С выходом операционной системы Windows 7 многие юзеры столкнулись с тем, что в ней появилась несколько непонятная служба BitLocker. Что такое BitLocker, многим остается только догадываться. Попробуем прояснить ситуацию на конкретных примерах. Попутно рассмотрим вопросы, касающиеся того, насколько целесообразным является задействование этого компонента или его полное отключение.
BitLocker: что такое BitLocker, зачем нужна эта служба
Если разобраться, BitLocker представляет собой универсальное и полностью автоматизированное средство хранящихся на винчестере. Что такое BitLocker на жестком диске? Да просто служба, которая без участия пользователя защищает файлы и папки путем их шифрования и создания специального текстового ключа, обеспечивающего доступ к документам.
Когда пользователь работает в системе под своей учетной записью, он может даже не догадываться о том, что данные зашифрованы, ведь информация отображается в читабельном виде, и доступ к файлам и папкам не заблокирован. Иными словами, такое средство защиты рассчитано только на те ситуации, когда к компьютерному терминалу производится например, при попытке вмешательства извне (интернет-атаки).
Вопросы паролей и криптографии
Тем не менее, если говорить о том, что такое BitLocker Windows 7 или систем рангом выше, стоит отметить и тот неприятный факт, что при утере пароля на вход многие юзеры не то что не могут войти в систему, а и выполнить некоторые действия по просмотру документов, ранее доступных, по копированию, перемещению и т. д.
Но и это еще не все. Если разбираться с вопросом, что такое BitLocker Windows 8 или 10, то особых различий нет, разве что в них более усовершенствованная технология криптографии. Тут проблема явно в другом. Дело в том, что сама служба способна работать в двух режимах, сохраняя ключи дешифрации либо на жестком диске, либо на съемном USB-носителе.
Отсюда напрашивается простейший вывод: при наличии сохраненного ключа на винчестере пользователь получает доступ ко всей информации, на нем хранящейся, без проблем. А вот когда ключ сохраняется на флэшке, проблема куда серьезнее. Зашифрованный диск или раздел увидеть, в принципе, можно, но считать информацию - никак.
Кроме того, если уж и говорить том, что такое BitLocker Windows 10 или систем более ранних версий, нельзя не отметить тот факт, что служба интегрируется в контекстные меню любого типа, вызываемые правым кликом, что многих пользователей просто раздражает. Но не будем забегать вперед, а рассмотрим все основные аспекты, связанные с работой этого компонента и целесообразностью его применения или деактивации.
Методика шифрования дисков и съемных носителей
Самое странное состоит в том, что в разных системах и их модификациях служба BitLocker может находиться по умолчанию и в активном, и в пассивном режиме. В «семерке» она включена по умолчанию, в восьмой и десятой версиях иногда требуется ручное включение.
Что касается шифрования, тут ничего особо нового не изобретено. Как правило, используется все та же технология AES на основе открытого ключа, что чаще всего применяется в корпоративных сетях. Поэтому, если ваш компьютерный терминал с соответствующей операционной системой на борту подключен к локальной сети, можете быть уверены, что применяемая политика безопасности и защиты данных подразумевает активацию этой службы. Не обладая правами админа (даже при условии запуска изменения настроек от имени администратора), вы ничего не сможете изменить.
Включение BitLocker, если служба деактивирована
Прежде чем решать вопрос, связанный с BitLocker (как отключить службу, как убрать ее команды из контекстного меню), посмотрим на включение и настройку, тем более что шаги по деактивации нужно будет производить в обратном порядке.
Включение шифрования простейшим способом производится из «Панели управления» путем выбора раздела Этот способ применим только в том случае, если сохранение ключа не должно быть произведено на съемный носитель.
В том случае, если заблокированным является несъемный носитель, придется найти ответ на другой вопрос о службе BitLocker: как отключить на флешку данный компонент? Делается это достаточно просто.
При условии, что ключ находится именно на съемном носителе, для расшифровки дисков и дисковых разделов сначала нужно вставить его в соответствующий порт (разъем), а затем перейти к разделу системы безопасности «Панели управления». После этого находим пункт шифрования BitLocker, а затем смотрим на диски и носители, на которых установлена защита. В самом низу будет показана гиперссылка отключения шифрования, на которую и нужно нажать. При условии распознавания ключа активируется процесс дешифрования. Остается только дождаться окончания его выполнения.
Проблемы настройки компонентов шифровальщика
Что касается настройки, тут без головной боли не обойтись. Во-первых, система предлагает резервировать не менее 1,5 Гб под свои нужды. Во-вторых, нужно настраивать разрешения файловой системы NTFS, уменьшать размер тома и т. д. Чтобы не заниматься такими вещами, лучше сразу отключить данный компонент, ведь большинству пользователей он просто не нужен. Даже все те, у кого эта служба задейстована в настройках по умолчанию, тоже не всегда знают, что с ней делать, нужна ли она вообще. А зря. Защитить данные на локальном компьютере с ее помощью можно даже при условии отсутствия антивирусного ПО.
BitLocker: как отключить. Начальный этап
Опять же используем ранее указанный пункт в «Панели управления». В зависимости от модификации системы названия полей отключения службы могут изменяться. На выбранном диске может стоять строка приостановки защиты или прямое указание на отключение BitLocker.
Суть не в том. Тут стоит обратить внимание и на то, что потребуется полностью отключить и загрузочных файлов компьютерной системы. В противном случае процесс дешифровки может занять достаточно много времени.
Контекстное меню
Это только одна сторона медали, связанная со службой BitLocker. Что такое BitLocker, наверное, уже понятно. Но оборотная сторона состоит еще и в том, чтобы изолировать дополнительные меню от присутствия в них ссылок на эту службу.
