Test Kingston IronKey Keypad 200. Ważne dane na pendrive wreszcie będą bezpieczne
Zwykły pendrive jest dziś sprzętem nudnym i oczywistym do granic możliwości. Wkładasz do portu, kopiujesz pliki, wyjmujesz, wrzucasz do szuflady albo plecaka i przypominasz sobie o nim dopiero wtedy, kiedy akurat trzeba coś przenieść. Cały problem zaczyna się w momencie, w którym na takim nośniku lądują dane, których nie powinien zobaczyć nikt poza właścicielem. Dokumenty firmowe, dane klientów, projekty, umowy, pliki medyczne, kopie konfiguracji, hasła, raporty, materiały prawne albo cokolwiek, co po zgubieniu może narobić nam problemów.
Kingston IronKey Keypad 200 to nie byle pendrive
Kingston IronKey Keypad 200 jest odpowiedzią właśnie na taki scenariusz. Nie próbuje być najszybszym pendrivem świata, nie próbuje wyglądać nowocześnie przez miniaturowe rozmiary i nie udaje gadżetu do przenoszenia zdjęć z wakacji. Jest to pamięć flash z fizyczną klawiaturą, sprzętowym szyfrowaniem XTS-AES 256-bit oraz certyfikatem FIPS 140-3 Level 3 Validated. Już sam ten opis ustawia go w zupełnie innym miejscu niż typowe nośniki USB za kilkadziesiąt złotych.
Ciekawy detal drzemie też w samej klawiaturze, bo na pierwszy rzut oka można zadać proste pytanie – po co na takim pendrive litery, skoro i tak ustawiamy PIN? Odpowiedź jest prosta – nie chodzi o wpisywanie tekstu jak na normalnej klawiaturze, tylko o ułatwienie zapamiętania kodu. Kingston zastosował rozwiązanie znane ze starszych telefonów, gdzie pod jedną cyfrą znajdowało się kilka liter. Dzięki temu zamiast zapamiętywać losowy ciąg w stylu 72779673, można potraktować go jako słowo i naciskać cyfry odpowiadające kolejnym literom. W praktyce nadal mówimy o kodzie wpisywanym cyframi. Litery są więc tylko podpowiedzią i sposobem na tworzenie dłuższych, łatwiejszych do zapamiętania kombinacji.
Testowany przeze mnie wariant jest przy tym jednym z ciekawszych w całej rodzinie, bo mówimy o wersji 512 GB ze złączem USB-A (w praktyce 461 GB do użycia). Nie jest to więc mały sejf na kilka dokumentów PDF, tylko sprzętowo szyfrowany magazyn danych o sporej pojemności, na którym można zmieścić duże archiwa, paczki projektów, foldery z dokumentacją, kopie robocze i materiały, których naprawdę nie chciałbym zgubić na zwykłym pendrivie.
Pytanie jest więc proste – czy Kingston IronKey Keypad 200 512 GB USB-A ma sens jako praktyczne narzędzie do ochrony danych, czy jest sprzętem tak bezpiecznym, że przy okazji staje się zbyt niewygodny dla normalnego użytkownika?
W Kingston IronKey Keypad 200 bezpieczeństwo jest ważniejsze od wygody
IronKey Keypad 200 wygląda inaczej niż klasyczny pendrive, choć opis “pendrive i metalowa osłona” sugeruje coś prostego. Najważniejszy element nie znajduje się jednak wewnątrz tego sprzętu, a na obudowie. Fizyczna klawiatura z przyciskiem klucza i diodami statusu pozwala odblokować nośnik jeszcze przed podłączeniem go do komputera. Po poprawnym wpisaniu PIN-u pamięć zachowuje się jak zwykły nośnik USB. Po odłączeniu zaś znowu się blokuje.
