Шифрування пристрою ввімкнено за замовчуванням?

Сучасні iPhone, iPad, Mac (серії M і багато Intel з T2), більшість телефонів Android з 2016 року, ChromeOS і Windows 11 Pro: так. Windows 10/11 Home нерівномірна — деякі пристрої вмикають шифрування пристрою автоматично, інші — ні. Підтвердити в налаштуваннях; увімкніть, якщо ні.

Чи сповільнить шифрування мій пристрій?

Сучасне обладнання має інструкції AES, які роблять шифрування практично безкоштовним. Різниця між зашифрованим і незашифрованим диском на сучасному пристрої невимірна для нормального використання. Старі пристрої без AES-NI можуть мати незначний вплив.

Що станеться, якщо я забуду свій пароль?

Без ключа відновлення дані неможливо відновити — така конструкція. Для цього існують ключі відновлення, служби депонування (iCloud від Apple, обліковий запис Microsoft, ваша корпоративна реклама). Збережіть їх, коли буде запропоновано; ви не можете створити їх після факту, якщо ви забули.

Чи біометричне розблокування таке ж безпечне, як пароль?

Еквівалент зручності, подібна безпека для більшості моделей загроз. Специфічні відмінності: біометричні дані зазвичай не захищені п’ятою поправкою США, тоді як коди доступу часто захищені. У змагальних контекстах примусово перезапустіть, щоб запитати пароль (утримуйте бічну кнопку + гучність).

Хмара має таке саме шифрування?

Залежить від служби. iCloud і подібні використовують шифрування під час передачі та в спокої, але постачальник зберігає ключі для більшості даних — їх можна викликати в суд. Розширений захист даних Apple (за бажанням) дає вам ключі для багатьох категорій. Хмарні сервіси з наскрізним шифруванням, такі як Proton Drive або Cryptomator на Dropbox, є потужнішими.

Пояснення щодо шифрування пристрою: шифрування повного диска на сучасному обладнанні

Усі сучасні телефони, ноутбуки та Chromebook постачаються з шифруванням диска за замовчуванням. Дані в сховищі неможливо прочитати без правильного ключа — отриманого з вашого пароля, PIN-коду або фактора, що підтримується апаратним забезпеченням. Розуміння того, що шифрування пристрою робить, а що ні, пояснює, чому це єдина найкорисніша функція безпеки за замовчуванням у обчисленні.

Повний текст статті подано англійською мовою нижче.

Шифрування пристрою (також називається повним дисковим шифруванням або FDE) захищає сховище пристрою шляхом шифрування всіх даних у стані спокою. Без ключа розшифровки (як правило, отриманого з коду доступу користувача та апаратних секретів) диск є безглуздим зашифрованим текстом. Втратити пристрій, продати його, отримати його вкраденого: дані неможливо відновити тому, хто їх має.

Від чого він захищає

Втрачених або викрадених пристроїв. У злодія є апаратне забезпечення, але не облікові дані. Диск зчитує зашифрований текст.
Атаки холодного завантаження вимкнених пристроїв. Без ключа в пам’яті дані закриваються.
Відновлення даних після продажу або утилізації. Викинути або продати диск безпечно, якщо ключ був знищено.
Захоплення при перетині кордону (частково). Митниця може вимагати пристрій; не може прочитати його вміст, не змусивши вас розблокувати.

Від чого він не захищає

Будь-що, коли пристрій розблоковано. Після входу в систему ключ знаходиться в оперативній пам’яті, а дані читаються. Зловмисне програмне забезпечення, запущене на розблокованому пристрої, має повний доступ.
Примусове розблокування. У юрисдикціях, де органи влади можуть вимагати дешифрування (Велика Британія, Франція, Індія, деякі контексти США), лише шифрування не захищає від судового процесу.
Дані, що зберігаються в хмарі. Усе синхронізовано до iCloud, Google Drive тощо, має власну історію шифрування (або її відсутність). Шифрування пристрою захищає вміст на пристрої.
Вилучення мережі. Зловмисне програмне забезпечення на розблокованому пристрої може надсилати дані до того, як шифрування пам’яті має значення.
Призупинені стани. Ноутбук у режимі сну з ключем у оперативній пам’яті вразливий до певних фізичних атак (холодний відновлення завантаження оперативної пам’яті).

Як реалізовано сучасне шифрування пристрою

iOS / iPadOS. Повне шифрування для кожного файлу, пов’язане з Secure Enclave. Ключ кожного файлу походить від ключів класу, UID пристрою та пароля користувача. Вимкнення пароля вимикає шифрування.
macOS (FileVault). AES-XTS з апаратним прискоренням, ключі захищені мікросхемою T2 або M-series Secure Enclave. Відновлення через iCloud або локальний ключ відновлення.
Windows (BitLocker). Використовує запечатані ключі TPM і додатковий PIN-код перед завантаженням. Стандартна версія Pro; Версія Home має Device Encryption (полегшений варіант).
Android. File-Based Encryption (FBE) на сучасних пристроях із апаратним сховищем ключів на мікросхемах із TEE.
Linux. LUKS для всього диска; Власне шифрування ZFS для пулів ZFS. Налаштовується під час встановлення в більшості дистрибутивів.
ChromeOS. Домашні каталоги користувача, зашифровані за допомогою eCryptfs (застарілий) або fscrypt; підтверджене завантаження з розділу ОС лише для читання.

