В Windows также встроены реальные инструменты шифрования, поэтому стороннее приложение не является строго обязательным. Картина меняется в зависимости от версии Windows, которую вы используете: в некоторых версиях встроенных вариантов на уровне папок нет вообще. Вот что действительно встроено в систему, и где эти возможности заканчиваются.

Вариант 1: BitLocker (весь диск, только Pro и Enterprise)

BitLocker, который находится в «Настройки > Конфиденциальность и безопасность > Шифрование устройства» (или «Панель управления > Шифрование диска BitLocker» в версиях Pro), шифрует весь диск с использованием AES, с 128- или 256-битными ключами в режиме XTS-AES на современных версиях Windows. Он встроен в Windows и бесплатен, но только в версиях Windows Pro, Enterprise и Education. В Windows Home вообще нет BitLocker; вместо него поставляется урезанная функция Device Encryption, которая включается автоматически только на оборудовании, отвечающем определенным требованиям (чип TPM и поддержка современного спящего режима), и только после входа с аккаунтом Microsoft.

Как и FileVault на Mac (об аналогах от Apple читайте в статье Как зашифровать папку на Mac), BitLocker защищает диск только при хранении, пока ПК выключен или до входа в систему. После входа файлы, защищенные BitLocker, полностью доступны для чтения, как и любые другие, потому что весь диск расшифровывается при входе, а не папка за папкой.

Вариант 2: EFS (на уровне папок, также только Pro и Enterprise)

Специально для шифрования на уровне папок или файлов в NTFS встроена файловая система с шифрованием (EFS):

  1. Кликните правой кнопкой мыши по папке или файлу, который хотите зашифровать, и выберите Свойства.
  2. На вкладке Общие нажмите Другие…
  3. Отметьте Шифровать содержимое для защиты данных, затем нажмите ОК, затем Применить.
  4. Выберите, применять ли изменения только к папке, или к папке, вложенным в нее папкам и файлам.

В результате вы получаете настоящее шифрование AES на диске, привязанное к вашему аккаунту Windows: содержимое файла недоступно для чтения никому, кто вошел под другим пользователем, — это та же категория защиты, что описана в статье AES-256 простыми словами.

Подвох в том, что EFS — это тоже функция версий Pro, Enterprise и Education. В Windows Home вообще нет EFS; в версии Home нет встроенного шифрования на уровне папок, есть только описанное выше шифрование всего диска (Device Encryption), и то только на подходящем оборудовании.

Где встроенные методы не справляются

  • Ограничения версий. И BitLocker, и EFS полностью отсутствуют в Windows Home — значительной доле потребительских ПК.
  • Нет мобильного доступа. Файл, зашифрованный с помощью EFS, нормально расшифровывается только при открытии в том же аккаунте Windows на том же компьютере; он не переносится на телефон.
  • Восстановление привязано к аккаунту. Потеряв доступ к аккаунту Windows, который зашифровал файл (переустановка, новый ПК, поврежденный профиль), файл станет нечитаемым без резервной копии сертификата, которую почти никто не делает; отдельной фразы восстановления нет.
  • Нет ситуативных функций. Нет аналога Decoy Vault для моментов, когда показать что-то безобидное важнее, чем вообще отказаться от разблокировки.
  • Единая точка входа для файла. Нет возможности сгруппировать набор конфиденциальных файлов за отдельным PIN-кодом, отличным от входа в Windows.

Все это не делает BitLocker или EFS плохими; там, где они доступны, это действительно надежные, бесплатные инструменты, использующие реальное шифрование. Они просто не охватывают каждую версию ОС и не переносятся на другие устройства.

Когда специальное приложение-сейф лучше

Специально созданное приложение-сейф, такое как Vaultine, использует ту же категорию шифрования (AES-256, ключи генерируются локально), но работает одинаково независимо от того, на какой версии Windows запущено: собственный PIN-код отдельно от входа в Windows, встроенный просмотрщик, тот же сейф доступен на iPhone, Mac и Android, а также Decoy Vault и Duress Vault для ситуаций, когда требование разблокировать устройство само по себе представляет риск.

Компромисс честен: на версиях Pro, Enterprise или Education с подходящим оборудованием BitLocker и EFS бесплатны и уже установлены. На Windows Home или для всего, что нужно переносить между устройствами, отдельный сейф заполняет пробел, который операционная система не покрывает вообще.

Кратко

В Windows Pro, Enterprise или Education BitLocker (весь диск) и EFS (на уровне папок) — это настоящее, бесплатное встроенное шифрование AES, действительно надежное в рамках своей версии. В Windows Home ни того, ни другого на уровне папок нет, и этот пробел, плюс отсутствие доступа с других устройств в любом случае, — это то, что на самом деле восполняет отдельное приложение-сейф: не более прочный замок, а более портативный.

Попробуйте отдельную версию, до 10 файлов бесплатно, на vaultine.app.