Bitlocker windows 10 что это
Обновлено: 06.07.2024
Выходим за рамки пароля
Представим три новые функции, которые предназначены для упрощения и усиления безопасности процесса авторизации в учетную запись компьютера. Некоторые функции требуют наличия дополнительных аппаратных компонентов или поддержки новых технологий, как например встроенные чипы-криптопроцессоры Trusted Platform Module (TPM).
Windows Hello: А Вы видели рекламу Windows 10 с миленькими малышами по всему миру? В ролике говорится, что эти маленькие детки будут расти в мире без паролей - в мире, где для авторизации на устройствах потребуется только улыбка.
Конец жизненного цикла паролей и обещание биометрической аутентификации уже предвещаются на протяжении нескольких лет. Мы еще не достигли этого, но Windows Hello, определенно, является шагом в правильном направлении.
Windows Hello является компонентом биометрической аутентификации в Windows 10. C помощью соответствующего оборудования, Вы можете использовать распознавание лица, отпечатки пальцев или сканирование радужной оболочки глаза в качестве данных для аутентификации. Как и следовало ожидать, Windows Hello невозможно обмануть с помощью простого изображения лица. На самом деле, тесты TECH2 показали, что распознавание лица является настолько точным, что может отличить лица однояйцевых близнецов.
Основным ограничением для Windows Hello является необходимость наличия дополнительных аппаратных компонентов. Microsoft при описании Hello использует следующую сноску: “Windows Hello требует специализированное оборудование, включая сканер отпечатков пальцев, сканер радужной оболочки глаза или другие биометрические датчики”. К сожалению, Вы не можете использовать простую USB камеру для распознавания лица - система требует наличия специализированных камер, таких как Intel RealSense 3D. Согласно сайту Intel RealSense, отдельные ноутбуки от ASUS, Dell, Lenovo и других производителей уже имеют такую камеру.
Сканеры радужной оболочки встречаются реже на компьютерах, но сканеры опечатков пальцев встроены на многих ноутбуках, и их несложно добавить в стационарный компьютер.
Если у вас есть устройство, поддерживающее Windows Hello, Вы можете активировать технологию по пути Меню Пуск -> Параметры -> Учетные записи -> Параметры входа (Настройки Hello не будут отображаться, если в системе не будет обнаружено совместимое устройство распознавания). Согласно официальной справке Hello, биометрические данные, используемые для входа, хранятся только на локальном устройстве.
Passport: данная функция представляет новый уровень процесса избавления от паролей. Вы начинаете с регистрации устройства c Passport при помощи PIN или Windows Hello. Затем система будет аутентифицироваться с помощью учетной записи Microsoft, аккаунта Active Directory или Azure Active Directory или стороннего сервиса, который поддерживают аутентификацию FIDO (Fast IDentity Online).
После того, как Вы были проверены с помощью Passport, Вы можете подключаться к защищаемым аккаунтам и службам без необходимости ввода индивидуальных паролей.
На настоящий момент, Passport разработан преимущественно для корпоративных IT-сред и новейших систем, которые поддерживают криптопроцессоры TPM.
Device Guard: несмотря на усилия по улучшению защиты, реальность такова, что многие современные вредоносные программы и эксплойты могут обходить защитные меры. Частично это связано с тем, что безопасность большинства сетей и устройств является обратной мерой.
Перед тем как антивирусные вендоры смогут создать сигнатуры, необходимые для распознавания и блокировки угрозы, каждая угрозы должна быть обнаружена и детально проанализирована. Системы являются наиболее уязвимыми в промежуток времени между выходом нового эксплойта в сеть и созданием сигнатуры, необходимой для блокировки зловреда. Проблема усугубляется интеллектуальными эксплойтами, которые используют умные фишинг-атаки и методы скрытия вредоносного кода.
Device Guard предназначен для того, что в корне изменить существующую модель безопасности за счет запуска заведомо безопасных приложений. Это разновидность метода белых списков, когда разрешается запуск только подписанных приложений из Магазина Windows, доверенных вендоров или корпоративных программных продуктов.
Device Guard работает в изолированной от основной системы Windows виртуализированной среде. Инструмент изолирован от ядра Windows, поэтому оно не может быть скомпрометировано, даже если киберпреступник имеет корневой доступ к системе Windows 10. Device Guard имеет программные и аппаратные компоненты. Совместимое оборудование будет представлено в будущих компьютерах.
