Kompletný návod na BitLocker To Go: bezpečné šifrovanie na USB diskoch a externých diskoch

Ak pracujete s externými pevnými diskami, USB kľúčmi alebo SD kartami , pravdepodobnosť, že sa jeden z nich stratí alebo sa dostane do nesprávnych rúk, je vyššia, než by sme chceli. A tu prichádza na rad BitLocker To Go, riešenie od spoločnosti Microsoft, ktoré zabezpečí, že aj keď zariadenie stratíte, nikto si bez vášho hesla alebo obnovovacieho kľúča neprečíta ani jeden bajt.

V tejto príručke sa oveľa podrobnejšie ako zvyčajne dozviete, čo presne je BitLocker To Go, ako ho nakonfigurovať v systéme Windows, ako ho spravovať pomocou skupinovej politiky, čo robiť, ak stratíte heslo, a aké máte alternatívy, ak chcete šifrovanie posunúť o krok ďalej. Taktiež sa budeme venovať „bežnému“ BitLockeru, úlohe čipu TPM, jeho vplyvu na výkon a niekoľkým pokročilým trikom PowerShellu , aby ste mohli nástroj ovládať ako IT profesionál.

Čo je BitLocker a čo pridáva BitLocker To Go?

BitLocker je funkcia šifrovania disku, ktorá je súčasťou edícií Windows Pro, Enterprise a Education (od systému Windows Vista). Jej účelom je chrániť všetok obsah disku (vrátane operačného systému), aby nikto nemohol prečítať údaje bez správneho kľúča, a to ani v prípade, že spustí počítač z iného operačného systému alebo pripojí disk k inému počítaču.

V prípade zariadení spravovaných spoločnosťami je šifrovanie BitLocker zvyčajne riadené centrálne IT oddelením . Mnohé organizácie dokonca nariaďujú šifrovanie konkrétnych diskov alebo všetkých notebookov prostredníctvom skupinových politík bez zásahu používateľa.

Z ovládacieho panela máte prístup k modulu BitLocker Drive Encryption , kde systém Windows zobrazuje všetky jednotky s priradeným písmenom: jednotku operačného systému, interné dátové jednotky a vymeniteľné jednotky, ktoré nás zaujímajú pre BitLocker To Go.

BitLocker To Go je variant BitLockeru navrhnutý špeciálne pre vymeniteľné médiá: USB kľúče, SD karty a externé pevné disky so súborovými systémami NTFS , FAT16, FAT32 alebo exFAT . Jeho účel je jednoduchý: ak niekto nájde alebo ukradne váš USB kľúč, uvidí iba uzamknutý disk a bez hesla, čipovej karty alebo obnovovacieho kľúča nebude môcť nič prečítať.

Rozdiely medzi BitLockerom a BitLockerom To Go

Hoci zdieľajú rovnakú základnú technológiu, BitLocker a BitLocker To Go majú mierne odlišné prístupy . BitLocker sa zameriava na šifrovanie systémového disku a iných interných diskov, zatiaľ čo BitLocker To Go je určený pre vymeniteľné disky, ktoré často pripájate a odpájate.

Pri šifrovaní systémových jednotiek je možné BitLocker kombinovať s TPM, bootovacím PIN kódom , heslami a kľúčmi uloženými na USB diskoch na zabezpečenie procesu bootovania počítača. Po zapnutí, ešte pred spustením systému Windows, systém overí integritu systémovej jednotky a vyžaduje definované overenie; inak sa systém nespustí.

Keď šifrujete interný dátový oddiel alebo disk, ktorý nie je bootovací, BitLocker vás po dvojitom kliknutí na disk vyzve na zadanie hesla. Bez zadania hesla zostane obsah šifrovaný bez ohľadu na povolenia NTFS priečinkov alebo používateľov systému Windows.

BitLocker To Go sa na druhej strane zameriava na praktické využitie šifrovaných USB diskov, ktoré si môžete nosiť so sebou . Pripojte disk ku kompatibilnému počítaču so systémom Windows, zadajte heslo alebo použite čipovú kartu a disk sa pripojí dešifrovaný. Keď kopírujete súbory na tento disk, sú šifrované za chodu; keď ich kopírujete z disku, sú automaticky dešifrované.

V starších systémoch, ako je Windows XP alebo niektoré vydania systému Vista, ktoré natívne nepodporujú nástroj BitLocker To Go, spoločnosť Microsoft ponúka čítačku BitLocker To Go , malý nástroj, ktorý umožňuje otvárať disky FAT chránené nástrojom BitLocker v režime iba na čítanie, takže môžete aspoň obnoviť informácie.

Podporované verzie a požiadavky systému Windows

Nástroje BitLocker a BitLocker To Go sú dostupné v edíciách Pro, Enterprise a Education systému Windows . Nie sú súčasťou verzií Home, kde budete musieť na šifrovanie celých diskov použiť nástroje tretích strán, ako napríklad VeraCrypt.

V systémoch Windows 7 , 8, 8.1, 10 a 11 sa možnosti konfigurácie a dostupné algoritmy môžu mierne líšiť v závislosti od konkrétnej verzie. Počnúc systémom Windows 10 verzie 1511 bola prostredníctvom skupinovej politiky zavedená možnosť výberu rôznych metód šifrovania pre zavádzacie disky, interné dátové disky a vymeniteľné disky.

Mnoho počítačov má na základnej doske integrovaný čip Trusted Platform Module (TPM) , ktorý posilňuje zabezpečenie BitLockeru generovaním a bezpečným uložením časti kľúčov v hardvéri . Ak ho chcete zobraziť, môžete otvoriť Správcu zariadení a skontrolovať, či sa zobrazuje zariadenie „Zabezpečenie“ (TPM), alebo spustiť súbor tpm.msc s klávesovou skratkou Windows + R.

Ak váš počítač nemá TPM, nebojte sa: BitLocker môžete nakonfigurovať tak, aby fungoval bez TPM , pomocou skupinovej politiky a namiesto toho používať heslá alebo USB disk so zavádzacím kľúčom. Jednoducho povoľte možnosť „Vyžadovať dodatočné overenie pri spustení“ a začiarknite políčko „Povoliť BitLocker bez kompatibilného TPM“.

Pokiaľ ide o výkon, na väčšine moderných systémov s podporou hardvérového šifrovania AES-NI je vplyv pomerne mierny . Ak si však všimnete pomalé prenosy cez USB , na niektorých konkrétnych SSD diskoch sa pozoroval výrazný pokles výkonu (napríklad badateľné zníženie rýchlosti náhodného čítania na určitých špičkových diskoch), keď BitLocker beží výlučne prostredníctvom softvéru namiesto spoliehania sa na hardvérové ​​šifrovanie SSD disku.

Ako získať prístup k nástroju BitLocker To Go a ako ho aktivovať v systéme Windows

Ak chcete spravovať BitLocker a BitLocker To Go z grafického rozhrania, najjednoduchší spôsob je prejsť do časti Ovládací panel > Systém a zabezpečenie > Šifrovanie jednotiek BitLocker . Tam uvidíte jednotky zoskupené do skupín: jednotka operačného systému, pevné dátové jednotky a vymeniteľné dátové jednotky (BitLocker To Go).

Ďalším rýchlym spôsobom, ako sa tam dostať, je použitie vyhľadávacieho panela systému Windows. Po prihlásení sa do účtu s oprávneniami správcu otvorte ponuku Štart, zadajte výraz „BitLocker“ a vyberte možnosť „Spravovať BitLocker“. Týmto sa dostanete k rovnakému apletu ovládacieho panela, kde sa zobrazia všetky jednotky a ich stav šifrovania.

Na diskoch, kde ešte nie je aktívny, sa zobrazí možnosť „Zapnúť BitLocker“ . Kliknutím na ňu na vymeniteľnom disku sa otvorí sprievodca BitLocker To Go, ktorý sa vás najprv opýta, ako chcete disk odomknúť.

Na USB kľúčoch a externých pevných diskoch si môžete vybrať medzi heslom alebo inteligentnou kartou. Heslo by malo byť silné a malo by obsahovať veľké a malé písmená, čísla a symboly; systém Windows bude vyžadovať minimálnu dĺžku a v podnikových prostrediach môžu byť pravidlá prísnejšie.

Pred začatím šifrovania vás sprievodca požiada o výber spôsobu uloženia kľúča na obnovenie – záchranného lana, ktoré budete potrebovať, ak zabudnete heslo . Máte niekoľko možností: váš účet Microsoft (nahraný do služby OneDrive), nešifrovaný USB kľúč, textový súbor alebo tlačená kópia. V prípade domácich počítačov spoločnosť Microsoft odporúča prepojiť ho s vaším účtom Microsoft alebo ho aspoň uložiť na miesto, ktoré nie je šifrované samotným diskom.

Možnosti šifrovania: využité miesto, celý disk a algoritmy

Keď začnete šifrovať disk, BitLocker sa vás opýta, či chcete šifrovať iba použitý priestor alebo celý disk. Šifrovanie iba použitého priestoru je oveľa rýchlejšie, ideálne pre nové alebo nedávno naformátované disky; na diskoch s históriou však môžu byť vymazané údaje stále prítomné vo voľných sektoroch a dajú sa obnoviť, ak k nim niekto pristupuje nešifrované.

Pre disky, ktoré predtým obsahovali dáta, je najbezpečnejšou možnosťou zašifrovať celý disk , aj keď to trvá dlhšie. Týmto spôsobom zostanú chránené aj vymazané dáta. Na malých diskoch (USB disky alebo SSD disky so strednou kapacitou) je tento dodatočný čas zvyčajne zvládnuteľný.

Pokiaľ ide o algoritmy, systém Windows štandardne používa XTS-AES so 128-bitovým kľúčom pre interné disky a AES-CBC so 128-bitovým kľúčom pre externé disky a USB kľúče. XTS-AES je modernejší, v určitých scenároch považovaný za robustnejší a vo všeobecnosti ponúka lepší výkon.

Ak chcete zvýšiť latku bezpečnosti, môžete použiť editor lokálnych skupinových politík (gpedit.msc) na určenie použitia 256-bitových kľúčov pre XTS-AES aj AES-CBC. To teoreticky zvyšuje odolnosť voči útokom hrubou silou za cenu mierne vyššej spotreby zdrojov, hoci vplyv na moderné systémy je minimálny.

Spoločnosť Microsoft poskytuje niekoľko politík s názvom „Vybrať metódu šifrovania jednotky a silu šifrovania pre…“, ktoré vám umožňujú samostatne definovať algoritmus a dĺžku kľúča pre systémové jednotky, interné dátové jednotky a vymeniteľné jednotky a prispôsobiť ich operačnému systému a jeho verzii.

Správa nástroja BitLocker To Go pomocou skupinových politík v spoločnostiach

V podnikovom prostredí nemá zmysel, aby sa každý používateľ rozhodoval, či chce šifrovať svoj USB disk, ako ukladať kľúče alebo aký algoritmus má použiť. Aby sa predišlo tomuto chaosu, používajú sa objekty skupinovej politiky (GPO) , prostredníctvom ktorých správca vynucuje konfiguráciu BitLocker To Go a automatizuje ukladanie kľúčov na obnovenie v službe Active Directory.

Konkrétne zásady pre vymeniteľné disky sa nachádzajú v: Konfigurácia počítača > Šablóny pre správu > Súčasti systému Windows > Šifrovanie diskov BitLocker > Vymeniteľné dátové disky . Odtiaľ môžete napríklad blokovať zápis na disky USB, ktoré nie sú šifrované pomocou nástroja BitLocker.

