Ну внутри понятно. RLS. А снаружи? Насколько надежная обычная виндовая защита на копирование при возможности изменения самой базы? Если она вообще есть конечно. Допустим ставите 1Ску для госструктур и у них такое требование, чтобы могли работать в базе но копировать ее не могли. Хотя конечно понятно что в этом случае винда полюбому ломается вроде.

нинасколько

сейчас придёт vde И всё растолкует

Защита информации в файловой базе - это не совместимые вещи. :(

Никак.

В облако.

Имхается что это фантастика

(0) RLS на файловой... Автор убейся об стенку и больше никогда такие слова вместе не произноси

(0) В вэб клинет. И с базой работать только через браузер.

(7) база простая. количественный учет. три справочника два регистра три документа. потянет.

(8) поставляться будет с ноутбуком в комплекте.

а где vde?

(7) а что не так?

Интересно, у меня дежавю?

(12) ну типа медленно. только не понимаю я. пробовал писать простенькие РЛСки на файловой. вполне тянуло. А то что под скулем быстрее работало, так там вся база и без РЛС быстрее.

(8) а какой выход в защите если поставляется программно аппаратный комплекс? ставить на ноут 1С-Сервер 32бит с постгре?

(13) я тебя не знаю. Поэтому скорее всего да.

Грубо говоря, пока база на локальном компьютере, при наличие даже малоразумного специалиста, копирнуть базу очень просто

(17) а в копирнутую базу войти админом не зная пароля реально?

(18) реально.

(12) В свое время на БП игрался
Проведения задним числом РКО 1-2 сек под полными правами и 30 сек под бухом

(19) а через связку 1с-сервер+постгре на локальном компе тоже анрил?

(20)  флажок "полные права при проведении" ?

(15) Работайте, как подсказали, через тонкого клиента.
Что sql, что web-клиент, суть одна. Юзерам в обоих случаях не нужен доступ к каталогу базы.

(21) блин, ну если ФСБ ломают, чего ты от 1С хочешь :)
Не ломается только то к чему нет доступа ни по проводам, ни физически :)

(21) к чему создавать себе лишние сложности?

(23) суть в том что будет программно-аппаратный комплекс. сервера как такого нет. баз чисто на одном ноуте.

(25) Ясно. Просто так получается купить БСП написать конфигурацию за неделю. А по доступу внутри сделать роли, а внешний доступ ограничить регламентом.

(26) Поставить базу на ноут, сломать порты USB (залить смолой), DVD, выломать модули WiFI и Блутус. Выдрать контакты сетевухи. Должно быть безопасно.

(22)?

(28) USB порты нужны.

(28) Смогут запомнить, отправить по почте, на принтер

Так что предварительно еще нужно ноут зарыть на 2 метра под землю

А еще вопрос. Требуется чтобы БД было зашифровано. Если открыть базу в текстовом редакторе там вообще что нибудь видно?:) ну там названия контрагентов, коды и прочее :)

(30) Правильно, чтобы можно было вставить флешку и стащить базу

(32) ПКМ на списке справочника контрагенты -> вывести список. Далее печатаешь его на принтер

(34) ну это понятно. мне просто интересно что из себя представляет сама база в физическом смысле. :)

(35) компаунд файл, типа вердовского

(35) В явном виде там нет записей "Иванов Иван Иваныч"

(34) если в 7рке я открывал ДБФку и там все было, интересно как все это сделано в 8рке. Там хоть какая нибудь шифрация на лету производится при записи/считывании из 1Cv8.1CD ?

(37) то есть это какойто легкий шифр?

(37) а в dt?

(40) как в архиве

(40) ни там ни там

(41) типа zip-а?

(42) Не совсем. Есть в интете инструменты который позволяет просматривать таблицы в файловой базе. И там как в дбф, т.е. записи в чистом виде

А так да, блокнотом не видно

(43) не все ли равно типа чего?

(39) Если доступен физически файл базы (хоть 1CD, хоть SQL), то о защите речи нет.

