Konfigurer BitLocker på eksterne drev trin for trin

Hvis du arbejder med eksterne harddiske eller USB-flashdrev fyldt med følsomme oplysninger, er opsætning af BitLocker på eksterne drev sandsynligvis en af ​​de bedste sikkerhedsbeslutninger, du kan træffe i Windows. Denne Microsoft-krypteringsfunktion giver dig mulighed for at beskytte alt indholdet af et drev, så disse data er fuldstændig utilgængelige uden adgangskode eller gendannelsesnøgle.

BitLocker og Windows-enhedskryptering har dog deres nuancer: de fungerer ikke på samme måde på systemdrevet som på et eksternt drev , der er forskelle mellem Windows-versioner, det er vigtigt, om du har en TPM-chip eller ej, det kan påvirke ydeevnen en smule (især på nogle SSD'er), og der er også alternativer, når din Windows-udgave ikke inkluderer BitLocker. Lad os se trin for trin og i detaljer på alt, hvad du behøver at vide for at kryptere eksterne drev uden at rode tingene op og uden at miste data.

BitLocker og enhedskryptering: Hvad hver enkelt er, og hvordan de adskiller sig

Windows bruger to lignende, men forskellige koncepter: enhedskryptering og BitLocker-drevkryptering . Forståelse af denne forskel hjælper dig med at vide, hvad du kan og ikke kan gøre med dine eksterne drev.

Enhedskryptering er en funktion, der er aktiveret som standard på visse Windows-computere. Når du starter en ny pc med en Microsoft-konto, uanset om det er til arbejde eller skole , kan systemet automatisk aktivere kryptering af den interne harddisk. Gendannelsesnøglen uploades til den konto, uden at du behøver at gøre noget. Med en lokal konto aktiveres den dog normalt ikke automatisk.

Hovedforskellen er, at enhedskryptering er designet til ikke-tekniske brugere og computere, der typisk leveres med Windows Home , mens den "klassiske" BitLocker (den fulde version med alle muligheder) kun er tilgængelig i Pro-, Enterprise- og Education-udgaverne. I praksis giver BitLocker dig meget mere kontrol: du kan kryptere eksterne drev, USB-flashdrev, yderligere partitioner og systemdrevet ved hjælp af forskellige metoder og nøgler.

Hvis du vil vide, hvorfor enhedskrypteringsindstillingen ikke vises på din pc, kan du åbne værktøjet "Systemoplysninger" som administrator og se på indstillingen " Understøttelse af automatisk enhedskryptering " . Der vil du se meddelelser som "opfylder kravene", "TPM kan ikke bruges", "WinRE er ikke konfigureret" eller "PCR7-binding understøttes ikke", som fortæller dig, hvad der mangler for automatisk aktivering.

Sådan fungerer BitLocker: adgangskoder, nøgler og drevadfærd

BitLocker krypterer hele drev, uanset om de er interne eller eksterne. Når du aktiverer kryptering, skal du angive en adgangskode for at låse drevet op eller bruge andre sikkerhedsforanstaltninger såsom gendannelsesnøgler, smartkort eller en USB-nøgle. Denne adgangskode er afgørende: Hvis du mister den og ikke har gemt gendannelsesnøglen korrekt, vil indholdet højst sandsynligt ikke kunne gendannes.

Når et eksternt drev er krypteret, fungerer det ret bekvemt: alt, hvad du kopierer til drevet, krypteres undervejs , og alt, hvad du læser, dekrypteres automatisk, når du låser det op. Du behøver ikke at kryptere fil for fil eller gøre noget usædvanligt; Windows gør det hele i baggrunden.

Hvis du krypterer det drev, hvor operativsystemet er installeret, ændrer det sig, når du bliver bedt om din adgangskode eller godkendelse: selv før Windows starter . Hvis du ikke indtaster den korrekte BitLocker-nøgle, afslutter systemet ikke opstarten. Derefter logger du ind med dit Windows-brugernavn og din adgangskode som normalt; det er to separate processer.