Właśnie ten mechanizm jest najważniejszy. Dzięki temu nie trzeba bowiem instalować aplikacji, nie trzeba uruchamiać programu odblokowującego i nie trzeba w ogóle liczyć na zgodność z konkretnym systemem. Kingston IronKey Keypad 200 jest niezależny od systemu, bo po odblokowaniu działa jak standardowy magazyn masowy USB. W praktyce oznacza to kompatybilność z Windowsem, macOS, Linuxem, ChromeOS, Androidem oraz wszystkimi innymi urządzeniami, które potrafią czytać nośniki USB.
Ten kierunek bardzo mi się podoba, bo w sprzęcie do ochrony danych największym wrogiem bywa właśnie zależność od oprogramowania. Jeśli potrzebuję pliku na komputerze, na którym nie mogę nic zainstalować, to klasyczne rozwiązania programowe zaczynają irytować. IronKey Keypad 200 omija całkowicie ten problem. Zabezpieczenia siedzą bowiem w samym nośniku, a nie w komputerze, do którego go podpinamy.
Oczywiście ceną za to jest dodatkowy etap do wykonania. Przed użyciem trzeba nacisnąć przycisk, wpisać PIN, zatwierdzić go i dopiero wtedy podłączyć pamięć do portu. Nie brzmi to strasznie, ale przy codziennym, wielokrotnym używaniu zwykły pendrive zawsze będzie wygodniejszy. Ten sprzęt nie powstał jednak po to, żeby wygrać z tanim USB pod względem prostoty. Powstał po to, żeby dane po zgubieniu nośnika nie były prezentem dla osoby niepowołanej do ich przeglądania.
Specyfikacja Kingston IronKey Keypad 200 512 GB USB-A
Testowany przeze mnie wariant to Kingston IronKey Keypad 200 o pojemności 512 GB ze złączem USB-A. Jest to więc najbardziej zaawansowana pojemnościowo wersja klasycznego Keypad 200, bez dopisku “C”, który oznaczałby wariant USB-C. Ma to znaczenie nie tylko ze względu na samo złącze, ale też osiągi, bo właśnie wersja 512 GB USB-A należy do najszybszych konfiguracji tej rodziny pendrive.
Najważniejsze parametry wyglądają następująco:
Pojemność testowanego egzemplarza: 512 GB
Złącze testowanego egzemplarza: USB-A
Interfejs: USB 3.2 Gen 1
Deklarowany odczyt sekwencyjny: do 280 MB/s
Deklarowany zapis sekwencyjny: do 200 MB/s
Szyfrowanie: sprzętowe XTS-AES 256-bit
Certyfikacja: FIPS 140-3 Level 3 Validated, Certificate #5133
Dostęp: fizyczna klawiatura z PIN-em
Tryby PIN: User oraz Admin
Tryby tylko do odczytu: globalny oraz sesyjny
Ochrona: brute force, BadUSB, cyfrowo podpisany firmware, warstwa epoksydowa na elektronice
Wodoodporność i pyłoszczelność: IP68
Wymiary z osłoną: 80 x 20 x 11 mm
Wymiary bez osłony USB-A: 78 x 18 x 8 mm
Temperatura pracy: 0-50 stopni Celsjusza
Temperatura przechowywania: -20-60 stopni Celsjusza
Gwarancja: 3 lata
Testowany wariant ma dwie przewagi nad mniejszymi konfiguracjami. Pierwsza jest oczywista – pojemność daje już bardzo dużą przestrzeń na pliki. Druga dotyczy wydajności, bo nie jest to wolniejsza wersja z transferami na poziomie do 145 MB/s odczytu i 115 MB/s zapisu, tylko szybszy wariant z deklarowanymi 280 MB/s i 200 MB/s. Nadal nie robi to z niego konkurenta dla zewnętrznego SSD, ale przy szyfrowanej pamięci flash z fizyczną klawiaturą wygląda to już znacznie rozsądniej.
