آموزش رمزگذاری روی فولدر در ویندوز ۷، ۱۰ و ۱۱

در نسخه‌های Home ویندوز ۱۰ و ۱۱، گزینه EFS برای رمزگذاری پوشه در اختیار کاربر نیست. قابلیت Device Encryption هم که روی بعضی دستگاه‌ها فعال می‌شود، کل درایو سازگار را محافظت می‌کند و برای یک فولدر، رمز جداگانه نمی‌سازد.

اگر به فضایی مستقل شبیه فولدر نیاز دارید، VeraCrypt می‌تواند یک فایل کانتینر رمزگذاری‌شده بسازد که پس از باز شدن مانند درایوی مجازی دیده می‌شود.

نرم‌افزار را فقط از وب‌سایت رسمی پروژه دریافت کنید و نام ناشر، نسخه و امضای دیجیتال فایل نصب را بررسی کنید.

در VeraCrypt گزینه ساخت یک encrypted file container را انتخاب کنید، برای کانتینر مسیر و ظرفیت مشخصی در نظر بگیرید و تنظیمات رمزنگاری پیش‌فرض معتبر را بی‌دلیل تغییر ندهید. برای فایل‌های بزرگ، سیستم فایل داخل کانتینر را متناسب با دستگاه‌هایی انتخاب کنید که قرار است آن را باز کنند.

برای استفاده روزانه، یک حرف درایو خالی برگزینید، فایل کانتینر را معرفی و با گذرواژه Mount کنید. پس از آن، فایل‌ها را در درایو مجازی کپی یا ویرایش کنید. وقتی کار تمام شد، همه سندها و برنامه‌های مرتبط را ببندید و گزینه Dismount را بزنید.

جدا کردن درست کانتینر مانع خرابی ناشی از قطع ناگهانی نوشتن اطلاعات می‌شود.

تا زمانی که درایو مجازی باز است، برنامه‌های همان حساب کاربری می‌توانند به فایل‌های داخل آن دسترسی داشته باشند. بنابراین قفل صفحه، آنتی‌ویروس یا رمز ورود ویندوز جای Dismount کردن را نمی‌گیرد.

کانتینر را فقط هنگام نیاز باز نگه دارید و روی رایانه مشترک یا دستگاهی که احتمال آلودگی آن وجود دارد، اطلاعات حساس را رمزگشایی نکنید.

فایل‌های مهم را ابتدا به کانتینر کپی کنید، چند نمونه را باز کنید، کانتینر را ببندید و دوباره با رمز صحیح باز کنید. تنها پس از این آزمایش درباره حذف نسخه‌های بدون رمز تصمیم بگیرید.

جابه‌جایی مستقیم، بدون نسخه پشتیبان، خطر از دست رفتن اطلاعات در اثر خاموشی، خرابی دیسک یا انتخاب اشتباه فایل مقصد را بالا می‌برد.

از خود کانتینر بسته نیز نسخه پشتیبان بگیرید؛ رمزگذاری جلوی حذف یا خراب شدن فایل کانتینر را نمی‌گیرد. گذرواژه را در مدیر رمز عبور نگه دارید و آن را کنار کانتینر ذخیره نکنید.

Keyfile می‌تواند کنترل دیگری اضافه کند، اما گم شدن همان فایل نیز دسترسی را ناممکن می‌کند؛ پس فقط با برنامه بازیابی روشن از آن استفاده کنید.

این روش برای کاربر خانگی که یک فضای جداگانه و قابل حمل می‌خواهد مناسب است، اما در رایانه سازمانی باید سیاست واحد فناوری اطلاعات مقدم باشد. هیچ مدیر مرکزی نمی‌تواند رمز فراموش‌شده VeraCrypt را خودکار بازیابی کند، مگر آنکه سازمان از قبل سازوکار مشخصی ساخته باشد.

پیش از سپردن تنها نسخه اسناد به کانتینر، بازیابی رمز و نسخه پشتیبان را عملاً آزمایش کنید.

رمزگذاری ارتباط و فضای ذخیره‌سازی توسط سرویس ابری با رمزگذاری سمت کاربر یکسان نیست. Personal Vault در OneDrive احراز هویت و قفل خودکار بیشتری برای دسترسی به فایل‌ها فراهم می‌کند، اما وقتی خزانه روی دستگاه باز است، فایل‌ها برای همان نشست قابل استفاده‌اند.

