Komplett BitLocker To Go-opplæring: sikker kryptering på USB-stasjoner og eksterne stasjoner

Hvis du jobber med eksterne harddisker, USB-minnepinner eller SD-kort , er sannsynligheten for at en av dem ender opp med å bli mistet eller i gale hender høyere enn vi skulle ønske. Det er her BitLocker To Go kommer inn i bildet, Microsofts løsning som sikrer at selv om du mister enheten, kan ingen lese en eneste byte uten passordet eller gjenopprettingsnøkkelen din.

Gjennom denne veiledningen vil du se, mye mer detaljert enn vanlig, nøyaktig hva BitLocker To Go er, hvordan du konfigurerer det i Windows, hvordan du administrerer det med gruppepolicy, hva du skal gjøre hvis du mister passordet ditt, og hvilke alternativer du har hvis du vil ta kryptering et skritt videre. Vi vil også dekke den "vanlige" BitLocker, rollen til TPM-brikken, dens innvirkning på ytelsen og flere avanserte PowerShell- triks slik at du kan kontrollere verktøyet som en IT-profesjonell.

Hva er BitLocker, og hva legger BitLocker To Go til?

BitLocker er diskkrypteringsfunksjonen som er inkludert i Windows Pro-, Enterprise- og Education-utgavene (fra Windows Vista og utover). Hensikten er å beskytte alt innholdet på en disk (inkludert operativsystemet), slik at ingen kan lese dataene uten riktig nøkkel, selv om de starter datamaskinen fra et annet operativsystem eller kobler disken til en annen datamaskin.

Når det gjelder enheter som administreres av selskaper, kontrolleres BitLocker-kryptering vanligvis sentralt av IT-avdelingen . Mange organisasjoner krever til og med kryptering av spesifikke disker eller alle bærbare datamaskiner gjennom gruppepolicyer, uten brukerinndata.

Fra kontrollpanelet får du tilgang til BitLocker-stasjonskrypteringsmodulen , der Windows viser deg alle stasjonene med en tilordnet bokstav: operativsystemstasjonen, interne datastasjoner og flyttbare stasjoner, som er de vi er interessert i for BitLocker To Go.

BitLocker To Go er BitLocker-varianten som er spesielt utviklet for flyttbare medier: USB-minnepinner, SD-kort og eksterne harddisker med filsystemer NTFS , FAT16, FAT32 eller exFAT . Formålet er enkelt: Hvis noen finner eller stjeler minnepinnen din, vil de bare se en låst stasjon og vil ikke kunne lese noe uten passordet, et smartkort eller gjenopprettingsnøkkelen.

Forskjeller mellom BitLocker og BitLocker To Go

Selv om de deler den samme underliggende teknologien, har BitLocker og BitLocker To Go litt forskjellige tilnærminger . BitLocker fokuserer på å kryptere systemstasjonen og andre interne disker, mens BitLocker To Go er rettet mot flyttbare stasjoner som du ofte kobler til og fra.

I kryptering av systemstasjoner kan BitLocker kombineres med TPM, oppstarts- PIN , passord og nøkler lagret på USB-stasjoner for å sikre datamaskinens oppstartsprosess. Ved oppstart, selv før Windows lastes, verifiserer systemet integriteten til systemstasjonen og krever den definerte autentiseringen. Ellers vil ikke systemet starte opp.

Når du krypterer en intern datapartisjon eller en ikke-oppstartsdisk, vil BitLocker be deg om passordet når du dobbeltklikker på stasjonen. Uten å skrive inn passordet forblir innholdet kryptert , uavhengig av NTFS-tillatelsene til mappene eller Windows-brukerne.

BitLocker To Go fokuserer derimot på den praktiske bruken av krypterte USB-stasjoner som du kan ta med deg . Koble stasjonen til en kompatibel Windows-datamaskin, skriv inn passordet ditt eller bruk smartkortet ditt, og stasjonen dekrypteres. Når du kopierer filer til den stasjonen, krypteres de umiddelbart; når du kopierer dem bort, dekrypteres de automatisk.

På eldre systemer som Windows XP eller noen utgaver av Vista, som ikke støtter BitLocker To Go direkte, tilbyr Microsoft BitLocker To Go-leseren , et lite verktøy som lar deg åpne FAT-disker beskyttet av BitLocker i skrivebeskyttet modus, slik at du i det minste kan gjenopprette informasjon.

Støttede Windows-versjoner og krav

BitLocker og BitLocker To Go er tilgjengelige i Pro-, Enterprise- og Education-utgavene av Windows . De er ikke inkludert i Home-versjonene, hvor du må bruke tredjepartsverktøy som VeraCrypt hvis du vil kryptere hele disker.