Bezpieczeństwo Kingston IronKey Keypad 200 w praktyce
Najważniejsza cecha Kingston IronKey Keypad 200 512 GB USB-A to ewidentnie certyfikat FIPS 140-3 Level 3 Validated. Ten bowiem standard dotyczy modułów kryptograficznych i ich odporności, a poziom 3 oznacza m.in. wyższe wymagania wobec ochrony przed manipulacją i próbami fizycznego dostępu do elementów odpowiedzialnych za bezpieczeństwo.
Gdyby tego było mało, Kingston podkreśla, że elektronika IronKey Keypad 200 została pokryta specjalną warstwą epoksydową, co ma utrudniać demontaż komponentów bez ich uszkodzenia. Do tego dochodzi ochrona przed atakami brute force, ochrona przed BadUSB, cyfrowo podpisany firmware, brak fabrycznie ustawionego PIN-u i wymuszenie utworzenia własnego kodu przy pierwszej konfiguracji.
Najlepsze jest jednak to, że bezpieczeństwo nie zostało tutaj zamknięte w jakiejś uciążliwej aplikacji. Ochrona danych nie wymaga konkretnego systemu operacyjnego, sterownika ani konta w chmurze. PIN wpisujemy na samym nośniku, a komputer widzi pamięć dopiero po jej odblokowaniu. Dla mnie jest to ogromna zaleta tej kategorii sprzętu.
Obudowa, klawiatura i jakość wykonania Kingston IronKey Keypad 200
Kingston IronKey Keypad 200 w wersji 512 GB USB-A nie jest małym, minimalistycznym pendrivem, o którego istnieniu zapomnimy w porcie laptopa. Wymiary z osłoną wynoszą 80 x 20 x 11 mm, a bez osłony 78 x 18 x 8 mm. Nośnik jest więc wyraźnie większy od prostych nośników danych tego typu, ale trudno się temu dziwić. W obudowie trzeba było bowiem zmieścić fizyczną klawiaturę, akumulator potrzebny do odblokowywania przed podłączeniem, elektronikę zabezpieczającą i konstrukcję odporną na zewnętrzną manipulację.
Wariant USB-A ma jedną praktyczną zaletę – pasuje do ogromnej liczby komputerów firmowych, starszych laptopów, stacji roboczych, komputerów stacjonarnych, terminali i sprzętu, w którym USB-C nadal nie jest oczywistością. Przy typowo korporacyjnym, przemysłowym albo administracyjnym użyciu to może być ważniejsze niż nowoczesność samego złącza. USB-C jest wygodniejsze przy nowych ultrabookach i smartfonach, ale USB-A nadal pozostaje najbardziej przewidywalnym wyborem dostępnym w praktycznie wszystkich sprzętach, bo tych starych i nowych.
Sama obudowa sprawia wrażenie solidnej, a nie gadżetowej. Niebieskie wykończenie i czarna klawiatura są charakterystyczne dla serii IronKey, ale nie próbują robić z tego sprzętu jakiegoś przedmiotu luksusowego. To narzędzie. Trochę większe, trochę bardziej poważne i zdecydowanie mniej pospolite z wyglądu niż zwykły pendrive. Na całe szczęście producent zadbał o komfort codziennego użytkowania, dodając metalową linkę z myślą np. o pęku kluczy. Nie zabrakło też uszczelek między obudową a osłoną, co jest akurat ważne, bo sprzęt doczekał się certyfikatu IP68, ale naturalnie odporność na wodę i pył nie oznacza, że po wyjęciu z błota albo po zalaniu kawą można od razu podłączyć pamięć do laptopa.
Z czego się cieszę? Przede wszystkim z tego, że klawiatura ma fizyczne przyciski, które trzeba świadomie naciskać. Nie są dotykowe, nie reagują przypadkiem na muśnięcie i nie sprawiają wrażenia elementu wstawionego wyłącznie dla efektu. W tego typu sprzęcie to plus. Przycisk musi dawać pewność, że faktycznie został wciśnięty, a jednocześnie nie powinien łapać przypadkowych kliknięć.
