Для защиты от несанкционированного доступа к файлам, хранящихся на жестком диске, а также на съемных дисках (внешние диски или USB-устройства флэш-памяти), пользователи ОС Windows имеют возможность зашифровывать их, используя встроенную программу для шифрования BitLocker и BitLocker To Go.
Программа шифрования BitLocker и BitLocker To Go предустановлены в Proffessional и Enterprise версиях ОС Windows 8/8.1, а также в Ultimate версии Windows 7. Но так же пользователям базовой версии Windows 8.1 доступна такая опция как «Device Encryption», которая выступает в роли аналога BitLocker в более продвинутых версиях операционной системы.
Для включения программы шифрования BitLocker, откройте Панель Управления и далее проследуйте по пунктам — Система и безопасность > Шифрование диска BitLocker. Также вы можете открыть Проводник Windows («Компьютер»), нажать на выбранном диске правой клавишей мыши и в выпадающем меню выбрать пункт «Включить BitLocker». Если вышеупомянутой строчки в меню нет, значит у вас неподходящая версия OC Windows.
Для включения BitLocker для системного диска, диска с данными или съемного диска необходимо выбрать пункт «Включить BitLocker».
В данном окне вам доступны 2 типа шифрования диска BitLocker:
При попытке шифрования с помощью BitLocker на ПК без установленного аппаратного модуля TPM (Trusted Platform Module), будет открыто нижеприведенное окно с сообщением о необходимости включения опции “Разрешить использование BitLocker без совместимого TPM” (Allow BitLocker without a compatible TPM).
Программа шифрования BitLocker требует для нормальной работы ПК с аппаратным модулем TPM для защиты системного диска. Модуль TPM представляет собой небольшой чип, установленный на материнской плате. BitLocker может хранить ключи шифрования в нем, что является более надежным вариантом, чем хранение их на обычном диске с данными. Модуль TPM предоставляет ключи только лишь после запуска и проверки состояния системы, что исключает возможность расшифровки данных в случае кражи вашего жесткого диска или создания образа зашифрованного диска с целью взлома на другом ПК.
Для включения вышеописанной опции вам необходимо иметь права администратора. Вам всего лишь потребуется открыть «Редактор локальной групповой политики» и задействовать следующую опцию.
Нажмите сочетание клавиш Win + R чтобы запустить диалог «Выполнить», введите команду gpedit.msc. Далее пройдите по следующим пунктам — Конфигурация компьютера (Computer Configuration) > Административные шаблоны (Administrative Templates) > Компоненты Windows (Windows Components) > Шифрование диска BitLocker (BitLocker Drive Encryption) > Диски операционной системы (Operating System Drives). Двойное нажатие мышью на пункте «Требовать дополнительную проверку подлинности при запуске компьютера» (Require additional authentication at startup), выбираем опцию «Включить» (Enabled) и ставим галочку в пункте «Разрешить использование BitLocker без совместимого TPM» (Allow BitLocker without a compatible TPM). Жмите «Применить» для сохранения настроек.
При успешном выполнении вышеуказанных действий, вам будет предложено окно “Выбор способа разблокировки диска при запуске” (Choose how to unlock your drive at startup). Если у вашего ПК нет модуля TPM, то вы можете выбрать два варианта: ввести пароль или использовать специальный USB флеш-накопитель (смарт-карту) в качестве ключа для разблокировки.
Если модуль TPM присутствует на материнской плате, то вам будет доступно больше опций. К примеру, возможно настроить автоматическую разблокировку при загрузке компьютера — все ключи будут сохранены в модуле TPM и автоматически будут использованы для расшифровывания данных на диске. Также вы можете поставить на начальный загрузчик PIN пароль, который дальше разблокирует ваши ключи для дешифровки, сохраненные в TPM, а далее и весь диск.
Выберите способ наиболее Вам подходящий и следуйте указаниям установщика.
BitLocker также предоставляет Вам возможность создания резервного ключа. Этот ключ будет использован для доступа к зашифрованным данным в случае, если вы забыли или потеряли ваш основной ключ, к примеру, забыли пароль доступа к ключу или переставили жесткий диск в новый ПК с новым модулем TPM и т. п.
Вы можете сохранить ключ в файл, распечатать его, поместить на внешний USB накопитель или сохранить в вашем аккаунте Microsoft (для пользователей Windows 8 and 8.1). Главное быть уверенным в том что этот резервный ключ хранится в надежном месте, в противном случае злоумышленник сможет без труда обойти BitLocker и получить доступ ко всем интересующим его данным. Но несмотря на это обязательно необходимо создать резервный ключ, поскольку утратив основной ключ без резервного вы утратите все свои данные.
BitLocker будет автоматически шифровать новые файлы, по мере их появления, однако вам предстоит выбрать, как вы хотите зашифровать ваше остальное пространство на диске. Вы можете зашифровать весь диск целиком (включая свободное пространство) — второй вариант на скриншоте ниже, либо же только файлы — первый вариант, что ускорит процесс шифрования.
При использовании BitLocker на новом ПК (имеется в виду, с недавно установленной ОС) лучше использовать шифрование занятого файлами пространства, поскольку это займет немного времени. Однако, в том случае если вы включаете шифрование для диска который находится длительное время в использовании, лучше использовать метод в котором шифруется полностью весь диск, даже со свободным пространством. Такой метод сделает невозможным восстановления не зашифрованных ранее удаленных файлов. Таким образом первый метод быстрее, второй же более надежный.