I Windows 7 , 8, 8.1, 10 og 11 kan konfigurasjonsalternativene og tilgjengelige algoritmer variere noe avhengig av den spesifikke versjonen. Fra og med Windows 10 versjon 1511 ble muligheten til å velge forskjellige krypteringsmetoder for oppstartsstasjoner, interne datastasjoner og flyttbare stasjoner introdusert via gruppepolicy.

Mange datamaskiner integrerer en Trusted Platform Module (TPM) -brikke på hovedkortet, noe som styrker BitLocker-sikkerheten ved å generere og lagre deler av nøklene sikkert i maskinvaren . For å se dette kan du åpne Enhetsbehandling og sjekke om en "Sikkerhets"-enhet (TPM) vises, eller kjøre tpm.msc med Windows + R.

Hvis datamaskinen din ikke har en TPM, trenger du ikke bekymre deg: du kan konfigurere BitLocker til å fungere uten en TPM ved hjelp av gruppepolicy og i stedet bruke passord eller en USB-stasjon med oppstartsnøkkelen. Bare aktiver alternativet «Krev ytterligere autentisering ved oppstart» og merk av for «Tillat BitLocker uten en kompatibel TPM».

Når det gjelder ytelse, er effekten ganske moderat på de fleste moderne systemer med støtte for AES-NI-maskinvarekryptering. Hvis du imidlertid oppdager trege USB-overføringer , har det blitt observert betydelige ytelsesfall på noen spesifikke SSD-er (for eksempel merkbare reduksjoner i tilfeldige lesehastigheter på visse avanserte disker) når BitLocker kjører utelukkende via programvare i stedet for å stole på SSD-ens maskinvarekryptering.

Slik får du tilgang til og aktiverer BitLocker To Go på Windows

For å administrere BitLocker og BitLocker To Go fra det grafiske grensesnittet, er den enkleste måten å gå til Kontrollpanel > System og sikkerhet > BitLocker-stasjonskryptering . Der vil du se stasjonene gruppert i: operativsystemstasjon, faste datastasjoner og flyttbare datastasjoner (BitLocker To Go).

En annen rask måte å komme dit på er å bruke søkefeltet i Windows. Når kontoen din er logget inn med administratorrettigheter , åpner du Start-menyen, skriver «BitLocker» og velger «Administrer BitLocker». Dette tar deg til den samme kontrollpanel-appleten, der alle stasjoner og krypteringsstatusen deres vises.

På stasjoner der den ikke er aktiv ennå, vil du se alternativet «Slå på BitLocker» . Hvis du klikker på det på en flyttbar stasjon, åpnes BitLocker To Go-veiviseren, som først spør deg hvordan du vil låse opp stasjonen.

På USB-stasjoner og eksterne harddisker kan du velge mellom et passord eller et smartkort. Passordet bør være sterkt, og kombinere store og små bokstaver, tall og symboler. Windows krever en minimumslengde, og i bedriftsmiljøer kan retningslinjene være strengere.

Før krypteringen starter, vil veiviseren be deg velge hvordan du vil lagre gjenopprettingsnøkkelen – livlinen du trenger hvis du glemmer passordet . Du har flere alternativer: Microsoft-kontoen din (lastet opp til OneDrive), en ukryptert USB-minnepinne, en tekstfil eller en utskrevet kopi. For hjemmedatamaskiner anbefaler Microsoft at du kobler den til Microsoft-kontoen din, eller i det minste lagrer den på et sted som ikke er kryptert med selve stasjonen.

Krypteringsalternativer: brukt plass, full disk og algoritmer

Når du begynner å kryptere en disk, spør BitLocker om du vil kryptere bare den brukte plassen eller hele disken. Å kryptere bare den brukte plassen er mye raskere, ideelt for nye eller nylig formaterte disker; men på disker med historikk kan slettede data fortsatt være tilstede i ledige sektorer og kan gjenopprettes hvis noen får tilgang til dem ukryptert.

For disker som tidligere har inneholdt data, er det sikreste alternativet å kryptere hele disken , selv om det tar lengre tid. På denne måten forblir selv slettede data beskyttet. På små disker (USB-stasjoner eller SSD-er med moderat kapasitet) er denne ekstra tiden vanligvis håndterbar.

Når det gjelder algoritmer, bruker Windows XTS-AES med en 128-bits nøkkel for interne disker og AES-CBC med en 128-bits nøkkel for eksterne stasjoner og USB-minnepinner som standard. XTS-AES er mer moderne, anses som mer robust i visse scenarier, og tilbyr generelt overlegen ytelse.

