„BitLocker“ privalumai ir trūkumai, palyginti su kitais šifravimo metodais

Kalbant apie diskų šifravimą sistemoje „Windows“, beveik visada minimas tas pats pavadinimas: „BitLocker“. Tai „Microsoft“ įdiegta parinktis ir daugeliui numatytasis pasirinkimas. Tačiau jei jūsų įmonė svarsto jį naudoti, pavyzdžiui, DLP projektas naudojant USB atmintines ir išorinius standžiuosius diskusVerta atidžiai pažvelgti į tai, ką siūlo „BitLocker“ ir kokius apribojimus jis turi, palyginti su kitomis diskų ir failų šifravimo alternatyvomis.

Šiose eilutėse labai išsamiai pamatysite, Kaip veikia „BitLocker“, kokius realius privalumus jis siūlo ir kokius trūkumus turi. Palyginsime tai su kitomis technologijomis, tokiomis kaip EFS, trečiųjų šalių įrankiai arba „nešiojamos“ šifravimo sprendimai. Taip pat apžvelgsime rekomenduojamus naudojimo būdus įmonių aplinkoje, našumo įtaką, aparatinės įrangos reikalavimus ir kas nutinka, kai perkeliame duomenis iš „BitLocker“ disko.

Kas yra „BitLocker“ ir kokias problemas jis išsprendžia?

„BitLocker“ yra visiško tūrio šifravimo funkcija, integruota į „Windows“ Nuo „Vista“ ir „Windows Server 2008“. Jos tikslas paprastas, bet esminis: jei kas nors pavogtų nešiojamąjį kompiuterį, išimtų diską ar USB atmintinę, jis negalėtų nieko perskaityti be rakto, PIN kodo arba atkūrimo slaptažodžio.

Skirtingai nuo kitų sistemų, „BitLocker“ Jis nešifruoja atskirų failų, o viso disko.Apsaugoma operacinė sistema, vartotojo duomenys, laikinieji failai ir, jei pageidaujama, tik panaudota vieta arba visas diskas. Turinys tampa neįskaitomas be tinkamų prisijungimo duomenų, todėl užtikrinamas labai stiprus fizinis saugumas.

Ši technologija prieinama „Windows 7 Ultimate“ / „Enterprise“, „Windows 8.1 Pro“ / „Enterprise“ ir „Windows 10“ bei „11 Pro“, „Enterprise“ ir „Education“taip pat ir naujausiose „Windows Server“ versijose (2016, 2019, 2022). Jis nėra įtrauktas į „Windows Home“, o tai jau išryškina vieną iš pirmųjų jo trūkumų namų vartotojams.

Trumpa „BitLocker“ istorija ir evoliucija

„BitLocker“ pirmą kartą pasirodė m. „Windows Vista“ ir „Windows Server 2008“Tai buvo „Microsoft“ atsakas į didėjantį susirūpinimą dėl nešiojamųjų kompiuterių vagysčių ir slaptos informacijos nutekėjimo. Nuo to laiko kiekviena „Windows“ versija tobulino savo funkcijas, šifravimo metodus ir, svarbiausia, integraciją su saugos įranga.

Laikui bėgant, buvo pridėta daugiau Išplėstinis TPM palaikymas, patobulinta integracija su „Active Directory“ ir „Microsoft Entra ID“, suderinamumą su naujais AES-XTS šifravimo režimais, tinklo atrakinimo parinktis domeno aplinkose ir patobulintą išimamų diskų, naudojančių „BitLocker To Go“, naudojimo patirtį.

Šiandien „BitLocker“ yra pagrindinis daugelio organizacijų saugumo strategijos komponentas. laikytis tokių reglamentų kaip BDAR arba sektorių įstatymai, reikalaujantys šifruoti asmens ar konfidencialius duomenis, ypač mobiliuosiuose įrenginiuose.

Kaip veikia „BitLocker“: šifravimas, TPM ir saugus įkrovimas

„BitLocker“ esmė yra algoritmas AES (pažangus šifravimo standartas) 128 arba 256 bitų raktuosekuris gali veikti tokiais režimais kaip AES-CBC arba, šiuolaikinėse versijose, XTS-AES, kad būtų didesnis atsparumas tam tikroms disko atakoms.

