Налаштування BitLocker на зовнішніх дисках крок за кроком

Якщо ви працюєте із зовнішніми жорсткими дисками або USB-флеш-накопичувачами, заповненими конфіденційною інформацією, Налаштування BitLocker на зовнішніх дисках Це, мабуть, одне з найкращих рішень щодо безпеки, яке ви можете прийняти у Windows. Ця функція шифрування Microsoft дозволяє захистити весь вміст диска, щоб без пароля чи ключа відновлення ці дані були повністю недоступні.

Однак BitLocker та шифрування пристроїв Windows мають свої нюанси: Це не працює так само на системному диску, як на зовнішньому жорсткому диску.Існують відмінності між версіями Windows, важливо, чи є у вас чіп TPM чи ні, це може дещо вплинути на продуктивність (особливо на деяких SSD), а також є альтернативи, коли ваша версія Windows не включає BitLocker. Давайте розглянемо крок за кроком і детально все, що вам потрібно знати, щоб зашифрувати зовнішні диски, не псуючи все та не втрачаючи дані.

BitLocker та шифрування пристрою: що таке кожен з них і чим вони відрізняються

У Windows співіснують дві концепції, які дуже схожі, але не зовсім однакові: шифрування пристрою y Шифрування диска BitLockerРозуміння цієї різниці допоможе вам зрозуміти, що можна, а що ні, робити зі своїми зовнішніми жорсткими дисками.

Шифрування пристрою – це функція, яку на деяких комп’ютерах з Windows увімкнено за замовчуванням. Коли ви запускаєте новий ПК з обліковим записом Microsoft, незалежно від того, чи це робота, чи навчанняСистема може автоматично активувати внутрішнє шифрування диска. Ключ відновлення завантажується в цей обліковий запис без необхідності будь-яких дій з вашого боку. Однак, з локальним обліковим записом, він зазвичай не активується автоматично.

Велика різниця полягає в тому, що шифрування пристрою розроблено для недосвідчені користувачі та комп’ютери, які зазвичай постачаються з Windows HomeХоча «класичний» BitLocker (повна версія з усіма опціями) доступний лише у версіях Pro, Enterprise та Education, на практиці BitLocker надає вам набагато більше контролю: ви можете шифрувати зовнішні диски, USB-флешки, додаткові розділи та системний диск за допомогою різних методів та ключів.

Якщо ви хочете дізнатися, чому опція шифрування пристрою не відображається на вашому ПК, ви можете відкрити інструмент «Інформація про систему» ​​від імені адміністратора та переглянути значення Автоматична сумісність із шифруванням пристроюТам ви побачите такі повідомлення, як «відповідає вимогам», «TPM не можна використовувати», «WinRE не налаштовано» або «PCR7 link не підтримується», які повідомляють вам, чого бракує для автоматичної активації.

Як працює BitLocker: паролі, ключі та поведінка диска

BitLocker шифрує цілі диски, як внутрішні, так і зовнішні. Після ввімкнення шифрування вам потрібно буде визначити Пароль для розблокування диска Або використовуйте інші засоби захисту, такі як ключі відновлення, смарт-картки чи USB-накопичувач. Цей пароль є критично важливим: якщо ви його втратите і належним чином не збережете ключ відновлення, дані, найімовірніше, не можна буде відновити.

Після шифрування зовнішнього диска, поведінка досить зручна: Все, що ви копіюєте на диск, шифрується на льоту. І все, що ви читаєте, автоматично розшифровується після розблокування. Вам не потрібно шифрувати файл за файлом чи робити щось незвичайне; Windows робить це у фоновому режимі.

Якщо ви зашифруєте диск, на якому розташована операційна система, зміниться запит на введення пароля або автентифікацію: навіть до запуску WindowsЯкщо ви не введете правильний ключ BitLocker, система не завершить запуск. Після цього ви можете увійти, використовуючи своє ім’я користувача та пароль Windows, як завжди; це два окремі процеси.

Коли ми говоримо про внутрішні або зовнішні диски з даними (без операційної системи), часто під час запуску Windows ви бачите диск із значком замка. Коли ви двічі клацнете на цьому диску, вам буде запропоновано ввести пароль BitLocker.Після розблокування ви можете працювати з ним у звичайному режимі, доки не заблокуєте його знову або не вимкнете комп’ютер.