При дальнейшей настройке шифрования BitLocker проведет анализ системы и перезагрузит компьютер. После перезагрузки ПК процесс шифрования будет запущен. Он будет отображаться в трее в виде иконки, с помощью которой Вы будете видеть процентный прогресс процесса. Вы и далее сможете пользоваться компьютером, но при этом будет наблюдаться небольшое притормаживание системы из-за параллельно работающего шифрования файлов.
После завершения шифрования и при следующем запуске ПК BitLocker предоставит вам окно, в котором потребуется ввести пароль, PIN или вставить USB накопитель в качестве ключа (зависит от того каким способом вы до этого настроили доступ к ключу).
Нажатие клавиши Escape в данном окне приведет вас к окну ввода резервного ключа, в случае если был утерян доступ к основному ключу.
При выборе способа шифрования BitLocker To Go для внешних устройств вас ждет похожий мастер настройки, однако, перезагрузка компьютера в этом случае не потребуется. Не отключайте внешний накопитель до окончания процесса шифрования.
При последующем подключении зашифрованного устройства к ПК, будет запрошен пароль либо смарт-карта для разблокировки. Устройство защищенное с помощью BitLocker будет отображаться с соответствующей иконкой в диспетчере файлов или Windows Explorer.
Вы можете управлять зашифрованным диском (изменять пароль, выключать шифрование, создавать резервные копии ключа и др) используя окно панели управления BitLocker. Правый щелчок мышью на зашифрованном диске и выбор пункта «Управление BitLocker» приведет вас по назначению.
Как и любые другие способы защиты информации, шифрование на ходу в реальном времени с помощью BitLocker конечно же будет забирать на себя часть ресурсов вашего компьютера. Это выразится в основном в повышенной нагрузке на ЦП из-за непрерывного шифрования данных с диска на диск. Но с другой стороны, для людей, информация которых должна быть надежно защищена от посторонних взоров, информация которая может предоставить злоумышленникам губительные козыри в руки, эта потеря производительности — это самое компромиссное решение.
В январе 2009 года компания Microsoft предоставила всем желающим для тестирования бета-версию новой операционной системы для рабочих станций - Windows 7. В данной операционной системе реализованы усовершенствованные технологии безопасности Windows Vista. В этой статье речь пойдет о технологии шифрования Windows BitLocker, претерпевшей значительные изменения после появления в Windows Vista.
Зачем шифровать
Кажется, сегодня уже никого не нужно убеждать в необходимости шифрования данных на жестких дисках и сменных носителях, но тем не менее приведем некоторые аргументы в пользу данного решения. Сегодня стоимость аппаратных средств во много раз меньше стоимости информации, содержащейся на устройствах. Потеря данных может привести к потере репутации, конкурентоспособности и потенциальным судебным тяжбам. Устройство похищено или утеряно - информация доступна посторонним. Для запрета несанкционированного доступа к данным и необходимо использовать шифрование. Кроме того, не стоит забывать о такой опасности, как несанкционированный доступ к данным во время ремонта (в том числе гарантийного) либо продажи устройств, бывших в употреблении.
Поможет BitLocker
Что этому противопоставить? Только шифрование данных. В этом случае шифрование выступает в роли последней линии обороны данных на компьютере. Технологий шифрования жесткого диска существует великое множество. Естественно, после успешной реализации технологии BitLocker в составе Windows Vista Enterprise и Windows Vista Ultimate компания Microsoft не могла не включить эту технологию в Windows 7. Впрочем, справедливости ради стоит отметить, что в новой версии мы увидим значительно переработанную технологию шифрования.
Итак, наше знакомство начинается с установки Windows 7. Если в Windows Vista для последующего использования шифрования требовалось вначале с помощью командной строки подготовить жесткий диск, разметив его соответствующим способом или сделать это позднее, используя специальную программу Microsoft BitLocker Disk Preparation Tool, то в Windows 7 проблема решается изначально, при разметке жесткого диска. В моем случае при установке я задал один системный раздел емкостью в 39 Гбайт, а получил два! Один из которых размером в 38 Гбайт с небольшим, а второй 200 Мбайт.
Откроем консоль управления дисками (Start, All Programs, Administrative Tools, Computer Management, Disk Management), см. .
Как видите, первый раздел размером в 200 Мбайт просто скрыт. Он же по умолчанию является системным, активным и первичным разделом. Для тех, кто уже знаком с шифрованием в Windows Vista, нового на данном этапе ничего нет, кроме того, что разбивка проводится по умолчанию и жесткий диск уже на этапе установки готовится к последующему шифрованию. Единственное, что бросается в глаза, это его размер в 200 Мбайт против 1,5 Гбайт в Windows Vista. Безусловно, такая разбивка диска на разделы значительно удобнее, ведь зачастую пользователь, устанавливая операционную систему, не сразу задумывается о том, будет ли он шифровать жесткий диск.
В случае с Windows 7 сразу же после установки операционной системы в Control Panel в разделе System and Security можно выбрать BitLocker Drive Encryption. Щелкнув по ссылке Protect your computer by encrypting data on your disk, вы попадаете в окно, показанное на .