Апаратний ключ

Сучасні схеми шифрування пристрою не просто використовують ваш пароль безпосередньо. Вони змішують його з апаратним секретом, що зберігається в Secure Enclave / TPM / TEE. Результат:

Зловмисник, який клонує сховище, не може підібрати пароль у режимі офлайн — у нього немає апаратного ключа.
Підбір має відбутися на самому пристрої, що може обмежити кількість спроб і стирати дані після багатьох невдач.
Навіть слабкі PIN-коди (6 цифр) стають достатньо захищений від вилучення.

Ось чому для підбору PIN-коду iPhone потрібні спеціальні інструменти (Cellebrite, GrayKey), і навіть вони обмежені заходами Apple для захисту від перебору.

Застереження щодо холодного завантаження

Коли пристрій увімкнено та розблоковано, шифрування ключ знаходиться в оперативній пам'яті. RAM зберігає дані від секунд до хвилин після втрати живлення; Дослідники продемонстрували зчитування ключів з оперативної пам'яті після швидкого охолодження та вимикання живлення. Засоби пом’якшення:

Блокування/швидке блокування під час виходу з пристрою
Повне вимкнення у ситуаціях високого ризику (перетин кордону, залишення пристрою без нагляду)
OS, очищення оперативної пам’яті під час завершення роботи (це робить більшість сучасних ОС)
Зашифровано RAM (деякі серверні платформи; спеціалізовані)

BitLocker ключ відновлення — зверніть увагу

BitLocker найстрашніший момент: система запитує 48-значний ключ відновлення. Це трапляється після оновлень BIOS, змін апаратного забезпечення, які впливають на TPM, або очевидного втручання в ланцюжок завантаження. Якщо ви не зберегли ключ відновлення (обліковий запис Microsoft, AD, локальний файл), дані буде втрачено назавжди.

Найкраща практика: збережіть ключ відновлення в кількох місцях під час першого шифрування. Забуття того, де це є, коштувало справжнім людям справжніх даних.

Шифрування та правоохоронні органи

Правове середовище надзвичайно різне:

US П’ята поправка традиційно захищає від примусу розкрити пароль (свідоцтво), хоча суди відрізняються. Біометричні дані (відбитки пальців, обличчя) все частіше вважаються не ознаками.
UK RIPA може призвести до кримінального покарання за відмову.
Франція, Індія, Австралія мають аналогічні закони про примусове розголошення до кримінальних штраф.
Багато інших країн знаходяться десь посередині.

Для користувачів у юрисдикціях із примусовим розголошенням: повне припинення роботи перед відомими зупинками на кордоні, обсяги правдоподібної заперечення (приховані томи Veracrypt) і заборона перетину кордону з чутливими пристроями є варіантами. Кожен має компроміси.

Для користувачів у 2026

Прагматичний рецепт:

Увімкніть шифрування диска на кожному пристрої. У більшості сучасних пристроїв воно ввімкнено за замовчуванням. Перевірте в налаштуваннях.
Використовуйте надійний пароль. Мінімум 6+ цифр; 8+ буквено-цифровий – краще. Біометрія для зручності плюс пароль для завантаження.
Зберігайте ключі відновлення. Кілька місць, ідеально офлайн і фізично.
Вимикайте пристрої, які не використовуватимуться. Стійкість до холодного завантаження найкраща, коли ключ вилучено RAM.
Поєднання з резервною копією. Шифрування захищає від доступу; резервне копіювання захищає від втрати. Вони доповнюють один одного.

Часті запитання

Шифрування пристрою ввімкнено за замовчуванням?: Сучасні iPhone, iPad, Mac (серії M і багато Intel з T2), більшість телефонів Android з 2016 року, ChromeOS і Windows 11 Pro: так. Windows 10/11 Home нерівномірна — деякі пристрої вмикають шифрування пристрою автоматично, інші — ні. Підтвердити в налаштуваннях; увімкніть, якщо ні.
Чи сповільнить шифрування мій пристрій?: Сучасне обладнання має інструкції AES, які роблять шифрування практично безкоштовним. Різниця між зашифрованим і незашифрованим диском на сучасному пристрої невимірна для нормального використання. Старі пристрої без AES-NI можуть мати незначний вплив.
Що станеться, якщо я забуду свій пароль?: Без ключа відновлення дані неможливо відновити — така конструкція. Для цього існують ключі відновлення, служби депонування (iCloud від Apple, обліковий запис Microsoft, ваша корпоративна реклама). Збережіть їх, коли буде запропоновано; ви не можете створити їх після факту, якщо ви забули.
Чи біометричне розблокування таке ж безпечне, як пароль?: Еквівалент зручності, подібна безпека для більшості моделей загроз. Специфічні відмінності: біометричні дані зазвичай не захищені п’ятою поправкою США, тоді як коди доступу часто захищені. У змагальних контекстах примусово перезапустіть, щоб запитати пароль (утримуйте бічну кнопку + гучність).
Хмара має таке саме шифрування?: Залежить від служби. iCloud і подібні використовують шифрування під час передачі та в спокої, але постачальник зберігає ключі для більшості даних — їх можна викликати в суд. Розширений захист даних Apple (за бажанням) дає вам ключі для багатьох категорій. Хмарні сервіси з наскрізним шифруванням, такі як Proton Drive або Cryptomator на Dropbox, є потужнішими.