Для этого посмотрим еще раз на BitLocker. Как убрать из все ссылки на службу? Элементарно! В «Проводнике» при выделении нужного файла или папки используем раздел сервиса и редактирование соответствующего контекстного меню, переходим к настройкам, затем используем настройки команд и упорядочиваем их.
После этого в редакторе реестра входим в ветку HKCR, где находим раздел ROOTDirectoryShell, разворачиваем его и удаляем нужный элемент нажатием клавиши Del или командой удаления из меню правого клика. Собственно, вот и последнее, что касается компонента BitLocker. Как отключить его, думается, уже понятно. Но не стоит обольщаться. Все равно эта служба будет работать в (так, на всякий случай), хотите вы этого или нет.
Вместо послесловия
Остается добавить, что это далеко не все, что можно сказать о системном компоненте шифрования BitLocker. Что такое BitLocker, разобрались, как его отключить и удалить команды меню - тоже. Вопрос в другом: стоит ли отключать BitLocker? Тут можно дать только один совет: в корпоративной локальной сети деактивировать этот компонент не стоит вообще. Но если это домашний компьютерный терминал, почему бы и нет?
Функция шифрования дисков или BitLocker появилась ещё в Windows 7. С её помощью можно зашифровать SSD, HDD диски или съёмный носитель. Однако этот процесс сопровождается рядом сложностей, главная из которых – отсутствие модуля TPM, который может быть съёмным или интегрированным в материнскую плату. В результате, пользователь может столкнуться с сообщением, что «…устройство не может использовать доверенный платформенный модуль. Администратор должен задать параметр. Разрешить использование BitLocker без совместимого TPM».
Как же исправить такую ошибку и включить BitLocker в Windows 10?
Читайте также: Ставим пароль на флешку в Windows 8
Включаем BitLocker в Windows 10 без совместимого TPM
Чтобы включить шифрование диска без совместимого TPM, необходимо внести изменения в редактор локальной групповой политики Windows 10. Для этого выполняем следующие действия:
- Жмём «Win+R» и вводим «msc».
- Переходим по ветке «Конфигурация компьютера», «Административные шаблоны», «Компоненты Windows», «Этот параметр политики позволяет выбрать шифрование диска BitLocker», «Диски операционной системы». Находим параметр «Этот параметр политики позволяет настроить требование дополнительной проверки подлинности при запуске».
- Двойным кликом открываем настройки параметра. Выставляем следующие значения.
- После перезагрузки системы, можно зайти в «Панель управления», выбрать «Шифрование дисков BitLocker».
Стоит отметить, что перед созданием зашифрованного устройства, стоит сделать резервную копию данных.
SoftikBox.com
Как включить BitLocker в Windows 10
2. В окне «Параметры» переходим в «Система»
3. Далее переходим на вкладку «О системе», опускаемся в самый низ и нажимаем «Параметры BitLocker»
4. Здесь выбираем съемный носитель, который хотим защитить и нажимаем «Включить BitLocker»
5. Дожидаемся окончания действия.
6. Дальше нам надо будет выбрать один из вариантов блокировки:
7. Я выбрал парольную защиту! Ставим галочку «Использовать пароль для снятия блокировки диска«, затем вводим два раза придуманный нами пароль и нажимаем «Далее«
8. В следующем окне, выбираем вариант восстановления, в случае если вы забудете пароль, например «Сохранить в файл»
9. Выбираем место сохранения файла и нажимаем «Сохранить»
10. Жмём «Далее»
11. Следующие параметры выставляете под свои нужды, я например выбрал «Шифровать весь диск», выбираем параметр и нажимаем «Далее»
12. В следующем окне «Начать шифрование»
13. Дожидаемся окончания шифрования выбранного Вами съемного носителя!
ns1club.ru
Как зашифровать компьютер с Windows 10 при помощи BitLocker
Если Вы храните конфиденциальную информацию на компьютере, то шифрование системного жесткого диска будет отличным вариантом для обеспечения сохранности Ваших данных. В этой статье мы расскажем как зашифровать системный диск компьютера с помощью самого популярного средство шифрование от компании Microsoft утилиты BitLocker, которая поставляется со всеми профессиональными версиями Windows. С момента выхода Windows Vista, компания Microsoft предлагает новую функцию защиты данных под названием BitLocker Drive Encryption. В Windows 7 появился BitLocker To Go, шифрование для портативных запоминающих устройств, таких как флэш-накопители и SD-карты.Скачивать и устанавливать Biltocker нет необходимости, он уже встроен в операционную систему и доступен только в Window 10 Pro и Enterprise. Посмотреть какое издание Windows установлено на Вашем компьютере можно в Панели управления на вкладке Система. Если у Вас установлена Window 10 Home, которая BitLocker не поддерживает, рекомендуем Вам обратить внимание на такую программу как Vera Crypt.
Почему Microsoft не делает эту функцию общедоступной, вопрос открытый, учитывая, что шифрование данных является одним из наиболее эффективных способов обеспечения их безопасности. Шифрование представляет собой способ усилить безопасность Ваших данных, при котором их содержимое может быть прочитано только обладателем соответствующего ключа шифрования. Windows 10 включает в себя различные технологии шифрования. Например, шифрование файловой системы EFS и BitLocker Drive Encryption, о котором мы поговорим в этой статье.
- Шифрование жесткого диска может занять продолжительное время. Прежде чем начать, мы рекомендуем создать резервную копию Ваших данных, так как неожиданное отключение питание в процессе шифрования может их повредить.