Алгоритми, стійкість шифрування та їхній вплив на продуктивність

BitLocker може працювати з різними алгоритмами шифрування та довжинами ключів. За замовчуванням сучасні внутрішні жорсткі диски використовують XTS-AES зі 128-бітним ключем.На знімних накопичувачах та USB-накопичувачах зазвичай використовується AES-CBC, також 128-бітний, для сумісності зі старими версіями Windows.

XTS-AES — це новіший та оптимізований режим: Це забезпечує більший захист від певних маніпуляцій з блоками та зазвичай швидше.AES-CBC все ще безпечний, якщо ви використовуєте надійні паролі, але він трохи менш ефективний і має більше криптографічних недоліків, тому вважається перехідним.

У професійних версіях Windows ви можете піти ще далі та, через директиви локальної групиВи можете налаштувати як алгоритм (XTS-AES або AES-CBC), так і довжину ключа (128 або 256 біт). З практичної точки зору, 256 біт пропонують більший теоретичний запас безпеки, а на сучасних системах різниця в продуктивності мінімальна, особливо якщо процесор підтримує AES-NI.

Однак це ще не всі переваги. Було виявлено, що деякі високоякісні твердотільні накопичувачі NVMe мають проблеми з продуктивністю. коли BitLocker працює повністю в програмному режиміШвидкість випадкового читання/запису може значно знижуватися. Наприклад, на Samsung 990 Pro ємністю 4 ТБ у деяких тестах із увімкненим BitLocker спостерігалося падіння до 45%.

У цих крайніх випадках варіанти полягають у вимкненні BitLocker (жертвуючи безпекою) або Налаштуйте SSD для використання апаратного шифруванняабо оцінити заходи для увімкнути кешування запису на зовнішніх дисках і пришвидшити передачу даних, що зазвичай передбачає перевстановлення Windows та забезпечення правильного налаштування диска з самого початку. Однак для більшості користувачів вплив буде майже непомітним.

Що таке групова політика та як змінити метод шифрування

Групові політики у Windows – це розширений спосіб налаштувати поведінку операційної системи як на рівні команди, так і на рівні користувача. У домашньому середовищі мова йде про локальні групові політики, які редагуються за допомогою утиліти gpedit.msc у версіях Pro, Enterprise та подібних.

Щоб налаштувати алгоритм шифрування BitLocker та його стійкість, відкрийте редактор політик (Win + R, введіть gpedit.msc) і перейдіть до: Політика локального комп’ютера > Конфігурація комп’ютера > Адміністративні шаблони > Компоненти Windows > Шифрування диска BitLocker. Там ви побачите кілька політик, специфічних для вашої версії Windows.

Ви знайдете окремі правила для старіших версій та для Windows 10 та пізніші версіїУ найновіших версіях ви можете вибрати інший алгоритм для внутрішніх завантажувальних дисків, внутрішніх дисків даних та знімних/USB-накопичувачів. Для кожного з них ви можете вибрати XTS-AES або AES-CBC, а також 128 або 256 біт, а також чи застосовувати додатковий дифузор на старіших системах.

Зверніть увагу, що ці зміни стосуються лише диски, які ви кодуєте з цього моментуЗашифровані диски збережуть свою початкову конфігурацію. Крім того, ці політики набудуть чинності лише за умови, що вони відповідають фактично встановленій версії Windows.

Після внесення необхідних змін рекомендується примусово оновити політику, щоб уникнути очікування стандартного інтервалу (приблизно 90 хвилин). Для цього відкрийте меню «Виконати» (Win + R) і запустіть команду gpupdate /target:Комп'ютер /forceЦе застосовує зміни миттєво, і ви можете зашифрувати нові диски з вибраною конфігурацією.

Як активувати BitLocker на внутрішніх та зовнішніх дисках через графічний інтерфейс

Windows пропонує кілька графічних способів увімкнення BitLocker без використання команд. У всіх них важливо, щоб диск був... відформатовано та з призначеним шрифтомВ іншому випадку, він не відображатиметься як зашифрований.

Найпряміший шлях – через Провідник файлів: Клацніть правою кнопкою миші на внутрішньому або зовнішньому диску. Виберіть пристрій, який потрібно захистити, а потім виберіть «Увімкнути BitLocker». Це відкриє майстер, де ви зможете вибрати пароль розблокування, спосіб збереження ключа відновлення та тип шифрування.

Інший спосіб – через класичну Панель керування. У меню «Пуск» відкрийте Панель керування > Система та безпека > Шифрування диска BitLocker. Ви побачите згрупований список дисків: системний диск, диски з даними та нижче – знімні пристрої, де знадобиться BitLocker To Go для USB-флеш-накопичувачів та зовнішніх жорстких дисків.