Расширенные возможности приложения BitLocker
Если Вы хотите предотвратить попытки кражи персональной информации, вам нужно зашифровать данные. BitLocker был корпоративной функцией в Windows 7 Enterprise, но сейчас инструмент широко распространен в Windows 10. Рассмотрим основные моменты использования шифрования данных, чтобы расширить ваше представление о данной мере защиты.
Аутентификация Windows 10 позволяет предотвратить попытки несанкционированного доступа к компьютеру, но данные, сохраненные на переносных носителях, таких как SD карты или USB устройства флеш-памяти часто теряются или становятся объектом кражи. При краже компьютера преступник может подключить жесткий диск к другому компьютеру и получить доступ к содержимому. Квалифицированные хакеры смогут найти способ для обхода экрана блокировки Windows.
В Windows 10 компонент BitLocker является легким в настройки и применении для системных дисков, накопителей с данными и переносных носителей, как например USB-флешки. Получить доступ к BitLocker можно набрав в поисковой строке меню Пуск название инструмента. Когда Вы дойдете до ввода “L” Windows уже отобразит приложение “Управление BitLocker” в качестве релевантного результата. Запустите приложение.
При открытии окна “Шифрование диска BitLocker” отображается список дисков, доступных для шифрования. Для старта процесса шифрования просто нажмите ссылку “Включить BitLocker” рядом с диском, который Вы хотите защитить.
Рисунок 1. В Windows 10 Bitlocker позволяет зашифровать системный диск, вторичный и переносные накопители
Затем откроется окно создания пароля. Пользователю нужно выбрать способ для резервного копирования ключа восстановления. Примечание: данный шаг очень важен - после шифрования данных Вы не сможете получить к ним доступ без действительных учетных данных. Если Вы забудете пароль BitLocker, ключ восстановления позволит вернуть доступ к данным.
Для переносных носителей, Вы можете сохранить ключ восстановления BitLocker в аккаунт Microsoft, в файл на локальной системе или распечатать ключ на бумаге. При шифровании фиксированных дисков, Вы можете сохранить ключ на USB устройстве флеш-памяти. Неудивительно, что при выборе способа сохранения ключа в файл, вам будет предложено выбрать местоположение файла на том диске, который не будет зашифрован.
Рисунок 2. Вы можете выбрать несколько способов для безопасного хранения ключа шифрования BitLocker – включая вариант хранения на USB-носителе
Рекомендуется использовать несколько методов для оптимальной безопасности. Сохранение в аккаунт Microsoft является достаточно безопасной мерой, но при выборе сохранения в файл или печати ключа убедитесь, что эти данные хранятся в надежном месте и обязательно запомните это место. Вы будет сильно разочарованы, если не сможете найти ключ шифрования, когда он действительно нужен. (Примечание: Вы можете не использовать учетную запись Microsoft для хранения ключей восстановления для переносных устройств).
Затем, Вы должны решить, нужно ли шифровать весь диск или только используемое пространство (опция по умолчанию). Как правило быстрее зашифровать только используемое дисковое пространство, а новые данные будут зашифровываться автоматически.
Рисунок 3. Выберите какую часть диска требуется зашифровать - весь диск или только занятое место на диске
Если у вас есть старый диск, который интенсивно использовался, лучше рассмотреть полное шифрование всего диска. Даже если на данный момент Вы используете небольшую часть диска, данные, которые предварительно были сохранены и “удалены” могут быть по-прежнему извлечены, если они находятся в незашифрованной области накопителя.
При шифровании основного диска системы, Bitlocker предлагает провести опциональную проверку. Во время анализа проверяется корректность чтения ключей шифрования и восстановления перед непосредственным началом процедуры шифрования системы и данных. Строго рекомендуется пройти эту проверку. По окончанию выполнения анализа, BitLocker перезагрузит систему и начнет шифрование.
Рисунок 4. При шифровании основного системного раздела позвольте BitLocker провести процедуру проверки системы.
Во время процесса шифрования, Вы можете продолжать пользоваться компьютером. В конечном итоге Вы увидите небольшое окно с уведомлением, что процесс шифрования окончен. BitLocker позволяет легко изменить пароль доступа, включить автоматическую блокировку или полностью отключить BitLocker.