Producent postarał się też, aby IronKey Keypad 200 był odpowiednio wąski, aby nie kolidować z ciasno rozmieszczonymi portami. Obudowa jest wprawdzie nieco szersza niż w klasycznych, prostych pendrive’ach, ale nie znalazłem konfiguracji w laptopie i komputerze, która blokowałaby jego użycie.
Pierwsza konfiguracja i codzienna obsługa
IronKey Keypad 200 przychodzi bez ustawionego PIN-u użytkownika. Przed pierwszym użyciem trzeba go skonfigurować, czyli utworzyć kod o długości od 8 do 15 znaków. PIN nie może być prostym ciągiem w stylu 12345678 ani powtarzającymi się cyframi. Instrukcja jest zapisana na tyle pudełka, ale bardziej przejrzysta rozpiska jest dostępna na oficjalnej stronie producenta . Najważniejsze jest to, że jeśli pendrive nie reaguje na wciskanie przycisków swoimi diodami, to musicie wpiąć go do komputera na kilkadziesiąt minut, aby jego wewnętrzny akumulator się podładował.
Sam proces pierwszej konfiguracji jest prosty. Mamy bowiem przycisk klucza, diody LED i sekwencję wciskania oraz potwierdzania PIN-u. Przy pierwszym uruchomieniu zdecydowanie warto mieć pod ręką instrukcję, bo pomylenie sekwencji łatwo prowadzi do irytacji. W praktyce wciskamy raz przycisk klucza, następnie wciskamy go dwukrotnie (w ciągu 10 sekund) i rozpoczynamy wstukiwanie ciąg od 8 do 15 cyfr bez oczywistych kombinacji pokroju 123456789, 11111111 czy 6789012345. Po wpisaniu wciskamy ponownie dwukrotnie przycisk klucza, powtarzamy czynność raz jeszcze, a diody poinformują nas, czy wszystko przebiegło zgodnie z planem.
Po odblokowaniu (wciśnięcie ikony klucza, wklepanie kodu i raz jeszcze klucza) pamięć trzeba podłączyć do portu w ciągu 30 sekund. W praktyce zmusza to do prostego schematu – najpierw należy wstukać PIN, a potem szybko włożyć pendrive do USB. Jeśli port jest z tyłu komputera, pod biurkiem albo w trudno dostępnym miejscu, to z automatu wygoda tego procesu spada. Przy laptopie jest łatwiej, bo można najpierw odblokować nośnik w dłoni i dopiero po chwili wsunąć go do portu.
Właśnie tutaj najlepiej widać, że fizyczna klawiatura jest jednocześnie zaletą i ograniczeniem. Zaleta polega na niezależności od systemu. Ograniczenie polega na tym, że każde użycie wymaga ręcznego odblokowania. Dla jednych będzie to mała cena za bezpieczeństwo. Dla innych znak, że zwykły zaszyfrowany dysk programowy albo chmura z dobrym uwierzytelnianiem wystarczy.
Admin PIN, User PIN i tryby tylko do odczytu
Jedną z ważniejszych funkcji IronKey Keypad 200 jest obsługa dwóch poziomów dostępu, czyli PIN-u użytkownika oraz PIN-u administratora. W codziennym, prywatnym użyciu nie robi to może dużego wrażenia, bo większość osób i tak ustawi jeden kod, zapisze go w bezpiecznym miejscu i będzie korzystać z pendrive’a po prostu jako zaszyfrowanego nośnika. W firmie wygląda to jednak zupełnie inaczej. Takie dodatek umożliwia bowiem odzyskanie danych, kiedy pracownik zapomni swojego kodu, dostęp do nośnika po odejściu pracownika z firmy, ustawianie polityk administratora i nadpisywanie ustawień użytkownika.