Når vi taler om interne eller eksterne datadrev (uden et operativsystem), vil du normalt se et hængelåsikon, når du starter Windows. Dobbeltklik på drevet for at bede dig om din BitLocker-adgangskode . Når det er låst op, kan du arbejde med det normalt, indtil du låser det igen eller lukker computeren ned.

Algoritmer, krypteringsstyrke og deres indflydelse på ydeevne

BitLocker kan arbejde med forskellige krypteringsalgoritmer og nøglelængder. Som standard bruger moderne interne harddiske XTS-AES med en 128-bit nøgle , mens flytbare drev og USB-drev typisk bruger AES-CBC, også 128-bit, for kompatibilitet med ældre versioner af Windows.

XTS-AES er en nyere og mere optimeret metode: den giver større sikkerhed mod visse blokmanipulationer og er generelt hurtigere . AES-CBC forbliver sikker, hvis du bruger stærke adgangskoder, men den er lidt mindre effektiv og har flere kryptografiske begrænsninger, så den betragtes som en overgangsmetode.

I professionelle udgaver af Windows kan du gå et skridt videre og ved hjælp af lokale gruppepolitikker justere både algoritmen (XTS-AES eller AES-CBC) og nøglelængden (128 eller 256 bit). Fra et praktisk synspunkt tilbyder 256 bit mere teoretisk sikkerhed, og på moderne computere er ydelsesforskellen minimal, især hvis processoren understøtter AES-NI.

Det er dog ikke kun fordele. På nogle avancerede NVMe SSD'er har det vist sig, at når BitLocker kører i fuldt softwarebaseret tilstand , kan tilfældige læse-/skrivehastigheder falde betydeligt. For eksempel er der på en 4TB Samsung 990 Pro observeret fald på op til 45% i visse tests med BitLocker aktiveret.

I disse ekstreme tilfælde omfatter mulighederne deaktivering af BitLocker (hvilket går ud over sikkerheden) eller konfiguration af SSD'en til at bruge hardwarebaseret kryptering , eller overvejelse af foranstaltninger til at aktivere skrivecaching på eksterne drev for at fremskynde overførsler, hvilket normalt involverer geninstallation af Windows og sikring af, at drevet er konfigureret korrekt fra starten. For de fleste brugere vil effekten dog være næsten umærkelig.

Hvad er en gruppepolitik, og hvordan ændrer man krypteringsmetoden

Gruppepolitikker i Windows er en avanceret måde at justere operativsystemets funktionsmåde på både computer- og brugerniveau. I et hjemmemiljø kaldes disse lokale gruppepolitikker, som redigeres ved hjælp af værktøjet gpedit.msc i Pro, Enterprise og lignende udgaver.

For at justere BitLocker-krypteringsalgoritmen og -styrken skal du åbne Policy Editor (Win + R, skrive gpedit.msc ) og navigere til: Lokal computerpolitik > Computerkonfiguration > Administrative skabeloner > Windows-komponenter > BitLocker-drevkryptering. Der vil du se flere politikker, der er specifikke for din Windows-version.

Du finder separate politikker for ældre versioner og for Windows 10 og nyere . I de nyeste versioner kan du vælge en anden algoritme for interne bootdiske, interne datadiske og flytbare/USB-drev. For hver af dem kan du vælge XTS-AES eller AES-CBC, samt 128 eller 256 bit, og om du vil anvende en ekstra diffusor på ældre systemer.

Husk, at disse ændringer kun gælder for diske, du krypterer fra dette tidspunkt og fremefter . Drev, der allerede er krypteret, bevarer den konfiguration, de havde, da de blev krypteret. Desuden træder disse politikker kun i kraft, hvis de matcher den faktisk installerede version af Windows.

Når du har foretaget de nødvendige ændringer, anbefales det at gennemtvinge en politikopdatering for at undgå at vente på standardintervallet (ca. 90 minutter). For at gøre dette skal du åbne Kør (Win + R) og skrive kommandoen gpupdate /target:Computer /force . Dette vil anvende ændringerne med det samme, og du kan derefter kryptere nye drev med din valgte konfiguration.