- Ноябрьское обновление Windows 10 включает в себя более безопасный стандарт шифрования. Обратите внимание, что новый стандарт шифрования будет совместим только с системами Windows 10 November Update.
- Если у Вашего компьютера нет Trusted Platform Module (TPM) - микросхемы, дающей компьютеру дополнительные средства безопасности, например, возможность шифрования дисков BitLocker. При попытке активировать шифрование Вы можете получить сообщение об ошибке TPM: «Это устройство не может использовать доверенный платформенный модуль (TPM)»
Придумайте надежный пароль, для разблокирования жесткого диска. Каждый раз, когда Вы будете включать компьютер, Windows будет запрашивать этот пароль для расшифровки Ваших данных.
Выберите, каким образом Вы хотите создать резервную копию ключа восстановления. Его можно сохранить в учетной записи Microsoft, скопировать на USB-накопитель или распечатать.
Сохранили?! Теперь требуется указать, какую часть диска нужно зашифровать.
У Вас будет два варианта:
- Если Вы шифруете новый диск или новый ПК, Вам достаточно зашифровать только ту часть диска, которая используется в данный момент. Далее BitLocker будет зашифровывать данные автоматически по мере их добавления.
- Если Вы включаете BitLocker на уже используемом ПК или диске, рекомендуем зашифровать весь диск. Это будет гарантировать защиту всех данных.
Если у Вас установлены ноябрьские обновления Windows 10, то Вам доступен режим более надежного шифрования XTS-AES. Выбираете это вариант, всегда, когда возможно. Когда Вы будете готовы начать шифрование, нажмите кнопку «Продолжить»
Перезагрузите компьютер при появлении соответствующего запроса.
Помните пароль, который Вы создали ранее? Сейчас самое время его ввести.
После входа в Windows, Вы заметите, что ничего глобального не изменилось.
Чтобы узнать статус шифрования, нажмите кнопку Пуск> Проводник> Этот компьютер. Теперь Вы увидите нарисованный замочек на системном диске. Щелкните правой кнопкой мыши на диск, а затем выберите «Управление BitLocker».
Вы увидите текущее состояние диска C:\ - BitLocker шифрования (включен). Вы можете продолжить использовать свой компьютер, так как шифрование происходит в фоновом режиме. Вы будете уведомлены, когда оно будет завершено.
Если Вы захотите приостановить шифрование, Вы можете сделать это в панели шифрования диска BitLocker Нажмите на ссылку «Приостановить защиту». После этого момента вновь созданные файлы и папки шифроваться не будут. Тут же Вы можете полностью отключить BitLocker и расшифровать все Ваши данные.
Постскриптум
Надеемся, наша статься оказалась полезной, и Вы надежно зашифровали свои данные, но не забудьте позаботиться о безопасности связи – попробуйте наш анонимный VPN, сегодня на специальных условиях c промо кодом BitLocker.
Читайте также
VeraСrypt - аналог TrueCrypt, обзор, сравнение и установка
blog.secretvpn.net
Сценарий 1. Включение шифрования диска BitLocker на диске операционной системы (Windows 7)
Нажмите кнопку Пуск, последовательно выберите пункты Панель управления и Система и безопасность, а затем щелкните элемент Шифрование диска BitLocker.
Щелкните элемент Включить BitLocker для диска операционной системы. BitLocker проверит компьютер на соответствие системным требованиям. Если компьютер соответствует требованиям, то BitLocker выведет сведения о дальнейших действиях, необходимых для включения BitLocker (подготовка диска, включение модуля TPM и шифрование диска).
Если диск операционной системы имеет один раздел, то BitLocker подготовит диск путем его сжатия и создания нового раздела операционной системы, используемого для системных файлов, которые необходимы для запуска или восстановления операционной системы и не подлежат шифрованию. Этот диск не будет иметь буквы, чтобы предотвратить случайное сохранение файлов на нем. После подготовки диска необходимо перезапустить компьютер.
Если модуль TPM не инициализирован, то мастер настройки BitLocker выведет запрос на отключение всех CD-, DVD- и USB-дисков от компьютера и его перезапуск для начала включения модуля TPM. Запрос на включение модуля TPM будет выведен перед загрузкой системы, но в некоторых случаях потребуется перейти в параметры BIOS и включить модуль TPM вручную. Это зависит от модуля компьютера BIOS. После подтверждения необходимости включения модуля TPM запустится операционная система и отобразится индикатор Инициализация оборудования безопасности для доверенного платформенного модуля.
Если компьютер не оборудован модулем TPM, BitLocker может использоваться, но при этом будет использоваться метод проверки подлинности Только ключ запуска. Все необходимые сведения о ключе шифрования хранятся на USB-устройстве флэш-памяти, которое должно быть подключено к компьютеру пользователем в процессе загрузки системы. Ключ, хранящийся на USB-устройстве флэш-памяти, используется для разблокировки компьютера. Использование модуля TPM настоятельно рекомендуется, поскольку этот модуль позволяет защититься от атак на критически важный процесс загрузки компьютера. При использовании метода Только ключ запуска обеспечивается только шифрование диска; при этом не обеспечивается проверка компонентов ранней загрузки или защита от подмены оборудования. Для использования данного метода компьютер должен поддерживать чтение USB-устройств до загрузки операционной системы, также необходимо включить этот метод проверки подлинности, установив флажок политики Разрешить использование BitLocker без совместимого TPM в параметре групповой политики Обязательная дополнительная проверка подлинности при запуске, расположенном в следующей области редактора локальных групповых политик: Конфигурация компьютера\Административные шаблоны\Компоненты Windows\Защита диска BitLocker\Диски операционной системы.