Hvis du vil heve sikkerhetsstandarden, kan du bruke den lokale gruppepolicyredigereren ( gpedit.msc) til å spesifisere bruken av 256-bits nøkler for både XTS-AES og AES-CBC. Dette øker teoretisk sett motstanden mot brute-force-angrep, på bekostning av litt høyere ressursforbruk, selv om effekten er minimal på moderne systemer.

Microsoft tilbyr flere retningslinjer kalt «Velg stasjonskrypteringsmetode og krypteringsstyrke for…» som lar deg definere algoritmen og nøkkellengden separat for systemstasjoner, interne datastasjoner og flyttbare stasjoner, og tilpasse det til operativsystemet og dets versjon.

Administrere BitLocker To Go med gruppepolicyer i bedrifter

I bedriftsmiljøer gir det ikke mening at hver bruker bestemmer om de vil kryptere USB-stasjonen sin, hvordan nøklene skal lagres eller hvilken algoritme de skal bruke. For å unngå dette kaoset brukes gruppepolicyobjekter (GPO-er) , der administratoren håndhever BitLocker To Go-konfigurasjonen og automatiserer lagringen av gjenopprettingsnøkler i Active Directory.

Spesifikke retningslinjer for flyttbare stasjoner finnes i: Datamaskinkonfigurasjon > Administrative maler > Windows-komponenter > BitLocker-stasjonskryptering > Flyttbare datastasjoner . Derfra kan du for eksempel blokkere skriving til USB-stasjoner som ikke er kryptert med BitLocker.

Hoveddirektivet i denne forbindelse er « Nekt skrivetilgang til flyttbare stasjoner som ikke er beskyttet av BitLocker ». Hvis du aktiverer det, vil enhver ukryptert USB-stasjon bli montert i skrivebeskyttet modus, og Windows vil advare deg om at BitLocker må aktiveres før du kan lagre data.

Veiviseren som åpnes når kryptering startes, kan tilpasses for å vise færre alternativer til brukeren . Du kan for eksempel forhåndsdefinere at bare den brukte plassen eller hele disken alltid krypteres, eller velge en bestemt algoritme ved å bruke gruppepolicyene «Håndhev stasjonskrypteringstype på flyttbare datastasjoner» og «Velg stasjonskrypteringsmetode og krypteringsstyrke».

Når det gjelder administrasjon av gjenopprettingsnøkler, er det vanlig å konfigurere « Velg hvordan BitLocker-beskyttede flyttbare stasjoner kan gjenopprettes » og tvinge dem til å lagres automatisk i Active Directory. Hvis «Omgå gjenopprettingsalternativer i BitLocker-oppsettveiviseren» også er valgt, vil ikke brukere kunne lagre dem manuelt i filer eller utskrifter.

Kontroll av organisasjonsidentitet og håndheving av passord

En annen interessant funksjon er muligheten til å merke krypterte USB-stasjoner med organisasjonens identifikator , gjennom policyen «Oppgi unike identifikatorer for organisasjonen din». Hver krypterte stasjon er merket med denne ID-en, som kan være en streng på opptil 260 tegn.

Ved å kombinere denne identifikatoren med alternativet « Ikke tillat skrivetilgang til enheter konfigurert i en annen organisasjon » (inkludert i samme kategori av BitLocker To Go-policyer), kan du forhindre at brukere fortsetter å bruke USB-stasjoner som de krypterte på egenhånd før bedriftspolicyen ble implementert, eller som ikke oppfyller den interne standarden.

Policyen « Konfigurer passordbruk for flyttbare datastasjoner » brukes til å justere minimumskompleksiteten til BitLocker To Go-passord: lengde, tegnblanding osv. Disse reglene er vanligvis koordinert med domenets overordnede passordpolicy for å opprettholde et konsistent sikkerhetsnivå.

Hvis du også deaktiverer «Tillat brukere å suspendere og dekryptere BitLocker-beskyttelse på flyttbare datastasjoner», sikrer du at ingen kan fjerne krypteringen fra en bedrifts-USB-stasjon på egenhånd. Bare administratorer, fra konsollen sin, vil ha den muligheten.

Denne sentraliserte konfigurasjonen sikrer at krypteringen av bærbare disker ikke avhenger av hver enkelt ansatts velvilje, men av en konsekvent sikkerhetspolicy som gjelder i hele organisasjonen, noe som reduserer risikoen for datalekkasjer fra tapte USB-disker betraktelig.

