Dosya Şifreleme ve Disk Şifreleme: Temel Farklar

Disk şifreleme (Windows'ta BitLocker, macOS'ta FileVault 2, Linux'ta LUKS/dm-crypt, iOS'ta APFS) tüm sürücüyü önyüklemede açılan tek bir anahtarla korur; oturum açtıktan sonra her dosyaya çalışan her işlem erişebilir. Dosya şifreleme (age, 7-Zip AES-256, GPG, Cryptomator) ise oturum açtıktan sonra bile kilitli kalan dosya başına anahtarlarla tek tek dosyaları korur. Disk şifreleme çalınan dizüstü bilgisayara karşı savunur; dosya şifreleme kötü amaçlı yazılıma, meraklı iş arkadaşlarına ve bulut senkronizasyon sağlayıcılarına karşı savunur. Güçlü bir güvenlik duruşu için genellikle her ikisine de ihtiyaç duyulur; farklı sorunları çözerler ve birbirini tamamlarlar.

Disk Şifreleme Gerçekte Ne Yapar

BitLocker tüm birim üzerinde AES-XTS-256 kullanır. Birim Ana Anahtarı, Tam Birim Şifreleme Anahtarını şifreler; VMK'nın kendisi TPM tarafından mühürlenen ölçümler artı isteğe bağlı bir PIN veya kurtarma anahtarıyla korunur. Önyüklemede TPM önyükleme yolunu (UEFI, önyükleyici, çekirdek) doğrular, VMK'yı serbest bırakır; bu VMK FVEK'in kilidini açar ve disk okumalarını anında şifre çözer. FileVault 2, T2/M serisi Güvenli Çevre ile benzer biçimde çalışır. LUKS, Argon2id anahtar türetmesiyle LUKS2 biçimini kullanır. Birim bir kez bağlandıktan sonra, üzerindeki her dosya oturum açmış kullanıcıya ve o kullanıcı olarak çalışan her işleme açıktır.

Dosya Şifreleme Gerçekte Ne Yapar

Dosya şifreleme her dosyayı (veya her arşivi) kendi anahtarıyla bağımsız bir şifreli metin olarak ele alır. AES-256 ile korunan bir .7z dosyası, kilidi açık ve şifresi çözülmüş bir diskte oturuyor olsa bile şifreli kalır. Masaüstünüzdeki GPG ile şifrelenmiş .pdf dosyası, özel anahtar olmadan okunamamaya devam eder. Araçlar arşiv türünden (7-Zip, WinRAR, age -p) şeffaf bağlamaya (Cryptomator, gocryptfs, EncFS) ve tek dosyaya (age, GPG, openssl enc) kadar uzanır. Her dosya için anahtar farklı olabilir: alıcı başına açık anahtar, parola ile sarılmış dosya başına rastgele anahtar veya scrypt aracılığıyla türetilen klasör düzeyinde parola.

Her Birinin Savunduğu Tehditler

Disk şifreleme fiziksel hırsızlığa karşı savunur: kafeden çalınan dizüstü bilgisayar, kullanımdan kaldırılan sunucudan sökülen sabit disk, sınırda el konulan tablet. Önyükleme kimlik bilgileri olmadan disk bir kağıt ağırlığıdır. Dosya şifreleme, önyükleme sonrası tehditlere karşı savunur: kilitsiz iş istasyonunuzu kullanan bir meslektaş şifreli maaş bordrosunu okuyamaz; kullanıcınız olarak çalışan kötü amaçlı yazılım şifreli gizli dosyaları sızdıramaz; bulut senkronizasyon sağlayıcısı senkronizasyon öncesinde şifrelenen dosyaları okuyamaz; bulut sağlayıcısına yönelik bir mahkeme kararı yalnızca şifreli metin verir. Tehditler ortogonaldir: disk şifreleme ikinci kategori için hiçbir şey yapmaz, dosya şifreleme ise birincisi için hiçbir şey yapmaz.

Performans Özellikleri

Disk şifreleme, modern CPU'larda neredeyse ücretsizdir. Intel'in AES-NI ve ARM'ın Kriptografi Uzantıları, AES-XTS'yi bellek bant genişliğinde işler; iyi bir dizüstü bilgisayarda saniyede 5 GB'ın üzerinde. BitLocker veya FileVault'u günlük kullanımda hiç fark etmezsiniz. Dosya şifreleme yükü kullanıma göre değişir: 7-Zip'in her kayıtta tüm arşivi yeniden şifrelemesi büyük dosyalar için yavaştır; Cryptomator'un dosya başına AES-GCM işlemesi şeffaf olacak kadar hızlıdır; GPG açık anahtar işlemleri yalnızca oturum anahtarı RSA/ECC kullandığından dosya boyutuna bakılmaksızın milisaniyeler içinde tamamlanır. Bulut senkronizasyonu için dosya şifreleme tek uygulanabilir modeldir; disk şifreleme düz metin yüklediğinizde hiçbir yararı yoktur.