После инициализации модуля TPM мастер настройки BitLocker выведет запрос на выбор метода хранения ключа восстановления. Возможны следующие варианты:
- Сохранить ключ восстановления на флэш-накопителе USB. Сохраняет ключ восстановления на флэш-накопителе USB.
- Сохранить ключ восстановления в файле. Сохраняет ключ восстановления на сетевом диске или в другом расположении.
- Напечатать ключ восстановления. Печатает ключ восстановления.
Используйте один или несколько вариантов сохранения ключа восстановления. Для каждого пункта необходимо выполнить действия мастера по указанию расположения для сохранения или печати ключа восстановления. Когда ключ восстановления будет сохранен, нажмите кнопку Далее.
| Ключ восстановления необходим при перемещении зашифрованного диска на другой компьютер или при внесении изменений в сведения по загрузке системы. Ключ восстановления является очень важным компонентом, поэтому рекомендуется сделать его дополнительные копии и хранить их в надежном месте, чтобы иметь возможность обратиться к ним при необходимости восстановления доступа к диску. Ключ восстановления необходим для разблокировки зашифрованных данных при переходе BitLocker в заблокированное состояние. Ключ восстановления уникален для каждого диска. Ключ не подходит для восстановления зашифрованных данных с другого диска с защитой BitLocker. Для дополнительной безопасности необходимо хранить ключи восстановления отдельно от компьютера. |
Мастер настройки BitLocker выводит запрос о готовности к шифрованию диска. Убедитесь в том, что флажок Запустить проверку системы BitLocker установлен, а затем нажмите кнопку Продолжить.
Подтвердите перезагрузку компьютера, нажав кнопку Перезагрузить сейчас. После этого компьютер перезагрузится, а BitLocker проверит его совместимость с BitLocker и готовность к шифрованию. Если компьютер не готов, то после входа в систему отобразится сообщение об ошибке.
Если компьютер готов к шифрованию, то отображается строка состояния Шифрование с ходом выполнения шифрования. Чтобы проверить состояние шифрования диска, наведите указатель мыши на значок Шифрование диска BitLocker в области уведомлений у правого края панели задач. Шифрование диска займет некоторое время. Работа на компьютере во время шифрования возможна, но производительность будет ниже, чем обычно. После завершения шифрования отобразится сообщение об успешном выполнении операции.
technet.microsoft.com
Как зашифровать диск в Windows 10, чтобы никто не украл ваши файлы?
В Windows 10 и более ранних версиях Windows предусмотрено шифрование файлов с помощью технологии BitLocker. Достаточно настроить его один раз, и вы сможете быть уверены, что никто не получит доступ к вашим файлам и не сможет запустить ваши программы, даже если получит физический доступ к накопителю вашего ноутбука или компьютера. Как включить шифрование BitLocker? Прежде всего нужно активировать политики безопасности: 1. Нажмите Win+R и выполните команду gpedit.msc. 2. Перейдите в раздел «Административные шаблоны» > «Компоненты Windows» «Шифрование диска BitLocker» > «Диски операционной системы». 
3. Дважды нажмите левой кнопкой мыши на «Этот параметр политики позволяет настроить требование дополнительной проверки подлинности при запуске» и выберите опцию «Включено». Теперь можно приступать непосредственно к шифрованию: 1. Откройте «Проводник» > «Мой компьютер» и выберите накопитель, который вы хотите зашифровать. 2. Нажмите на значок накопителя правой кнопкой мыши и выберите «Включить BitLocker».
3. Запустится диалоговое окно с опциями доступа к зашифрованным данным. Следуйте его указаниям и перезагрузите компьютер. Диск будет зашифрован. Процесс шифрования может быть долгим, его продолжительность зависит от объёма шифруемых данных. В процессе настройки шифрование потребуется создать ключ или пароль для дешифровки данных. В пароле необходимо использовать буквы разных регистров и цифры. Когда накопитель установлен в ваш компьютер, шифровка и дешифровка данных производится автоматически, но в том случае, если вы достанете из него зашифрованный накопитель и подключите его к другому устройству, для доступа к файлам потребуется ключ.
Данные для восстановления ключа могут храниться на флешке, в аккаунте Microsoft, в текстовом файле или на распечатанном листе бумаги. Имейте в виду, что это не сам ключ, а лишь информация, которая поможет его восстановить. Ключ можно будет получить только после ввода логина и пароля от учётной записи Microsoft, что усложняет взлом шифрования.
Если вы зашифровали системный логический диск, то пароль придётся вводить при холодном старте устройства или после его перезагрузки.
По мнению специалистов, именно кража ноутбука является одной из основных проблем в сфере информационной безопасности (ИБ).
В отличие от других угроз ИБ, природа проблем «украденный ноутбук» или «украденная флешка» довольно примитивна. И если стоимость исчезнувших устройств редко превышает отметку в несколько тысяч американских долларов, то ценность сохраненной на них информации зачастую измеряется в миллионах.
По данным Dell и Ponemon Institute, только в американских аэропортах ежегодно пропадает 637 тысяч ноутбуков. А представьте сколько пропадает флешек, ведь они намного меньше, и выронить флешку случайно проще простого.
Когда пропадает ноутбук, принадлежащий топ-менеджеру крупной компании, ущерб от одной такой кражи может составить десятки миллионов долларов.
Как защитить себя и свою компанию?
Мы продолжаем цикл статей про безопасность Windows домена. В первой статье из цикла мы рассказали про настройку безопасного входа в домен, а во второй - про настройку безопасной передачи данных в почтовом клиенте:
- Как при помощи токена сделать Windows домен безопаснее? Часть 1 .
