Konfigurer BitLocker på eksterne disker trinn for trinn

Hvis du jobber med eksterne harddisker eller USB-minnepinner fulle av sensitiv informasjon, Konfigurer BitLocker på eksterne disker Det er sannsynligvis en av de beste sikkerhetsavgjørelsene du kan ta i Windows. Denne krypteringsfunksjonen fra Microsoft lar deg beskytte alt innholdet på en stasjon, slik at dataene er fullstendig utilgjengelige uten passord eller gjenopprettingsnøkkel.

BitLocker og Windows-enhetskryptering har imidlertid sine nyanser: Det fungerer ikke på samme måte på systemstasjonen som på en ekstern harddisk.Det er forskjeller mellom Windows-versjoner, det spiller en rolle om du har en TPM-brikke eller ikke, det kan påvirke ytelsen noe (spesielt på noen SSD-er), og det finnes også alternativer når Windows-utgaven din ikke inkluderer BitLocker. La oss se, trinn for trinn og i detalj, på alt du trenger å vite for å kryptere eksterne disker uten å rote til ting og uten å miste data.

BitLocker og enhetskryptering: hva hver enkelt er og hvordan de er forskjellige

I Windows eksisterer det to konsepter som er svært like, men ikke helt like: enhetskryptering y BitLocker-diskkrypteringÅ forstå denne forskjellen hjelper deg å vite hva du kan og ikke kan gjøre med dine eksterne harddiskene.

Enhetskryptering er en funksjon som er aktivert som standard på enkelte Windows-maskiner. Når du starter en ny PC med en Microsoft-konto, enten det er på jobb eller skoleSystemet kan automatisk aktivere intern diskkryptering. Gjenopprettingsnøkkelen lastes opp til den kontoen uten at du trenger å gjøre noe. Med en lokal konto aktiveres den imidlertid vanligvis ikke automatisk.

Den store forskjellen er at enhetskryptering er designet for ikke-avanserte brukere og datamaskiner som vanligvis leveres med Windows HomeMens den «klassiske» BitLocker (fullversjonen med alle alternativer) bare er tilgjengelig i Pro-, Enterprise- og Education-utgavene, gir BitLocker deg i praksis mye mer kontroll: du kan kryptere eksterne disker, USB-minnepinner, ekstra partisjoner og systemdisken ved hjelp av forskjellige metoder og nøkler.

Hvis du vil vite hvorfor alternativet for enhetskryptering ikke vises på PC-en din, kan du åpne verktøyet "Systeminformasjon" som administrator og se på verdien av Automatisk kompatibilitet med enhetskrypteringDer vil du se meldinger som «oppfyller kravene», «TPM kan ikke brukes», «WinRE er ikke konfigurert» eller «PCR7-koblingen støttes ikke», som forteller deg hvilken del som mangler for at den skal aktiveres automatisk.

Slik fungerer BitLocker: passord, nøkler og diskoppførsel

BitLocker krypterer hele disker, enten interne eller eksterne. Når du aktiverer kryptering, må du definere en Passord for å låse opp harddisken Eller bruk annen beskyttelse, som gjenopprettingsnøkler, smartkort eller en USB-stasjon. Dette passordet er avgjørende: hvis du mister det og heller ikke har lagret gjenopprettingsnøkkelen riktig, vil dataene mest sannsynlig ikke kunne gjenopprettes.

Når en ekstern disk er kryptert, er oppførselen ganske praktisk: Alt du kopierer til harddisken krypteres underveis. Og alt du leser blir automatisk dekryptert etter at du har låst det opp. Du trenger ikke å kryptere fil for fil eller gjøre noe uvanlig; Windows gjør det i bakgrunnen.

Hvis du krypterer harddisken der operativsystemet ligger, endres følgende når du blir bedt om å oppgi passord eller autentisering: selv før Windows starterHvis du ikke skriver inn riktig BitLocker-nøkkel, vil ikke systemet fullføre oppstarten. Etterpå kan du logge på med Windows-brukernavnet og -passordet ditt som vanlig; dette er to separate prosesser.

Når vi snakker om interne eller eksterne datadisker (uten operativsystem), er det vanlig at du ser stasjonen med et hengelåsikon når du starter Windows. Når du dobbeltklikker på den stasjonen, blir du bedt om å oppgi BitLocker-passordet ditt.Når den er låst opp, kan du bruke den som normalt til du låser den igjen eller slår av datamaskinen.