TPM, oppstartssikkerhet og bruk av BitLocker uten TPM

Trusted Platform Module (TPM) er en liten kryptobrikke integrert i mange moderne hovedkort som forbedrer BitLocker-sikkerheten betydelig, spesielt når oppstartsstasjonen er kryptert. Den genererer og lagrer deler av krypteringsnøklene og bekrefter at oppstartsmiljøet ikke har blitt tuklet med.

Blant hovedfunksjonene er datakryptering og beskyttelse mot oppstartsskadelig programvare . TPM oppretter et nøkkelpar (offentlig og privat), beholder deler av den private nøkkelen og kontrollerer under oppstart at oppstartsbehandleren og andre kritiske komponenter ikke har blitt endret. Hvis den oppdager noe mistenkelig, kan den forhindre normal oppstart.

Brikken kan også aktivere en karantenemodus når den oppdager et potensielt kompromittert sikkerhetstiltak, slik at systemet kan forsøke å reparere det før det starter opp normalt. Videre fungerer den som et sikkert lager for sertifikater, passord og krypteringsnøkler, noe som er mye mer robust enn å lagre dem i diskfiler.

Det er ikke bare fordeler: bruk av TPM innebærer en viss avhengighet av maskinvaren , noe som betyr at en chipfeil kan gjøre krypterte data utilgjengelige hvis sikkerhetskopier og gjenopprettingsnøkler ikke er klargjort. Videre er ikke alle systemer og applikasjoner fullt kompatible, og administrasjon kan være kompleks for uerfarne brukere.

Hvis datamaskinen mangler en TPM, eller du fortsatt vil kryptere systemstasjonen, kan du bruke løsningen ved å aktivere policyen «Krev ytterligere autentisering ved oppstart» og merke av i boksen for å tillate BitLocker uten en TPM. I så fall sikres oppstarten ved hjelp av en USB-stasjon med en oppstartsnøkkel eller et passord før oppstart , som du må oppgi hver gang du slår på datamaskinen.

Avansert BitLocker-administrasjon med PowerShell

I tillegg til grafiske verktøy tilbyr Windows en rekke PowerShell-cmdleter for å administrere BitLocker og BitLocker To Go med mye større fleksibilitet, ideelt for å automatisere oppgaver, skrive skript eller administrere dusinvis av datamaskiner samtidig.

PowerShell er et kraftig kommandolinjegrensesnitt og skriptmiljø som erstatter de gamle MS-DOS .bat-filene. Fra det kan du sjekke diskstatus, aktivere kryptering, legge til eller fjerne beskyttelse, låse eller låse opp disker og deaktivere BitLocker, alt ved hjelp av veldefinerte kommandoer.

For å se statusen til en bestemt stasjon, bruk cmdleten Get-BitLockerVolume , som godtar MountPoint-parameteren (for eksempel F:). Hvis du legger til "| fl" på slutten, får du en detaljert liste over konfigurerte beskyttere, krypteringsprosent, låsestatus og så videre.

Administrering av sikkerhetsfunksjoner (passord, gjenopprettingsnøkler, oppstartsnøkler) gjøres med Add-BitLockerKeyProtector . Du kan legge til en passordbeskytter, en gjenopprettingsnøkkelbeskytter (lagret som en fil på et angitt sted), en 48-sifret passordbeskytter for gjenoppretting eller en oppstartsnøkkel lagret på en USB-stasjon.

Når du har konfigurert de ønskede beskyttelsene, startes krypteringen ved hjelp av Enable-BitLocker , der du spesifiserer stasjonen med monteringspunktet og typen beskyttelse som skal brukes. Systemet vil begynne å kryptere disken og vise (eller du kan tvinge det frem med fvenotify.exe) et fremdriftsvindu.

Når du vil låse, opplåse eller konfigurere automatisk opplåsing for en kryptert stasjon, har du tilgang til Lock-BitLocker, Unlock-BitLocker, Enable-BitLockerAutoUnlock og Disable-BitLockerAutoUnlock . Med Unlock-BitLocker kan du velge hvilken sikkerhetsmetode du vil bruke for å åpne stasjonen: et standardpassord, et gjenopprettingspassord eller en fil med en gjenopprettingsnøkkel.

For å deaktivere og dekryptere en stasjon du ikke lenger vil beskytte, bruk Disable-BitLocker . Når du kjører den, dekrypteres stasjonen gradvis til den er i ren tekst, og du kan overvåke fremdriften via varslingsboksen ved å kjøre fvenotify.exe.