Имейте в виду, что если Вы сохраните резервную копию данных в незашифрованное облачное хранилище или незашифрованный внешний носитель, то эти данные не будут защищены. BitLocker расшифровывает файлы перед передачей их в облачное хранилище. Для обеспечения максимальной безопасности используйте облачный сервис с шифрованием данных и используйте BitLocker для шифрования внешних носителей.
Шифрование BitLocker имеет небольшой эффект на производительность. Файлы должны быть зашифрованы для записи на диск и дешифрованы при доступе к ним. Как правило, замедление не ощутимо, и это небольшая цена за спокойствие по поводу безопасность своих данных.
По мнению специалистов, именно кража ноутбука является одной из основных проблем в сфере информационной безопасности (ИБ).
В отличие от других угроз ИБ, природа проблем «украденный ноутбук» или «украденная флешка» довольно примитивна. И если стоимость исчезнувших устройств редко превышает отметку в несколько тысяч американских долларов, то ценность сохраненной на них информации зачастую измеряется в миллионах.
По данным Dell и Ponemon Institute, только в американских аэропортах ежегодно пропадает 637 тысяч ноутбуков. А представьте сколько пропадает флешек, ведь они намного меньше, и выронить флешку случайно проще простого.
Когда пропадает ноутбук, принадлежащий топ-менеджеру крупной компании, ущерб от одной такой кражи может составить десятки миллионов долларов.
Как защитить себя и свою компанию?
Мы продолжаем цикл статей про безопасность Windows домена. В первой статье из цикла мы рассказали про настройку безопасного входа в домен, а во второй — про настройку безопасной передачи данных в почтовом клиенте:
В этой статье мы расскажем о настройке шифрования информации, хранящейся на жестком диске. Вы поймете, как сделать так, чтобы никто кроме вас не смог прочитать информацию, хранящуюся на вашем компьютере.
Мало кто знает, что в Windows есть встроенные инструменты, которые помогают безопасно хранить информацию. Рассмотрим один из них.
Наверняка, кто-то из вас слышал слово «BitLocker». Давайте разберемся, что же это такое.
Что такое BitLocker?
BitLocker (точное название BitLocker Drive Encryption) — это технология шифрования содержимого дисков компьютера, разработанная компанией Microsoft. Она впервые появилась в Windows Vista.
С помощью BitLocker можно было шифровать тома жестких дисков, но позже, уже в Windows 7 появилась похожая технология BitLocker To Go, которая предназначена для шифрования съемных дисков и флешек.
BitLocker является стандартным компонентом Windows Professional и серверных версий Windows, а значит в большинстве случаев корпоративного использования он уже доступен. В противном случае вам понадобится обновить лицензию Windows до Professional.
Как работает BitLocker?
Эта технология основывается на полном шифровании тома, выполняемом с использованием алгоритма AES (Advanced Encryption Standard). Ключи шифрования должны храниться безопасно и для этого в BitLocker есть несколько механизмов.
Самый простой, но одновременно и самый небезопасный метод — это пароль. Ключ получается из пароля каждый раз одинаковым образом, и соответственно, если кто-то узнает ваш пароль, то и ключ шифрования станет известен.
Чтобы не хранить ключ в открытом виде, его можно шифровать либо в TPM (Trusted Platform Module), либо на криптографическом токене или смарт-карте, поддерживающей алгоритм RSA 2048.
TPM — микросхема, предназначенная для реализации основных функций, связанных с обеспечением безопасности, главным образом с использованием ключей шифрования.
Модуль TPM, как правило, установлен на материнской плате компьютера, однако, приобрести в России компьютер со встроенным модулем TPM весьма затруднительно, так как ввоз устройств без нотификации ФСБ в нашу страну запрещен.
Использование смарт-карты или токена для снятия блокировки диска является одним из самых безопасных способов, позволяющих контролировать, кто выполнил данный процесс и когда. Для снятия блокировки в таком случае требуется как сама смарт-карта, так и PIN-код к ней.
Схема работы BitLocker:
- При активации BitLocker с помощью генератора псевдослучайных чисел создается главная битовая последовательность. Это ключ шифрования тома — FVEK (full volume encryption key). Им шифруется содержимое каждого сектора. Ключ FVEK хранится в строжайшей секретности.