اگر نمی‌خواهید کلید محتوای بسیار حساس فقط در اختیار زیرساخت سرویس باشد، فایل را پیش از همگام‌سازی رمز کنید.

ابزاری مانند Cryptomator یک Vault داخل پوشه همگام‌سازی می‌سازد و محتوای فایل‌ها و نام‌های آن‌ها را به داده‌های رمزگذاری‌شده تبدیل می‌کند. پس از وارد کردن گذرواژه، یک درایو مجازی برای کار عادی نمایش داده می‌شود.

فقط از همین درایو فایل را باز یا ذخیره کنید؛ پوشه حاوی قطعه‌های رمزگذاری‌شده برای ویرایش دستی نیست و تغییر نام یا حذف فایل‌های ناشناخته داخل آن می‌تواند خزانه را ناقص کند.

در پایان کار، برنامه‌هایی را که سند باز دارند ببندید، Vault را Lock کنید و صبر کنید OneDrive همگام‌سازی را کامل نشان دهد. خاموش کردن دستگاه میان نوشتن فایل یا همگام‌سازی ناقص، احتمال نسخه متعارض را بالا می‌برد.

پس از نصب روی دستگاه دوم، ابتدا یک فایل آزمایشی را باز کنید تا مطمئن شوید نسخه برنامه، رمز و ساختار خزانه با هم سازگارند.

دسترسی هم‌زمان چند دستگاه به یک سند، مسئله دیگری است. رمزگذاری مانع conflict copy، بازنویسی نسخه تازه یا حذف همگام‌شده نمی‌شود. یک فایل را هم‌زمان روی دو دستگاه ویرایش نکنید و برای کار گروهی، درباره مالکیت هر سند و زمان بستن آن توافق داشته باشید.

تاریخچه نسخه‌های فضای ابری مفید است، ولی سیاست نگهداری آن ممکن است تغییر کند و جای پشتیبان مستقل را نمی‌گیرد.

می‌توان یک کانتینر VeraCrypt را نیز داخل OneDrive گذاشت، اما تغییر کوچک در فایل‌های داخلی ممکن است بخش‌های بزرگی از کانتینر را دوباره همگام کند. باز ماندن آن روی دو دستگاه نیز خطر تعارض دارد.

این روش زمانی قابل کنترل‌تر است که کانتینر پیش از شروع همگام‌سازی بسته شود، هر بار فقط روی یک دستگاه باز باشد و یک نسخه سالم جداگانه موجود بماند.

رمزگذاری سمت کاربر همه فراداده‌ها را ناپدید نمی‌کند. سرویس ابری همچنان ممکن است زمان فعالیت، اندازه تقریبی داده، تعداد اشیای رمزگذاری‌شده، دستگاه و حساب متصل را ببیند. گذرواژه یا کلید بازیابی را در همان حساب OneDrive نگه ندارید.

یک بازیابی آزمایشی از نسخه پشتیبان آفلاین انجام دهید؛ وجود آیکون سبز همگام‌سازی، به‌تنهایی سالم بودن یا قابل رمزگشایی بودن فایل‌ها را ثابت نمی‌کند.

گاهی محتوای سند رمز شده است، اما نام آن پیش از وارد کردن رمز دیده می‌شود. عنوان‌هایی مانند «قرارداد فروش»، «نتیجه آزمایش» یا شماره پرونده می‌توانند اطلاعات حساسی فاش کنند، حتی اگر کسی نتواند فایل را باز کند.

به همین دلیل هنگام ساخت آرشیو باید جداگانه بررسی کنید که سرآیند یا فهرست نام فایل‌ها نیز رمزگذاری می‌شود، نه فقط داده داخل هر فایل.

یک آزمون ساده انجام دهید: آرشیو را ببندید و بدون وارد کردن گذرواژه آن را در برنامه دیگری باز کنید. اگر نام پوشه‌ها، پسوندها یا اندازه هر فایل نمایش داده شد، فهرست آرشیو پنهان نشده است.

نمایش پیام خطا هنگام باز کردن سند کافی نیست؛ هدف این آزمون آن است که برنامه پیش از احراز رمز چه مقدار فراداده نشان می‌دهد.

در 7-Zip، قالب 7z را انتخاب کنید، در بخش Encryption یک گذرواژه قوی وارد کنید و گزینه Encrypt file names را فعال کنید.