Kai diske įjungiate „BitLocker“, jis sukuria pagrindinis garsumo klavišas kuris iš tikrųjų užšifruoja duomenis. Šį raktą, savo ruožtu, saugo kiti raktai ir prisijungimo duomenys (TPM, PIN kodas, slaptažodis, USB įkrovos raktas ir kt.). Vartotojas niekada tiesiogiai netvarko pagrindinio rakto: sąveika vyksta per slaptažodžius, PIN kodus arba atkūrimo failus.

Modulis TPM (patikimos platformos modulis) Jis atlieka pagrindinį vaidmenį suderinamuose įrenginiuose. Tai kriptografinis lustas, kuris saugiai saugo raktus ir tikrina įkrovos vientisumą. „BitLocker“ susieja iššifravimo raktą su TPM ir tam tikrais platformos konfigūracijos registrais (PCR). Jei kas nors bandys paleisti diską kitame kompiuteryje arba pakeis svarbius įkrovos komponentus, TPM neatlaisvins rakto. „BitLocker“ pereina į atkūrimo režimą, prašydamas 48 skaitmenų kodo.

Be to, „BitLocker“ naudoja UEFI sistemoms būdingą skaidinių struktūrą: įkrovos EFI skaidinys, rezervuotas skaidinys (MSR), operacinės sistemos skaidinys ir pasirinktinai atkūrimo skaidinysĮkrovos skaidinys nėra užšifruotas, bet operacinės sistemos skaidinys yra; TPM patikrina, ar visas įkrovos srautas atitinka tuo metu užantspauduotą informaciją, kad nuspręstų, ar išduoti raktą.

Reikalavimai norint naudoti „BitLocker“ be galvos skausmo

Norint pasinaudoti visomis „BitLocker“ funkcijomis, svarbu, kad jūsų kompiuteris atitiktų reikalavimus. tam tikri aparatinės ir programinės įrangos reikalavimai:

• TPM 1.2 arba 2.0 įdiegta ir įjungta BIOS / UEFI, jei norite naudoti TPM pagrįstą autentifikavimą ir saugų paleidimą.
• Su TCG suderinama UEFI arba BIOS programinė įranga, o tai leidžia nuo pat pradžių sukurti pasitikėjimo grandinę.
• UEFI įkrovos režimas (ypač naudojant TPM 2.0), vengiant senesnių režimų arba CSM, kurie gali nutraukti ryšį su PCR 7.
• Tinkama pertvarų schemabent vienas atskiras sistemos diskas (NTFS) ir įkrovos diskas (FAT32, skirtas UEFI, arba NTFS, skirtas BIOS).

Techniškai įmanoma aktyvuoti „BitLocker“ be TPM, naudojant tik slaptažodžius arba įkrovos raktus USB diskeTačiau prarandama didelė dalis įkrovos vientisumo apsaugos. Įmonių aplinkoje TPM atsisakymas paprastai laikomas bloga praktika, išskyrus labai specifines situacijas.

Autentifikavimas, raktai ir atkūrimas naudojant „BitLocker“

„BitLocker“ palaiko skirtingus išankstinio paleidimo autentifikavimo metodai operacinės sistemos įrenginiams:

• Tik TPM (skaidrus paleidimas vartotojui, jei įranga nebuvo modifikuota).
• TPM + skaitmeninis PIN kodas (kelių veiksnių autentifikavimas: aparatinė įranga + kažkas, ką žinote).
• TPM + įkrovos raktas USB atmintinėje.
• Tik slaptažodis arba tik USB, jei TPM nėra.

Be to, bet kuriam apsaugotam tomui 48 skaitmenų atkūrimo raktasŠis raktas gali:

• Įrašyti į failą (USB, nešifruotas diskas).
• Spausdinti ir fiziškai saugoti.
• Įlipimas į „Microsoft“ paskyra arba „Microsoft“ prisijungimo ID prie debesies prijungtuose įrenginiuose.
• Saugoma „Active Directory“ vietinėse domeno aplinkose.