Ayrıntı Düzeyi ve Seçici Erişim

Disk şifreleme ya hep ya hiç modelidir: önyükleme kimlik bilgilerine sahip herkes her dosyayı okur. Çok kullanıcılı sistemlerin farklı kullanıcılara farklı görünümler sunması için kullanıcı başına disk şifreleme (Windows'ta EFS veya yığınlanmış dosya sistemleri) gerekir; bu pratikte nadiren dağıtılır. Dosya şifreleme, dosya başına ve alıcı başına erişim denetimi sağlar. Alice'e açık anahtarının altında şifrelenmiş bir dosya gönderin; Alice kendi özel anahtarıyla şifre çözsün; yanında oturan Bob kendi anahtarıyla aynı makinede bile dosyayı okuyamaz. Bu, paylaşılan dizüstü bilgisayarlar, kiosk sistemleri ve birden fazla kişinin aynı depolama alanının farklı görünümlerine ihtiyaç duyduğu her senaryo için önemlidir.

Kayıp Parola Senaryoları ve Kurtarma

Kaybedilen disk şifreleme kimlik bilgileri genellikle kaybedilen veri anlamına gelir. BitLocker, Microsoft'un varsayılan olarak hesabınızda sakladığı 48 basamaklı bir kurtarma anahtarına sahiptir (güvenlik tradeoff'u: potansiyel olarak kolluk kuvvetlerine teslim edilebilir). FileVault, iCloud kurtarma veya yerel kurtarma anahtarı kullanır. LUKS birden fazla anahtar yuvası sunar; yedek parola çalışır. Dosya şifreleme araçları farklılık gösterir: GPG özel anahtarı kaybederseniz kurtarma yolu yoktur; bu kasıtlı bir tasarım tercihidir. Cryptomator'un ana kurtarma seçeneği yoktur. 7-Zip arşivleri parola olmadan kalıcı şifreli metindir. Ders: dosya şifreleme için anahtarları bir parola yöneticisinde yedekleyin ve kurtarma kodlarını çevrimdışı saklayın.

İki Katmanın Birlikte Çalışması

Pratik dağıtım şöyledir: her cihazda (dizüstü bilgisayar, telefon, yedekleme sürücüsü) disk şifreleme, artı cihazdan çıkan her hassas şey için dosya şifreleme. Dropbox klasörünüzde duran bir .pdf vergi beyannamesi, Dropbox senkronize etmeden önce age veya Cryptomator ile şifrelenir; böylece hem diskinizde (FileVault altında) hem de Dropbox'ta (istemci tarafı şifreleme altında) şifreli metin olarak kalır. Dizüstü bilgisayarınızı çalan biri dosyayı okuyamaz (disk katmanı), Dropbox okuyamaz (dosya katmanı) ve kullanıcınız olarak çalışan kötü amaçlı yazılım okunabilir kopyaları sızdıramaz (dosya katmanı). Katmanlar birbirini güçlendirir.

Bulut Hizmeti Değerlendirmeleri

Bulut depolama ve yedekleme hizmetleri genellikle kendi sunucularında disk şifreleme anlamına gelen "beklemede şifreli" reklamı yapar; sağlayıcı anahtarı tutar. Bu, disklerini çalan bir hırsıza karşı korur, sağlayıcının kendisine karşı değil. Sağlayıcıyı dışarıda tutacak istemci tarafı şifreleme için yükleme öncesinde dosya şifrelemesi gerekir. Dropbox, Google Drive ve iCloud beklemede şifreler ancak anahtarları tutar; Apple'ın 2022'de sunduğu Gelişmiş Veri Koruma, çoğu dosya türü için iCloud'u istemci tarafı şifreli hale getirir. Normal iCloud, OneDrive ve Dropbox bunu yapmaz. Tehdit modeliniz bulut sağlayıcısını içeriyorsa dosya şifreleme zorunludur.

İki Yaklaşımın Düzenleyici Karşılığı

HIPAA 164.312(a)(2)(iv) şifrelemeyi adreslenebilir olarak tanımlar; hem disk hem de dosya şifreleme geçerli sayılır, ancak yalnızca disk şifrelemesi makine açıldıktan sonra PHI'yi okunabilir bırakır ve bu durum 164.308(a)(4) erişim denetimini karşılamaz. PCI DSS 4.0 Gereksinim 3.5.1, PAN'ın depolandığı her yerde okunamaz hale getirilmesini zorunlu kılar; disk şifreleme ayrıntılı erişimi sağlamadığından dosya düzeyinde şifreleme ve belirteçleştirme standart modeldir. GDPR Madde 32, riske bağlı olarak ikisini de "uygun teknik tedbir" olarak kabul eder. CCPA ve KVKK güvenli limanları, verilerle birlikte anahtarların tehlikeye girmemesi koşuluyla her ikisi için de geçerlidir.

Dosya Transfer Hizmetlerinin Yaptığı

HexaTransfer ve benzer E2EE dosya transfer hizmetleri, belirli bir dosya şifreleme türü gerçekleştirir: URL fragment aracılığıyla paylaşılan rastgele anahtarlarla dosya başına ve transfer başına şifreleme. Bu disk şifreleme değildir (dizüstü bilgisayarınızı korumaz) ve kalıcı dosya şifreleme de değildir (dosya indirme sonrasında kaybolur). Bu, transit aşamasına özgü dosya şifrelemedir: bu transferi sağlayıcıdan, ağdan ve bulut sağlayıcısından koruyun, ardından kendi kendini yok etsin. Kalıcı depolama için age veya Cryptomator gibi araçları arşivleme öncesinde uygulayın. Farklı sorunlar, farklı araçlar.

hexatransfer.com'da deneyin — ücretsiz, hesap gerekmez, 10 GB'a kadar.