Sådan aktiverer du BitLocker på interne og eksterne drev fra den grafiske brugerflade

Windows tilbyder adskillige grafiske metoder til at aktivere BitLocker uden at bruge kommandoer. I alle disse metoder er det vigtigt, at drevet er formateret og har et tildelt drevbogstav ; ellers vises det ikke som et krypterbart drev.

Den mest direkte rute er via Stifinder: højreklik på det interne eller eksterne drev, du vil beskytte, og vælg "Slå BitLocker til." Dette åbner guiden, hvor du skal vælge oplåsningsadgangskoden, hvordan du gemmer gendannelsesnøglen og krypteringstypen.

En anden måde er via det klassiske Kontrolpanel. Fra Start-menuen skal du åbne Kontrolpanel > System og sikkerhed > BitLocker-drevkryptering. Du vil se en grupperet liste over drev: systemdisk, datadiske og længere nede, flytbare enheder, hvor BitLocker To Go til USB-flashdrev og eksterne harddiske kommer i spil.

Du kan også få adgang til den fra Indstillinger-appen (især i Windows 10/11). Gå til System > Om, og nederst bør du se et link til BitLocker-indstillinger , som fører dig til det samme administrationspanel.

Når du starter guiden på et bestemt drev, er det første trin at definere oplåsningsadgangskoden. Den skal indeholde store bogstaver, små bogstaver, tal og symboler . Dernæst skal du beslutte, hvordan du vil gemme gendannelsesnøglen (Microsoft-konto, fil, USB-drev, udskrift), og om du kun vil kryptere den brugte plads eller hele disken – noget, der er særligt vigtigt, hvis det eksterne drev allerede indeholder gamle, slettede data , der kan gendannes.

Ekstern diskkryptering og BitLocker To Go

For eksterne drev (USB-drev, flashdrev osv.) bruger Windows en specifik tilstand kaldet BitLocker To Go . I praksis er brugerfladen næsten identisk, men internt justeres standardalgoritmen for at maksimere kompatibiliteten med andre Windows-computere, der ikke er fuldt opdaterede.

Proceduren er meget enkel: Tilslut den eksterne harddisk, vent på, at den vises i Stifinder, højreklik på drevet, og vælg "Slå BitLocker til." Guiden vil bede dig om at indstille din oplåsningsadgangskode og derefter tilbyde at sikkerhedskopiere din gendannelsesnøgle.

Når du senere tilslutter det drev til en anden kompatibel Windows-pc, vil systemet registrere, at det er krypteret, og vise en prompt om at indtaste adgangskoden . Du kan markere feltet for at få det automatisk låst op på den specifikke computer i fremtiden, hvilket er meget nyttigt, hvis det er en betroet pc.

I de avancerede indstillinger for det allerede krypterede drev har du muligheder som at ændre adgangskoden, fjerne den (forudsat at du konfigurerer en anden godkendelsesmetode), generere nye kopier af gendannelsesnøglen, aktivere automatisk oplåsning eller helt deaktivere BitLocker for at dekryptere disken.

Hvis du stadig bruger meget gamle systemer som Windows XP eller Vista, genkender de ikke BitLocker To Go-drev automatisk. I så fald tilbød Microsoft et værktøj kaldet "BitLocker To Go Reader", der tillod i det mindste skrivebeskyttet adgang til FAT-formaterede krypterede USB-drev, forudsat at den korrekte nøgle blev indtastet.

TPM: Chippen, der styrker BitLocker (og hvordan man bruger den uden TPM)

Trusted Platform Module (TPM) er en lille chip på bundkortet, der er designet til at gemme kryptografiske nøgler og verificere bootintegritet . Når det kombineres med BitLocker, gemmes en del af krypteringsnøglen i TPM'en og en anden del på disken, så en angriber ikke blot kan flytte disken til en anden computer og læse den.

TPM hjælper også med at registrere mistænkelige ændringer i hardware eller firmware. Hvis du f.eks. opdaterer BIOS, udskifter kritiske komponenter eller manipulerer med bestemte opstartsparametre, kan TPM muligvis betragte miljøet som ikke-tillidsfuldt og kræve, at du indtaster din BitLocker- gendannelsesnøgle ved næste opstart.

Det er ikke kun fordele: Som en fysisk komponent kan du miste adgangen til dine krypterede data, hvis TPM-chippen svigter, eller du udskifter den uden at have sikkerhedskopieret dine gendannelsesnøgler. Desuden udnytter ikke alle systemer eller programmer TPM fuldt ud, og der er altid mulighed for implementeringsfejl, fejl eller sårbarheder.

For at kontrollere, om din computer har en aktiv TPM, skal du trykke på Win + R og køre tpm.msc . Hvis administrationskonsollen åbnes, og du ser en status som "TPM klar til brug", er du klar. Hvis du ser en fejl, der angiver, at der ikke kan findes en kompatibel TPM, kan den være deaktiveret i BIOS/UEFI, eller dit bundkort har muligvis slet ikke en.

BitLocker kræver dog ikke et TPM-modul. Det er muligt at bruge BitLocker uden et TPM-modul ved at aktivere et direktiv i gpedit.msc, der tillader yderligere godkendelse ved opstart, og dermed muliggør brug uden et TPM-modul. I disse tilfælde kan den primære sikkerhedsforanstaltning være en adgangskode eller en nøgle gemt på et USB-drev, der skal tilsluttes for at starte computeren.

Brug af BitLocker med og uden TPM på systemdrevet

Kryptering af disken, hvor operativsystemet er installeret, er en meget effektiv sikkerhedsforanstaltning, men det kræver nogle ekstra overvejelser. BitLocker opretter en lille, ukrypteret bootpartition, hvor den gemmer de filer, der er nødvendige for at starte systemet, og den primære systempartition forbliver krypteret, indtil godkendelsen er valideret.

Hvis du har en TPM, er den ideelle fremgangsmåde at kombinere den med en ekstra pinkode eller adgangskode i "TPM + PIN"-tilstand for at styrke opstartsprocessen. På denne måde, selvom hele din computer bliver stjålet, vil de have brug for både hardwaren og den adgangskode, du kender. Windows administrerer denne kombination relativt transparent.

Når der ikke er en TPM til stede, eller du ikke vil bruge den, skal du bruge politikken "Kræv yderligere godkendelse ved opstart" på operativsystemdrevene i Gruppepolitikeditoren. Hvis du aktiverer muligheden for at tillade BitLocker uden en TPM, kan du bruge en adgangskode ved opstart eller et USB-drev, der indeholder en fil med oplåsningsnøglen.

I dette scenarie vil guiden bede dig om at indsætte et USB-flashdrev for at gemme opstartsnøglen eller om at indstille en stærk adgangskode. Dette USB-drev kan ikke fjernes under krypteringsprocessen eller under den første genstart. Det er også en god idé at justere opstartsrækkefølgen i din BIOS, så computeren ikke forsøger at starte fra det USB-drev, der indeholder nøglen.

Når krypteringen er fuldført, og du har bekræftet, at systemet starter korrekt, anbefales det at gemme kopier af den pågældende opstartsnøgle (og gendannelsesnøglen) et meget sikkert sted: en anden krypteret enhed, en adgangskodeadministrator eller, hvis du bruger en, din Microsoft/OneDrive-konto.

BitLocker og netværk: Adfærden af ​​krypterede eksterne drev

En detalje, der ofte rejser spørgsmål, er, hvordan en ekstern harddisk, der er krypteret med BitLocker, opfører sig, når den deles over et netværk . Det er vigtigt at forstå, at BitLocker beskytter mod direkte fysisk adgang til enheden; den fungerer ikke som et godkendelsessystem på netværket.

Det betyder, at du for eksempel ikke kan indtaste din BitLocker-adgangskode fra en anden fjerncomputer for at låse drevet op. Først skal du låse drevet op på den computer, det fysisk er tilsluttet . Derefter kan du dele mapper eller hele enheden ved hjælp af Windows' fildelingsindstillinger.