Algoritmer, krypteringsstyrke og deres innvirkning på ytelse

BitLocker kan fungere med forskjellige krypteringsalgoritmer og nøkkellengder. Som standard bruker moderne interne harddisker XTS-AES med en 128-bits nøkkel.På flyttbare stasjoner og USB-stasjoner bruker den vanligvis AES-CBC, også på 128 bits, for kompatibilitet med eldre versjoner av Windows.

XTS-AES er en nyere og optimalisert modus: Det gir større sikkerhet mot visse blokkmanipulasjoner og er vanligvis raskere.AES-CBC er fortsatt sikkert hvis du bruker sterke passord, men det er litt mindre effektivt og har flere kryptografiske ulemper, så det regnes som en overgangsordning.

I profesjonelle utgaver av Windows kan du gå et skritt videre, og gjennom lokale gruppedirektiverDu kan justere både algoritmen (XTS-AES eller AES-CBC) og nøkkellengden (128 eller 256 bit). Fra et praktisk synspunkt gir 256 bit en større teoretisk sikkerhetsmargin, og på moderne systemer er ytelsesforskjellen minimal, spesielt hvis prosessoren støtter AES-NI.

Det er imidlertid ikke bare fordeler. Noen avanserte NVMe SSD-er har vist seg å ha problemer med ytelsen. når BitLocker kjører i fullstendig programvarebasert modusTilfeldige lese-/skrivehastigheter kan synke betydelig. For eksempel, på en 4TB Samsung 990 Pro, har det blitt observert fall på opptil 45 % i visse tester med BitLocker aktivert.

I slike ekstreme tilfeller er alternativene å deaktivere BitLocker (som ofrer sikkerheten) eller Konfigurer SSD-en til å bruke maskinvarebasert krypteringeller vurdere tiltak for å aktiver skrivebuffering på eksterne disker og øke hastigheten på overføringer, som vanligvis innebærer å installere Windows på nytt og sørge for at harddisken er riktig konfigurert fra starten av. For de fleste brukere vil imidlertid effekten være nesten umerkelig.

Hva er en gruppepolicy og hvordan endrer man krypteringsmetoden

Gruppepolicyer i Windows er en avansert måte å justere operativsystemets oppførsel både på team- og brukernivå. I et hjemmemiljø snakker vi om lokale gruppepolicyer, som redigeres med gpedit.msc-verktøyet i Pro-, Enterprise- og lignende utgaver.

For å justere BitLocker-krypteringsalgoritmen og -styrken, åpne policyredigereren (Win + R, skriv gpedit.msc) og naviger til: Lokal datamaskinpolicy > Datamaskinkonfigurasjon > Administrative maler > Windows-komponenter > BitLocker-stasjonskryptering. Der vil du se flere policyer som er spesifikke for din Windows-versjon.

Du finner separate retningslinjer for eldre versjoner og for Windows 10 og nyereI de nyeste versjonene kan du velge en annen algoritme for interne oppstartsdisker, interne datadisker og flyttbare/USB-stasjoner. For hver av dem kan du velge XTS-AES eller AES-CBC, samt 128 eller 256 bit, og om du vil bruke en ekstra diffuser på eldre systemer eller ikke.

Vær oppmerksom på at disse endringene kun gjelder for plater som du koder fra det øyeblikket og utoverKrypterte disker vil beholde sin opprinnelige konfigurasjon. Videre trer disse retningslinjene bare i kraft hvis de samsvarer med den faktiske installerte Windows-versjonen.

Når du har gjort de nødvendige endringene, anbefales det å fremtvinge en policyoppdatering for å unngå å måtte vente på standardintervallet (omtrent 90 minutter). For å gjøre dette, åpne Kjør (Win + R) og kjør kommandoen. gpupdate /target:Datamaskin /forceDette implementerer endringene umiddelbart, og du kan deretter kryptere nye disker med den valgte konfigurasjonen.

Slik aktiverer du BitLocker på interne og eksterne stasjoner fra det grafiske grensesnittet

Windows tilbyr flere grafiske måter å aktivere BitLocker uten å bruke kommandoer. I alle disse tilfellene er det viktigste at stasjonen er... formatert og med tilordnet skrifttypeEllers vil den ikke fremstå som krypterbar.