(44) то есть даже не зная админский пароль все можно просмотреть? А можно ссылку?

(47)
http://infostart.ru/public/19633/
http://infostart.ru/public/166557/

(48) круто... жаль что у них нет проекта по защите информации. Хотя конечно судя по всему 1С под это не заточено. :)

(49) используй SQL =\

Как минимум сложнее будет все это проделать ;)

(51) особенно если 5-ти звенка

скуль-> сервер предприятия -> апачи -> терминал. И все заходят через веб морду

(53) и с запретом вывода на печать, запретом вообще что-либо делать с ТД, только просмотр! Только скриншотами инфу тащить можно, но и их можно виндой запретить ак-нибудь :) А потом запрет на фотографирование еще- экраны какие-нибудь странные поставить :D

(0) В контейнер TrueCrypt базы запихни и открывай в начале рабочего дня

(55) ну тык пока открыты их кто-нибудь и сцапает. Никто же не мешает копировать, когда даже кто-то работает ;)

(53) и все это на одном ноутбуке?:)

(50) В конфигурации 1с-сервер+постгре и все это на одном ноутбуке в постгри можно задать что база 1са должна шифроватсья по какому нибудь алгоритму?

(58) смысл?

на скуле смотреть еще проще чем в файловой. ненужно сторонних программ. Есть смысл если это у тебя разнесено на разные компы, а когда "все база на одном диске". Кроме гемора и тормозов ничего другого не будет

(59) требование заказчика "база должны быть зашифрована"

(60) тормозов не будет по причне простоты и небольшого объема базы.

(60) на скуле нужно знать рут-пароль чтобы влезть в базу через админку.

(61) А ничего что 1с не подерживает шифрование базы? Тебе не кажется что ты инструмент нетот выбрал

От того что ты хоть на 2 скуля положишь она не будет более защищенной и любой мальчик который придет после тебя поднимет тебя насмех и расскажет всё что он думает о твой проф.пригодности. Оно тебе надо?

И это при том, что для скуля нужен ключ который минимум стоит 36к, и  если ты возьмешь бесплатный постгридж.

Представь ты накупил софта на 100к а пришел мальчик и за 5 секунд на глазах заказчика вытащил инфу. Возникнет вопрос. За что собственно уплачено?

(64) да заказик хороший сорвется... БСП на каждый ноут +50000 за саму прогу.

5000 то есть.

(66) Т.е.е заказчик готов платить 10 800 за 1С + 36 000 за ключ на сервер + 5 000 за прогу на каждый ноут?
т.е. фактически более 50 к за каждое место?

проще тогда смотреть в сторону криптографии и дисков

(68) думаю нет. Вот думаю как представить ТЗ с обходом всей этой шифрации, требование которой присуствует в спецификации.

(68) 42000 уже давно ключ стоит. у тебя устаревшая инфа. Хотя конечно можно вснуть стоимость проги в виде бесплатной поставки в часть 1С-Сервера. Но все равно....

http://grabberz.com/showthread.php?t=6765
http://www.niv.ru/shop/book9/1-10/1135420/1135434/kriptograficheskie-sistemy.htm

(72) а 1С 8.2z это не про это?:)

(73) нет

есть еще выход. постаивть майскуль или тотже постгре и использовать 1С RAD а данные из скуля забирать через стандартные скуль-запросы через адо или встроенные либы.

(28) Зачем физически портить ноут?
Можно сделать какую-нибудь виртуалку на виртуальном шифрованном диске.
Какую-нибудь хитрую связь с ноутом.
Если файл виртуальной ОС с базой похитят, то без ноута он не загрузится и не расшифруется.

А что мешает средствами ОС ограничить пользователя. Запретить загрузку с посторонних устройств через биос. А базу выдать через апач тонкому клиенту, при этом сам каталог с базой будет недоступен никому кроме пользователя веб-сервера. А взлом можно усложнить политикой ограниченного использования программ, запретив все exe, кроме 1С на исполнение, для пользователя. Корпус опечатать.

(77) База на ноуте, за котором сидит пользователь с админскими правами. Что даст апачи, если база лежит просто так, бери не хочу?

(0) базу на отдельный диск, диск под роспись)

Пользователь с правами админа, это большой грех. Раз дали админа, значит разрешили всё.

Апач под отдельным пользователем ОС, который имеет доступ к файлу защищённому EFS. Сброс пароля пользователя лишит его доступа к зашифровнным файлам. Т.е. все свелось к надёжности средств windows.

Пользователь, имеющий физический доступ к ноутбуку, может просто загрузочной флешкой сбросить админский пароль, извлечь файл с данными (хоть с EFS) и делать с ними что угодно. Без физического разграничения "пользователь - данные" никакие придумки НЕ ПОМОГУТ.

(81) Для предотвращения потери данных нужен бекап. Как бекап будем защищать?

v8: Безопасность файловой базы

(84) А вот какое у чувака из (13) было дежавю...
Как вопрос решился кстати? Если в плане заказчика о был конечно, а не чисто философский.

Про запрет загрузки не со встроенного винчестера я писал. Естественно, защита слабая, но получить больше в этих условиях врядли возможно. Про взлом защиты efs читал, но там, вроде, перебор используется.
Ноут подключают в сеть и сервер под правами пользователя архиватора переливает данные к себе. Архив может шифроваться и локально.
Напомню, запуск всего кроме 1С запрещен, даже проводника.

(85) да никак, имхо. пока 1с не придумает нормального механизма защиты файловой базы - пользователь все равно найдет лазейку, чтобы утащить файл из расшаренного каталога.
имхо, это нежелание фирмы 1С усиливать безопасность файловой базы обусловлено тем, что компания не хочет терять продажи с серверов

+ я даже как-то нашел в домашней сети расшаренную базу нашего ТСЖ, открытую на изменение любому.

млин, помоему я это читал

- по поводу шифврованного диска.
Для того чтобы запустить 1С, любой такой диск с базой нужно вмонтировать(то есть дешифровать при этом) в ОС. То есть после запуска базы диск будет виден в проводнике как и все прочие. Конечно все это можно захайдить, но этоже смешно. Но с другой стороны на безрыбье как говорится и рак свистнет.

- по поводу виртуалки.
Можно поднять виртуалку на линухе установить туда постгри с 1С-Сервер. Да это выход. Но помнится года 4 назад я поставил на своем ХП vmware и на виртуалке поднял убунту10 чисто посмотреть(после чего снес). Единственное что я запомнил что виртуалка периодически(раз в 5-10 минут) подвисала на 5-10 секунд. Виртуалка вообще в нынешних версиях устойчиво работает?. Опять таки 1С-Сервер за 42000 р очень дорог..

(89) см (84). Та ветка архивная.

Еще вопрос:
Можно ли? :
Поставить линуху(Дебиан, Убунту, МОСВС), поставить на нее 1С:Сервер загрузить туда базу и на этомже ноуте через линуховый браузел иметь доступ к базе через вебморду? А на линухе как там с безопасностью?

прежде чем выдумывать варианты ответь на один вопрос

сколько готов заплатить пользователь этой базы что-бы иметь ее копию с возможность продать/использовать ее

варианты ответа
не более 1 тр
не более 50 тр
не более 250 тр
не более 1ляма

(93) в данном случае речь идет о программно-аппаратном комплексе. то есть программа будет ставиться на каждый комп. Допустим ты делаешь на БСП и потом с наценкой на БСП в 5000р ставишь на 1000 ноутов. То есть один экземпляр по любому не может быть дорогим.

(93) еще кстати можно попробовать внешнюю шифровку. написать дллку-(де)шифратор строк по определенному алгоритму и критичные к секурити поля перед чтением и записью тупо (де)шифровать.

(93)а. прочитал до конца. это секретная информация :)

(96) ответь самому себе, а я тебе дам некие рекомендации

не более 1 тр - самые простые средства, терминал и простое логирование

не более 50 тр - сервер 1с, перевод на тонкий, простой аудит безопасности

не более 250 тр - сервер 1с, не стандартный аудит и логирование (заточеный под вас)

не более 1ляма - уже все по взрослому....

(97) С учетом того что ноутбук с базой может быть использован в местах без доступа в интернет, по любому получается вариант "не более 1тр"?

(98) при чем тут интернет? я говорю о том сколько готов заплатить злодей за копию твоей базы....

есть простое правило 50/50

50% пользователей сольют тебе все что угодно за 50% годовой зп

(99) Ну это понятно. В данном случае меня вообще сами пути интересуют. в (97) вообще нет ничего про локальную базу, про какуюбы сумму не шла речь.

(100) ну до 1000 рублей - это локальная, если больше нужно уже что-то более серьезное

На самом деле, вопрос в том, от кого мы защищаем базу.
Если от пользователя, который с ней работает, то тут всё зависит от прав его доступа - если он многое может посмотреть, то ему проще на телефон сфотать, чем пытаться что-то воткнуть в USB-порт.
Если мы боимся, что базу упрёт тот, кто её и запускать не должен, то нужно сделать так, чтобы база была доступна только в момент работы с ней - для этого TrueCrypt вполне подходит с ключом на Token-е и паролем.
Опять же - шифрование диска позволит прекрасно делать копии шифрованного контейнера для резервного копирования, но при этом, из резервной копии нельзя будет получить данные.
Что касается файловой базы, то восьмёрка, в отличие от предыдущей версии живёт в одном файле, и можно пытаться перехватить к нему доступ на уровне процессов фильтрующим драйвером файловой системы, чтобы другие процессы не могли получить доступ к файлу или просто запускать 1С от имени другого пользователя, авторизация которого проводится программно. Однако, встроенные диалоги открытия и сохранения в самой 1С будут видеть файл базы и его можно будет скопировать куда-то в другое место.
Казалось бы, база в SQL-сервере больше защищена, но, в случае локального компьютера есть возможность остановить SQL-сервер и получить доступ к его файлам.
Безопасность данных на сервере выше только в том случае, когда у посторонних нет возможности выключить сервер и загрузиться с внешнего носителя, что в случае ноутбука вполне реально - в этом случае - какая бы ни была система шифрования - есть вероятность, что её запустят в режиме эмуляции и остановят сразу после того, как данные будут расшифрованы.

И, самое главное, если предполагается Ноутбук, то есть большая вероятность, что его просто сопрут или потеряют.

(102) а без 1С если просто хранить в бд скуля и работать через скуль запросы как через АДО или встроенную либу скульсервера и использовать шифрованные таблицы скуля, это выход?

Во-первых, в SQL можно запретить доступ к самим таблицам, а оставить только запросы, хранимые процеруды и view-окна. То есть пользователь просто так даже в таблицу заглянуть не сможет.
MS SQL Express поддерживает базы до 4 Гб (насколько я помню).
А - уже десять
http://msdn.microsoft.com/en-us/library/cc645993(v=SQL.110).aspx

вполне подходит для небольшого проекта.
Интерфейс можно сделать на той же 1С через ADO.
Запись данных будет выглядеть как исполнение хранимой процедуры, где можно проверять данные и отслеживать нарушение полномочий.

(104) а как можно получить доступ к 1Совскому скулю не зная рут-пароля через который база и авторизуется в БД?
В моем случае врядли пойдет речь о МС. Может быть постгре или майсиквел.

(104) и проект большой :) в плане длинный. объектов мало, но таблицы длинные.

(104) а встроенные средства шифровки записей которые я еще читал в Сиквел стандарте еще в 99м году, как-то решают этот вопрос?

В семёрке сейчас есть и встроенное средство шифрования файлов на диске. Причём, если пароль выбран стойкий, то оно вполне надёжное.
Основная проблема любой системы шифрования в том, что она сама должна расшифровывать данные, которые в ней хранятся без постороннего вмешательства, что позволяет перехватить их в процессе расшифровки.
Реально - если у пользователя права администратора, то он можно поставить фильтр-драйвер между SQL и 1С-сервером.
Если нет прав администратора, то можно загрузиться с внешнего диска и подменить системные файлы, чтобы можно было войти от имени системы - в этом случае - расшифровать данные пользователя возможности не будет, но вмешаться в процесс шифрования и дешифрования можно - если перехвачен ключ шифрования, то база будет расшифрована.
Защититься можно только шифруя диск целиком, но тут возникает проблема с загрузкой операционной системы с шифрованного диска.

(108) а про (107) не скажешь ничего?:)

SQL-использует шифрование на основе ключа системы и пароля учётной записи службы SQL-сервер. То есть получается привязка к системе.

Вот есть статья, где написано про шифрование
http://technet.microsoft.com/en-us/library/ms189586.aspx
Но, прозрачное шифрование - это один ключ на всю базу и симметричный алгоритм (по-мойму 3-DES), что позволяет ожидать перехват ключа в момент шифрования на системном уровне.

Печаль всего метода в том, что ключ для базы один, и если пользователь хочет что-то получить из базы, то у него должен быть доступ к ключу (хотя бы косвенно).

(111) ну то что он один это логично.

А потом окажется, что самая секретная информация в базе - зарплата генерального директора....

Любое шифрование добавляет защищённости данным.
Только надо понимать, что расшифровка при каждом обращении требует ресурсов процессора, что снижает производительность.
В некоторых случаях производительность критична.
Шифрование хорошо защищает в тот момент, когда работа с базой не идёт - если USB-токен с ключом вынут, данные надёжно защищены.
Тут только не стоит забывать, что, например, спящий режим, когда содержимое памяти записывается на диск, может оказаться серьёзной дырой, так как пароль в момент работы хранится в памяти драйвера.

(113) не трольте. тут чтот типа складского учета. с финансами никак не связано.

а может поступить по другому.
Сделать так чтобы получив саму базу злоумышленник не смог ей воспользоваться. Все данные которые вводятся в базу можно зашифровать. В качестве ключа для расшифровки/шифровки можно использовать к примеру серийный номер материнки + номер винта. Эти два серийника тусуем получаем уникальный ключ для каждого компа. Процедуру шифровки/расшифровки прячем в КЗК (ну или делаем поставку без исходного кода если цена маленькая и есть желание сэкономить)

(116) и как это вяжется с 1С?:) Вообще надо будет исследовать на тему внешних библиотек шифврования.

что типа длл-ки которую подгружаешь при старте и обрабатываешь каждую строку при необходимости.

зачем внешние? в 1С получаем номер проца, и берем все текстовые значения и шифруем.  
Можно все обрабатывать внутри и без длл. Только саму процедуру шифрования надо закрыть от глаз. (обфускацией, кодированием или изъятием кода из поставки) по каждому пункту есть плюсы, минусы и цена

Dll нужна для гарантированной привязки к системным ресурсам, так как на уровне пользователя через WMI не всё можно вытянуть, а перехват вызовов WMI позволит всё обойти.

Если каждый объект базы зашифровать своим ключом, который вычисляется на основе какой-то функции от данных машины и уникального идентификатора объекта, то достаточно будет спрятать в dll функцию получения пароля записи. Кроме того, даже при перехвате вызовов будет расшифрована только часть информации.

Обфускация и изъятие кода из поставки - это защита от непродвинутого пользователя, так что её лучше не рассматривать.

Поставка без исходных текстов подходит для модулей учёта, когда для понимания принципов функционирования программы рабочего кода недостаточно, а также невозможно проводить модернизацию программы.
Алгоритм же шифрования можно получить в любом виде - там важны только входные данные и место, из которого их получают.

Всю ветку не читал. Кг/АМ уже было?

про поставку и обфускацию в курсе поэтому написал про минусы и цену.
С длл - красиво (так помоему делает рарус, по крайней мере частично)
Но ТС вроде дал понять что цена информации = 1000 рублей, соответственно на защиту можно просто забить и все )))

(123) любая информация об информации секретна. в том числе и цена :)

я так полагаю истина лежит гдето тут wiki:OpenSSL

Только надо искать что-нибудь типа ActiveX библиотек чтобы можно было вызывать из 8рки.

(123) Ну Рарус я так понял защищает программу. Или у них есть средства критпографии данных? пойду гляну.

http://erpsolution.ru/forum/showthread.php?t=1091 во. решение.

v8: 1с и криптография

http://v8.1c.ru/overview/Term_000000782.htm

Ещё можно CapiCom посмотреть (но это устаревшее решение), а также CryptoPro как сертифицированное решение для банковских платежей.
Конечно, CryptoPro стоит денег, но оно гарантирует защиту.
http://www.cryptopro.ru/

а если это все на линукс ?

CryptoPro и под Linux есть, только там вызовы будут по-другому.

имхо все упирается в архитектуру, если база файловая, то вариантов оградить от ее копирования нет. Вообще нет. Более того у файловой базы в которой работают люди, можно спокойно заменить 1Cv8.1CD любой версией, в том числе и текстовым файлом с нулевой длиной. Но можно положить базу в терминал и не шарить папку, даже можно запретить вывод и копирование печатных форм. То есть остантеся только фоткать на телефон монитор с данными.

Я знаю только 2 варианта защиты от копирования (доступа к файлу базы) в файловом варианте:
1. Терминал
2. Web клиент

Других по определению нет.

Терминал - это имитация защиты, так как пользователь может скопировать файл базы хоть даже во временную папку, а потом вернуть обратно (или переименовать и открыть как текстовый файл, чтобы посмотреть, что внутри).
Конечно, если настроить терминальный сервер так, чтобы не было доступа в сеть (отключить клиент для сетей на сетевой карте), то скопировать файл с сервера на компьютер пользователя будет сложно, но, если у пользователя есть принтеры, то он может его "напечатать" в файл.
Конечно, если взять тонких клиентов без USB, то есть только монитор, клавиатура и мышь, то скопировать файл возможности не будет.

Так что пока остаётся только Web-интерфейс, который не даёт прямого доступа к файлу.

(130) ни какео крипто про не даеть 100% защиты
(134) есть еще варианты, типа замена драйвера, или различные виды аудита+запугивание
(134) даже публикуемое приложение не есть выход...

Кокос - если у пользователя есть физический доступ на чтение к данным (без разници зашифрованым или нет), то защиту информации организовать не возможно.

(136) кстати ,вот давно хотел поинтересоваться. Говорят мол - веб клиент защищен. А правда ли он на столько защищен?!

Т.е. файловая база - это полная дыра в безопасности
Серверная - немного защищается самой политикой безопасности СУБД. Если ее "пройти", то получить доступ тоже не составляет труда.

А как дела обстоят с веб-клиентом?!

(137)
файловая база - это полная дыра в безопасности

Серверная - защищается сервером 1с а не СУБД, по тому как именно не нем хранится полный доступ к данным

веб-клиент - защищается веб сервером, на веб сервере хранится полный доступ к данным

----------------------------------------------
взлом серверной базы сводится к повышению привелегий на сервере 1с или получении пароля от соеденения с СУБД (например через файловый доступ в обход 1с)

----------------------------------------------
взлом веб базы сводится к повышению привелегий в базе 1с или получении пароля от соеденения с СУБД

(138) разрушитель мечт

Народ! а wiki:OpenSSL и Cryptopro это разные вещи? ну в смысле одно без другого может существовать? Интересует момент со встроенной в 1С компонентой криптографии.