Når dataene er delt, vil netværksbrugere få adgang til dem ved hjælp af deres sædvanlige Windows-legitimationsoplysninger (netværksbrugernavn/adgangskode, NTFS- og delingstilladelser osv.), men BitLocker-kryptering håndteres af computeren med det tilsluttede drev. Hvis computeren lukker ned eller låser drevet, bliver ressourcen utilgængelig.

Gendannelsesnøgler og sikkerhedskopier: dit sikkerhedsnet

Hver gang du krypterer et drev med BitLocker, genererer guiden en 48-cifret gendannelsesnøgle . Dette er din livline, når du glemmer din almindelige adgangskode, eller når systemet på grund af hardware- eller firmwareændringer beslutter, at det skal bede om den ekstra nøgle ved opstart.

Windows tilbyder flere måder at gemme din nøgle på: i din Microsoft-konto (den er gemt i din OneDrive-profil), på et ukrypteret USB-drev, i en tekstfil eller udskrevet direkte på papir. Ideelt set bør du bruge mindst to metoder og aldrig efterlade den eneste kopi af nøglen på det drev, du krypterer.

Hvis du krypterer flere drev, har hver gendannelsesnøglefil et unikt identifikationsnavn (et GUID), der matcher det, der vises, når systemet beder dig om nøglen. Det er afgørende at opretholde denne relation for at vide, hvilken fil der svarer til hvilket drev i tilfælde af en nødsituation.

Ud over BitLocker er den eneste virkelig pålidelige strategi mod hardwarefejl, korruption eller simpelthen uforsigtighed at opretholde komplette sikkerhedskopier på separate enheder . Hvis disse sikkerhedskopier også gemmes på et andet krypteret drev eller en cloudtjeneste, der også krypterer data, har du et meget højt beskyttelsesniveau mod tab eller tyveri.

Husk, at hvis et krypteret drev lider fysisk skade, selvom du formår at gendanne isolerede sektorer ved hjælp af retsmedicinske teknikker, vil dataene forblive krypterede og ulæselige uden de korrekte nøgler. Derfor er kombinationen af ​​kryptering og redundante sikkerhedskopier så vigtig.

PowerShell og cmdlets til avanceret BitLocker-administration

Ud over den grafiske brugerflade og konsolværktøjet manage-bde inkluderer Windows BitLocker-specifikke PowerShell-cmdlets , som er meget nyttige, når du vil automatisere opgaver eller administrere mange drev på én gang og måle disk-I/O pr. proces.

Den grundlæggende kommando til visning af drevstatus er Get-BitLockerVolume , som understøtter parameteren -MountPoint til at angive et bestemt drev. Tilføjelse af "| fl" til sidst giver detaljeret output med alle konfigurerede låse, krypteringsstatus, fuldført procentdel og mere.

For at tilføje forskellige typer beskyttelse (adgangskode, gendannelsesnøgle, gendannelsesadgangskode eller opstartsnøgle), skal du bruge Add-BitLockerKeyProtector med de relevante parametre for hvert tilfælde (f.eks. -PasswordProtector, -RecoveryKeyPath, -StartupKeyProtector…). På denne måde kan du forberede et drev med alle dets oplåsningsmetoder, før du aktiverer kryptering.

Den cmdlet, der rent faktisk starter krypteringen, er Enable-BitLocker , hvortil du angiver drevbogstavet (-MountPoint) og de beskyttelser, du vil anvende. For at stoppe eller genoptage kryptering, eller for manuelt at låse eller låse op for en enhed, kan du bruge kommandoer som Lock-BitLocker, Unlock-BitLocker, Enable-BitLockerAutoUnlock eller Disable-BitLockerAutoUnlock.

Endelig, hvis du nogensinde beslutter dig for at dekryptere en disk fuldstændigt og fjerne BitLocker, skal du bruge Disable-BitLocker . Processen kan tage et stykke tid afhængigt af drevets størrelse og hardwarehastighed, men når den er færdig, vil diskenheden være tilbage til almindelig tekst uden tilhørende beskyttelse.