Обратите внимание (на рисунке выделено красным цветом) на функции, которые в Windows Vista отсутствуют или организованы иначе. Так, в Windows Vista сменные носители можно было шифровать только в том случае, если они использовали файловую систему NTFS, причем шифрование производилось по тем же правилам, что и для жестких дисков. А шифровать второй раздел жесткого диска (в данном случае диск D:) можно было только после того, как зашифрован системный раздел (диск C:).
Однако не стоит думать, что, как только вы выберете Turn on BitLocker, все заработает так, как нужно. При включении BitLocker без дополнительных параметров все, что вы получите, это шифрование жесткого диска на данном компьютере без применения модуля ТРМ. Впрочем, у пользователей в некоторых странах, например в Российской Федерации или на Украине, просто нет другого выхода, так как в этих странах запрещен ввоз компьютеров с ТРМ. В таком случае после щелчка по Turn on BitLocker мы попадаем на экран 3.
Если же есть возможность использовать ТРМ или существует необходимость задействовать всю мощь шифрования, следует воспользоваться редактором групповых политик, набрав в командной строке gpedit.msc. Откроется окно редактора (см. ).
Рассмотрим подробнее параметры групповой политики, с помощью которых можно управлять шифрованием BitLocker.
Параметры групповой политики BitLocker
Store BitLocker recovery information in Active Directory Domain Services (Windows Server 2008 и Windows Vista). С помощью данного параметра групповой политики вы можете сделать так, чтобы Active Directory Domain Services (AD DS) резервировал информацию для последующего восстановления BitLocker Drive Encryption. Данная возможность применима только к компьютерам, работающим под Windows Server 2008 или Windows Vista.
Если этот параметр будет задан, при включении BitLocker информация, необходимая для его восстановления, будет автоматически скопирована в AD DS. Если отключить данный параметр политики или оставить его по умолчанию, информация для восстановления BitLocker не будет скопирована в AD DS.
Choose default folder for recovery password. Этот параметр позволит задать каталог по умолчанию, отображаемый мастером BitLocker Drive Encryption при запросе местонахождения папки для сохранения пароля восстановления. Данный параметр применяется, когда включается шифрование BitLocker. Пользователь может сохранить пароль восстановления и в любой другой папке.
Choose how users can recover BitLocker-protected drives (Windows Server 2008 и Windows Vista). Данный параметр позволит управлять режимами восстановления BitLocker, отображаемыми мастером установки. Эта политика применима к компьютерам, работающим под управлением Windows Server 2008 и Windows Vista. Данный параметр применяется при включении BitLocker.
Для восстановления зашифрованных данных пользователь может воспользоваться 48-значным цифровым паролем или USB-диском, содержащим 256-разрядный ключ восстановления.
С помощью данного параметра можно разрешить сохранение на USB-диск 256-разрядного ключа пароля в виде скрытого файла и текстового файла, в котором будет содержаться 48 цифр пароля восстановления. В случае, если вы отключите или не будете настраивать это правило групповой политики, мастер установки BitLocker позволит выбрать варианты восстановления.
Choose drive encryption method and cipher strength. С помощью данного правила вы можете выбрать алгоритм шифрования и длину используемого ключа. Если диск уже зашифрован, а затем вы решили сменить длину ключа, ничего не произойдет. По умолчанию для шифрования используется метод AES со 128-разрядным ключом и диффузором.
Provide the unique identifiers for your organization. Данное правило политики позволит создавать уникальные идентификаторы для каждого нового диска, принадлежащего организации и защищаемого с помощью BitLocker. Данные идентификаторы хранятся как первое и второе поля идентификатора. Первое поле идентификатора позволит установить уникальный идентификатор организации на диски, защищенные BitLocker. Этот идентификатор будет автоматически добавляться к новым дискам, защищаемым BitLocker, и может быть обновлен для существующих дисков, зашифрованных с использованием BitLocker с помощью программного обеспечения командной строки - Manage-BDE.
Второе поле идентификатора применяется в сочетании с правилом политики «Запрет доступа на сменные носители, не защищенные BitLocker» и может использоваться для управления сменными дисками. Комбинация этих полей может использоваться для определения, принадлежит ли диск вашей организации.
В случае если значение данного правила не определено или отключено, поля идентификации не требуются. Поле идентификации может иметь длину до 260 символов.
Prevent memory overwrite on restart. Данное правило позволит увеличить производительность компьютера за счет предотвращения перезаписи памяти, однако следует понимать, что ключи BitLocker не будут удалены из памяти.
Если данное правило отключено или не настроено, то ключи BitLocker будут удалены из памяти при перезагрузке компьютера. Для усиления защиты данное правило стоит оставить в состоянии по умолчанию.
Configure smart card certificate object identifier. Это правило позволит связать идентификатор объекта сертификата смарт-карты с диском, зашифрованным BitLocker.
Fixed Data Drives
В данном разделе описываются правила групповой политики, которые будут применяться к дискам данных (не системным разделам).
Configure use of smart cards on fixed data drives. Данное правило позволит определить, можно ли использовать смарт-карты для разрешения доступа к данным на жестком диске компьютера. Если вы отключаете это правило, смарт-карты использовать нельзя. По умолчанию смарт-карты могут применяться.