Den mest direkte ruten er via Filutforsker: Høyreklikk på den interne eller eksterne harddisken. Velg enheten du vil beskytte, og velg deretter «Slå på BitLocker». Dette åpner veiviseren der du velger opplåsingspassordet ditt, hvordan du lagrer gjenopprettingsnøkkelen og krypteringstypen.

En annen måte er gjennom det klassiske Kontrollpanel. Fra Start-menyen åpner du Kontrollpanel > System og sikkerhet > BitLocker-stasjonskryptering. Du vil se en gruppert liste over stasjoner: systemdisk, datadisker og lenger nede, flyttbare enheter, hvor BitLocker To Go for USB-minnepinner og eksterne harddisker kommer inn i bildet.

Du kan også få tilgang til den fra Innstillinger-appen (spesielt i Windows 10/11). Gå til System > Om, og nederst skal du se en lenke til BitLocker-konfigurasjon, som tar deg til det samme administrasjonspanelet.

Når du starter veiviseren på en bestemt stasjon, er det første trinnet å definere opplåsingspassordet. Det bør inkludere store bokstaver, små bokstaver, tall og symbolerDeretter må du bestemme hvordan du vil lagre gjenopprettingsnøkkelen (Microsoft-konto, fil, USB, utskrift) og om du bare vil kryptere den brukte plassen eller hele disken – noe som er spesielt relevant hvis den eksterne harddisken allerede har [noe som mangler i den opprinnelige teksten]. gamle data slettet som kunne gjenvinnes.

Ekstern diskkryptering og BitLocker To Go

For eksterne stasjoner (USB-stasjoner, flash-stasjoner osv.) bruker Windows en spesifikk modus som kalles BitLocker To GoAv praktiske årsaker er grensesnittet nesten identisk, men internt justeres standardalgoritmen for å maksimere kompatibiliteten med andre Windows-maskiner som ikke er fullstendig oppdatert.

Fremgangsmåten er veldig enkel: koble til den eksterne harddisken, vent til den vises i Filutforsker, høyreklikk på harddisken og velg «Slå på BitLocker». Veiviseren vil deretter be deg om å konfigurere opplåsingspassordet, og så vil den foreslå at du sikkerhetskopierer gjenopprettingsnøkkelen din.

Når du senere kobler den disken til en annen kompatibel Windows-PC, vil systemet oppdage at den er kryptert og Det vil vise en boks for å skrive inn passordet.Du kan merke av i boksen slik at den automatisk låses opp på den spesifikke datamaskinen i fremtiden, noe som er veldig nyttig hvis det er en pålitelig PC.

I de avanserte innstillingene til den allerede krypterte stasjonen har du alternativer som å endre passordet, fjerne det (forutsatt at du konfigurerer en annen autentiseringsmetode), generere nye kopier av gjenopprettingsnøkkelen, Aktiver automatisk opplåsing eller deaktiver BitLocker helt for å dekryptere disken.

Hvis du fortsatt bruker svært gamle systemer som Windows XP eller Vista, gjenkjenner de ikke BitLocker To Go-disker. I så fall tilbød Microsoft et verktøy kalt «BitLocker To Go Reader» som tillot i det minste skrivebeskyttet tilgang til FAT-formaterte krypterte USB-disker, forutsatt at riktig nøkkel ble skrevet inn.

TPM: Brikken som styrker BitLocker (og hvordan du bruker den uten TPM)

TPM (Trusted Platform Module) er en liten brikke på hovedkortet som er utformet for å lagre kryptografiske nøkler og sjekk oppstartsintegritetenNår den kombineres med BitLocker, lagres deler av krypteringsnøkkelen i TPM og en annen del på disken, slik at en angriper ikke bare kan flytte disken til en annen datamaskin og lese den.

TPM hjelper også med å oppdage mistenkelige endringer i maskinvare eller fastvare. Hvis du for eksempel oppdaterer BIOS, bytter ut kritiske komponenter eller manipulerer visse oppstartsparametere, kan TPM anse miljøet som ikke-klarert og Det vil kreve at du skriver inn gjenopprettingsnøkkelen. BitLocker ved neste oppstart.