- FVEK шифруется при помощи ключа VMK (volume master key). Ключ FVEK (зашифрованный ключом VMK) хранится на диске среди метаданных тома. При этом он никогда не должен попадать на диск в расшифрованном виде.
- Сам VMK тоже шифруется. Способ его шифрования выбирает пользователь.
- Ключ VMK по умолчанию шифруется с помощью ключа SRK (storage root key), который хранится на криптографической смарт-карте или токене. Аналогичным образом это происходит и с TPM.
К слову, ключ шифрования системного диска в BitLocker нельзя защитить с помощью смарт-карты или токена. Это связано с тем, что для доступа к смарт-картам и токенам используются библиотеки от вендора, а до загрузки ОС, они, понятное дело, не доступны.
Если нет TPM, то BitLocker предлагает сохранить ключ системного раздела на USB-флешке, а это, конечно, не самая лучшая идея. Если в вашей системе нет TPM, то мы не рекомендуем шифровать системные диски.
И вообще шифрование системного диска является плохой идеей. При правильной настройке все важные данные хранятся отдельно от системных. Это как минимум удобнее с точки зрения их резервного копирования. Плюс шифрование системных файлов снижает производительность системы в целом, а работа незашифрованного системного диска с зашифрованными файлами происходит без потери скорости. - Ключи шифрования других несистемных и съемных дисков можно защитить с помощью смарт-карты или токена, а также TPM.
Если ни модуля TPM ни смарт-карты нет, то вместо SRK для шифрования ключа VMK используется ключ сгенерированный на основе введенного вами пароля.
При запуске с зашифрованного загрузочного диска система опрашивает все возможные хранилища ключей — проверяет наличие TPM, проверяет USB-порты или, если необходимо, запрашивает пользователя (что называется восстановлением). Обнаружение хранилища ключа позволяет Windows расшифровать ключ VMK, которым расшифровывается ключ FVEK, уже которым расшифровываются данные на диске.
Каждый сектор тома шифруется отдельно, при этом часть ключа шифрования определяется номером этого сектора. В результате два сектора, содержащие одинаковые незашифрованные данные, будут в зашифрованном виде выглядеть по-разному, что сильно затруднит процесс определения ключей шифрования путем записи и расшифровки заранее известных данных.
Помимо FVEK, VMK и SRK, в BitLocker используется еще один тип ключей, создаваемый «на всякий случай». Это ключи восстановления.
Для аварийных случаев (пользователь потерял токен, забыл его PIN-код и т.д.) BitLocker на последнем шаге предлагает создать ключ восстановления. Отказ от его создания в системе не предусмотрен.
Как включить шифрование данных на жестком диске?
Прежде чем приступить к процессу шифрованию томов на жестком диске, важно учесть, что эта процедура займет какое-то время. Ее продолжительность будет зависеть от количества информации на жестком диске.
Если в процессе шифрования или расшифровки компьютер выключится или перейдет в режим гибернации, то эти процессы возобновятся с места остановки при следующем запуске Windows.
Даже в процессе шифрования системой Windows можно будет пользоваться, но, вряд ли она сможет порадовать вас своей производительностью. В итоге, после шифрования, производительность дисков снижается примерно на 10%.
Если BitLocker доступен в вашей системе, то при клике правой кнопкой на названии диска, который необходимо зашифровать, в открывшемся меню отобразится пункт Turn on BitLocker.
На серверных версиях Windows необходимо добавить роль BitLocker Drive Encryption.
Приступим к настройке шифрования несистемного тома и защитим ключ шифрования с помощью криптографического токена.
Мы будем использовать токен производства компании «Актив». В частности, токен Рутокен ЭЦП PKI.
I. Подготовим Рутокен ЭЦП PKI к работе.
В большинстве нормально настроенных системах Windows, после первого подключения Рутокен ЭЦП PKI автоматически загружается и устанавливается специальная библиотека для работы с токенами производства компании «Актив» — Aktiv Rutoken minidriver.
Процесс установки такой библиотеки выглядит следующим образом.
Наличие библиотеки Aktiv Rutoken minidriver можно проверить через Диспетчер устройств.
Если загрузки и установки библиотеки по каким-то причинам не произошло, то следует установить комплект Драйверы Рутокен для Windows.
II. Зашифруем данные на диске с помощью BitLocker.
Щелкнем по названию диска и выберем пункт Turn on BitLocker.
