Шифрование win32

[POMbI4]

Доброе время суток.

Есть такая задача: "Обеспечить конфиденциальность файлов в сети на случай воровства железа, проверки ОБЭП, происков конкурентов и т.д. и т.п."

Для начала я ограничил и упростил задачу на сколько это возможно:

- Все конфиденциальные, рабочие файлы хранятся только на одном сервере, на одном диске, жестко закрытые правами AD.

- Еще на одном сервере стоит 1С Архив, и соответственно конфиденциальные данные хранятся и в его папках и базе SQL. В принципе, их тоже можно уместить на один, отдельный винт.

Таким образом нужно защитить всего два жестких диска каким-либо способом, чтобы при подключении винта с зашифрованными данными к другому компу в другом домене и т.п. данные нельзя было востановить в разумные сроки.

Так же необходимо дать паре человек возможность БЫСТРОГО перевода этих носителей в случае налета ОМОНа паролем или смарт картой.

Смотрел в сторону EFS, но она имеет ряд ограничений:

1) Зашифрованные файлы могут стать расшифрованными, если файл копируется или перемещается на том, не являющийся томом NTFS.  

2)Пользователи могут удаленно применять шифрованную файловую систему только тогда, когда оба компьютера являются членами одного леса семейства Windows Server 2003.  

3) Зашифрованные данные не шифруются при передаче по сети, а только при сохранении на диске.  

4) Не поддерживается хранение сертификатов и закрытых ключей шифрованной файловой системы на смарт-картах.

 

Может кто поможет советом?

[ToSHiC]

pgpdisk, только вряд ли это удовлетворит в плане производительности

можно посмотреть на различные аппаратные решения по шифрованию данных

[Shiva]

DriveCrypt, TrueCrypt

Вопрос закрытия решается нажатием на ресет. Сеть закрыть IPSec или VPN с MPPE.

Включать вручную, вводом паролдя при подключения к диску.

[emp]

хранить секретное файло на unix-сервере замурованом в стену/пол.

[Barsick]

Современные винты умеют шифровать аппаратно, если поддерживает биос, т.е. после включения компа надо 1 раз ввести пароль

Про стойкость криптования не знаю

хранить секретное файло на unix-сервере замурованом в стену/пол.

Я уже думал о подобном, типа Асусовский WLHDD под полом спрятать