Шифрование системного диска C в Windows 10 - Bitlocker и TPM
Содержание лекции: Шифрование системного диска C в Windows 10 - Bitlocker и TPM
Расшифровка лекции: Шифрование системного диска C в Windows 10 - Bitlocker и TPM
Полный текст первых минут лекции «Шифрование системного диска C в Windows 10 - Bitlocker и TPM» из видеокурса PracticU – субтитры с временной меткой для каждого абзаца. Так можно прочитать и найти нужные темы ещё до начала обучения.
Добро пожаловать на лекцию про BitLocker на дисковод C, на операционную систему. Мы хотим заблокировать, закодировать весь жесткий диск, весь дисковод C. И мы сейчас нажмем на Turn On BitLocker, но перед тем, как мы это сделаем, я хочу вам объяснить его принцип работы.
И где он сохраняет свой тайный ключ, который шифрует весь жесткий диск. И вот мы в энциклопедии и видим, что есть три режима. Есть возможность сохранить в TPM.
TPM это физический чип, который встроен в материнку. И надо купить материнку с таким чипом. Это обычно более дорогие материнские платы.
Этот TPM это секретное место, в котором сохраняется тот тайный пароль, который шифрует весь жесткий диск. И чтобы его заполучить, этот ключ, операционка должна передать хэш всех файлов, которые участвуют в процессе бута.
То есть TPM на материнке сохраняет тайный ключ и проверяет цельность всего процесса загрузки, что никто нам не подложил фиктивный файл в этот процесс.
То есть нас не обманули, не загрузили с внешнего носителя, не подменили нам файлы самой операционки. То есть он и хранит пароль и проверяет целостность всего процесса загрузки.
И это потрясающе. Этот TPM очень хорошо защищен и он очень хорошо сохраняет этот тайный пароль и считается потрясающей штукой на уровне безопасности.
Но, к сожалению, на большинство материнских плат его нет, и надо покупать дорогие материнки. Самое потрясающее, что когда у нас есть такой TPM, то для нас, как пользователей, это все transparent, это прозрачно.
То есть мы включаем компьютер, и он работает без всякого вмешательства. Нам не надо вбивать пароли, вставлять USB-шки. То есть весь жесткий диск зашифрован, и для нас это прозрачно, мы ничего не делаем, даже этого не замечаем.
Но если кто-то украдет наш компьютер и вставит этот жесткий диск в свой компьютер, чтобы своровать нашу информацию, он увидит, что все зашифровано.
А тайный ключ внутри этого нашего компьютера. И вытащить он его оттуда не может. А если он включит наш компьютер, который он только что украл, тот потребует пароль, а пароля от нашего пользователя у него нет.
А подменить пароль, взломать пароль он не сможет, потому что он не может подойти к файлам из внешнего носителя. То есть все способы взлома, они говорят, выключи Windows, загрузи с внешнего носителя, подменяй что-то внутри Windows и загружай еще раз.
Это все будет невозможно, потому что наш Windows, наш диск будет зашифрован. То есть тот, кто украдет у нас компьютер, он будет его включать, код наш он не знает, пароль у нас Windows он не знает, А вытащить жесткий диск и переставить в другой компьютер ему не поможет, потому что жесткий диск зашифрован.
А мы, как пользователи, легитимные, включаем компьютер и работаем с ним, как обычно. То есть мы не чувствуем всю эту защиту, и это потрясающе.
То есть мы, как пользователи, включаем компьютер и вбиваем только пароль во время логина. И для нас это все прозрачно, transparent. Для того, кто украдет наш компьютер, и у него нет пароля от нашего пользователя, будет невозможно взломать извне, то есть подойти к файлам во время выключенного режима.
Вы поняли, да, что TPM это потрясающая штука. Она и защищает пароль, и проверяет целостность файлов, и делает все это прозрачно.
Поэтому я вам очень рекомендую покупать компьютеры с TPM. Если у вас нет TPM, вы можете использовать пин-код или пароль, То есть зашифровать ваш жесткий диск с помощью тайного пароля, который будет требоваться во время включения компьютера.
Или с помощью USB. И на этом USB будет этот тайный файл. То есть у нас есть три способа. TPM, пароль или USB ключ. И я вам на этой лекции продемонстрирую, как с этим работать.
Далее мы можем выбрать. Хотим мы TPM. Только TPM. TPM с пином. То есть у нас будет и TPM, и еще он будет требовать вбить пин-код во время включения.
То есть и пароль, и TPM. И еще раз, TPM будет проверять целостность и хранить тайный код, а пин-код будет требоваться для включения. Также я могу требовать и пин-код, и USB-диск, и TPM.
