Как зашифровать файлы в облаке: OneDrive, Google Диск, Яндекс Диск

OneDrive, Google Диск и Яндекс Диск защищают передачу ваших файлов, но ключи от своего шифрования держат у себя. Если нужно, чтобы документы в облаке мог прочитать только владелец, их надо зашифровать до загрузки.

Разберём, от чего на самом деле защищает шифрование облачного сервиса, что предлагают сами сервисы и как зашифровать файлы для облака на компьютере с Windows.

От чего защищает шифрование облачного сервиса

Крупные облачные хранилища шифруют данные при передаче и, как правило, при хранении на серверах. Но ключами управляет сам сервис. Такое шифрование хорошо защищает от перехвата трафика и от кражи дисков из дата-центра. А вот от чего оно не защищает:

• Взлом аккаунта. Пароль утёк или его выманили фишингом, вы забыли выйти из аккаунта на чужом компьютере: тот, кто вошёл, видит все файлы в расшифрованном виде.
• Общие ссылки. Кто получил ссылку, тот получил файл. Ссылки пересылают, сохраняют в переписке и забывают удалить.
• Сам сервис и официальные запросы. Раз ключи у сервиса, технически он может расшифровать файлы, например чтобы выполнить законный запрос.
• Копия на компьютере. Папка синхронизации лежит на диске в открытом виде, если сам диск не зашифрован.

Для фотографий из отпуска этого обычно достаточно. Для сканов паспорта, договоров, медицинских документов, бухгалтерии и рабочих архивов надёжнее шифровать файлы самостоятельно.

Что предлагают сами сервисы

OneDrive: «Личное хранилище»

В OneDrive есть «Личное хранилище» (Personal Vault): защищённая папка, которая открывается только после дополнительной проверки личности и через некоторое время бездействия снова блокируется. В бесплатном OneDrive количество файлов в ней ограничено, в подписке Microsoft 365 ограничения на число файлов нет. Это удобный дополнительный замок, но не сквозное шифрование: ключи по-прежнему у Microsoft.

Google Диск

В личном аккаунте Google Диска нельзя поставить пароль на папку. Шифрование на стороне клиента Google предлагает только в некоторых тарифах Google Workspace для организаций, и включает его администратор.

Яндекс Диск

Пароля на папку в Яндекс Диске тоже нет. Для конфиденциальных файлов подходит тот же способ, что и для остальных сервисов: шифрование до загрузки.

А что с Dropbox?

У Dropbox свои инструменты: общие ссылки с паролем, Dropbox Vault и сквозное шифрование для командных папок в некоторых бизнес-тарифах. Подробно о них и о двух способах защиты рассказано в статье Как зашифровать папку Dropbox.

Шифрование до загрузки: контейнер Cryptic Disk в папке облака

Самый универсальный способ: держать конфиденциальные файлы в зашифрованном контейнере, который лежит в папке синхронизации. Контейнер представляет собой один файл. Cryptic Disk после ввода пароля подключает его как обычный диск в Проводнике: файлы шифруются при записи и расшифровываются при чтении. В облако уходит только зашифрованный файл, который без пароля выглядит как случайный набор данных. По умолчанию в нём нет никаких меток, поэтому даже нельзя доказать, что это контейнер Cryptic Disk. Подробнее о контейнерах на странице возможностей программы.

Способ работает с любым сервисом, приложение которого синхронизирует папку на компьютере: OneDrive, Google Диск, Яндекс Диск и другими.

Как настроить

1. Скачайте Cryptic Disk и установите его на каждый компьютер с Windows, где понадобятся файлы. Можно использовать и портативную версию.
2. Запустите мастер создания зашифрованного контейнера и укажите путь внутри папки облака, например C:\Users\Имя\OneDrive\Документы\Личное.dat или аналогичную папку Яндекс Диска.
3. Выберите размер с запасом под нужные файлы, но без лишнего: про размер ниже.
4. Задайте длинный пароль. Хороший вариант: фраза из нескольких случайных слов, подробнее в статье Какой длины должен быть пароль.
5. Сохраните резервную копию ключа шифрования (заголовка), которую предложит мастер, и храните её вне облака, например на флешке дома. Копия защищена паролем, который действовал при её сохранении: она выручит, если заголовок повредится или если вы позже сменили пароль и забыли новый. Если забыт единственный пароль, копия не поможет.
6. Смонтируйте контейнер, перенесите в него конфиденциальные файлы и удалите их незашифрованные копии из папки облака. Не забудьте очистить и корзину на сайте облака, иначе копии останутся там.
7. Закончив работу, размонтируйте контейнер. После этого приложение облака загрузит изменённый файл.