- Как при помощи токена сделать Windows домен безопаснее? Часть 2 .
В этой статье мы расскажем о настройке шифрования информации, хранящейся на жестком диске. Вы поймете, как сделать так, чтобы никто кроме вас не смог прочитать информацию, хранящуюся на вашем компьютере.
Мало кто знает, что в Windows есть встроенные инструменты, которые помогают безопасно хранить информацию. Рассмотрим один из них.
Наверняка, кто-то из вас слышал слово «BitLocker». Давайте разберемся, что же это такое.
Что такое BitLocker?
BitLocker (точное название BitLocker Drive Encryption) - это технология шифрования содержимого дисков компьютера, разработанная компанией Microsoft. Она впервые появилась в Windows Vista.
С помощью BitLocker можно было шифровать тома жестких дисков, но позже, уже в Windows 7 появилась похожая технология BitLocker To Go, которая предназначена для шифрования съемных дисков и флешек.
BitLocker является стандартным компонентом Windows Professional и серверных версий Windows, а значит в большинстве случаев корпоративного использования он уже доступен. В противном случае вам понадобится обновить лицензию Windows до Professional.
Как работает BitLocker?
Эта технология основывается на полном шифровании тома, выполняемом с использованием алгоритма AES (Advanced Encryption Standard). Ключи шифрования должны храниться безопасно и для этого в BitLocker есть несколько механизмов.
Самый простой, но одновременно и самый небезопасный метод - это пароль. Ключ получается из пароля каждый раз одинаковым образом, и соответственно, если кто-то узнает ваш пароль, то и ключ шифрования станет известен.
Чтобы не хранить ключ в открытом виде, его можно шифровать либо в TPM (Trusted Platform Module), либо на криптографическом токене или смарт-карте, поддерживающей алгоритм RSA 2048.
TPM - микросхема, предназначенная для реализации основных функций, связанных с обеспечением безопасности, главным образом с использованием ключей шифрования.
Модуль TPM, как правило, установлен на материнской плате компьютера, однако, приобрести в России компьютер со встроенным модулем TPM весьма затруднительно, так как ввоз устройств без нотификации ФСБ в нашу страну запрещен.
Использование смарт-карты или токена для снятия блокировки диска является одним из самых безопасных способов, позволяющих контролировать, кто выполнил данный процесс и когда. Для снятия блокировки в таком случае требуется как сама смарт-карта, так и PIN-код к ней.
Схема работы BitLocker:
- При активации BitLocker с помощью генератора псевдослучайных чисел создается главная битовая последовательность. Это ключ шифрования тома - FVEK (full volume encryption key). Им шифруется содержимое каждого сектора. Ключ FVEK хранится в строжайшей секретности.
- FVEK шифруется при помощи ключа VMK (volume master key). Ключ FVEK (зашифрованный ключом VMK) хранится на диске среди метаданных тома. При этом он никогда не должен попадать на диск в расшифрованном виде.
- Сам VMK тоже шифруется. Способ его шифрования выбирает пользователь.
- Ключ VMK по умолчанию шифруется с помощью ключа SRK (storage root key), который хранится на криптографической смарт-карте или токене. Аналогичным образом это происходит и с TPM.
К слову, ключ шифрования системного диска в BitLocker нельзя защитить с помощью смарт-карты или токена. Это связано с тем, что для доступа к смарт-картам и токенам используются библиотеки от вендора, а до загрузки ОС, они, понятное дело, не доступны.
Если нет TPM, то BitLocker предлагает сохранить ключ системного раздела на USB-флешке, а это, конечно, не самая лучшая идея. Если в вашей системе нет TPM, то мы не рекомендуем шифровать системные диски.
И вообще шифрование системного диска является плохой идеей. При правильной настройке все важные данные хранятся отдельно от системных. Это как минимум удобнее с точки зрения их резервного копирования. Плюс шифрование системных файлов снижает производительность системы в целом, а работа незашифрованного системного диска с зашифрованными файлами происходит без потери скорости. - Ключи шифрования других несистемных и съемных дисков можно защитить с помощью смарт-карты или токена, а также TPM.
Если ни модуля TPM ни смарт-карты нет, то вместо SRK для шифрования ключа VMK используется ключ сгенерированный на основе введенного вами пароля.
При запуске с зашифрованного загрузочного диска система опрашивает все возможные хранилища ключей - проверяет наличие TPM, проверяет USB-порты или, если необходимо, запрашивает пользователя (что называется восстановлением). Обнаружение хранилища ключа позволяет Windows расшифровать ключ VMK, которым расшифровывается ключ FVEK, уже которым расшифровываются данные на диске.
Каждый сектор тома шифруется отдельно, при этом часть ключа шифрования определяется номером этого сектора. В результате два сектора, содержащие одинаковые незашифрованные данные, будут в зашифрованном виде выглядеть по-разному, что сильно затруднит процесс определения ключей шифрования путем записи и расшифровки заранее известных данных.
Помимо FVEK, VMK и SRK, в BitLocker используется еще один тип ключей, создаваемый «на всякий случай». Это ключи восстановления.
Для аварийных случаев (пользователь потерял токен, забыл его PIN-код и т.д.) BitLocker на последнем шаге предлагает создать ключ восстановления. Отказ от его создания в системе не предусмотрен.
Как включить шифрование данных на жестком диске?
Прежде чем приступить к процессу шифрованию томов на жестком диске, важно учесть, что эта процедура займет какое-то время. Ее продолжительность будет зависеть от количества информации на жестком диске.
Если в процессе шифрования или расшифровки компьютер выключится или перейдет в режим гибернации, то эти процессы возобновятся с места остановки при следующем запуске Windows.