Как мы говорили ранее, для защиты ключа шифрования диска будем использовать токен.
Важно понимать, что для использования токена или смарт-карты в BitLocker, на них должны находиться ключи RSA 2048 и сертификат.
Если вы пользуетесь службой Certificate Authority в домене Windows, то в шаблоне сертификата должна присутствовать область применения сертификата «Disk Encryption» (подробнее про настройку Certificate Authority в первой части нашего цикла статей про безопасность Windows домена).
Если у вас нет домена или вы не можете изменить политику выдачи сертификатов, то можно воспользоваться запасным путем, с помощью самоподписанного сертификата, подробно про то как выписать самому себе самоподписанный сертификат описано здесь.
Теперь установим соответствующий флажок.
На следующем шаге выберем способ сохранения ключа восстановления (рекомендуем выбрать Print the recovery key).
Бумажку с напечатанным ключом восстановления необходимо хранить в безопасном месте, лучше в сейфе.
Далее выберем, какой режим шифрования будет использоваться, для дисков, уже содержащих какие-то ценные данные (рекомендуется выбрать второй вариант).
На следующем этапе запустим процесс шифрования диска. После завершения этого процесса может потребоваться перезагрузить систему.
При включении шифрования иконка зашифрованного диска изменится.
И теперь, когда мы попытаемся открыть этот диск, система попросит вставить токен и ввести его PIN-код.
Развертывание и настройку BitLocker и доверенного платформенного модуля можно автоматизировать с помощью инструмента WMI или сценариев Windows PowerShell. Способ реализации сценариев будет зависеть от среды. Команды для BitLocker в Windows PowerShell описаны в статье.
Как восстановить данные, зашифрованные BitLocker, если токен потеряли?
Если вы хотите открыть зашифрованные данные в Windows
Для этого понадобится ключ восстановления, который мы распечатали ранее. Просто вводим его в соответствующее поле и зашифрованный раздел откроется.
Если вы хотите открыть зашифрованные данные в системах GNU/Linux и Mac OS X
Для этого необходима утилита DisLocker и ключ восстановления.
Утилита DisLocker работает в двух режимах:
- FILE — весь раздел, зашифрованный BitLocker, расшифровывается в файл.
- FUSE — расшифровывается только тот блок, к которому обращается система.
Для примера мы будем использовать операционную систему Linux и режим утилиты FUSE.
В последних версиях распространенных дистрибутивов Linux, пакет dislocker уже входит в состав дистрибутива, например, в Ubuntu, начиная с версии 16.10.
Если пакета dislocker по каким-то причинам не оказалось, тогда нужно скачать утилиту DisLocker и скомпилировать ее:
Откроем файл INSTALL.TXT и проверим, какие пакеты нам необходимо доустановить.
В нашем случае необходимо доустановим пакет libfuse-dev:
Приступим к сборке пакета. Перейдем в папку src и воспользуемся командами make и make install:
Когда все скомпилировалось (или вы установили пакет) приступим к настройке.
Перейдем в папку mnt и создадим в ней две папки:
- Encrypted-partition— для зашифрованного раздела;
- Decrypted-partition — для расшифрованного раздела.
Найдем зашифрованный раздел. Расшифруем его с помощью утилиты и переместим его в папку Encrypted-partition:
Выведем на экран список файлов, находящихся в папке Encrypted-partition:
Введем команду для монтирования раздела:
Для просмотра расшифрованного раздела перейдем в папку Encrypted-partition.
Резюмируем
Включить шифрование тома при помощи BitLocker очень просто. Все это делается без особых усилий и бесплатно (при условии наличия профессиональной или серверной версии Windows, конечно).
Для защиты ключа шифрования, которым шифруется диск, можно использовать криптографический токен или смарт-карту, что существенно повышает уровень безопасности.
Безопасность данных на компьютере — одна из главных прерогатив для многих пользователей. Комплексный подход — это защитить от стороннего вмешательства весь жесткий диск. Сделать это можно с помощью стандартного средства шифрования в Windows 10.
Чем эффективна такая защита
Зачем выполнять шифрование данных, если есть учетная запись пользователя с паролем? На самом деле это самая простая защита, которую могут сломать даже новички, четко выполняя действия определенной инструкции.