Almindelige BitLocker-problemer og hvordan man løser dem

Selvom det er en forholdsvis stabil teknologi, er BitLocker ikke uden lejlighedsvise fejl. En af de mest almindelige er, at systemet efter en BIOS-opdatering, en hardwareændring eller enhver ændring af opstartskonfigurationen begynder at bede om gendannelsesnøglen, hver gang det starter.

Den sædvanlige måde at løse dette på er at starte én gang ved at indtaste gendannelsesnøglen, derefter midlertidigt deaktivere beskyttelsesprogrammerne med manage-bde (f.eks. manage-bde -protectors -disable C:), foretage de nødvendige ændringer og derefter genaktivere dem med manage-bde -protectors -enable C:. Dette "nulstiller" TPM'ens tillid til maskinens aktuelle tilstand.

Det er også almindeligt at se en gul trekant over drevet i Stifinder eller Enhedshåndtering, hvilket indikerer, at BitLocker er suspenderet, eller at der venter ændringer efter en opdatering. I disse tilfælde kan du normalt bare gå til BitLocker-indstillingerne for det berørte drev og genoptage beskyttelsen eller bruge `manage-bde -resume C:` i en kommandoprompt med administratorrettigheder.

Hvis fejlmeddelelserne peger på problemer med TPM'en (fra tpm.msc eller Enhedshåndtering), anbefales det at kontrollere i BIOS/UEFI, at TPM/Intel PTT/AMD fTPM er aktiveret , opdatere firmwaren og om nødvendigt slette TPM'en fra dens administrationskonsol (hvilket vil generere de tilhørende nøgler og kræve omkonfiguration af BitLocker).

Ud over disse typiske tilfælde er nøglen ikke at aktivere kryptering let: det er altid tilrådeligt at sikre, at du har opdaterede sikkerhedskopier og flere kopier af gendannelsesnøgler, før du foretager dybe ændringer i hardware eller firmware.

Alternativer til BitLocker til kryptering af eksterne drev

Ikke alle computere har en BitLocker-kompatibel version af Windows, og det er ikke altid værd at opgradere kun for den funktion. I disse situationer kan du bruge andre krypteringsværktøjer til at beskytte eksterne drev og USB-flashdrev.

Et af de mest populære er VeraCrypt, et gratis og open source-projekt, der giver dig mulighed for at kryptere hele diske, individuelle partitioner eller containere (filer, der fungerer som krypterede virtuelle diske). Det understøtter algoritmer som AES, Serpent og Twofish, samt moderne metoder som XTS, og er yderst fleksibelt og kan bruges på tværs af platforme.

En anden mulighed er programmer, der fokuserer på at kryptere specifikke mapper , såsom Anvi Folder Locker eller Hook Folder Locker. Deres tilgang er anderledes: i stedet for at kryptere hele drevet, vælger du specifikke mapper, tildeler dem en masteradgangskode, og programmet håndterer låsning eller oplåsning af adgang efter behov.

Hvis du foretrækker at forblive inden for Windows-økosystemet uden BitLocker, findes der også EFS (Encrypted File System), som giver dig mulighed for at kryptere filer og mapper, der er knyttet til en bestemt bruger. Det er hurtigt og relativt praktisk, men det er ikke så robust eller systemuafhængigt som BitLocker: nøglen gemmes i selve operativsystemet, der kan være rester af information i cacher eller midlertidige sektorer, og hvis nogen får adgang til din Windows-session, ser de dataene i almindelig tekst.

Derfor, når du har muligheden, er den bedste måde at kryptere eksterne drev på at holde sig til BitLocker eller, hvis det ikke lykkes, VeraCrypt. EFS og mappeværktøjer er fine som en midlertidig foranstaltning, men de erstatter ikke fuld drevkryptering, når du vil beskytte en hel disk.

Samlet set giver en god krypteringsordning på dine eksterne drev, kombineret med regelmæssige sikkerhedskopier og forståelse af, hvordan gendannelsesnøgler fungerer, dig mulighed for at håndtere følsomme oplysninger med langt mere ro i sindet, både i din hverdag og når du fysisk tager disse enheder ud af dit hjem eller kontor.