Ви також можете отримати до нього доступ із програми «Налаштування» (особливо у Windows 10/11). Перейдіть до розділу «Система» > «Про систему», і внизу ви маєте побачити посилання на Конфігурація BitLocker, що перенаправляє вас до тієї ж панелі адміністрування.

Коли ви запускаєте майстер на певному диску, першим кроком буде визначення пароля розблокування. Він повинен містити великі, малі літери, цифри та символиДалі вам потрібно буде вирішити, як зберегти ключ відновлення (обліковий запис Microsoft, файл, USB, роздруківка) та чи шифрувати лише використаний простір чи весь диск — це особливо актуально, якщо на зовнішньому диску вже є [щось відсутнє в оригінальному тексті]. старі дані видалено що можна було б відновити.

Шифрування зовнішнього диска та BitLocker To Go

Для зовнішніх накопичувачів (USB-накопичувачів, флеш-накопичувачів тощо) Windows використовує спеціальний режим під назвою BitLocker To GoЗ практичної точки зору, інтерфейс майже ідентичний, але внутрішньо алгоритм за замовчуванням налаштовано для максимальної сумісності з іншими комп'ютерами Windows, які не повністю оновлені.

Процедура дуже проста: підключіть зовнішній диск, зачекайте, поки він з’явиться в Провіднику, клацніть правою кнопкою миші на диску та виберіть «Увімкнути BitLocker». Після цього майстер запропонує вам налаштувати параметри. пароль для розблокування, а потім вам буде запропоновано створити резервну копію ключа відновлення.

Коли ви пізніше підключите цей диск до іншого сумісного ПК з Windows, система виявить, що він зашифрований, і З’явиться поле для введення пароля.Ви можете встановити прапорець, щоб у майбутньому він автоматично розблоковувався на цьому конкретному комп’ютері, що дуже корисно, якщо це надійний ПК.

У розширених налаштуваннях уже зашифрованого диска у вас будуть такі опції, як зміна пароля, його видалення (за умови налаштування іншого методу автентифікації), створення нових копій ключа відновлення, Увімкнути автоматичне розблокування або повністю вимкніть BitLocker для розшифрування диска.

Якщо ви все ще використовуєте дуже старі системи, такі як Windows XP або Vista, вони не розпізнають диски BitLocker To Go за допомогою власного підходу. У такому випадку Microsoft запропонувала інструмент під назвою «BitLocker To Go Reader», який дозволяв принаймні доступ лише для читання до зашифрованих USB-накопичувачів, відформатованих у форматі FAT, за умови введення правильного ключа.

TPM: чіп, що посилює BitLocker (і як використовувати його без TPM)

TPM (Trusted Platform Module) – це невеликий чіп на материнській платі, призначений для зберігати криптографічні ключі та перевіряти цілісність завантаженняУ поєднанні з BitLocker частина ключа шифрування зберігається в TPM, а інша частина — на диску, тому зловмисник не може просто перенести диск на інший комп’ютер і прочитати його.

TPM також допомагає виявляти підозрілі зміни в апаратному або мікропрограмному забезпеченні. Наприклад, якщо ви оновлюєте BIOS, замінюєте критичні компоненти або маніпулюєте певними параметрами завантаження, TPM може вважати середовище ненадійним і Вам потрібно буде ввести ключ відновлення. BitLocker під час наступного завантаження.

Це ще не всі переваги: ​​як фізичний компонент, якщо чіп TPM вийде з ладу або ви заміните його без резервного копіювання ключів відновлення, ви можете втратити доступ до своїх зашифрованих даних. Крім того, не всі системи чи програми повною мірою використовують TPM, і завжди існує ймовірність виникнення недоліків, помилок або вразливостей у реалізації.

Щоб перевірити, чи на вашому комп'ютері активний TPM, можна натиснути Win + R і запустити tpm.mscЯкщо ви відкриваєте консоль керування та бачите статус на кшталт «TPM готовий до використання», ви на правильному шляху. Якщо ви бачите помилку, яка вказує на те, що сумісний TPM не знайдено, можливо, він вимкнено в BIOS/UEFI або ваша материнська плата взагалі не має його.

Навіть попри це, BitLocker не вимагає TPM як обов'язкової вимоги. Це можливо Використання BitLocker без TPM шляхом увімкнення політики Файл gpedit.msc дозволяє вимагати додаткову автентифікацію під час запуску та ввімкнути її використання без модуля TPM. У цих випадках основним заходом безпеки може бути пароль або ключ, що зберігається на USB-накопичувачі, який необхідно підключити для завантаження.

Використання BitLocker з TPM та без нього на системному диску

Шифрування диска, на якому встановлено операційну систему, є дуже потужним заходом безпеки, але він вимагає деяких додаткових міркувань. BitLocker створює невеликий незашифрований завантажувальний розділ де зберігаються файли, необхідні для запуску системи, а основний системний розділ залишається зашифрованим, доки не буде підтверджено автентифікацію.

Якщо у вас є TPM, ідеальним підходом є поєднання його з додатковим PIN-кодом або паролем у режимі «TPM + PIN», щоб посилити процес завантаження. Таким чином, навіть якщо ваш комп’ютер буде викрадено, їм знадобиться і обладнання, і пароль, які ви знаєте. Windows керує цією комбінацією відносно прозоро.

Якщо TPM відсутній або ви не хочете його використовувати, слід використовувати політику «Вимагати додаткової автентифікації під час запуску» на блоках операційної системи в редакторі групової політики. Увімкнення опції дозволу BitLocker без TPMМайстер дозволить вам використовувати пароль під час запуску або USB-накопичувач, що містить файл із ключем розблокування.

У цьому випадку помічник попросить вас вставте флеш-накопичувач USB Щоб зберегти ключ завантаження або встановити складний пароль. Цей USB-накопичувач не можна вийняти під час процесу шифрування або під час початкового перезавантаження. Також гарною ідеєю буде налаштувати порядок завантаження в BIOS, щоб комп’ютер не намагався завантажитися з USB-накопичувача, що містить ключ.

Після завершення шифрування та перевірки правильності завантаження системи рекомендується зберегти копії цього ключа завантаження (і ключа відновлення) у дуже безпечному місці: на іншому зашифрованому пристрої, у менеджері паролів або, якщо ви його використовуєте, у вашому обліковому записі Microsoft/OneDrive.

BitLocker та мережі: поведінка зашифрованих зовнішніх дисків

Одна деталь, яка часто викликає сумніви, це те, як він поводиться зовнішній жорсткий диск, зашифрований за допомогою BitLocker під час спільного використання через мережуВажливо розуміти, що BitLocker захищає від прямого фізичного доступу до пристрою; він не діє як система автентифікації в мережі.

Це означає, що ви не можете, наприклад, ввести свій пароль BitLocker з іншого віддаленого комп’ютера, щоб розблокувати диск. Перше, що потрібно зробити, це розблокувати диск на комп'ютері, до якого він фізично підключенийПісля цього ви можете надати спільний доступ до папок або всього тому за допомогою параметрів спільного доступу до файлів Windows.

Після надання спільного доступу користувачі мережі отримуватимуть доступ до даних, використовуючи свої звичайні облікові дані Windows (ім’я користувача/пароль мережі, дозволи NTFS та спільного доступу тощо), але шифрування BitLocker обробляється комп’ютером із підключеним диском. Якщо цей комп’ютер вимикається або блокує диск, ресурс стає недоступним.

Ключі відновлення та резервні копії: ваша захисна мережа

Щоразу, коли ви шифруєте диск за допомогою BitLocker, майстер створює 48-значний ключ відновленняЦе ваш рятівний круг, коли ви забудете свій звичайний пароль або коли через зміни в апаратному чи прошивці система вирішить, що їй потрібно запитати цей додатковий ключ під час запуску.

Windows пропонує кілька способів зберегти цей ключ: у вашому обліковому записі Microsoft (він зберігається у вашому профілі OneDrive), на незашифрованому USB-накопичувачі, у текстовому файлі або безпосередньо надруковано на папері. В ідеалі слід поєднувати щонайменше два методи. і ніколи не залишайте єдину копію ключа на диску, який ви шифруєте.

Якщо ви шифруєте кілька дисків, кожен файл ключа відновлення має унікальний ідентифікатор у своїй назві (GUID), який збігається з тим, що відображається, коли система запитує ключ. Підтримка цього зв'язку є критично важливою для того, щоб знати, який файл відповідає якому диску у разі надзвичайної ситуації.

Окрім BitLocker, єдиною надійною стратегією проти збоїв обладнання, пошкоджень або прогалин у безпеці є підтримка повні резервні копії на окремих пристрояхЯкщо ці копії також зберігаються на іншому зашифрованому диску або в хмарному сервісі, який також шифрує дані, ви матимете дуже високий рівень захисту від втрати або крадіжки.