Проблема заключается в том, что злоумышленник может использовать загрузочную флешку и получить доступ к файлам и реестру операционной системы. Далее всего в несколько действий легко узнать введенный пароль или просто отключить его и получить доступ к рабочему столу.
Вопрос защиты файлов будет особенно важен для корпоративного сектора. Например, только в США ежегодно в аэропортах теряются больше 600 тысяч ноутбуков.
Стоит отметить, что с помощью встроенного средства BitLocker шифруются даже флеш-накопители, поскольку они распознаются системой как отдельные тома. При необходимости можно создать виртуальный диск VHD с важными данными и шифровать его, а сам файл хранить на обычной флешке.
Будет ли тормозить?
Шифрование всего диска действительно скажется на производительности системы, в частности, на скорости чтения/записи данных. Тесты различных пользователей показывают, что на относительно современном железе падение скорости на SSD — не более 10%, у жестких дисков падения могут быть больше.
Например, на ноутбуке Dell Inspiron 15 7577 с процессором i7-7700HQ и накопителем Samsung 950 Pro с 256 ГБ разница в ежедневном использовании будет практически незаметна.
Средство BitLocker использует шифрование AES 128/256. Соответственно, задействуются вычислительные ресурсы процессора. Если вы используете старые модели на 1-2 ядра, то BitLocker или аналогичный софт может ухудшить производительность.
Использование BitLocker при наличии чипа TPM
Чип TPM (Trusted Platform Module) — это специальный модуль, в котором хранятся криптографические ключи для защиты информации. Обычно он располагается на материнской плате, но далеко не каждая модель оснащается TPM. Ключ для расшифровки логического тома выдается только в коде загрузчика ОС, поэтому злоумышленникине смогут достать его непосредственно из жесткого диска.
Чтобы проверить, есть ли на вашем компьютере или ноутбуке модуль TPM, в окне «Выполнить» введите команду «tpm.msc».
При наличии чипа вы увидите окно с основной информацией, включая состояние модуля и версию.
Перед использованием системы шифрования TPM модуль необходимо инициализировать по следующей инструкции:
1. В панели управления зайдите в раздел «Шифрование диска BitLocker».
2. Напротив системного диска кликните по строке «Включить BitLocker». Система начнет проверку на соответствие конфигурации компьютера.
3. В следующем окне система предупредит пользователя, что для продолжения процесса будут выполнены два действия: активация оборудования безопасности и последующий запуск шифрования. Необходимо нажать «Далее».
4. Для включения TPM система попросит перезагрузить компьютер, поэтому нажмите соответствующую кнопку.
5. При следующей загрузке перед пользователями появится окно активации чипа TPM. Нажмите соответствующую клавишу для подтверждения (в данном случае F1).
6. Как только Windows прогрузится, мастер шифрования продолжит свою работу и предложит следующее меню с выбором места сохранения ключа восстановления.
Данные логического тома будут зашифрованы, а для разблокировки вам придется ввести пароль от учетной записи. При попытке войти в систему через загрузочную флешку или путем перемещения HDD в другой компьютер посторонние не смогут получить доступ к вашим данным. Ключ доступа будет надежно спрятан в TPM модуле.
Преимущество TPM заключается в простоте настройки и высокой безопасности — ключи хранятся в отдельной микросхеме. С другой стороны, если злоумышленники каким-либо образом узнают пароль от учетной записи, то без проблем смогут зайти в нее даже с шифрованием.
Шифрование BitLocker без модуля TPM
Что делать, если при вводе команды «tpm.msc» TPM модуль не был найден? Использовать BitLocker вы сможете по-прежнему, но теперь ключ вам придется сохранять в другом месте.
Для активации BitLocker следуйте инструкции:
1. Перейдите в меню групповых политик. В окне выполнить введите «gpedit.msc» и нажмите Enter. Необходимо открыть раздел «Конфигурация компьютера», а в нем перейти по «Административные шаблоны» и далее открыть «Компоненты Windows».
2. В компонентах найдите папку «Шифрование диска» и выберите подпункт «Диски операционной системы». Перейдите на вкладку «Стандартный» и дважды кликните ЛКМ по строке «Этот параметр позволяет настроить требования дополнительной проверки подлинности» (выделен на скриншоте).