Deny write access to fixed drives not protected by BitLocker. Это правило определяет разрешение или запрет записи на диски, не защищенные BitLocker. Если данное правило определено, то все диски, не защищенные BitLocker, будут доступны только для чтения. Если же диск зашифрован с помощью BitLocker, то он будет доступен для чтения и записи. Если данное правило отключено или не определено, то все жесткие диски компьютера будут доступны для чтения и записи.
Allow access to BitLocker-protected fixed data drives from earlier versions of Windows. Данное правило политики устанавливает, могут ли диски с файловой системой FAT быть разблокированы и прочитаны на компьютерах под Windows Server 2008, Windows Vista, Windows XP SP3 и Windows XP SP2.
Если данное правило включено или не настроено, диски данных, отформатированные с файловой системой FAT, могут быть доступны для чтения на компьютерах с перечисленными выше операционными системами. Если это правило отключено, то соответствующие диски не могут быть разблокированы на компьютерах под Windows Server 2008, Windows Vista, Windows XP SP3 и Windows XP SP2. Это правило не относится к дискам, форматированным под NTFS.
Данное правило определяет необходимость пароля для разблокирования дисков, защищенных BitLocker. Если вы хотите использовать пароль, можно установить требования сложности пароля и его минимальную длину. Стоит учесть, что для установки требований сложности необходимо установить требование к сложности пароля в разделе «Политики паролей» групповой политики.
Если данное правило определено, пользователи могут настраивать пароли, отвечающие выбранным требованиям. Длина пароля должна быть не менее 8 символов (по умолчанию).
Choose how BitLocker-protected fixed drives can be recovered. Данное правило позволит управлять восстановлением зашифрованных дисков. Если оно не настроено или заблокировано, то доступны возможности восстановления по умолчанию.
Operation System Drives
В данном разделе описываются правила групповой политики, применяемые для разделов операционной системы (как правило, диск C:).
Require additional authentication at startup. Это правило групповой политики позволит задать использование для идентификации Trusted Platform Module (ТМР). Стоит учесть, что при запуске может быть задана только одна из функций, иначе произойдет ошибка в реализации политики.
Если данное правило включено, пользователи смогут настраивать расширенные возможности запуска в мастере установки BitLocker. Если политика отключена или не настроена, основные функции можно настраивать только на компьютерах с ТРМ. Если вы хотите использовать PIN и USB-диск, необходимо настраивать BitLocker, используя командную строку bde, вместо мастера BitLocker Drive Encryption.
Require additional authentication at startu (Windows Server 2008 and Windows Vista). Данное правило политики применимо только к компьютерам, работающим под управлением Windows 2008 или Windows Vista. На компьютерах, оборудованных TPM, можно установить дополнительный параметр безопасности - PIN-код (от 4 до 20 цифр). На компьютерах, не оборудованных ТРМ, будет использоваться USB-диск с ключевой информацией.
Если данный параметр включен - мастер отобразит окно, в котором пользователь сможет настраивать дополнительные параметры запуска BitLocker. Если же данный параметр отключен или не настроен, то мастер установки отобразит основные шаги для запуска BitLocker на компьютерах с ТРМ.
Configure minimum PIN length for startup. С помощью данного параметра задаются настройки минимальной длины PIN-кода для запуска компьютера. PIN-код может включать от 4 до 20 цифр.
Choose how BitLocker-protected OS drives can be recovered. С помощью данного правила групповой политики можно определить, как будут восстанавливаться диски, зашифрованные с помощью BitLocker, при отсутствии ключа шифрования.
Configure TPM platform validation profile. С помощью данного правила можно настраивать модуль ТРМ. Если соответствующего модуля нет, данное правило не применяется.
Если вы разрешаете это правило, то сможете указывать, какие компоненты начальной загрузки будут проверены с помощью ТРМ, прежде чем разблокировать доступ к зашифрованному диску.
Removable Data Drives
Control use of BitLocker on removable drives. С помощью данного правила групповой политики можно управлять шифрованием BitLocker на сменных дисках. Вы можете выбрать, с помощью каких параметров пользователи смогут настраивать BitLocker. В частности, для разрешения запуска мастера установки шифрования BitLocker на сменном диске необходимо выбрать Allow users to apply BitLocker protection on removable data drives.
Если вы выберете Allow users to suspend and decrypt BitLocker on removable data drives, то пользователь сможет расшифровать ваш сменный диск или приостановить шифрование.
Если данное правило не настроено, пользователи могут задействовать BitLocker на съемных носителях. Если правило отключено, то пользователи не смогут применять BitLocker на съемных дисках.
Configure use of smart cards on removable data drives. С помощью данной установки политики определяют, можно ли задействовать смарт-карты для аутентификации пользователя и его доступа к сменным дискам на компьютере.
Deny write access to removable drives not protected BitLocker. С помощью данного правила политики можно запретить запись на сменные диски, не защищенные BitLocker. В таком случае все сменные диски, не защищенные BitLocker, будут доступны только для чтения.
Если будет выбран вариант Deny write access to devices configured in another organization, запись будет доступна только на сменные диски, принадлежащие вашей организации. Проверка производится по двум полям идентификации, определенным в правиле групповой политики Provide the unique identifiers for your organization.