„BitLocker To Go“: USB ir išimamų diskų šifravimas

„BitLocker To Go“ yra technologijos plėtinys, skirtas išimami diskai, tokie kaip USB atmintinės ir išoriniai standieji diskaiElgis panašus: įjungus šią funkciją, visas tomas yra užšifruojamas ir prie jo galima prisijungti tik įvedus slaptažodį, naudojant išmaniąją kortelę arba, kai kuriais atvejais, susiejus jį su TPM.

DLP projekto požiūriu, tai turi svarbių pasekmių: Bet kurį išorinį diską galima užšifruoti naudojant „BitLocker“ naudojant paprastą slaptažodį, net ir nevaldomuose kompiuteriuose.Kitaip tariant, vartotojas gali užšifruoti USB atmintinę savo asmeniniame kompiuteryje ir nunešti ją į įmonę arba atvirkščiai, todėl sunku kontroliuoti informacijos srautą vien tik naudojant „BitLocker“.

Be to, reikia atsižvelgti į tai, kad, kai įrenginys sumontuotas ir atrakintasSistema failus tvarko paprasto teksto formatu. „BitLocker“ apsaugo įrenginyje „neaktyvų“ turinį, tačiau netrukdo vartotojui kopijuoti šių duomenų į kitas nešifruotas laikmenas, pridėti jų prie el. laiškų ar įkelti į debesį be papildomos apsaugos.

„BitLocker“, EFS ir kitos „Windows“ šifravimo technologijos

„Windows“ ekosistemoje geriausia nemaišyti sąvokų: kartu su „BitLocker“ yra ir EFS (šifravimo failų sistema), failų ir aplankų lygio šifravimas, kuris naudoja vartotojo sertifikatus ir veikia tik NTFS tomuose.

Nors „BitLocker“ šifruoja visą diską ir pirmiausia apsaugo nuo neteisėta fizinė prieiga (diskų, įrangos, USB diskų ir kt. vagystės), EFS tikslas – užtikrinti, kad tik tam tikri vartotojai arba paskyros, turinčios konkrečius sertifikatus, galėtų atidaryti tam tikrus failus veikiančioje sistemoje.

Yra keletas pagrindinių niuansų:

• Al Nukopijuokite failus iš „BitLocker“ disko į neužšifruotą USB diską, siųskite juos el. paštu arba įkelkite į debesį.Duomenys išdšifruojami ne: apsauga yra diske, o ne atskirame faile.
• Naudojant EFS, jei nukopijuosite užšifruotą failą į FAT32 arba exFAT USB atmintinę, sistema jį taip pat užšifruos. automatiškai iššifruoja nes tos failų sistemos nepalaiko EFS; NTFS atmintinėje jis gali likti užšifruotas, bet jį galėtų perskaityti tik atitinkamą sertifikatą turintys vartotojai.
• Sinchronizuojant su „OneDrive“, „Google“ diskas, „Dropbox“ ar kitos paslaugosEFS failai įkeliami iššifruoti; debesis neišsaugo EFS apsaugos, nors ramybės būsenoje taiko savo šifravimą.

Apibendrinant, tiek „BitLocker“, tiek EFS Jie labai gerai apsaugo „ramybės būsenoje esančius duomenis“ sistemoje „Windows“.Tačiau tai nėra „perkeliami“ šifravimo ar saugaus keitimosi sprendimai. Tam skirtos tokios priemonės kaip VeraCrypt„Cryptomator“ arba „7-Zip/ZIP“ failai su AES šifravimu ir stipriu slaptažodžiu.

„BitLocker“ pranašumai, palyginti su kitomis diskų šifravimo sistemomis

„BitLocker“ turi keletą privalumų, paaiškinančių jo platų naudojimą profesionalioje aplinkoje. Tarp jų svarbiausi privalumai Tarp daugelio trečiųjų šalių alternatyvų yra:

• Gimtoji integracija su „Windows“Nereikia diegti papildomos programinės įrangos, jis atnaujinamas kartu su sistema ir integruojamas su „Microsoft“ saugos politika.
• Centralizuotas valdymasDomenuose jį galima valdyti naudojant grupių strategijas, „Active Directory“, „Microsoft Entra ID“ ir valdymo įrankius, tokius kaip „Intune“ arba trečiųjų šalių sprendimus, kurie naudoja jo API.
• „Nulis“ papildomų išlaidų „Pro“ / „Enterprise“ / „Education“ leidimuose: skirtingai nei mokamuose šifravimo produktuose, „BitLocker“ jau yra įtrauktas.
• Pilnas disko šifravimasTai apsaugo tiek vartotojo duomenis, tiek sistemos failus, laikinuosius failus ir laisvą vietą, todėl apsunkina informacijos likučių atkūrimą teismo ekspertizės būdu.
• TPM naudojimas Siekiant sustiprinti saugumą: susiejus raktus su aparatine įranga ir įkrovos būsena, sumažėja atakų, kurių metu diskas pašalinamas ir prijungiamas prie kito kompiuterio, tikimybė.
• Vidutinis poveikis našumuiDabartinėje aparatinėje įrangoje su šifravimo spartinimu procesoriaus ir įvesties / išvesties sąnaudos paprastai yra mažos ir daugumai vartotojų praktiškai nepastebimos.
• Suderinamumas su pažangiomis funkcijomispvz., tinklo atrakinimas domeno kompiuteriams, sistemos ir duomenų tomų apsauga, VHD/VHDX palaikymas ir naudojimas virtualių mašinų aplinkoje.

„BitLocker“ apribojimai ir trūkumai

Žinoma, ne viskas rožėmis klota. Vertinant „BitLocker“ ir kitas šifravimo sistemas, reikia atsižvelgti į keletą veiksnių. keletas trūkumų ir apribojimų kuris gali būti lemiamas priklausomai nuo naudojimo atvejo:

• Ribotas kiekvieno leidimo prieinamumasJei turite „Windows 10/11 Home“, negalite naudoti standartinio „BitLocker“. Tai neleidžia daugeliui namų vartotojų, nebent jie atnaujintų į aukštesnę versiją.
• Priklausomybė nuo suderinamos aparatinės įrangosNorint visapusiškai išnaudoti TPM, saugaus įkrovimo, tinklo atrakinimo ir kt. potencialą, reikia modernios, gerai sukonfigūruotos įrangos. Mišriose arba senesnėse sistemose diegimas gali būti netolygus.
• Rizika likti užrakintam dėl pamesto raktoJei atkūrimo raktas pametamas ir nebuvo sukurta atsarginė kopija AD, „Entra ID“, išoriniame faile ar popieriuje, duomenys tampa neatkuriami.
• Galimos problemos, susijusios su aparatinės įrangos pakeitimais ar atnaujinimaisTam tikri pagrindinės plokštės, programinės įrangos arba UEFI konfigūracijos pakeitimai gali suaktyvinti atkūrimo režimą. Kartais atnaujinant BIOS arba atliekant svarbius „Windows“ atnaujinimus, reikia laikinai sustabdyti „BitLocker“.
• Ribotas suderinamumas su kitomis operacinėmis sistemomisNorint pasiekti „BitLocker“ diskus iš „Linux“ arba „macOS“, reikia specialių įrankių, kurių palaikymas yra nevienodas, o tai apsunkina nevienalytes aplinkas.
• Poveikio veiklos rezultatams suvokimas Senesnėje arba žemos klasės įrangoje: net ir optimizuotas šifravimas / iššifravimas eikvoja procesoriaus ir įvesties / išvesties išteklius; tai gali būti labiau pastebima naudojant kuklią įrangą.
• Tai nėra DLP sprendimas pats savaime.Jis užšifruoja įrenginį, bet nekontroliuoja, kur keliauja informacija jį atrakinus. Tai netrukdo vartotojui kopijuoti duomenų į nešifruotą laikmeną arba įkelti jų į išorinę paslaugą.
• Galimas nesuderinamumas su tam tikrais įrankiaisKai kurios senesnės atsarginių kopijų kūrimo priemonės, antivirusinės programos arba įkrovos tvarkyklės gali trikdyti „BitLocker“ arba jūsų saugios įkrovos grandinės veikimą.

„BitLocker“ įjungimas ir išjungimas: grafinė sąsaja ir CMD

Suderinamame kompiuteryje įjungti „BitLocker“ yra gana paprasta. Grafinėje sąsajoje tai atliekama... Valdymo skydas > Sistema ir sauga > „BitLocker“ disko šifravimas, pasirinkdami įrenginį, kurį norite šifruoti, ir apibrėždami atrakinimo būdą (slaptažodis, PIN kodas, TPM, USB…).

Vedlio metu sistema paklaus išsaugoti atkūrimo raktą („Microsoft“ paskyroje, faile, „Active Directory“, atspausdinti...) ir leidžia pasirinkti, ar šifruoti tik panaudotą vietą, ar visą diską. Taip pat siūloma prieš pradedant šifravimą atlikti sistemos patikrinimą, kad įsitikintumėte, jog kompiuteris gali tinkamai paleisti, kai įjungtas „BitLocker“.

Iš komandinės eilutės, su manage-bde.exeGalima atlikti išplėstines užduotis: įgalinti šifravimą tam tikrame diske, pridėti arba pakeisti atrakinimo slaptažodžius, generuoti atkūrimo raktus, užrakinti arba atrakinti tomus, sustabdyti apsaugą atnaujinimams ir kt. Tai ypač naudinga automatizuotuose diegimuose arba administravimo scenarijuose.

„BitLocker“ išjungimas apima iššifruoti vienetąTai galima padaryti „BitLocker“ valdymo skydelyje (naudojant parinktį „Išjungti „BitLocker“) arba komandų eilutėje. Dideliuose diskuose šis procesas gali užtrukti, tačiau jam pasibaigus duomenys bus iššifruoti, o diskas veiks kaip ir bet kuris kitas neužšifruotas diskas.

Poveikis našumui, šifravimo laikui ir veikimo elgesiui

Viena iš dažniausiai kylančių baimių yra tai, kiek „BitLocker“ „apsunkina“ kompiuterį. Praktiškai, Šiuolaikiniai kompiuteriai su procesoriais, palaikančiais AES spartinimąPoveikis paprastai būna labai mažas: šifravimas atliekamas blokų lygmeniu, o sistema užšifruoja / iššifruoja tik tai, kas iš tikrųjų nuskaitoma arba įrašoma.

El pradinis šifravimas Taip, tai gali užtrukti, ypač jei nuspręsite šifruoti visą diską, o ne tik naudojamą vietą. Kalbame apie minutes ar valandas, priklausomai nuo disko talpos ir greičio. Jei procesą nutraukia elektros energijos tiekimo nutraukimas, šifravimas bus atnaujintas, kai kompiuteris bus vėl įjungtas, neprarandant jokių duomenų.

„BitLocker“ nešifruoja visko iš naujo kiekvieną kartą, kai duomenys yra skaitomi ar rašomi: Tai veikia konkrečiuose sektoriuose realiuoju laiku.Tai taip pat netrukdo naudoti tokių funkcijų kaip tūrio momentinės kopijos, atsarginės kopijos arba VHD, jei programinė įranga yra suderinama.

„BitLocker“ įmonių aplinkoje: diegimas, administravimas ir duomenų perdavimo apsauga (DLP)

Organizacijoje „BitLocker“ grožis slypi tame, kad jis gali būti automatizuoti beveik visą šifravimo gyvavimo cikląaktyvinimas, PIN kodo sudėtingumo politika, rakto atsarginė kopija AD arba „Entra ID“, suplanuotas sustabdymas atnaujinimams ir kt.

Naudojant GPO arba Intune, tai įmanoma, pavyzdžiui, priverstinai užšifruoti visus sistemos įrenginiusReikalauti TPM + PIN nešiojamiesiems kompiuteriams, apibrėžti, kad atkūrimo raktai būtų automatiškai įrašomi į „Active Directory“, ir neleisti vartotojams saugoti duomenų nešifruotuose diskuose.