3. Параметр необходимо перевести в состояние «Включено», а также поставить галочку в строке «Использовать BitLocker без совместимого TPM». Для сохранения изменений нажмите кнопку «Применить» и OK.
На этом настройка групповой политики завершена, и пользователи могут защититься стандартным средством шифрования BitLocker. Как и в предыдущей инструкции, вам необходимо перейти в раздел шифрования и включить BitLocker для системного или другого диска, на котором вы собираетесь зашифровать данные.
Меню настройки будет немного отличаться от вышеописанного:
1. Уже на первом окне вас попросят выбрать способ разблокировки диска. Пароль аналогичен предыдущей защите, вам будет достаточно ввести его при входе в учетную запись. Более надежный способ — флешка + PIN. Для входа в систему вам придется также вставить накопитель в USB-порт, после чего ввести пароль.
2. Если вы указали flash-накопитель, то система предложит выбрать его. В случае с паролем вам достаточно дважды ввести его и перейти в следующее окно.
3. Пользователь должен выбрать, куда сохранить ключ восстановления. Поскольку на шифруемый диск его записать нельзя, то доступны 4 варианта: учетная запись Майкрософт, флеш-накопитель, в качестве отдельного файла на другом диске или просто распечатать.
4. Выберем «Сохранить в файл». В этом случае достаточно указать место и убедиться, что соответствующий txt файл появился по указанному пути.
5. Выберите, как будет шифроваться диск — полностью или только занятая информацией часть. Второй вариант оптимален для новых ПК, на которых только недавно был установлен весь необходимый софт.
6. Выбор режима шифрования. Для несъемных накопителей укажите «новый», но для флешек или переносимых HDD лучше выбрать «Режим совместимости», чтобы при необходимости получить доступ к файлам на другом компьютере.
7. После завершения настроек в трее появится иконка BitLocker. Кликните по ней и подтвердите перезагрузку компьютера.
8. После перезагрузки начнется процесс шифрования, а его прогресс можно узнать из соответствующего значка в трее.
Теперь диск зашифрован и при каждом включении Windows будет просить ввести пароль BitLocker. Это относится и к съемным накопителям, если они были зашифрованы таким способом.
В разделе шифрования также появятся подробные настройки, где вы сможете удалить или сменить пароль, приостановить защиту, архивировать ключ восстановления или отключить шифрование.
Неправильный ввод пароля несколько раз приведет к блокировке, и получить доступ к диску можно будет только с помощью ключа восстановления
Самыми надежными считаются специальные смарт-карты, которые визуально выглядят как обычные флешки. Однако они имеют специальные библиотеки и отображаются отдельными устройствами в диспетчере задач. Соответственно, воспроизвести смарт-карту намного сложнее в отличие от обычной флешки-ключа.
Альтернативы BitLocker
Если по каким-либо причинам стандартная система шифрования вас не устраивает или в вашей редакции Windows ее просто нет, то можно воспользоваться сторонним софтом.
Однако будьте осторожны. Во-первых, сторонние программы в отличие от системных средств могут ощутимо сказываться на производительности компьютера, особенно, если они не оптимизированы под конкретные ОС. Во-вторых, нет гарантий, что такой софт не имеет уязвимостей, которыми могут воспользоваться злоумышленники или даже разработчики.
BitLocker Anywhere
Популярный софт для шифрования дисков, работающий под операционными системами Windows 7/8/10 различных редакций. У софта есть пробная версия на 15 суток, однако в ней запрещено шифровать системный раздел, поэтому пользователи смогут защитить только флешки и другие логические тома жесткого диска.
Базовая версия стоит 14,99$, а профессиональная с возможностью шифровать тома больше 2 ТБ — 19,99$. В функционал BitLocker Anywhere входит шифрование и дешифрование дисков, создание ключей восстановления с их экспортом. По сути, это аналог стандартному BitLocker с технической поддержкой со стороны разработчиков. Очевидный минус — в качестве защиты доступен только пароль, никаких смарт-карт или USB Flash здесь нет.
Для шифрования достаточно выбрать диск, указать пароль, место для сохранения ключа восстановления и дождаться окончания процесса. Интерфейс на английском языке, но программой можно пользоваться даже с минимальными знаниями иностранного.
7 zip
Если вы предпочитаете создавать VHD-образы и при необходимости подключать их к системе, то для шифрования вполне подойдет обычный архиватор 7zip.
