A Windows is valódi beépített titkosítóeszközökkel érkezik, így nem feltétlenül van szükség külső alkalmazásra. Ami alapvetően megváltoztatja a képet, az az, hogy a Windows melyik kiadását használod: egyes kiadásokon ugyanis egyáltalán nincs beépített mappaszintű lehetőség. Íme, mi van ténylegesen beépítve, és hol érnek véget a lehetőségei.

1. lehetőség: BitLocker (teljes meghajtó, csak Pro és Enterprise kiadásokon)

A Gépház > Adatvédelem és biztonság > Eszköztitkosítás (vagy Pro kiadásokon a Vezérlőpult > BitLocker meghajtótitkosítás) alatt található BitLocker AES algoritmussal titkosítja a teljes meghajtót, a modern Windows-verziókon XTS-AES módban, 128 vagy 256 bites kulcsokkal. A Windows beépített része és ingyenesen használható, de kizárólag Windows Pro, Enterprise és Education kiadásokon. A Windows Home egyáltalán nem tartalmazza a BitLockert; helyette egy szűkített Eszköztitkosítás (Device Encryption) funkcióval érkezik, amely csak meghatározott követelményeknek megfelelő hardveren (TPM-chip és modern készenléti támogatás) kapcsol be automatikusan, és csak akkor, ha Microsoft-fiókkal jelentkezel be.

Akárcsak Macen a FileVault (ugyanennek a kompromisszumnak az Apple-oldalát lásd a Mappa titkosítása Macen című cikkben), a BitLocker is csak nyugalmi állapotban védi a meghajtót, amíg a PC ki van kapcsolva, vagy mielőtt bejelentkeznél. Bejelentkezés után a BitLocker által védett fájlok bármely más fájlhoz hasonlóan teljesen olvashatók, mert a teljes meghajtó egyszerre fejtődik vissza bejelentkezéskor, nem pedig mappánként.

2. lehetőség: EFS (mappaszintű, szintén csak Pro és Enterprise kiadásokon)

Kifejezetten a mappa- vagy fájlszintű titkosításhoz a Windows az NTFS-be épített titkosító fájlrendszert (Encrypting File System, EFS) kínálja:

  1. Kattints jobb gombbal a titkosítani kívánt mappára vagy fájlra, majd válaszd a Tulajdonságok lehetőséget.
  2. Az Általános fülön kattints a Speciális… gombra.
  3. Jelöld be A tartalom titkosítása az adatok védelme érdekében jelölőnégyzetet, majd kattints az OK, végül az Alkalmaz gombra.
  4. Válaszd ki, hogy a módosítást csak a mappára, vagy a mappára, annak almappáira és fájljaira is alkalmazni szeretnéd-e.

Az eredmény valódi, lemezen végzett, a Windows-felhasználói fiókodhoz kötött AES-titkosítás: a fájl tartalma bárki számára olvashatatlan, aki másik felhasználóként jelentkezik be — ez ugyanaz a védelmi kategória, amelyet Az AES-256 egyszerűen elmagyarázva című cikkünkben is bemutattunk.

A bökkenő: az EFS is csak a Pro, Enterprise és Education kiadások funkciója. A Windows Home egyáltalán nem tartalmazza az EFS-t; a Home kiadáson nincs beépített mappaszintű titkosítási lehetőség, kizárólag a fent leírt, teljes meghajtóra kiterjedő Eszköztitkosítás, és az is csak a feltételeknek megfelelő hardveren.

Hol érnek véget a beépített módszer lehetőségei?

  • Kiadáshoz kötött. A BitLocker és az EFS egyaránt teljesen hiányzik a Windows Home-ból, amely az otthoni PC-k nagy részén fut.
  • Nincs mobilos elérés. Egy EFS-sel titkosított fájl csak akkor fejtődik vissza normálisan, ha ugyanazzal a Windows-fiókkal, ugyanazon a gépen nyitják meg; telefonra nem vihető át.
  • A helyreállítás fiókhoz kötött. Ha elveszíted a hozzáférést ahhoz a Windows-fiókhoz, amely titkosította a fájlt (újratelepítés, új PC vagy sérült profil miatt), a fájl olvashatatlanná válik egy olyan tanúsítványmentés nélkül, amelyet szinte senki sem készít el; különálló helyreállítási kifejezés nincs.
  • Nincsenek helyzetfüggő védelmi funkciók. Nincs a csaliszéfnek megfelelő megoldás arra a pillanatra, amikor fontosabb valami ártalmatlant megmutatni, mint teljesen megtagadni a feloldást.
  • Fájlonként egyetlen belépési pont. Nincs mód arra, hogy egy csokorra való érzékeny fájlt a Windows-bejelentkezéstől független, saját különálló PIN-kód mögé csoportosíts.

Mindez nem teszi rosszá a BitLockert vagy az EFS-t; ahol elérhetők, ott valóban szilárdak, ingyenesek, és valódi titkosítást használnak. Egyszerűen csak nem fednek le minden kiadást, és nem hordozhatók.

Mikor éri meg inkább egy célzott széfalkalmazás?

Egy olyan célzottan erre épített széfalkalmazás, mint a Vaultine, ugyanabba a kategóriába tartozó titkosítást (eszközön generált AES-256-ot) használ, de pontosan ugyanúgy működik, függetlenül attól, melyik Windows-kiadáson fut: saját PIN-kóddal rendelkezik a Windows-bejelentkezéstől függetlenül, beépített megjelenítőt ad, ugyanazt a széfet elérhetővé teszi iPhone-on, Macen és Androidon is, emellett pedig Decoy Vault és Duress Vault funkciókat kínál azokra a helyzetekre, amikor már maga a feloldásra irányuló kérés jelenti a kockázatot.

A kompromisszum egyértelmű: a megfelelő hardverrel rendelkező Pro, Enterprise vagy Education kiadásokon a BitLocker és az EFS ingyenes és már eleve ott van. Windows Home-on azonban, vagy bármilyen olyan fájl esetében, amelynek mozognia kell az eszközök között, egy célzott széf olyan űrt tölt be, amelyet az operációs rendszer egyáltalán nem fed le.

A rövid összefoglaló

Windows Pro, Enterprise vagy Education rendszeren a BitLocker (teljes meghajtó) és az EFS (mappaszintű) valódi, ingyenes, beépített AES-titkosítást nyújt, amely a saját kiadásán belül kifejezetten megbízható. Windows Home-on azonban egyik sem érhető el mappaszintű megoldásként — ezt a hiányt, valamint az eszközök közötti elérés hiányát tölti be valójában egy célzott széfalkalmazás: nem erősebb zárat ad, hanem hordozhatóbbat.

Próbáld ki a célzott változatot 10 fájlig ingyen a vaultine.app oldalon.