قالب ZIP معمولاً همین سطح از پنهان‌سازی نام‌ها را با سازگاری یکسان ارائه نمی‌دهد؛ بنابراین صرف دیدن عبارت AES-256 نباید باعث شود تصور کنید فهرست فایل‌ها نیز مخفی است. خروجی 7z را با نسخه‌ای سازگار از نرم‌افزار گیرنده آزمایش کنید.

در WinRAR نیز هنگام ساخت آرشیو RAR یا RAR5، از پنجره Set password گزینه Encrypt file names را بررسی کنید. گیرنده باید برنامه‌ای داشته باشد که همان قالب و شیوه رمزنگاری را پشتیبانی کند. تغییر پسوند از rar به zip سازگاری ایجاد نمی‌کند.

پیش از حذف منبع، آرشیو را روی دستگاهی دیگر با رمز درست باز و با یک رمز نادرست نیز آزمایش کنید.

نام خود آرشیو هنوز بیرون از لایه رمزگذاری دیده می‌شود؛ پس عنوانی مانند «مدارک پزشکی شخصی» انتخاب مناسبی برای فایل ارسالی نیست. نامی خنثی اما قابل شناسایی برای گیرنده بهتر است.

پس از استخراج نیز نسخه عادی دوباره روی دیسک، پوشه Downloads، فهرست Recent یا فضای موقت برنامه ظاهر می‌شود؛ آرشیو رمزدار از این نسخه‌های تازه محافظت نمی‌کند.

رمز را در همان ایمیل یا پیام حاوی آرشیو نفرستید. فایل و گذرواژه را از دو کانال از پیش تأییدشده منتقل کنید و هویت گیرنده را پیش از ارسال بسنجید.

رمزگذاری محرمانگی را بالا می‌برد، اما به‌تنهایی ثابت نمی‌کند چه کسی آرشیو را ساخته است؛ برای پرونده‌های پرخطر، امضای دیجیتال یا سامانه سازمانی دارای ثبت رویداد، کنترل اصالت بهتری فراهم می‌کند.

رمزگذاری فولدر بیشتر برای حفاظت از داده در حالت بسته یا خاموش مفید است؛ مثلاً وقتی لپ‌تاپ یا دیسک به دست فرد دیگری می‌افتد. این فناوری به‌خودی‌خود جلوی بدافزاری را نمی‌گیرد که پس از ورود شما اجرا شده است.

هر فایلی که حساب کاربری فعلی بتواند بخواند یا ویرایش کند، ممکن است برای باج‌افزار فعال در همان سطح دسترسی نیز قابل دسترس باشد.

EFS فایل را برای حساب مجاز به‌صورت شفاف باز می‌کند و BitLocker معمولاً پس از راه‌اندازی و باز شدن درایو، دسترسی عادی ویندوز را فراهم می‌کند. درایو مجازی VeraCrypt نیز هنگام Mount شدن مانند یک دیسک معمولی در دسترس است.

در این وضعیت، بدافزار لازم نیست الگوریتم رمزنگاری را بشکند؛ می‌تواند از دسترسی بازشده کاربر استفاده کند و نسخه‌های خوانا را تغییر دهد.

یک آرشیو 7z یا RAR که بسته مانده، محتوای درون خود را مستقیم آشکار نمی‌کند، اما همچنان یک فایل روی دیسک است. باج‌افزار می‌تواند خود آرشیو را دوباره رمز کند، خراب کند یا حذف کند.

بنابراین «دو بار رمز شدن» لایه امنیتی مفیدی نیست؛ نتیجه ممکن است کانتینری باشد که حتی با گذرواژه اصلی نیز دیگر قابل بازیابی نیست.

سطح حمله را با عادت‌های ساده کمتر کنید: ویندوز و برنامه‌ها را به‌روز نگه دارید، محافظت ضدبدافزار را خاموش نکنید، برای کار روزمره از دسترسی مدیریتی غیرضروری دوری کنید و کانتینر حساس را فقط هنگام نیاز Mount کنید. فایل اجرایی یا ماکروی ناشناس را کنار اسناد محرمانه باز نکنید.

رمزگذاری، مجوز اجرا یا سلامت یک فایل دانلودی را تأیید نمی‌کند.

نسخه پشتیبان مؤثر باید از نشست آلوده جدا بماند. دست‌کم یک کپی آفلاین یا نسخه‌ای با امکان جلوگیری از بازنویسی نگه دارید و آن را همیشه به رایانه متصل نگذارید.

