je síce možné obnoviť prístup k disku ako takému (chrániac tak vašu investíciu do techniky), ale až po úplnom vymazaní obsahu disku. Dáta tak budú navždy stratené.

V prípade straty (resp. neznalosti) oboch hesiel je zamknutý disk nepoužiteľný.

Supervízorské heslo by typicky malo byť nastavené správcom informačných technológií firmy a užívateľ (držiteľ) počítača by mal mať možnosť nastaviť užívateľské heslo a úroveň ochrany. Treba však povedať, že tento modelový scenár nie je samotným diskom nijako vyžadovaný.

Pevný disk nerozoznáva osoby. Nedokáže rozoznať osobu užívateľa od správcu systému, ani osobu oprávnenú od osoby s náhodne získaným prístupom k počítaču. Ktokoľvek, kto má na aplikačnej úrovni prístup k nastaveniam bezpečnostného systému disku, môže zmeniť ktorékoľvek, alebo aj obe z hesiel.

Aby sa zabránilo možnému zneužitiu, keď neoprávnená osoba uzamkne - a tým zneprístupní disk užívateľovi, alebo bez vedomia užívateľa nastaví vlastné supervízorské heslo, zmeny nastavenia bezpečnostného systému je možné zablokovať. Túto operáciu typicky vykoná BIOS prenosného počítača hneď po odomknutí disku správnym heslom, ešte pred štartom operačného systému. Tým sa zabezpečí, že zmeny v bezpečnostnom systéme disku môže vykonať len osoba znalá prístupového hesla k nastaveniam systému, ak je toto aktivované.

Značné riziko v tomto smere však predstavujú neprenosné (tzv. desktopové) počítače. Vzhľadom na to, že veľká väčšina BIOS-ov týchto počítačov celú implementáciu bezpečnostného systému diskov dodnes ignoruje, pevný disk tak ostáva po štarte operačného systému v nezabezpečenom, napadnuteľnom stave. Akákoľvek osoba, či nepriateľská aplikácia, vrátane vírusu, ktorá získa plný prístup k systému vás tak môže aktivovaním tejto spiacej ochrany navždy zbaviť prístupu k vašim dátam.
Čiastočným riešením je zablokovať zmeny nastavenia bezpečnostného systému disku na to určenou aplikáciou, lepším riešením je implementácia tejto funkcie priamo do BIOS-u počítača (aktualizácia BIOS-u).

Inému druhu rizika je vystavený užívateľ prenosného počítača v prípade jeho poruchy. To sa týka najmä (ale nie len) starších modelov, ktoré vzhľadom na nedostatok náhradných dielov nie je možné opraviť. Keďže skutočné heslo odoslané bezpečnostnému systému disku BIOS-om počítača je výsledkom viac či menej zložitej, ale hlavne neštandardizovanej transformácie znakov hesla pôvodne zadaných užívateľom, na inom type počítača tento disk nemusí byť - a spravidla ani nebude odomknuteľný ani so znalosťou oboch hesiel disku.

V týchto prípadoch už prichádza k slovu odborník na záchranu dát, čím zároveň otvárame otázku skutočnej úrovne bezpečnosti takto chránených údajov.

Už letmým pohľadom do internetu nájdeme množstvo firiem, ponúkajúcich službu odblokovania zamknutého disku a to najmenej pre niektoré značky (resp. modely výrobcov) diskov. To dokazuje známy fakt, že žiaden reálny spôsob ochrany nie je dokonale bezpečný. Napriek tomu, že všetky potrebné nástroje na vysoko bezpečný systém sú známe doslova desiatky rokov, praktická implementácia týchto mechanizmov v reálnom svete techniky naráža na množstvo objektívnych a často aj subjektívnych obmedzení.

Reťaz je len tak silná, ako jej najslabší článok. Ak si napr. firma, či užívateľ nedá tú námahu nastaviť supervízorské heslo a ponechá heslo pôvodné (nastavené vo výrobe), akákoľvek snaha výrobcu disku o maximálnu nepriestrelnosť systému bola zbytočná. Samozrejme, za predpokladu, že výrobca tú snahu mal. Sú pritom pomerne výrazné rozdiely medzi jednotlivými výrobcami v úrovni bezpečnosti implementácie týchto ochranných systémov. Kým v niektorých prípadoch je prehnané vôbec hovoriť o prekonávaní, zdolať iné môže vyžadovať náročné, invazívne techniky.

Všeobecne môžeme očakávať postupné zvyšovanie bezpečnosti systému ochrany dát heslom pevného disku u všetkých výrobcov. Naďalej však bude platiť, že najmä v prípade maximálne citlivých údajov je potrebné rôzne spôsoby ochrany kombinovať. Dôležitejším systémom ako je ochrana pevného disku heslom bude vždy kódovanie samotného obsahu kryptografickou šifrou.