До сих пор мы говорили о том, что данные важно шифровать. Но не секрет, что значительная часть информации по-прежнему остается за бортом криптозащиты. Почему же, если шифрование настолько полезно и дает серьезную защиту перед лицом множащихся киберугроз, еще далеко не вся информация в мире зашифрована? Причин может быть несколько.
Начнем с того, что шифрование обходится достаточно дорого. Речь здесь не только о стоимости самих криптографических программ или аппаратуры (хотя и о них тоже). В первую очередь, стоит учитывать, что для математически сложных операций по преобразованию данных в процессе шифрования требуются значительные ресурсы: память и процессорное время.
Поскольку и Microsoft, и Apple включили шифрование данных как опцию для клиентов, пользующихся их операционными системами, создается иллюзия, будто шифрование бесплатно. Но, согласитесь, разница между шифрованием пары терабайт (1012 байт) на хард-диске ноутбука и пары петабайт (1015 байт) данных, циркулирующих и хранящихся в корпоративной инфраструктуре, – огромна. И если для первого случая небольшое снижение производительности на ноутбуке с аппаратным шифрованием пользователь может и не заметить, то во втором случае, когда пользователей тысячи или десятки тысяч, а счет транзакций идет на миллионы, поглощаемые на шифрование данных ресурсы могут серьезно притормозить работу системы.
Поэтому, выбирая криптографическое ПО и оборудование для бизнеса, стоит оценивать объективную ценность данных, подлежащих криптозащите, и соотнести ее со стоимостью шифрования.
Другая проблема – непрозрачность шифрования. Контекст этого термина подразумевает невозможность промежуточной проверки зашифрованных данных без полной их дешифровки. Если речь идет о защите от злоумышленника, это здорово. Но если данные требуют проверки на предмет согласованности или соответствия каким-либо нормативным требованиям – да, тут уже всё сложно™. Понятно, что эта проблема тревожит корпоративных пользователей, у которых функции распределены: один отдел создает документ, другой его редактирует, третий делает комплаенс-проверку, четвертый публикует на сайте. Получается, что в каждом узле этой цепочки данные приходится расшифровывать, проверять и затем повторно шифровать. Это затратно и по времени, и по ресурсам, хотя можно минимизировать снижение производительности, особым образом спроектировав этот процесс. Однако в том случае, когда данные находятся в движении и проходят через VPN, всё усложняется.
Чаще всего для просмотра данных, проходящих через VPN-соединение, необходимо запускать механизм “вмешательства изнутри” (man-in-the-middle attack – вид взлома, при котором злоумышленник может перехватывать, читать, добавлять и изменять по своему желанию данные, транслируемые внутри VPN-канала, причем ни одна из сторон канала не знает о его вмешательстве). VPN-соединение нужно прервать, данные – расшифровать и проверить, а затем – создать новый туннель, по которому уже проверенные данные будут переданы в точку назначения. По мнению некоторых обозревателей, такой вариант, особенно в масштабах корпорации, требует больших затрат и создает как минимум одну точку отказа сети.
Впрочем, решения по безопасности, где возможно частично прозрачное шифрование, за последние несколько лет уже появились на рынке. Правда, вопрос об уязвимости систем с такой схемой шифрования требует дополнительных исследований.