Įrenginiuose, prijungtuose prie „Microsoft Enter ID“, „Windows“ bando įkelti atkūrimo raktus į įmonės debesįJei politika to reikalauja, apsauga neatnaujinama, jei negalima padaryti to rakto kopijos, todėl „Entra ID“ tampa centrine atkūrimo saugykla.

Tačiau grynai DLP požiūriu „BitLocker“ neatitinka šių reikalavimų: Jis neanalizuoja turinio ir neblokuoja informacijos nutekėjimo el. paštu, debesimi ar programėlėmis.Ji taip pat nekontroliuoja duomenų naudojimo, kai vartotojas prisijungia. Todėl DLP projektuose „BitLocker“ paprastai tėra viena dėlionės dalis, atsakinga už įrenginio apsaugą, o duomenų srauto valdymas paliekamas konkretiems DLP arba CASB sprendimams.

Kada patartina naudoti kitus šifravimo sprendimus, be „BitLocker“?

Yra situacijų, kai, nors „BitLocker“ puikiai tinka diskui apsaugoti, patartina... papildykite jį papildomu šifravimu failo ar konteinerio lygmenyje kad būtų išlaikyta apsauga, kai duomenys palieka diską.

Keletas praktinių pavyzdžių, kur „nešiojamos“ šifravimo priemonės puikiai veikia:

• Labai slaptų dokumentų siuntimas el. paštu arba bendrinimas naudojantis debesijos paslaugomis.
• Duomenų perkėlimas į USB atmintinė FAT32 arba exFAT kad jis žais per daug skirtingų komandų.
• Svarbios informacijos įkėlimas į tokias platformas kaip „OneDrive“, „Google Drive“ ar „Dropbox“, užtikrinant, kad Iššifruoti galima tik įgaliotuose įrenginiuose.

Tokiais atvejais įprasta kreiptis į:

• Užšifruoti konteineriai, tokie kaip „VeraCrypt“ arba „Cryptomator“Sukuriamas didelis failas, kuris veikia kaip užšifruotas „virtualus diskas“; kad ir kur jis būtų, apsauga veikia, nepriklausomai nuo failų sistemos.
• 7-Zip/ZIP suspausti failai su tikru AES-256 šifravimu ir stiprų slaptažodį, ne tik „apsaugotą raktu“. Tinkamai sukonfigūruoti, jie suteikia labai patikimą apsaugą, jei tik slaptažodis yra ilgas ir sudėtingas.
• Debesijos paslaugos su visapusišku šifravimukur duomenys yra užšifruojami prieš paliekant įrenginį ir iššifruojami tik įgaliotų klientų įrenginiuose.

Tokiu būdu, nors „BitLocker“ ir toliau atlieka savo vaidmenį įrenginyje, duomenys išlaiko antrasis šifravimo sluoksnis, nepriklausomas nuo operacinės sistemos kai jie perkeliami arba bendrinami.

Apskritai „BitLocker“ vaizdas yra gana aiškus: jis siūlo labai patikimą viso disko šifravimą, giliai integruotą į „Windows“, su TPM palaikymu, centralizuotu valdymu ir nemažą poveikį našumui, todėl jis yra beveik būtinas įmonių nešiojamiesiems kompiuteriams, kompiuteriams su jautriais duomenimis ir išoriniams diskams, kurie neturėtų būti pažeisti vagystės ar praradimo atveju.

Tuo pačiu metu, dėl apribojimų „Home“ leidimuose, priklausomybės nuo suderinamos aparatinės įrangos, galimybės prarasti atkūrimo raktus ir, svarbiausia, dėl to, kad jis netrukdo iššifruoti duomenų ir siųsti juos per USB, el. paštą ar debesį, daugelyje saugumo ir DLP projektų būtina papildyti „BitLocker“ papildomomis politikomis, valdikliais ir, kai reikia, failų ar konteinerių lygio šifravimo sprendimais, kurie apsaugotų ne tik diską. Pasidalykite šia informacija, kad kiti vartotojai žinotų apie šią problemą.