تاریخچه نسخه در فضای ابری می‌تواند در بعضی رخدادها مفید باشد، اما حذف یا رمز شدن فایل‌ها نیز ممکن است همگام شود. دوره نگهداری و روش بازگردانی را پیشاپیش آزمایش کنید.

اگر نشانه‌هایی مانند تغییر گسترده پسوندها، باز نشدن ناگهانی فایل‌ها یا پیام اخاذی دیدید، کار روی اسناد را متوقف و اتصال شبکه و حافظه‌های جانبی را قطع کنید. از بازنویسی نسخه‌های سالم پرهیز کنید و برای پاک‌سازی و بازیابی از مسیر معتبر کمک بگیرید.

نتیجه روشن است: رمزگذاری فولدر، پشتیبان آفلاین، به‌روزرسانی و کنترل دسترسی چهار وظیفه جداگانه‌اند.

انتقال یک سند به فولدر رمزگذاری‌شده لزوماً نسخه قبلی را از بین نمی‌برد. عملیات Cut و Paste ممکن است میان دو درایو به شکل کپی و سپس حذف انجام شود و حذف عادی نیز فقط ارجاع فایل را بردارد.

تا وقتی بخش‌های دیسک دوباره استفاده نشده‌اند، ابزارهای بازیابی شاید بتوانند بخشی از داده قدیمی را پیدا کنند. پس محل‌های باقی‌مانده باید جداگانه بررسی شوند.

برنامه‌ها نیز نسخه‌هایی خارج از مقصد اصلی می‌سازند: AutoRecover نرم‌افزارهای اداری، فایل موقت ویرایشگر، تصویر بندانگشتی، پوشه Downloads، پیوست ذخیره‌شده ایمیل و فهرست Recent نمونه‌های رایج‌اند. نام فایل را در مسیرهای شخصی جست‌وجو کنید و تنظیمات بازیابی همان برنامه را بشناسید.

پاک کردن تصادفی پوشه‌های سیستمی می‌تواند مشکل تازه بسازد؛ فقط داده‌ای را حذف کنید که هویت و کاربردش روشن است.

روی هارددیسک مغناطیسی، بازنویسی فضای آزاد می‌تواند احتمال بازیابی فایل حذف‌شده را کاهش دهد. فرمان cipher /w در ویندوز فضای آزاد یک درایو NTFS را بازنویسی می‌کند، نه یک فایل مشخص را. این عملیات زمان‌بر و پرنوشتن است.

روی SSD به دلیل TRIM و wear leveling، ابزارهای پاک‌سازی فایل‌محور تضمین قابل اتکایی ندارند و حتی ممکن است نوشتن غیرضروری ایجاد کنند.

روال کم‌خطر این است که ابتدا نسخه رمزگذاری‌شده و پشتیبان آن را باز کنید و سلامت چند فایل را بسنجید. سپس منابع بدون رمز، سطل بازیافت و کپی‌های مشخص برنامه را حذف کنید.

اگر داده از ابتدا بسیار حساس بوده و مدت‌ها روی SSD بدون رمز مانده است، برای پاک‌سازی کل دستگاه از دستورالعمل سازنده یا واحد فناوری اطلاعات استفاده کنید، نه از یک برنامه ناشناس با ادعای حذف قطعی.

حافظه مجازی، خواب زمستانی و گزارش خرابی نیز ممکن است در زمان کار، بخش‌هایی از داده خوانا را نگه دارند. رمزگذاری کامل دستگاه از پیش، دامنه این نشت‌های محلی را کمتر می‌کند؛ اما فعال کردن آن پس از ایجاد فایل، گذشته را به‌طور قطعی پاک نمی‌کند.

تغییر تنظیمات pagefile یا hibernation بدون شناخت اثر آن بر پایداری و بازیابی ویندوز توصیه نمی‌شود.

نسخه‌های بیرون از رایانه را فراموش نکنید: فلش، هارد پشتیبان، پوشه اشتراکی، نسخه‌های قبلی فضای ابری و سطل زباله آنلاین ممکن است همان سند را نگه داشته باشند. سیاست حذف و نگهداری هر سرویس متفاوت است.

پیش از پاک کردن یک نسخه ضروری، مطمئن شوید الزام قانونی، مالی یا سازمانی برای حفظ آن وجود ندارد و نسخه مجاز رمزگذاری‌شده واقعاً قابل بازیابی است.