Это самая лучшая защита, но мне кажется, что это уже перебор. Надо при каждом включении вставлять и USB, и вбивать пин-код, и чтобы был TPM. В таком случае TPM используется в основном для проверки процесса бута, что файлы бута не были изменены.
Только TPM умеет это делать. Также я могу сделать TPM с USB ключом. То есть у меня два фактора для authentication, то есть для проверки. Можно сделать только USB и только пароль.
То есть вот эти все варианты, которые возможны. В принципе, у меня есть три вещи. TPM, пароль и USB. И я могу решить, чем я хочу пользоваться.
Я вам сейчас покажу, что здесь написано, что TPM это чип, который освободит тайный ключ для загрузки операционной системы только если предварительные файлы загрузки unmodified, не были изменены.
То есть early boot files, то есть предварительные файлы загрузки до дисковода C, все что происходит до дисковода C было без изменений.
CPM говорит, дай мне хэш всех файлов, которые связаны с загрузкой. И только если этот хэш совпадает с тем, что у меня записано, только тогда я тебе отдам ключ.
Если какой-то хакер поменял какой-то загрузочный файл, то уже хэш не будет совпадать и он не выдаст ключ. А если это ошибка, то у нас есть аварийный режим.
И вот этот вот аварийный ключ для спасения мы вместе с вами создадим и увидим, как это работает. Я забегу вперед и расскажу вам, что BitLocker, его взломать практически невозможно.
И поэтому есть только один способ, о котором мне известно. И это называется Cold Boot Attack. Этот Cold Boot Attack это потрясающий способ, который атакует память, оперативную память компьютера, в которой есть этот ключ.
Ведь же Windows работает с ключом, он же все время должен записывать и читать информацию с жесткого диска. Поэтому тайный ключ, который был внутри TPM, в конце концов должен быть в памяти операционной системы, чтобы Windows мог записывать файлы на жесткий диск и во время записи шифровать
их. Поэтому этот ключ можно вытащить из памяти. Но Windows не даст вам его просто так вытащить из памяти.
И чтобы обойти все защиты Windows, надо его заморозить. Да, надо физически купить такой спрей, который замораживает чип памяти. То есть вот эту операционную память, этот RAM, мы на него брызгаем такой спрей, который замораживает его.
Потом выключаем электричество. Из-за того, что мы заморозили физически память, то информация не исчезла с отключением электричества.
И мы берем быстренько эту память, вставляем в другой компьютер, загружаем специального USB хакеров, который берет и копирует эту память на жесткий диск, на файл.
И мы потом анализируем этот файл и ищем внутри памяти эти тайные ключи. Это единственный способ, который мне известен, чтобы обойти BitLocker. И этот способ, кстати, работает на любую защиту, потому что мы можем всегда заморозить память и всегда вытащить из нее тайную информацию,
потому что в конце концов, чтобы что-то работало, оно должно быть в памяти. Если вы хотите увидеть, как это происходит, напишите в YouTube Cold Boot Attack BitLocker и вы увидите, как это происходит в реальной жизни.
Так, я думаю, что я вам уже рассказал все, что здесь написано вкратце. Давайте перейдем к исполнению. Давайте посмотрим конкретно, как сделать этот TPM с пином.
USB мы использовать не будем для стартапа, но это все будет вам понятно. Так, мы идем во-первых в контроль панель, пишем BitLocker, и Microsoft не сделали этот BitLocker в новом Windows Settings, поэтому нам надо идти в старый контроль панель.
Мы можем нажать правую кнопку и нажать Turn On BitLocker, включить BitLocker, мы его включаем, и он нам пишет, что у тебя нет TPM. This device cannot use trusted platform module. Вот это trusted platform module, это TPM.
Your administrator, твой администратор должен разрешить BitLocker без TPM. То есть по умолчанию политика по умолчанию не разрешает зашифровывать дисковод C без TPM, потому что не проверяется целостность загрузочных файлов.
Так, что мы можем сделать? Мы же администратор, мы можем поменять политику, Поэтому мы пишем Group Policy, идем в Group Policy и меняем политику.
Эту политику мы меняем на конкретном компьютере. В организации есть такой же инструмент, который меняет политику на всех компьютерах нашей организации.
Поэтому Group Policy это очень важный инструмент. И мы видим, что у нас есть BitLocker и в нем есть три варианта. Первый это Removable Data Drives.
То есть мы можем настраивать политику для USB. То есть мы можем настраивать политику отдельно для BitLocker, для USB, например, заставить всех USB быть зашифрованными, чтобы не было такого в нашей фирме или в нашем компьютере, что у нас есть USB, на которую мы пишем, и она не зашифрована.