Если вы отключили данное правило или оно не настроено, то все сменные диски будут доступны и для чтения и для записи. Это правило можно отменить параметрами настройки политики User ConfigurationAdministrative TemplatesSystemRemovable Storage Access Если правило Removable Disks: Deny write access разрешено, то это правило будет проигнорировано.
Allow access to BitLocker-protected removable data drives from earlier versions of Windows. Это правило определяет, могут ли сменные диски, отформатированные под FAT, быть разблокированы и просмотрены на компьютерах под Windows 2008, Windows Vista, Windows XP SP3 и Windows XP SP2.
Если данное правило разрешено или не настроено, то сменные диски с файловой системой FAT могут быть разблокированы и просмотрены на компьютерах под управлением Windows 2008, Windows Vista, Windows XP SP3 и Windows XP SP2. При этом эти диски будут доступны только для чтения.
Если это правило заблокировано, то соответствующие сменные диски не могут быть разблокированы и просмотрены на компьютерах под Windows 2008, Windows Vista, Windows XP SP3 и Windows XP SP2. Данное правило не относится к дискам, отформатированным под NTFS.
Configure password complexity requirements and minimum length. Данное правило политики определяет, должны ли сменные диски, заблокированные с помощью BitLocker, быть разблокированы с помощью пароля. Если же вы позволите применять пароль, вы сможете установить требования к его сложности и минимальную длину. Стоит учесть, что в этом случае требования сложности должны совпадать с требованиями политики паролей Computer ConfigurationWindows SettingsSecurity SettingsAccount PoliciesPassword Policy
Choose how BitLocker-protected removable drives can be recovered. Данное правило позволяет выбрать способ восстановления сменных дисков, защищенных BitLocker.
Переходим к процессу шифрования. Изменения в групповой политике позволяют более широко использовать возможности шифрования BitLocker, и для закрепления навыков работы с ней попробуем зашифровать: системный диск, диск с данными, сменные носители, как под NTFS, так и под FAT (будем считать, что компьютер обладает установленным модулем ТРМ).
Причем мы должны проверить, будут ли доступны наши сменные носители, отформатированные под FAT, на компьютере, работающем как под Windows XP SP2, так и под Windows Vista SP1.
Для начала в групповых политиках BitLocker выберем алгоритм шифрования и длину ключа (см. ).
Затем в разделе Operation System Drive выбираем правило Require additional authentication at startup (см. ).
После этого установим минимальную длину PIN-кода, равную 6 символам, с помощью правила Configure minimum PIN length for startup. Для шифрования раздела данных установим требования к сложности и минимальной длине пароля в 8 символов.
При этом необходимо помнить, что нужно выставить такие же требования к парольной защите через редактор политик.
Для сменных дисков выберем следующие настройки:
После этого командой gpupdate.exe/force в окне командной строки обновим политику.
Так как мы решили использовать PIN-код при каждой перезагрузке, то выбираем Require a PIN at every startup (см. экран 7).
После этого перезагружаем систему, и процесс шифрования диска С начинается.
Похожим образом шифруется и второй раздел нашего жесткого диска - диск D (см. экран 8).
Перед шифрованием диска D мы должны задать пароль для этого диска. При этом пароль должен соответствовать нашим требованиям к минимальной длине и сложности пароля. Следует учесть, что можно открывать этот диск на компьютере автоматически. Как и ранее, сохраним пароль восстановления на USB-диск. Нужно иметь в виду, что при первом сохранении пароля он одновременно сохраняется и в текстовом файле на этом же USB-диске!
Попробуем теперь зашифровать USB-диск, отформатированный под файловой системой FAT.
Шифрование USB-диска начинается с того, что нам предлагают ввести пароль для будущего зашифрованного диска. Согласно определенным правилам политики, минимальная длина пароля 8 символов. При этом пароль должен соответствовать требованиям сложности. После ввода пароля нам предложат сохранить ключ восстановления в файл или распечатать его.
По окончании шифрования попробуем просмотреть этот USB-диск на другом компьютере, работающем под Windows Vista Home Premium SP1. Результат показан на экране 9.
Как видите, в случае потери диска информация не будет прочитана, более того, скорее всего, диск будет просто отформатирован.
При попытке подсоединить этот же USB-диск к компьютеру под управлением Windows 7 Beta1 можно увидеть сообщение, показанное на экране 10.
Итак, мы рассмотрели, как будет производиться шифрование в Windows 7. По сравнению с Windows Vista, появилось гораздо больше правил в групповых политиках, соответственно возрастет ответственность ИТ-персонала за их правильное применение и взаимодействие с сотрудниками.
Здравствуйте читатели блога компании КомСервис (г. Набережные Челны). В этой статье мы продолжим изучать встроенные в Windows системы призванные повысить безопасность наших данных. Сегодня это система шифрования дисков Bitlocker. Шифрование данных нужно для того что бы вашей информацией не воспользовались чужие люди. Как она к ним попадет это уже другой вопрос.
Шифрование - это процесс преобразования данных таким образом что бы получить доступ к ним могли только нужные люди. Для получения доступа обычно используют ключи или пароли.
Шифрование всего диска позволяет исключить доступ к данным при подключении вашего жесткого диска к другому компьютеру. На системе злоумышленника может быть установлена другая операционная система для обхода защиты, но это не поможет если вы используете BitLocker.
Технология BitLocker появилась с выходом операционной системы Windows Vista и была усовершенствована в . Bitlocker доступен в версиях Максимальная и Корпоративная а так же в Pro. Владельцам других версий придется искать .
Структура статьи
Не вдаваясь в подробности выглядит это так. Система шифрует весь диск и дает вам ключи от него. Если вы шифруете системный диск то без вашего ключа не загрузится. Тоже самое как ключи от квартиры. У вас они есть вы в нее попадете. Потеряли, нужно воспользоваться запасными (кодом восстановления (выдается при шифровании)) и менять замок (сделать шифрование заново с другими ключами)
Для надежной защиты желательно наличие в компьютере доверенного платформенного модуля TPM (Trusted Platform Module). Если он есть и его версия 1.2 или выше, то он будет управлять процессом и у вас появятся более сильные методы защиты. Если же его нет, то возможно будет воспользоваться только ключом на USB-накопителе.
Работает BitLocker следующим образом. Каждый сектор диска шифруется отдельно с помощью ключа (full-volume encryption key, FVEK). Используется алгоритм AES со 128 битным ключом и диффузором. Ключ можно поменять на 256 битный в групповых политиках безопасности.
Когда шифрование будет завершено увидите следующую картинку
Закрываете окошко и проверяете в надежных ли местах находятся ключ запуска и ключ восстановления.
Почему нужно приостанавливать шифрование? Что бы BitLocker не заблокировал ваш диск и не прибегать к процедуре восстановления. Параметры системы ( и содержимое загрузочного раздела) при шифровании фиксируются для дополнительной защиты. При их изменении может произойти блокировка компьютера.
Если вы выберите Управление BitLocker, то можно будет Сохранить или напечатать ключ восстановление и Дублировать ключ запуска
Если один из ключей (ключ запуска или ключ восстановления) утерян, здесь можно их восстановить.
Управление шифрованием внешних накопителей
Для управления параметрами шифрования флешки доступны следующие функции
Можно изменить пароль для снятия блокировки. Удалить пароль можно только если для снятия блокировки используется смарт-карта. Так же можно сохранить или напечатать ключ восстановления и включить снятие блокировки диска для этого автоматически.
Восстановление доступа к системному диску
Если флешка с ключом вне зоны доступа, то в дело вступает ключ восстановления. При загрузке компьютера вы увидите приблизительно следующую картину
Для восстановления доступа и загрузки Windows нажимаем Enter
Увидим экран с просьбой ввести ключ восстановления
С вводом последней цифры при условии правильного ключа восстановления автоматически пойдет загружаться операционная система.
Восстановление доступа к съемным накопителям
Для восстановления доступа к информации на флешке или нажимаем Забыли пароль?
Выбираем Ввести ключ восстановления
и вводим этот страшный 48-значный код. Жмем Далее
Если ключ восстановления подходит то диск будет разблокирован
Появляется ссылочка на Управление BitLocker, где можно изменить пароль для разблокировки накопителя.
В этой статье мы узнали каким образом можно защитить нашу информацию зашифровав ее с помощью встроенного средства BitLocker. Огорчает, что эта технология доступна только в старших или продвинутых версиях ОС Windows. Так же стало ясно для чего же создается этот скрытый и загрузочный раздел размером 100 МБ при настройке диска средствами Windows.
Возможно буду пользоваться шифрованием флешек или . Но, это маловероятно так как есть хорошие заменители в виде облачных сервисов хранения данных таких как , и подобные.
Благодарю за то, что поделились статьей в социальных сетях. Всего Вам Доброго!
В Windows Vista, Windows 7 и Windows 8 версий Pro и выше разработчики создали специальную технологию для шифрования содержимого логических разделов на всех видов, внешних дисках и USB-флешках - BitLocker
.
Для чего она нужна? Если запустить BitLocker, то все файлы, находящиеся на диске, будут шифроваться. Шифрование происходит прозрачно, то есть вам не нужно каждый раз вводить пароль при сохранении файла - система все делает автоматически и незаметно. Однако как только вы отключите этот диск, то при следующем его включении потребуется специальный ключ (специальная смарт-карта, флешка или пароль) для доступа к нему. То есть если вы случайно потеряете ноутбук, то прочитать содержимое зашифрованного диска на нем не получится, даже если вы вытащите этот жесткий диск из этого ноутбука и попробуете его прочитать на другом компьютере. Ключ шифрования имеет такую длину, что время на перебор всех возможных комбинаций для подбора правильного варианта на самых мощных компьютерах будет исчисляться десятилетиями. Конечно, пароль можно выведать под пытками либо украсть заранее, но если флешка была потеряна случайно, либо ее украли, не зная, что она зашифрована, то прочесть ее будет невозможно.
Настройка шифрования BitLocker на примере Windows 8: шифрование системного диск и шифрование флешек и внешних USB-дисков.