Даже в процессе шифрования системой Windows можно будет пользоваться, но, вряд ли она сможет порадовать вас своей производительностью. В итоге, после шифрования, производительность дисков снижается примерно на 10%.
Если BitLocker доступен в вашей системе, то при клике правой кнопкой на названии диска, который необходимо зашифровать, в открывшемся меню отобразится пункт Turn on BitLocker .
На серверных версиях Windows необходимо добавить роль BitLocker Drive Encryption .
Приступим к настройке шифрования несистемного тома и защитим ключ шифрования с помощью криптографического токена.
Мы будем использовать токен производства компании «Актив». В частности, токен Рутокен ЭЦП PKI .
I. Подготовим Рутокен ЭЦП PKI к работе.
В большинстве нормально настроенных системах Windows, после первого подключения Рутокен ЭЦП PKI автоматически загружается и устанавливается специальная библиотека для работы с токенами производства компании «Актив» - Aktiv Rutoken minidriver.
Процесс установки такой библиотеки выглядит следующим образом.
Наличие библиотеки Aktiv Rutoken minidriver можно проверить через Диспетчер устройств .
Если загрузки и установки библиотеки по каким-то причинам не произошло, то следует установить комплект Драйверы Рутокен для Windows .
II. Зашифруем данные на диске с помощью BitLocker.
Щелкнем по названию диска и выберем пункт Turn on BitLocker .
Как мы говорили ранее, для защиты ключа шифрования диска будем использовать токен.
Важно понимать, что для использования токена или смарт-карты в BitLocker, на них должны находиться ключи RSA 2048 и сертификат.
Если вы пользуетесь службой Certificate Authority в домене Windows, то в шаблоне сертификата должна присутствовать область применения сертификата «Disk Encryption» (подробнее про настройку Certificate Authority в первой части нашего цикла статей про безопасность Windows домена).
Если у вас нет домена или вы не можете изменить политику выдачи сертификатов, то можно воспользоваться запасным путем, с помощью самоподписанного сертификата, подробно про то как выписать самому себе самоподписанный сертификат описано .
Теперь установим соответствующий флажок.
На следующем шаге выберем способ сохранения ключа восстановления (рекомендуем выбрать Print the recovery key ).
Бумажку с напечатанным ключом восстановления необходимо хранить в безопасном месте, лучше в сейфе.
На следующем этапе запустим процесс шифрования диска. После завершения этого процесса может потребоваться перезагрузить систему.
При включении шифрования иконка зашифрованного диска изменится.
И теперь, когда мы попытаемся открыть этот диск, система попросит вставить токен и ввести его PIN-код.
Развертывание и настройку BitLocker и доверенного платформенного модуля можно автоматизировать с помощью инструмента WMI или сценариев Windows PowerShell. Способ реализации сценариев будет зависеть от среды. Команды для BitLocker в Windows PowerShell описаны в статье .
Как восстановить данные, зашифрованные BitLocker, если токен потеряли?
Если вы хотите открыть зашифрованные данные в Windows
Для этого понадобится ключ восстановления, который мы распечатали ранее. Просто вводим его в соответствующее поле и зашифрованный раздел откроется.
Если вы хотите открыть зашифрованные данные в системах GNU/Linux и Mac OS X
Для этого необходима утилита DisLocker и ключ восстановления.
Утилита DisLocker работает в двух режимах:
- FILE - весь раздел, зашифрованный BitLocker, расшифровывается в файл.
- FUSE - расшифровывается только тот блок, к которому обращается система.
Для примера мы будем использовать операционную систему Linux и режим утилиты FUSE.
В последних версиях распространенных дистрибутивов Linux, пакет dislocker уже входит в состав дистрибутива, например, в Ubuntu, начиная с версии 16.10.
Если пакета dislocker по каким-то причинам не оказалось, тогда нужно скачать утилиту и скомпилировать ее:
tar -xvjf dislocker.tar.gz
Откроем файл INSTALL.TXT и проверим, какие пакеты нам необходимо доустановить.
В нашем случае необходимо доустановим пакет libfuse-dev:
sudo apt-get install libfuse-dev
Приступим к сборке пакета. Перейдем в папку src и воспользуемся командами make и make install:
cd src/ make make install
Когда все скомпилировалось (или вы установили пакет) приступим к настройке.
Перейдем в папку mnt и создадим в ней две папки:
- Encrypted-partition- для зашифрованного раздела;
- Decrypted-partition - для расшифрованного раздела.
Найдем зашифрованный раздел. Расшифруем его с помощью утилиты и переместим его в папку Encrypted-partition:
dislocker -r -V /dev/sda5 -p recovery_key /mnt/Encrypted-partition(вместо recovery_key подставьте свой ключ восстановления)
Выведем на экран список файлов, находящихся в папке Encrypted-partition:
ls Encrypted-partition/
Введем команду для монтирования раздела:
mount -o loop Driveq/dislocker-file Decrypted-partition/
Для просмотра расшифрованного раздела перейдем в папку Encrypted-partition.
Резюмируем
Включить шифрование тома при помощи BitLocker очень просто. Все это делается без особых усилий и бесплатно (при условии наличия профессиональной или серверной версии Windows, конечно).
Для защиты ключа шифрования, которым шифруется диск, можно использовать криптографический токен или смарт-карту, что существенно повышает уровень безопасности.
Многие пользователи с выходом операционной системы Windows 7 столкнулись с тем, что в ней появилась непонятная служба BitLocker. Многим остается только догадываться, что такое BitLocker. Давайте на конкретных примерах проясним ситуацию. Также мы рассмотрим вопросы, которые касаются того, насколько целесообразно задействование данного компонента или его полное отключение.