Все шаги мастера с картинками описаны в статье Как создать зашифрованный контейнер.

Правила работы с контейнером в облаке

• Контейнер должен лежать на компьютере. OneDrive и Google Диск умеют показывать файлы, которые на самом деле хранятся только в облаке. В OneDrive отметьте для контейнера в контекстном меню, что его нужно всегда хранить на этом устройстве. В Google Диске для компьютера выберите для «Моего диска» режим, при котором файлы хранятся и на компьютере (зеркальное копирование), или сделайте контейнер доступным офлайн.
• Одновременно только на одном компьютере. Если два компьютера изменят один контейнер, сервис не сможет объединить изменения и сохранит конфликтующую копию.
• Размонтируйте перед сменой компьютера. Размонтируйте контейнер, дождитесь окончания синхронизации и только потом открывайте его на другом ПК.
• Не делайте контейнер огромным. Для облака это один большой файл. В зависимости от сервиса после изменений может загружаться значительная его часть или весь файл целиком. Несколько контейнеров по проектам удобнее одного гигантского.
• С телефона и в браузере не открыть. Cryptic Disk работает только в Windows. Файлы, которые нужны в дороге на смартфоне, в контейнер не кладите.
• Не монтируйте контейнер в папку внутри облака. Cryptic Disk умеет подключать контейнер к пустой папке вместо буквы диска. Если эта папка окажется внутри папки синхронизации, облако загрузит расшифрованные файлы.

История версий облака продолжает работать, но для контейнера целиком: при сбое весь контейнер можно вернуть к прежней версии.

Другие варианты, честно

• Архив с паролем удобен для разовой передачи. Упакуйте файлы в архив 7-Zip с шифрованием AES-256 (для формата 7z можно зашифровать и имена файлов), загрузите его в облако и отправьте ссылку, а пароль сообщите по другому каналу. Для постоянной работы это неудобно: каждый раз распаковывать и запаковывать, и легко забыть расшифрованную копию в «Загрузках». Старое шифрование ZIP (ZipCrypto) слабое, выбирайте AES-256.
• «Личное хранилище» OneDrive добавляет проверку при открытии и подходит, если вам нужен доступ с телефона, а риск со стороны самого сервиса вас не беспокоит.
• BitLocker или «Шифрование устройства» в Windows защищают копию на компьютере, пока он выключен, но не файлы на серверах облака.

Советы

• Включите двухфакторную аутентификацию в облачном аккаунте: она защищает и те файлы, которые вы не шифруете.
• Не храните пароль от контейнера в том же облаке. Для паролей от сайтов используйте менеджер паролей, а пароль контейнера сделайте длинной фразой, которую удобно вводить.
• Периодически проверяйте список общих ссылок и удаляйте ненужные.
• Помните, что облако не замена резервной копии: если контейнер повреждён или удалён, синхронизация распространит это на все компьютеры. Держите отдельную копию важных файлов.

Частые вопросы

Шифруют ли облачные сервисы мои файлы?

Передачу данных шифруют все крупные сервисы, хранение на серверах обычно тоже. Но ключи у сервиса, поэтому файлы доступны любому, кто вошёл в ваш аккаунт, и самому сервису.

Можно ли поставить пароль на папку в Google Диске или Яндекс Диске?

Нет, такой функции в личных аккаунтах нет. Чтобы папку можно было открыть только по паролю, храните файлы в зашифрованном контейнере внутри папки облака.

«Личное хранилище» OneDrive использует сквозное шифрование?

Нет. Оно требует дополнительной проверки при открытии, но ключи шифрования остаются у Microsoft.

Смогу ли я открыть зашифрованные файлы на телефоне?

Нет. Контейнер Cryptic Disk открывается только на компьютере с Windows, где запущена программа (установленная или портативная). В облаке и в мобильном приложении будет виден лишь один файл контейнера.

Что будет, если мой облачный аккаунт взломают?

Злоумышленник увидит обычные файлы, но вместо содержимого контейнера получит только зашифрованные данные. Без пароля он их не прочитает. Сразу смените пароль аккаунта и включите двухфакторную аутентификацию.