Systém Windows se rovněž dodává se skutečnými integrovanými šifrovacími nástroji, takže aplikace třetí strany není striktně nutná. Co však situaci zásadně mění, je edice Windows, kterou používáte: v některých edicích totiž žádná integrovaná možnost šifrování na úrovni složek vůbec neexistuje. Zde je přehled toho, co je skutečně vestavěno a kde možnosti systému končí.

Možnost 1: BitLocker (celá jednotka, pouze Pro a Enterprise)

BitLocker, který najdete v Nastavení > Soukromí a zabezpečení > Šifrování zařízení (nebo v Ovládacích panelech > Nástroj BitLocker Drive Encryption v edicích Pro), šifruje celou jednotku pomocí AES se 128bitovými nebo 256bitovými klíči v režimu XTS-AES na moderních verzích Windows. Je součástí systému Windows a jeho použití je bezplatné, ale pouze ve verzích Windows Pro, Enterprise a Education. Windows Home BitLocker vůbec neobsahuje; místo toho nabízí odlehčené šifrování zařízení, které se zapíná automaticky pouze na hardwaru splňujícím specifické požadavky (čip TPM a podpora moderního pohotovostního režimu) a až po přihlášení pomocí účtu Microsoft.

Podobně jako FileVault na Macu (viz článek Jak zašifrovat složku na Macu pro pohled ze strany Applu) chrání BitLocker jednotku pouze v klidovém stavu, kdy je počítač vypnutý nebo před přihlášením. Jakmile se přihlásíte, soubory chráněné BitLockerem jsou plně čitelné jako jakýkoli jiný soubor, protože celá jednotka se dešifruje naráz při přihlášení, nikoli složku po složce.

Možnost 2: EFS (úroveň složek, rovněž pouze Pro a Enterprise)

Konkrétně pro šifrování na úrovni složek nebo souborů nabízí Windows systém souborů EFS (Encrypting File System) vestavěný do NTFS:

  1. Klikněte pravým tlačítkem myši na složku nebo soubor, který chcete zašifrovat, a zvolte Vlastnosti.
  2. Na kartě Obecné klikněte na Upřesnit…
  3. Zaškrtněte možnost Šifrovat obsah a zabezpečit tak data, klikněte na OK a poté na Použít.
  4. Zvolte, zda chcete změnu použít pouze pro složku, nebo pro složku, její podsložky a soubory.

Výsledkem je skutečné diskové šifrování AES vázané na váš uživatelský účet Windows: obsah souboru je nečitelný pro kohokoli přihlášeného jako jiný uživatel, což představuje stejnou kategorii ochrany, jakou popisuje článek AES-256 jednoduše vysvětleno.

Háček: EFS je rovněž funkcí pouze pro verze Pro, Enterprise a Education. Windows Home se systémem EFS vůbec nedodává; v edici Home neexistuje žádná integrovaná možnost šifrování na úrovni složek, pouze výše popsané šifrování celého disku, a to jen na způsobilém hardwaru.

Kde integrovaná metoda naráží na své limity

  • Podmíněno edicí systému. BitLocker i EFS zcela chybí ve Windows Home, což představuje velkou část spotřebitelských počítačů.
  • Žádný přístup z mobilu. Soubor zašifrovaný pomocí EFS se normálně dešifruje pouze při otevření stejným účtem Windows na stejném počítači; do telefonu se nepřesune.
  • Obnova je vázána na účet. Ztratíte-li přístup k účtu Windows, který soubor zašifroval (přeinstalace, nový počítač, poškozený profil), stane se soubor nečitelným bez zálohy certifikátu, kterou téměř nikdo nevytváří; žádná samostatná fráze pro obnovení neexistuje.
  • Žádné situační funkce. Neexistuje žádný ekvivalent pro Decoy Vault pro chvíle, kdy předložení neškodného obsahu pomůže více než odmítnutí cokoli odemknout.
  • Jediný přístupový bod na soubor. Neexistuje způsob, jak seskupit sadu citlivých souborů za jejich vlastní samostatný PIN, odlišný od samotného přihlášení do Windows.

Nic z toho neznamená, že jsou BitLocker nebo EFS špatné; tam, kde jsou dostupné, představují skutečně spolehlivé, bezplatné nástroje využívající reálné šifrování. Pouze nepokrývají každou edici a necestují mezi zařízeními.

Kdy se vyplatí vyhrazená trezorová aplikace

Účelová trezorová aplikace, jako je Vaultine, používá stejnou kategorii šifrování (AES-256, generované na zařízení), ale funguje stejně bez ohledu na to, na které edici Windows běží: má svůj vlastní PIN nezávislý na přihlášení do Windows, vestavěný prohlížeč, tentýž trezor dostupný i na iPhonu, Macu a Androidu a trezory Decoy Vault a Duress Vault pro situace, kdy samotná výzva k odemčení představuje bezpečnostní riziko.

Kompromis je přímočarý: v edicích Pro, Enterprise nebo Education s odpovídajícím hardwarem jsou BitLocker a EFS zdarma a již připraveny. V systému Windows Home nebo pro cokoli, co se potřebuje přesouvat mezi zařízeními, vyhrazený trezor zaplňuje mezeru, kterou operační systém vůbec nepokrývá.

Shrnutí

Ve Windows Pro, Enterprise nebo Education představují BitLocker (celá jednotka) a EFS (úroveň složek) skutečné, bezplatné integrované šifrování AES, které je v rámci své edice spolehlivé. Ve Windows Home ani jedno z nich jako možnost na úrovni složek neexistuje — a tuto mezeru spolu s absencí přístupu napříč zařízeními v obou případech vyhrazená trezorová aplikace vyplňuje: nikoli silnějším zámkem, ale přenosnějším řešením.

Vyzkoušejte vyhrazenou verzi pro 10 souborů zdarma na vaultine.app.