Kľúčovou smernicou v tomto ohľade je „ Zakázať prístup na zápis na vymeniteľné jednotky, ktoré nie sú chránené nástrojom BitLocker “. Ak ju povolíte, akýkoľvek nešifrovaný USB disk sa pripojí v režime iba na čítanie a systém Windows vás upozorní, že pred uložením údajov je potrebné povoliť nástroj BitLocker.

Sprievodcu, ktorý sa otvorí pri spustení šifrovania, je možné prispôsobiť tak, aby používateľovi zobrazoval menej možností . Môžete napríklad preddefinovať, že sa bude šifrovať vždy iba použitý priestor alebo celý disk, alebo zvoliť konkrétny algoritmus pomocou objektov GPO „Vynútiť typ šifrovania disku na vymeniteľných dátových diskoch“ a „Vybrať metódu šifrovania disku a silu šifrovania“.

Pokiaľ ide o správu kľúčov na obnovenie, je bežné nakonfigurovať možnosť „ Vybrať spôsob obnovenia vymeniteľných diskov chránených nástrojom BitLocker “ a vynútiť ich automatické uloženie do služby Active Directory. Ak je tiež vybratá možnosť „Obísť možnosti obnovenia v sprievodcovi nastavením nástroja BitLocker“, používatelia ich nebudú môcť manuálne ukladať do súborov ani na výtlačky.

Kontrola identity organizácie a presadzovanie hesiel

Ďalšou zaujímavou funkciou je možnosť označiť šifrované USB disky identifikátorom organizácie prostredníctvom politiky „Poskytnite jedinečné identifikátory pre vašu organizáciu“. Každý šifrovaný disk je označený týmto ID, ktoré môže byť reťazec s dĺžkou až 260 znakov.

Kombináciou tohto identifikátora s možnosťou „ Nepovoliť prístup na zápis do zariadení nakonfigurovaných v inej organizácii “ (zahrnutou v rovnakej kategórii politík BitLocker To Go) môžete zabrániť používateľom v ďalšom používaní USB diskov, ktoré si sami zašifrovali pred implementáciou podnikovej politiky alebo ktoré nespĺňajú interný štandard.

Politika „ Konfigurovať používanie hesla pre vymeniteľné dátové jednotky “ sa používa na úpravu minimálnej zložitosti hesiel BitLocker To Go: dĺžka, kombinácia znakov atď. Tieto pravidlá sú zvyčajne koordinované s celkovou politikou hesiel domény, aby sa zachovala konzistentná úroveň zabezpečenia.

Ak tiež zakážete možnosť „Povoliť používateľom pozastaviť a dešifrovať ochranu BitLocker na vymeniteľných dátových jednotkách“, zabezpečíte, že nikto nebude môcť sám odstrániť šifrovanie z firemného USB disku ; túto možnosť budú mať iba správcovia z ich konzoly.

Táto centralizovaná konfigurácia zabezpečuje, že šifrovanie prenosných diskov nezávisí od dobrej vôle každého zamestnanca, ale od konzistentnej bezpečnostnej politiky platnej v celej organizácii, čím sa výrazne znižuje riziko úniku údajov zo stratených USB diskov.

TPM, zabezpečenie zavádzania a používanie nástroja BitLocker bez TPM

Modul dôveryhodnej platformy (TPM) je malý kryptočip integrovaný do mnohých moderných základných dosiek , ktorý výrazne zvyšuje zabezpečenie BitLockeru, najmä ak je zavádzacia jednotka šifrovaná. Generuje a ukladá časť šifrovacích kľúčov a overuje, či nebolo manipulované so zavádzacím prostredím.

Medzi jeho kľúčové funkcie patrí šifrovanie údajov a ochrana pred malvérom pri spúšťaní . TPM vytvára pár kľúčov (verejný a súkromný), uchováva časť súkromného kľúča a počas spúšťania kontroluje, či správca spúšťania a ďalšie kritické komponenty neboli zmenené. Ak zistí niečo podozrivé, môže zabrániť normálnemu spusteniu.