برای فروش یا واگذاری دستگاه، Quick Format یا حذف حساب کاربری را معادل پاک‌سازی امن ندانید. از قابلیت Secure Erase یا Sanitize مورد تأیید سازنده، فرایند رسمی سازمان یا راهنمای معتبر همان مدل استفاده کنید.

اگر درایو از ابتدا به‌طور کامل رمز شده باشد، حذف کنترل‌شده کلید می‌تواند بخشی از فرایند امحا باشد، اما اجرای درست و نبود نسخه دیگر باید جداگانه تأیید شود.

ساخت آرشیو رمزدار فقط نیمی از کار است؛ فایل باید به گیرنده درست برسد و گذرواژه نیز نباید همراه آن افشا شود. پیش از ارسال، آدرس ایمیل یا حساب مقصد را از یک راه مستقل تأیید کنید، به‌ویژه وقتی پیشنهاد خودکار مخاطبان نام‌های شبیه نشان می‌دهد.

یک اشتباه در انتخاب گیرنده با رمز قوی جبران نمی‌شود اگر رمز هم در همان گفتگو قرار گرفته باشد.

برای بسته ارسالی، قالبی انتخاب کنید که گیرنده واقعاً بتواند باز کند. در 7-Zip با قالب 7z یا در WinRAR با قالب RAR، رمزگذاری نام فایل‌ها را نیز فعال کنید و یک گذرواژه یکتا بسازید. آرشیو را با رمز صحیح و یک رمز اشتباه آزمایش کنید.

نام فایل بیرونی را خنثی نگه دارید و اطلاعات حساس را در عنوان ایمیل یا توضیح لینک تکرار نکنید.

فایل را می‌توان از ایمیل یا لینک محدود فضای ابری فرستاد و رمز را از کانالی دیگر، مانند تماس تلفنی یا پیام‌رسانی که قبلاً هویت مخاطب در آن تأیید شده، اعلام کرد.

جدا کردن کانال‌ها امنیت مطلق ایجاد نمی‌کند، اما احتمال افشای هم‌زمان فایل و رمز بر اثر ارسال اشتباه یا دسترسی به یک حساب را کاهش می‌دهد. رمز را در همان رشته ایمیل، نظر فایل یا نام آرشیو ننویسید.

اندازه فایل و یک مقدار هش مانند SHA-256 را می‌توان از کانال تأییدشده برای کنترل ناقص یا عوض نشدن بسته اعلام کرد. هش به‌تنهایی محرمانه نیست و اگر مهاجم بتواند هم فایل و هم پیام هش را جایگزین کند، اصالت فرستنده را ثابت نمی‌کند.

برای اسناد رسمی یا پرریسک، امضای دیجیتال یا سامانه تبادل سازمانی که هویت و رویدادها را ثبت می‌کند، انتخاب دقیق‌تری است.

برای لینک ابری، دسترسی عمومی دائمی نسازید. تاریخ انقضا، محدودیت گیرنده و اعلان دانلود را در صورت پشتیبانی سرویس تنظیم کنید و پس از تأیید دریافت، دسترسی را بردارید. با این حال، لغو لینک نسخه‌ای را که قبلاً دانلود شده پاک نمی‌کند.

پیش از ارسال فقط فایل‌های ضروری را در بسته بگذارید تا دامنه افشا و تعهد نگهداری کمتر شود.

گیرنده باید آرشیو را روی دستگاه قابل اعتماد و در یک پوشه مناسب استخراج کند. فایل استخراج‌شده دیگر از رمز آرشیو محافظت نمی‌شود و ممکن است در پوشه موقت، نسخه پشتیبان یا فهرست فایل‌های اخیر بماند.

از گیرنده بخواهید پس از پایان کار، آرشیو، نسخه استخراج‌شده و رمز ذخیره‌شده در کلیپ‌بورد یا یادداشت را مطابق سیاست نگهداری پاک کند.

برای پرونده‌هایی با اطلاعات هویتی، مالی، درمانی یا محرمانه سازمانی، ممکن است آرشیو رمزدار با سیاست امنیتی یا الزام قانونی کافی نباشد. در این حالت از سامانه مورد تأیید سازمان با رمزگذاری سرتاسری، احراز هویت، کنترل مهلت دسترسی و ثبت رویداد استفاده کنید.

روش انتقال باید با حساسیت داده و پیامد افشا هماهنگ باشد، نه فقط با آسان‌ترین ابزار موجود.