BitLocker
manage-bde, который удобно использовать в скриптах.Содержание лекции: BitLocker
Расшифровка лекции: BitLocker
Полный текст первых минут лекции «BitLocker» из видеокурса PracticU – субтитры с временной меткой для каждого абзаца. Так можно прочитать и найти нужные темы ещё до начала обучения.
Я расскажу вам сказку о BitLocker, друзья, и о BitLocker To Go. BitLocker — это механизм шифрования на уровне целого диска, точнее, партиции. Этот механизм защищает наше ПЗУ от взлома, от кражи нашей информации.
Присутствует эта штуковина только в изданиях Windows 7, Ultimate и Enterprise. А также EFS тоже шифруют. Кстати, у нас есть фильмы о EFS, о Encrypted File System.
Но EFS шифрует конкретные отдельные файлы и папки. А тут мы говорим о шифровании партиции целиком. Кроме того, BitLocker защищает нас от взлома оффлайн, а EFS от взлома онлайн.
Поэтому две эти системы не заменяют друг друга, но дополняют. Что значит, что BitLocker защищает от атак оффлайн? То есть если кто-то загружает наш компьютер с загрузочного диска, не с моего жесткого диска с моей операционной системы,
но с внешнего гибкого диска. Мы уже несколько раз говорили, что при этом он может сбросить мой пароль, сменить его и потом зайти от моего имени со своим навязанным мне паролем и украсть мою информацию.
Так вот, BitLocker защитит меня от этого. Если мой жесткий диск защищен BitLocker, то у злоумышленника это не получится. Не получится атака оффлайн. А вот EFS защищает от взлома, от проникновения в мои данные онлайн.
То есть, допустим, BitLocker у нас присутствует, он работает, но если система уже прошла, этап загрузки, этап расшифровки всего зашифрованного BitLocker, мы в Windows, и мы туда загрузились, и уже на этом этапе BitLocker не может нас защитить, нашу информацию уже можно добыть,
в то время как зашифрованное с помощью EFS всё ещё осталось зашифрованным, и поэтому мы совмещаем и то, и то обе защиты. Итак, BitLocker может зашифровать партицию, на которой находится операционная система.
BitLocker это всё зашифрует таким образом, что без определённого пароля вовсе нельзя будет загрузить компьютер, нельзя будет запустить этот Windows. И этот пароль может быть на USB-мобильном запоминающем устройстве, проще говоря, на флешке.
Или же это может быть PIN-код, такой защищающий код, как на нашей кредитной карте. А может быть, это ещё и сочетание:
флешка + PIN-код. А также система BitLocker распознаёт при запуске жёсткого диска на том ли он запускается компьютере, на котором был зашифрован, которому он принадлежит, или же это другой компьютер и этот жесткий диск украли и поставили туда для того, чтобы взломать.
Далее BitLocker работает в нескольких режимах. То, в каком BitLocker будет работать в режиме, зависит от двух вещей:
от уровня безопасности и от того, поддерживает ли аппаратное обеспечение TPM. Это повлияет на возможности, которые у нас будут.
Вот-вот мы всё это рассмотрим. Упомянутый уровень безопасности — это то, насколько будет опасно для нашей компании, если информация будет украдена. Порой мы настроим очень высокий уровень безопасности, а порой мы будем довольствоваться меньшим уровнем безопасности.
А теперь что такое TPM? Если ваш компьютер поддерживает TPM, то пользователь вообще не вмешивается. Всё происходит совершенно автоматически при загрузке компьютера.
И из вашего компьютера нельзя извлечь жёсткий диск и расшифровать его где-то вне вашего компьютера.
Все привязано к вашему конкретному компьютеру. TPM — это значит, что BitLocker может распознавать, на каком конкретном компьютере это происходит, и расшифровывать все совершенно без вашего участия.
Ну, если вы так выберете. Вы даже можете не использовать никаких ключей, ничего не вводить. Если же ваш компьютер не поддерживает TPM, то в случае кражи вашего жесткого диска и кражи также вашего ключа к этому жесткому диску можно будет все открыть на другом компьютере,
запустить ваш зашифрованный Windows. Но если нет TPM, то нечего делать. Уж лучше пусть будет защищено всего лишь вашим ключом, чем ничего. А можно защитить и TPM, и защитным кодом.
То есть вам придётся пользоваться и флешкой, чтобы загрузить ваш компьютер. А также защита будет осуществляться в сочетании с TPM, который удостоверится, что жёсткий диск запускается именно на том компьютере, на котором надо.
И к тому же всё это будет требовать вашу флешку, где хранится ключ. А следующий режим — это TPM + PIN. то есть сначала TPM делает свою работу, удостоверяется, что всё запускается на нужном компьютере, а потом вы либо вручную вводите пин-код, либо с помощью внешнего ключа.
А следующий режим — это самый защищённый режим для самых помешанных на безопасности. Это и TPM, и ключ на флешке, и вводимый вручную пин-код.
Это когда ну совсем нельзя, чтобы украли эту информацию. И всё это мы настраиваем с помощью GPO, с помощью групповой политики. Выбираем, какой режим у нас будет.
А теперь давайте углубимся в TPM – Trusted Platform Module. Это такой чип на материнской плате. То есть весь вопрос в том, есть ли такой чип на вашей материнской плате, а также поддерживает ли ваш BIOS TPM.
То тогда проверка, на том ли компьютере запускается зашифрованный жёсткий диск. Возможно.
Тогда система сможет узнать, украден ли жёсткий диск и поставлен ли на другой компьютер. Как происходит это распознавание? А дело в том, что чип хранит в себе всё уникальное, что есть в системе, в той системе, которая пользуется его услугами.
Он берёт из этой системы и хранит у себя ключи шифрования, дигитальные сертификаты, пароли, и каждый раз всё это сверяет с той системой, которая загружается.
И если не сходится, то она блокируется, и чип не дозволяет совершить бут. Итак, чтобы TPM работал, нужна, во-первых, материнская плата, которая поддерживает TPM, Нужен также BIOS, который поддерживает TPM, и нужна поддержка бута с USB.
Потому что режим TPM плюс код безопасности нуждается в том, чтобы считать этот код безопасности с флешки. Поэтому, когда будете этим пользоваться, обратите на это внимание:
самая навороченная материнская плата с TPM, с нужным BIOS, будет беспомощно всё это использовать, если не получится сразу же при загрузке читать флешку.
Разумеется, если выбран тот режим, где это необходимо. Из соображений безопасности по умолчанию TPM требуется для того, чтобы заработал BitLocker.
Но это можно изменить в настройках GPO. Настройки в GPO, которые связаны с чипом TPM и, соответственно, с BitLocker. Эти настройки находятся по следующему пути.
Computer Configuration, Administrative Templates, Windows Components, BitLocker Drive Encryption, Operation System Drive, require additional authentication at startup.
И здесь мы задаём, что от нас потребует BitLocker для своей работы. Мы уже говорили о возможных режимах: tpm-mode, non-tpm-mode, tpm-with-startup-key, tpm-with-pin и tpm-with-pin and startup-key.
Все эти режимы можно настроить в GPO. И эти настройки находятся по пути, который указан на экране. Давайте зайдём в редактор групповой политики gpedit.
И я вам покажу эти настройки gpedit.msc. Тут мы сможем редактировать местную групповую политику, Local Group Policy.
Заходим в Administrative Templates, Windows Components, BitLocker Drive Encryption, Operation System Drives. И тут мы заходим вот в эту вот настройку.
Некоторые компьютеры не поддерживают TPM. В них нет такого чипа. Ну, допустим, на таком компьютере мы хотим использовать BitLocker. И мы выбираем тут Enable.
И мы указываем следующее. Мы тут переключаем не Allow Startup Key with TPM, а Don't Allow Startup Key with TPM. Пин-код мы тоже не разрешаем.
Мы уже прежде упоминали пин-код, помните? И, совершив такие настройки, мне можно работать с BitLocker, даже не имея TPM. Впрочем, я сейчас уберу всё, что я сделал, чтобы показать вам, как система нам ничего не даст делать, если этих настроек не совершить.
Я всё это отменю, нажму Cancel. Скоро я сюда ещё вернусь. Я сверну редактор групповой политики, чтобы вновь сюда не заходить, и попробую шифровать с помощью битлокера.
Я тут заготовил аппаратуру. Ещё один физически жёсткий диск. Отдельное устройство. Тут два диска вы видите. B находится на отдельном устройстве, на отдельном жёстком диске.
Я вам это сейчас покажу в Disk Management. Диск MGMT. Так можно зайти в Disk Manager. А можно зайти в Disk Management, сделав правый клик на кнопочке Computer и нажать на Manage.
Но так я захожу более напрямую. Сразу получаю консулу диск менеджмента. Смотрите, жёсткий диск 0. Тут моя операционная система. А тут отдельный жёсткий диск.
Смотрите, что будет, когда мы на диске B нажмём Turn On BitLocker. То есть скажем, что этот диск у нас будет зашифрованным с помощью BitLocker. Интерфейс всего этого действия мы изучим чуть-чуть позже.
Сейчас я вам покажу только, когда это возможно, а когда нет. Когда система даст нам это сделать, а когда она будет ругаться. Опять же, повторяя, об этом интерфейсе мы поговорим позже.
Сейчас я вам только покажу, что бывает без совершения тех настроек в GPO, при том, что у меня нет чипа TPM. Вот, смотрите, начался процесс зашифровки. Это, кстати, очень долгий процесс.
Он может занять несколько часов. Итак, здесь на этом диске, на диске B, можно включить BitLocker, потому что не этот диск, на котором операционная система.
Если же я попробую включить BitLocker на диске C, где у меня тот Windows, который сейчас работает, то система как раз поругается той ошибкой, которую я ждал.
Скажет, что нам нужен TPM. Говорит, нам нужен TPM, но не найден. А теперь я совершу ту настройку в групповой политике, которую я упоминал прежде.
Я установлю те значения, которые я упоминал прежде, и нажму Apply. Тут, кстати, есть объяснение об этих настройках.