Sam proces dodania PIN-u administratora nie jest przesadnie trudny, ale wymaga już wejścia w logikę obsługi tego urządzenia. Najpierw trzeba odblokować pendrive PIN-em użytkownika, a potem przytrzymać przycisk “1” i dwukrotnie nacisnąć przycisk klucza. Czerwono-niebieskie diody zaczynają wtedy sygnalizować gotowość do przyjęcia nowego Admin PIN-u. Następnie wpisujemy kod administratora, zatwierdzamy go dwuklikiem przycisku klucza, powtarzamy kod i jeszcze raz zatwierdzamy. Wymagania są takie same jak przy PIN-ie użytkownika: od 8 do 15 cyfr, bez prostych ciągów i bez powtarzania jednej cyfry przez cały kod.
Warto jednak bardzo wyraźnie podkreślić jedną rzecz, bo łatwo ją przeoczyć – samo wejście na zablokowany nośnik przy użyciu Admin PIN-u kasuje User PIN. Nie usuwa to automatycznie danych, ale oznacza, że po administracyjnym odblokowaniu trzeba utworzyć nowy PIN użytkownika. Ma sens z perspektywy bezpieczeństwa i firmowej kontroli, ale w zwykłym użyciu może zaskoczyć. Administrator nie jest tu po prostu “drugim użytkownikiem z dodatkowym kodem”. Jest to bardziej nadrzędny poziom dostępu, który przejmuje kontrolę nad nośnikiem i może wymusić nową konfigurację użytkownika.
Kingston przewidział też prosty sposób sprawdzenia, jakie PIN-y są ustawione. Przy zablokowanym nośniku wystarczy nacisnąć raz przycisk klucza i patrzeć na diody. Jeśli miga czerwona, istnieje tylko User PIN. Jeśli miga niebieska, istnieje tylko Admin PIN. Jeśli razem migają czerwona i niebieska, to skonfigurowano oba poziomy dostępu. Jest to wprawdzie drobiazg, ale przy sprzęcie bez ekranu takie sygnały mają ogromne znaczenie, bo cała obsługa opiera się na kombinacji przycisków i kolorów LED.
Drugim ważnym elementem są tryby tylko do odczytu. Użytkownik może samodzielnie przełączyć nośnik w tryb Read-Only, jeśli po odblokowaniu PIN-em wejdzie w ustawienia użytkownika przez trzykrotne naciśnięcie przycisku klucza, a następnie wciśnie kombinację 76 i potwierdzi ją kluczem. Powrót do trybu zapisu działa analogicznie, tylko z kombinacją 79. Po podłączeniu nośnika w trybie tylko do odczytu zielona dioda miga co dwie sekundy, więc od razu widać, że pendrive nie pracuje w normalnym trybie Read/Write. W praktyce taki tryb ma zastosowanie wtedy, kiedy podpinamy pamięć do mniej zaufanego komputera i nie chcemy ryzykować przypadkowego zapisu, modyfikacji plików czy dołożenia czegoś na nośnik bez naszej wiedzy.
Jeszcze ciekawszy jest tryb Read-Only ustawiany z poziomu administratora. Jeśli administrator zapisze dane na KP200 i ograniczy dostęp do odczytu, to użytkownik nie może zmienić tego ustawienia z poziomu własnego dostępu. Można więc dzięki temu przygotować nośnik z konkretnymi plikami, przekazać go pracownikowi albo kontrahentowi i ograniczyć ryzyko, że zawartość zostanie zmodyfikowana. Administrator nadal może przywrócić Read/Write, również przez kombinację 79 w trybie Admin, ale zwykły użytkownik nie ma nad tym kontroli.
Do tego dochodzi funkcja Timeout Lock, którą warto potraktować jako trzeci element firmowej układanki. Domyślnie jest wyłączona, ale można ustawić automatyczną blokadę bezczynnego nośnika w zakresie od 1 do 99 minut. Użytkownik może skonfigurować ją sam, ale administrator może to ustawienie nadpisać. Jeśli zaś Timeout Lock zostanie ustawiony w trybie Admin, to użytkownik nie może go później zmienić. Stanowi to kolejny przykład tego, że Admin PIN nie jest tylko awaryjnym hasłem, ale narzędziem do narzucania konkretnych zasad pracy z nośnikiem.