Det er ikke bare fordeler: Som en fysisk komponent, hvis TPM-brikken svikter eller du bytter den ut uten å ha sikkerhetskopiert gjenopprettingsnøklene dine, kan du miste tilgangen til de krypterte dataene dine. Videre utnytter ikke alle systemer eller programmer TPM fullt ut, og det er alltid mulighet for implementeringsfeil, feil eller sårbarheter.

For å sjekke om datamaskinen din har en aktiv TPM, kan du trykke på Win + R og kjøre tpm.mscHvis du åpner administrasjonskonsollen og ser en status som «TPM klar til bruk», er du på rett spor. Hvis du ser en feil som indikerer at en kompatibel TPM ikke finnes, kan den være deaktivert i BIOS/UEFI, eller det kan hende at hovedkortet ditt ikke har en i det hele tatt.

Likevel krever ikke BitLocker TPM som et obligatorisk krav. Det er mulig Bruk BitLocker uten TPM ved å aktivere en policy gpedit.msc-filen lar deg kreve ytterligere autentisering ved oppstart og aktivere bruken uten en TPM-modul. I disse tilfellene kan det primære sikkerhetstiltaket være et passord eller en nøkkel lagret på en USB-stasjon som du må ha koblet til for å starte opp.

Bruke BitLocker med og uten TPM på systemstasjonen

Å kryptere disken der operativsystemet er installert er et svært kraftig sikkerhetstiltak, men det krever noen ekstra hensyn. BitLocker oppretter en liten ukryptert oppstartspartisjon der den lagrer filene som er nødvendige for å starte systemet, og hovedsystempartisjonen forblir kryptert inntil autentiseringen er validert.

Hvis du har en TPM, er den ideelle tilnærmingen å kombinere den med en ekstra PIN-kode eller et passord i "TPM + PIN"-modus for å styrke oppstartsprosessen. På denne måten, selv om hele datamaskinen din blir stjålet, vil de trenge både maskinvaren og passordet du kjenner. Windows håndterer denne kombinasjonen relativt sømløst.

Når det ikke finnes TPM, eller du ikke vil bruke det, bør du bruke policyen «Krev ytterligere autentisering ved oppstart» på operativsystemenhetene i gruppepolicyredigereren. Aktivere alternativet for å tillate BitLocker uten TPMVeiviseren lar deg bruke et passord ved oppstart eller en USB-stasjon som inneholder en fil med opplåsingsnøkkelen.

I dette tilfellet vil assistenten be deg om å sett inn en USB-minnepinne For å lagre oppstartsnøkkelen eller angi et komplekst passord. Denne USB-stasjonen kan ikke fjernes under krypteringsprosessen eller under første omstart. Det er også lurt å justere oppstartsrekkefølgen i BIOS, slik at datamaskinen ikke prøver å starte opp fra USB-stasjonen som inneholder nøkkelen.

Når krypteringen er fullført og du har bekreftet at systemet starter opp riktig, anbefales det å lagre kopier av oppstartsnøkkelen (og gjenopprettingsnøkkelen) på et veldig sikkert sted: en annen kryptert enhet, en passordbehandler eller, hvis du bruker en, Microsoft/OneDrive-kontoen din.

BitLocker og nettverk: oppførselen til krypterte eksterne stasjoner

En detalj som ofte reiser tvil er hvordan den oppfører seg en ekstern harddisk kryptert med BitLocker når den deles over et nettverkDet er viktig å forstå at BitLocker beskytter mot direkte fysisk tilgang til enheten; det fungerer ikke som et autentiseringssystem på nettverket.

Dette betyr at du for eksempel ikke kan skrive inn BitLocker-passordet ditt fra en annen ekstern datamaskin for å låse opp harddisken. Det første du må gjøre er låse opp harddisken på datamaskinen som den er fysisk koblet tilEtter det kan du dele mapper eller hele volumet ved hjelp av Windows-fildelingsalternativer.

Når de er delt, vil nettverksbrukere få tilgang til dataene ved hjelp av sine vanlige Windows-legitimasjon (nettverksbrukernavn/passord, NTFS- og delingstillatelser osv.), men BitLocker-kryptering håndteres av datamaskinen med den tilkoblede stasjonen. Hvis datamaskinen slår seg av eller låser stasjonen, blir ressursen utilgjengelig.