Шифрование системного диска
Требованием для работы BitLocker для шифрования логического диска, на котором установлена операционная система Windows, является наличие незашифрованного загрузочного раздела: система должна все же откуда-то запускаться. Если правильно устанавливать Windows 8/7, то при установке создаются два раздела - невидимый раздел для загрузочного сектора и файлов инициализации и основной раздел, на котором хранятся все файлы. Первый как раз и является таким разделом, который шифровать не нужно. А вот второй раздел, в котором находятся все файлы, подвергается шифрованию.
Чтобы проверить, есть ли у вас эти разделы, откройте Управление компьютером
перейдите в раздел Запоминающие устройства
- Управление дисками
.
Откройте Проводник
, нажмите Win + R
- откроется строка ввода.
gpedit.msc
Откроется Редактор локальной групповой политики
. Перейдите в раздел
Административные шаблоны
- Компоненты Windows
-- Этот параметр политики позволяет выбрать шифрование диска BitLocker
--- Диски операционной системы
---- Этот параметр политики позволяет настроить требование дополнительной проверки подлинности при запуске.
Создание ключа и его сохранение
Вам на выбор система предложит два варианта ключа: пароль и флешка.
После создания ключа вам будет предложено сохранить информацию для восстановления доступа в случае его утери: вы можете сохранить специальный код в текстовом файле, сохранить его на флешке, сохранить его в учетной записи Microsoft, или распечатать.
Два способа шифрования
BitLocker при шифровании предлагает два способа, имеющих одинаковый результат, но разное время выполнения: вы можете зашифровать только занятое информацией место, пропустив обработку пустого пространства, либо пройтись по диску полностью, защифровав все пространство логического раздела, включая и не занятое. Первое происходит быстрее, однако остается возможность восстановления информации с пустого места. Дело в том, что с помощью специальных программ можно восстанавливать информацию, даже если она была удалена из Корзины, и даже если диск был отформатирован. Конечно, практически это выполнить трудно, но теоретическая возможность все равно есть, если вы не используете для удаления специальные утилиты, удаляющие информацию безвозвратно. При шифровании всего логического диска будет шифроваться и место, помеченное как пустое, и возможности восстановления информации с него даже с помощью специальных утилит уже не будет. Этот способ абсолютно надежный, но более медленный.
При шифровании диска желательно не выключать компьютер. На шифрование 300 гигабайт у меня ушло примерно 40 минут. Что будет, если внезапно отключилось питание? Не знаю, не проверял, но в интернете пишут, что ничего страшного не произойдет - нужно будет просто начать шифрование заново.
Вывод
Таким образом, если вы постоянно пользуетесь флешкой, на которой храните важную информацию, то с помощью BitLocker можете защитить себя от попадания важной информации в чужие руки. Так же можно защитить информацию и на жестких дисках компьютера, включая и системные - достаточно полностью выключить компьютер, и информация на дисках станет недоступной для посторонних. Использование BitLocker после настройки шаблонов политики безопасности не вызывает никаких затруднений даже у неподготовленных пользователей, какого либо торможения при работе с зашифрованными дисками я не заметил.
Когда речь идет об особо ценных данных, шифрование добавляет еще один уровень защиты, гарантируя, что файл сможет прочитать только его создатель. Если любой другой пользователь - даже имеющий привилегии администратора - попробует открыть такой файл, он увидит или бессмысленный набор символов, или вообще ничего. Другими словами, ваши зашифрованные данные прочитать невозможно, если только вы не работаете в системе под своей учетной записью.
ШИФРОВАНИЕ ЦЕЛОГО ДИСКА С ПОМОЩЬЮ BITLOCKER
Шифрование файлов и папок в Windows 7 - это удобный способ защиты конфиденциальных данных, но если хранить на одном диске зашифрованные и незашифрованные данные, это может привести к непредсказуемым результатам, как написано в разделе «Шифрование файлов». Однако владельцы версий Windows 7 Ultimate и Enterprise могут решить эту проблему, воспользовавшись преимуществами инструмента шифрования диска BitLocker.
BitLocker помещает все данные на диске в один огромный архив и обращается к нему как к виртуальному жесткому диску. В Проводнике Windows вы обращаетесь к зашифрованным с помощью BitLocker файлам как к любым другим данным - Windows выполняет шифрование и дешифрование незаметно для вас в фоновом режиме. Большое преимущество BitLocker в том, что он шифрует файлы Windows и все системные файлы, и это значительно затрудняет взлом вашего пароля и несанкционированный доступ в систему. Кроме того, когда шифруется весь диск, шифровать файлы по отдельности не требуется.
Чтобы зашифровать диск, откройте страницу Шифрование диска BitLocker (BitLocker Drive Encryption) на Панели управления. Если отображается ошибка ТРМ не найден (TPM was not found), проверьте, есть ли для вашего компьютера обновление BIOS с поддержкой ТРМ.
TPM, Trusted Platform Module (модуль доверенной платформы), - это микросхема на материнской плате, в которой хранится ключ шифрования BitLocker. Благодаря ей компьютер может загружаться с зашифрованного диска. Если BIOS не поддерживает ТРМ, то в качестве такой микросхемы можно использовать обычный USB-диск. Откройте Редактор локальной групповой политики (Group Policy Object Editor) (для этого нужно щелкнуть на кнопке Пуск и выполнить команду gpedit.msc), а затем разверните ветвь Конфигурация компьютера\Административные шаблоны\Компоненты Windows\ll^poBaHMe диска BitLocker (Computer Configuration\Administrative Templates\ Windows Components\BitLocker Drive Encryption). На правой панели дважды щелкните на записи Панель управления: включить дополнительные параметры запуска (Control Panel Setup: Enable advanced startup options), щелкните Включить (Enabled), установите флажок Разрешить использовать BitLocker без совместимого ТРМ (Allow BitLocker without a compatible ТРМ) и нажмите ОК.