Служба BitLocker: для чего она нужна
Если разобраться как следует, то можно сделать вывод, что BitLocker представляет собой полностью автоматизированное универсальное средство шифрования данных, которые хранятся на жестком диске. Что представляет собой BitLocker на жестком диске? Это обычная служба, которая без участия пользователя позволяет защитить папки и файлы путем их шифрования и создания специального текстового ключа, который обеспечивает доступ к документам. В тот момент, когда пользователь работает под своей учетной записью, он даже не догадывается о том, что данные являются зашифрованными. Вся информация отображается в читабельном виде и доступ к папкам и файлам для пользователя не заблокирован. Иначе говоря, такое средство защиты рассчитано только на те ситуации, при которых к компьютерному терминалу осуществляется несанкционированный доступ при попытке вмешательства извне.
Вопросы криптографии и паролей
Если говорить о том, что собой представляет BitLocker Windows 7 или в системах более высокого ранга, необходимо отметить такой неприятный факт: в случае утери пароля на вход многие пользователи не смогут не только зайти в систему, но и выполнить некоторые действия по просмотру документов, которые ранее были доступны, по перемещению, копированию и так далее. Но на этом проблемы не заканчиваются. Если как следует разобраться с вопросом, что собой представляет BitLocker Windows 8 и 10, то особых различий здесь нет. Можно отметить только более усовершенствованную технологию криптографии. Проблема здесь заключается в другом. Все дело в том, что сама по себе служба способна работать в двух режимах, сохраняя ключи дешифрации или на жестком диске, или на съемном USB-носителе. Отсюда напрашивается вполне логичный вывод: пользователь при наличии сохраненного ключа на винчестере без проблем получает доступ ко всей информации, которая на нем хранится. Когда ключ сохраняется на флэш-накопителе, проблема намного серьезнее. В принципе можно увидеть зашифрованный диск или раздел, а вот считать информацию никак не получится. К тому же, если уж говорить о том, что собой представляет BitLocker Windows 10 и систем более ранних версий, то необходимо отметить тот факт, что служба интегрируется в контекстные меню любого типа, которые вызываются путем правого клика мыши. Многих пользователей это просто раздражает. Не будем раньше времени забегать вперед и рассмотрим все основные аспекты, которые связаны с работой данного компонента, а также с целесообразностью его деактивации и использования.
Методика шифрования съемных носителей и дисков
Самое странное заключается в том, что в различных системах и их модификациях по умолчанию служба BitLocker Windows 10 может находиться как в активном, так и в пассивном режиме. В Windows 7 она по умолчанию включена, в Windows 8 и Windows 10 иногда требуется ручное включение. Что же касается шифрования, то здесь ничего нового не изобрели. Обычно используется та же самая технология AES на основе открытого ключа, что чаще всего применяется в корпоративных сетях. Поэтому если ваш компьютерный терминал с соответствующей операционной системой подключен к локальной сети, вы можете быть полностью уверены в том, что используемая политика безопасности и защиты информации подразумевает активацию данной службы. Даже обладая правами администратора, ничего изменить вы не сможете.
Включение службы BitLocker Windows 10, в том случае, если она была деактивирована
Прежде чем приступать к решению вопроса, связанного с BitLocker Windows 10, необходимо рассмотреть процесс ее включения и настройки. Шаги по деактивации необходимо будет осуществлять в обратном порядке. Включение шифрования простейшим способом осуществляется из «Панели управления» путем выбора раздела шифрования диска. Данный способ может использоваться только в том случае, если сохранение ключа не должно выполняться на съемный носитель. Если заблокирован несъемный носитель, то придется искать другой вопрос о службе BitLocker Windows 10: как отключить данный компонент? Это делается достаточно просто. При условии, что ключ находится на съемном носителе, для расшифровки дисков и дисковых разделов необходимо вставить его в соответствующий порт, а после этого перейти к разделу системы безопасности «Панели управления». После этого находим пункт шифрования BitLocker, а затем рассматриваем носители и диски, на которых установлена защита. Внизу будет находиться гиперссылка, предназначенная для отключения шифрования. Необходимо нажать на нее. При условии распознавания ключа будет активирован процесс дешифрования. Вам останется только дождаться завершения его выполнения.
Настройка компонентов шифровальщиков: проблемы
Что же касается вопроса настройки, то здесь не обойдется без головной боли. Прежде всего, стоит отметить, что система предлагает зарезервировать под свои нужды не менее 1,5 Гб. Во-вторых, необходимо настраивать разрешения файловой системы NTFS, например, уменьшать размер тома. Для того чтобы заниматься такими вещами, следует сразу отключить данный компонент, поскольку большинству пользователей он не нужен. Даже те, у кого данная служба по умолчанию задействована в настройках, не всегда знают, что с ней нужно делать, и нужна ли она вообще. И зря… На локальном компьютере можно защитить с ее помощью данные даже при условии полного отсутствия антивирусного программного обеспечения.
Как отключить BitLocker: начальный этап
Прежде всего, необходимо использовать в «Панели управления» указанный ранее пункт. Названия полей отключения службы в зависимости от модификации системы могут изменяться. На выбранном накопителе может быть выбрана строка приостановки защиты или указание на отключение службы BitLocker. Но суть не в этом. Следует обратить особое внимание на тот момент, что необходимо полностью отключить обновление BIOS и загрузочных файлов системы. Иначе процесс дешифровки может занять довольно продолжительное время.