Gjenopprettingsnøkler og sikkerhetskopier: ditt sikkerhetsnett

Hver gang du krypterer en disk med BitLocker, genererer veiviseren en 48-sifret gjenopprettingsnøkkelDet er din livline når du glemmer ditt vanlige passord, eller når systemet på grunn av endringer i maskinvare eller fastvare bestemmer seg for at det må be om den ekstra nøkkelen ved oppstart.

Windows tilbyr flere måter å lagre nøkkelen på: i Microsoft-kontoen din (den er lagret i OneDrive-profilen din), på en ukryptert USB-stasjon, i en tekstfil eller direkte skrevet ut på papir. Ideelt sett bør minst to metoder kombineres. og la aldri den eneste kopien av nøkkelen ligge på disken du krypterer.

Hvis du krypterer flere stasjoner, har hver gjenopprettingsnøkkelfil en unik identifikator i navnet (en GUID) som samsvarer med den som vises når systemet ber deg om nøkkelen. Det er avgjørende å opprettholde denne forbindelsen for å vite hvilken fil som tilsvarer hvilken stasjon i tilfelle en nødsituasjon.

Utover BitLocker er den eneste solide strategien mot maskinvarefeil, korrupsjon eller sikkerhetsbrister å opprettholde fullstendige sikkerhetskopier på separate enheterHvis disse kopiene også lagres på en annen kryptert disk eller i en skytjeneste som også krypterer dataene, vil du ha et svært høyt beskyttelsesnivå mot tap eller tyveri.

Husk at hvis en kryptert disk blir fysisk skadet, selv om du klarer å gjenopprette isolerte sektorer ved hjelp av rettsmedisinske teknikker, Uten de riktige nøklene vil dataene forbli krypterte. og de vil ikke være lesbare. Derfor er kombinasjonen av kryptering og redundant sikkerhetskopiering så viktig.

PowerShell og cmdlets for avansert BitLocker-administrasjon

I tillegg til det grafiske grensesnittet og konsollverktøyet manage-bde, inkluderer Windows BitLocker-spesifikke PowerShell-cmdleterveldig nyttig når du vil automatisere oppgaver eller administrere mange enheter samtidig og mål disk-I/O per prosess.

Den grunnleggende kommandoen for å se statusen til enhetene er Get-BitLockerVolumesom aksepterer -MountPoint-parameteren for å spesifisere en spesifikk stasjon. Hvis du legger til "| fl" på slutten, får du detaljert utdata med alle konfigurerte beskyttere, krypteringsstatus, fullført prosent osv.

For å legge til ulike typer beskyttelse (passord, gjenopprettingsnøkkel, gjenopprettingspassord eller oppstartsnøkkel), bruker du Legg til BitLockerKeyProtector med passende parametere for hvert tilfelle (for eksempel -PasswordProtector, -RecoveryKeyPath, -StartupKeyProtector…). På denne måten kan du klargjøre en disk med alle opplåsingsmetodene før du aktiverer kryptering.

Cmdlet-en som faktisk starter krypteringen er Aktiver BitLockerDu sender stasjonsbokstaven (-MountPoint) og beskyttelsen du vil bruke i det øyeblikket til denne kommandoen. For å stoppe eller gjenoppta kryptering, eller for å manuelt låse eller låse opp et volum, har du kommandoer som Lock-BitLocker, Unlock-BitLocker, Enable-BitLockerAutoUnlock eller Disable-BitLockerAutoUnlock.

Til slutt, hvis du på noe tidspunkt bestemmer deg for å dekryptere en disk fullstendig og fjerne BitLocker, vil du bruke Deaktiver BitLockerProsessen kan ta litt tid avhengig av størrelsen på harddisken og hastigheten på maskinvaren, men når den er ferdig, vil volumet være tilbake til ren tekst og uten tilhørende beskyttere.

Vanlige BitLocker-problemer og hvordan du løser dem

Selv om det er en ganske stabil teknologi, er BitLocker ikke uten sporadiske feil. En av de vanligste er at etter en BIOS-oppdatering, en maskinvareendring eller en endring av oppstartskonfigurasjonen, Systemet vil begynne å spørre etter gjenopprettingsnøkkelen ved hver oppstart.