Вот описалово:

МенеджерКриптографии (CryptoManager)

АлгоритмПодписи (SignAlgorithm)
АлгоритмХеширования (HashAlgorithm)
АлгоритмШифрования (EncryptAlgorithm)
ВключениеСертификатовВПодпись (IncludeCertificatesInSignature)
ПарольДоступаКЗакрытомуКлючу (PrivateKeyAccessPassword)
Методы:

Зашифровать (Encrypt)
Подписать (Sign)
ПолучитьИнформациюМодуляКриптографии (GetCryptoModuleInformation)
ПолучитьСертификатыИзПодписи (GetCertificatesFromSignature)
ПолучитьХранилищеСертификатов (GetCertificateStore)
ПроверитьПодпись (VerifySignature)
ПроверитьСертификат (CheckCertificate)
Расшифровать (Decrypt)
Конструкторы:

Основной
Описание:

Предоставляет доступ к криптографическому функционалу с помощью заданного модуля криптозащиты.
Доступность:

Тонкий клиент, веб-клиент, сервер, толстый клиент, внешнее соединение.



Меня интересует метод Зашифровать
Он позволяет хранить ключевые поля в базе зашифрованными?
Ну допустим сделать в модуле объекта методы чтения и записи.

(48) Содержимое есть где нибудь, кроме инфостарта ?

(140) вроде как криптопро использует SSL.

OpenSSL и Cryptopro - это разные вещи, хоть и похожие

вроде как 1с использует в платформе OpenSSL (шифрование соединений клиент - сервер),

что используется в  МенеджерКриптографии - даже предположить боюсь, но вроде как НЕ OpenSSL

OpenSSL это набор программ для шифрования трафика и реализации обмена открытыми ключами.
CryptoPro программа для шифрования данных при помощи алгоритмов GOST.
В принципе, они подобны, так как делают примерно тоже самое, но OpenSSL бесплатный проект, и ориентирован на работу Web-системами.
Собственно, можно ещё ssh-клиента вспомнить - тоже программа шифрования трафика.

Что касается шифрования данных, то тут скорее поможет http://www.truecrypt.org/ так как нужно шифрование данных на диске.

Потом, не стоит забывать, что основная задача шифрования данных - скрыть их от доступа на этапе хранения или передачи по сети.
Однако, если у пользователя есть доступ к данным или он запускает программу, которая имеет доступ к данным, то никакое шифрование данные не спасёт, так как программа обычно имеет доступ к расшифрованным данным, и вся безопасность сводится к тому, что нужно предотвратить определённые функции программы.

(144) Что касается шифрования клиент-сервер, то используется обычный доступ на основе двух ключей, и алгоритм обмена ключами. Но эта часть никак не связана с менеджером криптографии, который уже шифрует данные в программе.

Не стоит забывать, что начиная с Windows NT в системе были встроены некоторые функции шифрования, а также можно было добавлять в систему свои алгоритмы шифрования, что, например, и делает CryptoPro.

Вариант защиты данных с шифрованием можно предложить такой - в порт компьютера включается USB-устройство, которое реализует алгоритм шифрования и хранит внутри себя ключи доступа. Данные хранятся на диске в зашифрованном виде и передаются для расшифровки во внешнее устройство, а также передаётся код операции и данные пользователя - устройство их проверяет и расшифровывает. Обратно передаются расшифрованные данные, которые выводятся на экран. Чтобы пользователь не мог передавать произвольные данные для расшифровки, внутри устройства содержатся алгоритмы, которые проверяют последовательность расшифровки данных по сценариям работы пользователя (например, расшифровка всех документов одного контрагента, и т.п.).
Однако, даже в таком случае существует возможность составить алгоритм запросов так, чтобы система постепенно расшифровала все данные в базе.

Мне тут ещё народ рассказал, что нельзя вообще говорить о шифровании, когда один пользователь работает с компьютером, и у него есть доступ к данным. В этом случае, процесс называется "кодирование", так как зашифрованные данные и ключ хранятся в программе и доступны всегда в процессе работы, то есть ключ получается неотделим от алгоритма.