Контекстное меню
Это одна сторона медали, которая связана со службой BitLocker. Что собой представляет данная служба, должно быть уже понятно. Оборотная сторона состоит в том, чтобы изолировать дополнительные меню от присутствия в них ссылок на данную службу. Для этого необходимо еще раз взглянуть на BitLocker. Как убрать все ссылки на службу из контекстного меню? Да очень просто… При выделении нужного файла в «Проводнике» используем раздел сервиса и редактирования контекстного меню, переходим к настройкам, а после этого используем настройки команд и упорядочиваем их. Далее необходимо указать значение «Панели управления» и найти в списке соответствующих элементов панелей и команд нужную и удалить ее. Затем в редакторе реестра необходимо зайти на ветку HKCR и найти раздел ROOT Directory Shell, развернуть его и удалить нужный элемент путем нажатия на клавишу Del или при помощи команды удаления из меню правого клика. Это последнее, что касается BitLocker. Как его отключить, вам должно быть уже понятно. Но не стоит обольщаться раньше времени. Эта служба все равно будет работать в фоновом режиме, хотите вы этого или нет.
Заключение
Необходимо добавить, что это далеко не все, что можно сказать о системном компоненте шифрования BitLocker. Мы уже разобрались, что собой представляет BitLocker. Также вы узнали, как можно отключить и удалить команды меню. Вопрос заключается в другом: стоит ли отключать BitLocker. Здесь можно дать один совет: в корпоративной сети вообще не стоит деактивировать данный компонент. Но если речь идет о домашнем компьютерном терминале, то почему бы и нет.
Если на компьютере установлен Windows 10 Pro или Enterprise, то сможете использовать функцию BitLocker, которая шифрует данные на жестком диске. Узнаем подробнее, как ее настроить.
Одной из дополнительных функций, которые получаете с установкой версии Windows 10 Pro, в отличие от Home, является BitLocker. Она позволяет шифровать данные на жестком диске так, чтобы никто не смог получить к ним доступ без ввода пароля.
Если кто-то извлечет диск из вашего компьютера и попытается получить доступ к нему на другом, содержимое будет нечитаемым. Это полезный инструмент, чтобы уберечь личные данные от сторонних глаз, но есть недостатки и требования, которые должны знать перед активацией функции:
- BitLocker снижает производительность, особенно при использовании программного шифрования.
- Если забудете пароль, то не сможете получить доступ к своим файлам.
- Для лучшей защиты используется ключ запуска TPM.
- Следует также знать, что существует альтернатива BitLocker: SSD с полным шифрованием диска. Содержимое шифруется автоматически.
Как правило, шифрование не активировано по умолчанию, поэтому может потребоваться скачать программное обеспечение производителя (например, Samsung Magician). При установке программа может запросить форматирование диска, тогда нужно сохранить на другой носитель данные, а если этот системный раздел С, то и переустановить Windows.
Нужен ли ключ TPM для BitLocker?
Ключ не обязателен, BitLocker будет использовать программный метод, который не так безопасен.
Программный режим снижает производительность чтения и записи. При аппаратном шифровании нужно подключать USB устройство с ключом и вводить пароль при каждой загрузке компьютера. При использовании ключа нужно, чтобы BIOS поддерживал загрузку с USB устройств.
Чтобы проверить соответствует ли ваш компьютер требованиям BitLocker в Windows 10 версии 1803 и выше – откройте Центр безопасности Защитника Windows, выберите вкладку Безопасность устройства.
Чтоб включить защиту откройте Панель управления и перейдите в раздел Шифрование диска BitLocker.
Выберите диск из списка, на котором хранится личная информация и кликните на ссылку «Включить BitLocker».
Еще способ включить шифрование – открыть Проводник, перейти на вкладку «Этот компьютер» и кликнуть правой кнопкой мыши на любом жестком диске.
После следуйте инструкциям на экране, чтобы настроить дисковую защиту.
Если диск уже достаточно заполнен, процесс займет много времени
После активации защиты появится значок замка на диске в Проводнике.
Аппаратное или программное шифрование
Функция поддерживает оба метода. Если включить аппаратное шифрование TPM, то можно зашифровать весь диск.
Когда решили зашифровать том (то есть один или несколько разделов), воспользуйтесь программным шифрованием. Можно использовать программный метод, если компьютер не соответствует требованиям BitLocker.
Что делать, если мой компьютер несовместим с BitLocker
Если вместо запуска мастера установки на экране видите уведомление, подобное приведенному ниже, то его можно обойти.
Уведомление не обязательно означает, что оборудование несовместимо. Может быть не включены соответствующие параметры в BIOS. Откройте Bios / UEFI найдите параметр TPM, и убедитесь, что включен.
Если компьютер собран на материнской плате AMD, то параметр находится в разделе PSP. Это Платформа Безопасности Процессора, интегрированная в сам процессорный чип, например, Ryzen, который имеет модуль безопасности вместо TPM.
Обратите внимание, в январе 2018 было обнаружено, что AMD PSP имеет брешь в безопасности, поэтому обновления микрокода (доставляются через обновления безопасности Windows) отключены. В этом случае не сможете использовать аппаратный режим.
При активации программного режима, при котором снижается производительность чтения / записи, воспользуйтесь редактором локальных групповых политик.
Нажмите сочетание клавиш Windows+R, введите команду gpedit.msc.
В левой панели перейдите по пути:
Конфигурация компьютера — Административные шаблоны — Компоненты Windows — Шифрование диска BitLocker — Диски операционной системы.
В правой части окна кликните дважды на пункте «Этот параметр политики позволяет настроить требование дополнительной проверки подлинности при запуске». В открывшемся окне установите значение «Включить» и отметьте «Разрешить использование BitLocker без совместимого TPM».