Выберите виртуальный образ жесткого диска (формат VHD/VHDX) и нажмите «Добавить в архив». Далее в окне настроек укажите имя, пароль для шифрования и метод (желательно, AES-256).
Теперь для дешифровки вам придется ввести пароль и только потом монтировать VHD файл.
Нюансы восстановления зашифрованного диска
Что делать, если Windows с зашифрованным логическим диском не запускается? Это не проблема, если у вас есть необходимые данные доступа. Чтобы снять блокировку BitLocker, вам следует иметь хотя бы один из следующих элементов:
- пароль шифрования BitLocker, который вы вводили в самом начале;
- ключ восстановления (его предлагали сохранить на флешке, в учетной записи или распечатать);
- USB-ключ запуска системы, если вы использовали флешку.
Если ничего этого у вас нет, то про данные можно забыть и единственный способ вернуть диск — отформатировать его. Конечно, есть специфические способы «выловить» ключ среди метаданных или дампа оперативной памяти, но и они не дают стопроцентной гарантии успеха, не говоря о сложности реализации. К этим методикам могут прибегать специализированные сервисы.
Если Windows не прогружается, то вам необходимо запустить среду восстановления, или воспользоваться установочным диском. Если это возможно, запустите командную строку (для стандартных средств Windows это команда Shift+F10). Теперь выполните следующие действия:
- Проверьте состояние зашифрованных дисков командой «manage-bde –status». Если все хорошо, то должна появиться надпись с BitLocker Drive Encryption: Volume X, где вместо Х буква зашифрованного тома.
- Далее разблокируйте диск командой «manage-bde -unlock D: -pw». Вас попросят ввести пароль.
- После успешной дешифровки появится соответствующее окно и можно приступить к восстановлению.
Если пароль не известен, то можно использовать ключ восстановления, напечатав в командной строке:
repair-bde F: G: -rp 481385-559146-955173-133053-357710-316682-137633-983682 –Force
Для flash-ключа формата «.bek», который в данном примере находится на флешке I, используется следующая строка:
repair-bde F: G: -rk I:\3F449834-943D-5677-1596-62C36BA53564.BEK –Force
Перед открытием расшифрованного диска обязательно выполните проверку на ошибки стандартной командой Chkdsk.
11.09.2020 | Антон Максимов | КомментарииВ Windows 10 встроена бесплатная система шифрования BitLocker. Она доступна всем пользователям Pro-версии. Но вот насколько необходима эта защита и в каких случаях она помогает?
Что это такое?
Это встроенная в Windows система, которая может зашифровать ваши диски, чтобы защитить данных на них.
В настройках операционной системы введите BitLocker в поисковой строке, чтобы перейти к ее настройке.
В каких случаях она поможет?
Система шифрует все данные на выбранных дисках, так что в случае, если ваш компьютер украдут, злоумышленники не смогут получить доступ к данным на нем. По сути, для них это будет набор нулей и единичек, которые они не смогут расшифровать без специального пароля.
Стоит ли использовать ее на домашнем ПК?
По большому счету, данный инструмент стоит использовать везде, где есть важные конфиденциальные данные. Если же вы используете ПК только для просмотра фильмов, прослушивания музыки и ничего ценного для вас на нем нет, то можно и не активировать данный механизм защиты.
Когда BitLocker бесполезен?
В тот момент, когда вы включили устройство, вошли в свою учетную запись на нем, вы расшифровали данные. Так что если злоумышленник проберется к вашему ПК в тот момент, когда вы отлучились и не заблокировали его, то он сможет открывать все ваши файлы, копировать их или удалять.
Посему при использовании BitLocker важно блокировать ПК каждый раз, когда вы отходите покурить, в туалет или налить чаю.
Быстро заблокировать компьютер можно комбинацией Win-L на клавиатуре.
В тот момент, когда вы пользуетесь Windows, данные на нем не зашифрованы. Это значит:
1. Любой человек, который подойдет к незаблокированному компьютеру в ваше отсутствие сможет получить доступ ко всем вашим секретам.
2. Любой процесс, который будет запущен во время вашей работы получит полный доступ к вашим тайнам.
Потому не стоит полагаться на эту защиту, как панацею. Она работает тогда, когда ваш компьютер выключен и защищает от доступа к данным при краже устройства.
Читайте также: