1.4 Двухфакторная аутентификация

При обращении к инструментам управления Secret Disk 4 пользователь должен подключить к компьютеру eToken с лицензией Secret Disk 4, указать свой сертификат. Если используется несколько поставщиков криптографии, то в процессе аутентификации можно применять любой из сертификатов, связанных в системе Secret Disk 4 с учётной записью пользователя.

После подключения eToken и указания сертификата открытого ключа пользователь вводит PIN-код, подтверждая тем самым владение соответствующим закрытым ключом. Таким образом, аутентификация пользователя в Secret Disk 4 основана на двух факторах:

- владение eToken;

- знание PIN-кода.

1.5 Защита мастер-ключа защищенного системного раздела

В начале процесса установки защиты системного раздела жесткого диска Secret Disk 4 генерирует мастер-ключ, который сохраняется в памяти eToken владельца (пользователя, выполняющего установку защиты системного раздела) и доступ к нему возможен только после ввода PIN-кода.

Для того чтобы загрузить операционную систему и получить доступ к данным на защищенном системном разделе, владелец должен пройти процедуру двухфакторной аутентификации до загрузки операционной системы, для чего необходимо подключить eToken и ввести правильный PIN-код. После этого мастер-ключ защищенного системного раздела загружается в драйвер Secret Disk 4, который передает управление загрузчику ОС и расшифровывает файлы ОС в прозрачном режиме. При чтении данных с защищенного системного раздела происходит их раскодирование с помощью мастер-ключа, а при записи на диск — кодирование с помощью того же ключа. Находящиеся на защищенном системном разделе данные всегда закодированы.

Для других пользователей Secret Disk 4 владелец системного раздела может разрешать доступ к находящимся на нем данным, а также управлять полномочиями других пользователей на загрузку ОС. При этом сгенерированный мастер-ключ защищенного системного раздела зашифровывается с применением открытого ключа соответствующего сертификата пользователя и сохраняется в зашифрованном виде на системном раздела в специальном защищенном хранилище Secret Disk. При загрузке ОС для разрешенных пользователей мастер-ключ шифрования системного диска извлекается из защищенного хранилища Secret Disk, расшифровывается закрытым ключом пользователя (хранящимся в памяти eToken пользователя) и передается в драйвер Secret Disk 4. После этого проводится раcкодирование системного диска и загрузка операционной системы в прозрачном режиме.

1.6 Защита мастер-ключей зашифрованных дисков

В начале процесса зашифрования или перешифрования диска пользователь Secret Disk 4 должен выбрать алгоритм шифрования диска. При выборе алгоритма шифрования указывается поставщик криптографии, реализующий этот алгоритм.

После выбора алгоритма шифрования поставщик криптографии генерирует мастер-ключ зашифрованного диска. Для каждого пользователя Secret Disk 4 сгенерированный мастер-ключ зашифрованного диска зашифровывается с применением открытого ключа соответствующего сертификата и сохраняется в зашифрованном виде на системном диске в хранилище Secret Disk. Содержимое диска шифруется посекторно с использованием выбранного алгоритма шифрования и сгенерированного мастер-ключа зашифрованного диска.

Для того чтобы открыть доступ к данным на зашифрованном диске, пользователь Secret Disk 4 должен подключить диск. Для этого хранящийся в памяти eToken закрытый ключ (доступ к которому возможен только после ввода PIN-кода) используется для расшифрования находящейся в хранилище Secret Disk копии мастер-ключа зашифрованного диска, относящейся к данному пользователю. Расшифрованный таким образом мастер-ключ зашифрованного диска загружается в драйвер Secret Disk 4 или передаeтся под управление используемого поставщика службы криптографии (CSP). При чтении данных с зашифрованного диска происходит их расшифрование с помощью мастер-ключа зашифрованного диска, а при записи на диск — зашифрование с помощью того же ключа. Находящиеся на зашифрованном диске данные всегда зашифрованы.