5.6 Завантаження ключів шифрування

Є ще одна особливість, що стосується безпеки: щоб у зловмисника не було зовсім жодних шансів, необхідно ключі завантажувати в шифратор, минувши оперативну пам'ять комп'ютера, де їх теоретично можна перехопити і навіть підмінити. Для цього УКЗД додатково містить порти введення-висновку, наприклад COM або USB, до яких безпосередньо підключаються різні пристрої читання ключових носіїв. Це можуть бути будь-які смарт-карти, спеціальні USB-ключі або електронні пігулки Touch Memory (їх дуже часто використовують, наприклад, для домофонов).

Крім прямого введення ключів в УКЗД, багато хто з таких носіїв забезпечує і їх надійне зберігання – навіть вкравши USB-ключ, без спеціального коду доступу до його вмісту не підібратися.

5.7 Як програми використовують шифратор

Встановлений на комп'ютер шифратор може використовуватися відразу декількома програмами, наприклад програмою прозорого шифрування, що «проганяє» дані крізь шифратор, і програмою електронного підпису, що використовує для обчислення підпису отримувані від шифратора випадкові числа.

Для того, щоб не виникало колізій при одночасному зверненні до шифратора різних програм (уявимо, що одна з них шифрує логічний диск, а друга на іншому ключі розшифровує файл: якщо не управляти чергою виконання шифратором їх вимог, вийде абракадабра ), ставлять спеціальне програмне забезпечення управління ними( рис № ). Таке ПО видає команди через драйвер шифратора і передає останньому дані, стежачи за тим, щоб потоки інформації від різних джерел не перетиналися, а також за тим, щоб в шифраторі завжди знаходилися потрібні ключі. Таким чином УКЗД виконує два принципово разных виду команд:

• перед завантаженням операційної системи — команди, зашиті в пам'ять шифратора. Вони здійснюють всі необхідні перевірки і встановлюють необхідний рівень безпеки — допустимий, відключають зовнішні пристрої.

• після завантаження, наприклад, Windows — команди, що поступають через модуль управління шифраторами: шифрувати дані, перезавантажувати ключі, обчислювати випадкові числа і т.д.

Таке розділення необхідне з міркувань безпеки — після виконання команд першого блоку, які не можна обійти, зловмисник вже не зможе зробити що-небудь заборонене.

Ще одне призначення ПО управління шифраторами — забезпечити можливість заміни одного шифратора на іншій (скажемо на більш «просунутий» або швидкий), не міняючи програмного забезпечення. Це відбувається аналогічно, наприклад, зміні мережевої карти: шифратор поставляється разом з драйвером, який дозволяє програмам виконувати стандартний набір функцій. Ті ж програми шифрування і не відмітять такої підміни, але працюватимуть у декілька разів швидше.

Таким же чином можна замінити апаратний шифратор на програмний. Для цього програмний шифратор виконують зазвичай у вигляді драйвера, що надає той же набір функцій.

Втім таке ПО потрібно не всім шифраторам — зокрема, ПШ, що стоїть по дорозі до HDD, досить набудувати один раз, після чого про нього можна просто забути.