BitLocker можно использовать, если на жестком диске есть как минимум два раздела (подробнее об этом - в главе 4): один - для операционной системы и второй, «активный» раздел размером от 1,5 Гбайт - для загрузки компьютера. Если ваш диск сконфигурирован иначе, запустите инструмент подготовки диска BitLocker (BitLocker Drive Preparation Tool, BdeHdCfg.exe) и выполните подготовку, следуя указаниям на экране. Когда диск будет готов, откройте на Панели управления страницу Шифрование диска BitLocker (BitLocker Drive Encryption) и щелкните на ссылке Включить BitLocker (Turn on BitLocker).
Подсказка: если у вас установлена другая редакция Window 7, отличная от Windows 7 Ultimate, то схожую функциональность предлагают утилиты FreeOTFE (http://www.freeotfe.org) и TrueCrypt (http://www.truecrypt.org). Обе они бесплатны и совместимы со всеми редакциями Windows 7.
Необходимо считать данные с зашифрованного BitLocker диска в Windows Vista или ХР? Используйте инструмент Microsoft BitLocker То Go Reader, который можно бесплатно загрузить с сайта http://windows.microsoft.com/en-US/windows7/what-is-the- bitlocker-to-go-reader.
Вы только помечаете файл как предназначенный для шифрования. Windows шифрует и дешифрует файлы в фоновом режиме, когда создатель файла записывает его или просматривает соответственно. Правда, в Windows 7 шифрование на лету может иногда преподносить сюрпризы, а безопасность - это не та область, в которой можно полагаться на авось.
Шифрование - это функция файловой системы NTFS (о которой говорилось в разделе «Выберите правильную файловую систему»), недоступная в любых других файловых системах. Это означает, что если скопировать зашифрованный файл, скажем, на карту памяти, USB-диск или компакт-диск, расшифровать его будет невозможно, так как иа этих устройствах файловая система NTFS не поддерживается.
Как зашифровать файл:
1. Правой кнопкой мыши щелкните на одном или нескольких файлах в Проводнике и в контекстном меню выберите пункт Свойства (Properties).
2. На вкладке Общие (General) нажмите Дополнительно (Advanced).
3. Установите флажок Шифровать содержимое для защиты данных (Encrypt contents to secure data), нажмите OK, потом закройте окно, снова щелкнув на кнопке ОК.
Независимо от того, зашифрован файл или нет, вы работаете с ним как обычно. Вам никогда ие придется вручную дешифровать файл, чтобы просмотреть его содержимое. Подробнее о том, как быстро зашифровать или дешифровать файл, рассказывается в подразделе «Добавление команд Шифровать (Encrypt) и Дешифровать (Decrypt) в контекстные меню» на с. 458.
Если вы решили, что будете шифровать файлы, то стоит помнить о следующем:
О Шифрование содержимого папок
При шифровании папки, внутри которой есть файлы или другие папки, Windows просит вас указать, нужно ли шифровать это содержимое. В большинстве случаев вы просто соглашаетесь. Если же вы в этом окне щелкнете на кнопке Нет (No), то текущее содержимое папки останется незашифрованным, однако новые файлы будут шифроваться. Подробнее об этом рассказывается в подразделе «Секреты шифрования папок» на с. 457.
О Зашифровано навсегда?
Невозможно гарантировать, что зашифрованный файл останется таковым навсегда. Например, некоторые приложения при редактировании и сохранении данных удаляют оригинальные файлы, а потом создают новые на том же месте. Если приложение не знает, что файл нужно шифровать, защита исчезает. Чтобы этого не происходило, необходимо шифровать родительскую папку, а не только сам файл.
О Защищено от других пользователей?
Если изменить владельца зашифрованного файла (как рассказывается в разделе «Установка разрешений для файлов и папок»), то только предыдущий владелец
н создатель файла сможет расшифровать и просмотреть его, несмотря на то что файл ему уже не принадлежит. Это означает, что в некоторых случаях ни один пользователь не способен прочитать файл.
О Шифрование системных файлов
Поскольку доступ к определенным папкам, таким как \Windows и \Windows\System, нужен всем пользователям, шифрование файлов, системных папок и корневых каталогов любых дисков запрещено. Следовательно, единственный способ зашифровать подобные объекты - использовать шифрование всего диска, как рассказывается во врезке «Шифрование целого диска с помощью BitLocker» на с. 452.
О Шифрование и сжатие
Сжатие - еще одна возможность файловых систем NTFS - позволяет уменьшать количество места, которое занимают на диске файлы и папки. Принципы сжатия очень напоминают принципы шифрования. Однако для объекта нельзя одновременно использовать и шифрование, и сжатие; включите в окне Свойства (Properties) один параметр, и второй автоматически отключится.