Den vanlige måten å fikse det på er å starte opp én gang ved å skrive inn gjenopprettingsnøkkelen, og deretter deaktivere beskytterne midlertidig Bruk `manage-bde` (for eksempel `manage-bde -protectors -disable C:`), gjør de nødvendige endringene og aktiver dem deretter på nytt med `manage-bde -protectors -enable C:`. Dette "tilbakestiller" TPM-ens tillit angående maskinens gjeldende tilstand.

Det er også vanlig å se en gul trekant over stasjonen i Utforsker eller Enhetsbehandling, som indikerer at BitLocker er suspendert eller at endringer venter etter en oppdatering. I disse tilfellene er det vanligvis nok å gå til BitLocker-innstillingene for den berørte stasjonen og CV-beskyttelse, eller bruk manage-bde -resume C: på en konsoll med administratorrettigheter.

Hvis feilmeldingene peker på problemer med TPM (fra tpm.msc eller Enhetsbehandling), anbefales det å sjekke i BIOS/UEFI at TPM/Intel PTT/AMD fTPM er aktivertOppdater fastvaren, og fjern om nødvendig TPM fra administrasjonskonsollen (noe som vil generere de tilknyttede nøklene på nytt og kreve at BitLocker konfigureres på nytt).

Utover disse typiske tilfellene er nøkkelen å ikke aktivere kryptering lettvint: det er alltid lurt å sørge for at du har oppdaterte sikkerhetskopier og flere kopier av gjenopprettingsnøkler før du gjør dyptgripende endringer i maskinvare eller fastvare.

Alternativer til BitLocker for kryptering av eksterne disker

Ikke alle datamaskiner har en BitLocker-kompatibel utgave av Windows, og det er ikke alltid verdt å oppgradere bare for den funksjonen. I slike situasjoner kan du ty til andre krypteringsverktøy for å beskytte eksterne harddisker og USB-minnepinner.

En av de mest populære er VeraCrypt, et gratis og åpen kildekode-prosjekt som tillater kryptering hele disker, løse partisjoner eller containere (filer som fungerer som krypterte virtuelle disker). Den støtter algoritmer som AES, Serpent eller Twofish og moderne moduser som XTS, noe som gjør den svært fleksibel og plattformuavhengig.

Et annet alternativ er programmer som fokuserer på krypter bestemte mapper, som for eksempel Anvi Folder Locker eller Hook Folder Locker. Tilnærmingen deres er annerledes: i stedet for å kryptere hele harddisken, velger du bestemte mapper, tildeler dem et hovedpassord, og programmet håndterer låsing eller opplåsing av tilgang etter behov.

Hvis du foretrekker å forbli innenfor Windows-økosystemet uten BitLocker, finnes det også EFS (Encrypted File System), som lar deg kryptere filer og mapper knyttet til en bestemt bruker. Det er raskt og relativt praktisk, men Den er ikke like robust eller uavhengig av systemet Som BitLocker: nøkkelen lagres i selve operativsystemet, det kan være rester av informasjon i hurtigbuffere eller midlertidige sektorer, og hvis noen får tilgang til Windows-økten din, ser de dataene i ren tekst.

Derfor, når du har muligheten, er den beste måten å kryptere eksterne disker på å holde seg til BitLocker, eller hvis det ikke fungerer, VeraCrypt. EFS og mappeverktøy er greit som et midlertidig tiltak, men de erstatter ikke full diskkryptering når du vil beskytte en hel disk.

Alt i alt, hvis du har et godt krypteringsskjema på de eksterne diskene dine, kombinerer det med regelmessige sikkerhetskopier og forstår hvordan gjenopprettingsnøkler fungerer, kan du håndtere sensitiv informasjon med mye mer ro i sjelen både i hverdagen og når du fysisk tar med deg disse enhetene ut av hjemmet eller kontoret.

Relatert artikkel:

Komplett BitLocker To Go-opplæring: sikker kryptering på USB-stasjoner og eksterne stasjoner

Isaac

Lidenskapelig forfatter om verden av bytes og teknologi generelt. Jeg elsker å dele kunnskapen min gjennom å skrive, og det er det jeg skal gjøre i denne bloggen, vise deg alle de mest interessante tingene om dingser, programvare, maskinvare, teknologiske trender og mer. Målet mitt er å hjelpe deg med å navigere i den digitale verden på en enkel og underholdende måte.