Čip dokáže tiež aktivovať karanténny režim, keď zistí potenciálne ohrozenie, čo umožní systému pokúsiť sa o opravu pred normálnym spustením. Okrem toho slúži ako bezpečné úložisko certifikátov, hesiel a šifrovacích kľúčov, ktoré je oveľa robustnejšie ako ich ukladanie do súborov na disku.

Nie sú to všetky výhody: používanie TPM znamená určitú závislosť od hardvéru , čo znamená, že zlyhanie čipu môže zneprístupniť šifrované údaje, ak neboli pripravené zálohy a kľúče na obnovenie. Okrem toho nie všetky systémy a aplikácie sú plne kompatibilné a správa môže byť pre neskúsených používateľov zložitá.

Ak váš počítač nemá TPM alebo ak stále chcete šifrovať systémový disk, môžete použiť alternatívne riešenie povolením politiky „Vyžadovať dodatočné overenie pri spustení“ a začiarknutím políčka povoliť BitLocker bez TPM. V takom prípade je spustenie zabezpečené pomocou USB disku so zavádzacím kľúčom alebo heslom pred spustením , ktoré budete musieť zadať pri každom zapnutí počítača.

Pokročilá správa BitLockeru pomocou PowerShellu

Okrem grafických nástrojov poskytuje systém Windows aj sériu cmdletov PowerShellu na správu nástrojov BitLocker a BitLocker To Go s oveľa väčšou flexibilitou, čo je ideálne na automatizáciu úloh, písanie skriptov alebo správu desiatok počítačov naraz.

PowerShell je výkonné rozhranie príkazového riadka a skriptovacie prostredie, ktoré nahrádza staré súbory .bat systému MS-DOS. Z neho môžete pomocou dobre definovaných príkazov skontrolovať stav disku, povoliť šifrovanie, pridať alebo odstrániť ochrany, uzamknúť alebo odomknúť disky a zakázať BitLocker.

Ak chcete zobraziť stav konkrétneho disku, použite cmdlet Get-BitLockerVolume , ktorý akceptuje parameter MountPoint (napríklad F:). Pridaním „| fl“ na koniec získate podrobný zoznam nakonfigurovaných ochranných prvkov, percento šifrovania, stav uzamknutia atď.

Správa bezpečnostných funkcií (heslá, kľúče na obnovenie, kľúče na spustenie) sa vykonáva pomocou nástroja Add-BitLockerKeyProtector . Môžete pridať ochranu heslom, ochranu kľúčom na obnovenie (uloženú ako súbor na určenom mieste), 48-miestnu ochranu heslom na obnovenie alebo kľúč na spustenie uložený na USB disku.

Po nakonfigurovaní požadovaných ochranných opatrení sa šifrovanie spustí pomocou príkazu Enable-BitLocker , pričom sa zadá jednotka s bodom pripojenia a typ ochrany, ktorý sa má použiť. Systém začne šifrovať disk a zobrazí (alebo to môžete vynútiť pomocou nástroja fvenotify.exe) okno s priebehom.

Ak chcete uzamknúť, odomknúť alebo nakonfigurovať automatické odomykanie šifrovanej jednotky, máte prístup k možnostiam Lock-BitLocker, Unlock-BitLocker, Enable-BitLockerAutoUnlock a Disable-BitLockerAutoUnlock . Unlock-BitLocker vám umožňuje vybrať si, ktorú metódu zabezpečenia chcete použiť na otvorenie jednotky: štandardné heslo, heslo na obnovenie alebo súbor s kľúčom na obnovenie.

Ak chcete zakázať a dešifrovať disk, ktorý už nechcete chrániť, použite príkaz Disable-BitLocker . Po jeho spustení sa disk postupne dešifruje, až kým sa nepresunie do obyčajného textu, a priebeh môžete znova sledovať pomocou okna s upozorneniami spustením súboru fvenotify.exe.