И теперь вновь попробуем. Зайдём сюда и попробуем включить BitLocker. Это вновь не удастся, потому что это не совсем та настройка.
Обратите внимание на ту настройку, которую мы сделали.
Она относится только к Windows Server 2008 или Windows Vista. А вот точно такая же настройка, но для Windows 7. Сделав её enabled, я произвожу те же настройки.
Везде убираю нужду в TPM. Где-то даже для надёжности запрещаю его, чтобы уж наверняка не было проверки на TPM. Вот тут, смотрите.
Смотрите, например, если я выберу allow TPM, это просто будет значить, что можно работать с TPM. А вот require TPM — это потребовать TPM.
А запретить — это значит, что точно не будет даже его искать. Если я выберу allow, это тоже будет работать. Смотрите, я вновь пробую всё зашифровать с помощью BitLocker.
Тоже я выбираю в этой менюшке. Мне открыт единственный вариант — использовать ключ при каждой загрузке, который у меня должен будет храниться на флешке на мобильном запоминающем устройстве, подключающемся через USB.
Далее от меня просят воткнуть флешку, что я сейчас и сделаю. Вот, посмотрите сейчас вниз экрана. Вы можете видеть надпись, что Windows устанавливает драйвер для моей флешки.
Прошло время, я тут сменил систему, потому что на виртуальной машине в VirtualBox все, что связано со внешними накопителями информации, которые подключаются через USB, все работает очень глючно.
И это уже совсем другая система, и мы продолжим на ней. И на этой другой системе я проделал всё то же самое, что мы проделали прежде на виртуальной машине.
И вот я вижу то окошко, которое бы появилось после того, как я тогда бы там воткнул флешку. Только в отличие от тамошней системы тут это сработало.
И это окошко даёт нам некоторые рекомендации по поводу процесса. Нажав Details, я вижу эти предупреждения. Во-первых, мне предупреждают, что на диске C всё место будет использовано для нужд битлокера.
И создастся ещё одна партица, ещё один диск на жёстком диске, который будет хранить эту информацию. И он не будет доступен через букву, у него не будет буквы.
А также я рекомендую сделать резервную копию самых важных файлов, самых нужных вам ваших личных файлов, прежде этого процесса включения BitLocker. Мало ли, случится какой-нибудь глюк.
И когда я нажму теперь Next, мой системный диск D станет зашифрованным с помощью BitLocker. Ну, через несколько часов, разумеется. И после этого мне каждый раз для того, чтобы включить компьютер, потребуется моя флешка, где у меня ключ, который мне выдал BitLocker.
Потому что у меня тут нету чипа TPM, и я полагаюсь только на ключ, который в моей флешке. Лишь он будет меня защищать. И я запускаю процесс, всё работает.
Далее, но это был только один способ запустить BitLocker. Просто выбрать нужный диск и нажать «Включить BitLocker», «Turn on BitLocker».
А второй путь — через контрольную панель, Control Panel, в System and Security. А далее надо зайти сюда. И выбираем нужный диск, и тут тоже можно приказать включить BitLocker.
А также можно управлять BitLocker. В том же самом окне нажать «Manage». Мы получаем то же окно, но тут мы можем управлять паролями, изменить ключ и так далее.
А третий способ включить BitLocker — это с помощью CMD. Для этого в CMD нужно написать «Manage BDE» через defice.
Это текстовый инструмент, который делает то же самое. Можно увидеть все команды, которые можно давать этому инструменту. Сразу же мы получаем список таких аргументов или команд для управления битлокером, включить битлокер, выключить его,
временно приостановить его для того, чтобы совершить изменения в системе, возобновить его работу, посмотреть его текучее положение, заблокировать доступ к какому-нибудь диску, который защищён битлокером, снять эту блокировку и так далее.
Множество команд, которые мы можем дать этой программе: recovery mode, изменение пин-кода, который мы упоминали, изменение ключа, В общем, тут много команд для того, чтобы вы могли производить действие управления BitLocker'ом с помощью скриптов.
Тут есть также пример. Допустим, я хочу посмотреть статус. Что в данный момент творится у меня с BitLocker'ом? Можно, кстати, не писать .exe в конце, название самой программы.
Вот так мы могли бы запустить команду узнавания, что у нас сейчас в отношении BitLocker'а творится. Кстати, нажав Mark, можно тут выделить и просто скопировать, ничего не печатая.
а то можно просто нажать «paste», и это напишется. Если мы попробуем запустить эту команду, то нам, конечно, скажут, что у нас нет администраторских прав, потому что я не запустил cmd как администратор.
Вот это именно то, что он говорит. В общем, такой инструмент, с помощью которого вы, sysadmin, можете не подходить и не щёлкать на каждом компьютере мышкой долго, а просто запустить скрипт на всех компьютерах вашей фирмы.
Текстовые инструменты, аналоги графических интерфейсов — Наши лучшие друзья в этом смысле. А ещё один наш лучший друг уже внутри такого инструмента — это выбрать заинтриговавшую нас команду и, написав эту команду, приписать после неё /знак вопроса, и нам об этой команде расскажут.
А третий наш лучший друг — это интернет-поисковик