Пам’ятайте, що якщо зашифрований диск зазнає фізичного пошкодження, навіть якщо вам вдасться відновити окремі сектори за допомогою судово-медичних методів, Без правильних ключів ці дані залишаться зашифрованими. і вони не будуть читабельними. Ось чому поєднання шифрування та резервного копіювання є таким важливим.

PowerShell та командлети для розширеного керування BitLocker

Окрім графічного інтерфейсу та консольної утиліти manage-bde, Windows включає Командлети PowerShell, специфічні для BitLockerдуже корисно, коли ви хочете автоматизувати завдання або керувати багатьма одиницями одночасно, а також вимірювання обсягу дискового вводу-виводу для кожного процесу.

Основна команда для перегляду стану пристроїв: Get-BitLockerVolumeякий приймає параметр -MountPoint для позначення конкретного диска. Додавання "| fl" в кінці надає детальний вивід з усіма налаштованими захисниками, станом шифрування, відсотком завершення тощо.

Щоб додати різні типи захисту (пароль, ключ відновлення, пароль відновлення або ключ завантаження), використовується Додаток BitLockerKeyProtector з відповідними параметрами для кожного випадку (наприклад, -PasswordProtector, -RecoveryKeyPath, -StartupKeyProtector…). Таким чином, ви можете підготувати диск з усіма його методами розблокування перед активацією шифрування.

Командлет, який фактично запускає шифрування, це Увімкнути BitLockerДо цієї команди ви передаєте літеру диска (-MountPoint) та захист, який ви хочете застосувати на даний момент. Щоб зупинити або відновити шифрування, або вручну заблокувати чи розблокувати том, є такі команди, як Lock-BitLocker, Unlock-BitLocker, Enable-BitLockerAutoUnlock або Disable-BitLockerAutoUnlock.

Зрештою, якщо ви вирішите повністю розшифрувати диск і видалити BitLocker, вам знадобиться Вимкнути BitLockerПроцес може зайняти деякий час залежно від розміру диска та швидкості обладнання, але після його завершення том повернеться до звичайного текстового формату без будь-яких пов'язаних із ним захисних елементів.

Поширені проблеми BitLocker та способи їх вирішення

Хоча BitLocker є досить стабільною технологією, вона не позбавлена ​​періодичних збоїв. Один з найпоширеніших полягає в тому, що після оновлення BIOS, зміни обладнання або будь-якої зміни конфігурації завантаження... Система почне запитувати ключ відновлення під час кожного запуску.

Звичайний спосіб виправити це — завантажитися один раз, ввівши ключ відновлення, а потім тимчасово вимкніть захисні пристрої Використовуючи `manage-bde` (наприклад, `manage-bde -protectors -disable C:`), внесіть необхідні зміни, а потім знову ввімкніть їх за допомогою `manage-bde -protectors -enable C:`. Це «скидає» довіру TPM щодо поточного стану машини.

Також часто можна побачити жовтий трикутник над диском у Провіднику або Диспетчері пристроїв, що вказує на те, що BitLocker призупинено або що після оновлення очікуються зміни. У таких випадках зазвичай достатньо перейти до налаштувань BitLocker відповідного диска та захист резюмеабо скористайтеся командою manage-bde -resume C: у консолі з правами адміністратора.

Якщо повідомлення про помилки вказують на проблеми з TPM (з tpm.msc або диспетчера пристроїв), рекомендується перевірити в BIOS/UEFI, що TPM/Intel PTT/AMD fTPM увімкненоОновіть мікропрограму та, за необхідності, очистіть TPM з консолі керування (що призведе до повторного створення пов’язаних ключів та потребуватиме повторного налаштування BitLocker).

Окрім цих типових випадків, головне не активувати шифрування легковажно: завжди бажано переконатися, що у вас є актуальні резервні копії та кілька копій ключів відновлення, перш ніж вносити суттєві зміни до апаратного забезпечення чи прошивки.

Альтернативи BitLocker для шифрування зовнішніх дисків

Не всі комп’ютери мають версію Windows, сумісну з BitLocker, і не завжди варто оновлюватися лише заради цієї функції. У таких ситуаціях можна вдатися до інші інструменти шифрування для захисту зовнішніх жорстких дисків та USB-флеш-накопичувачів.

Один з найпопулярніших — VeraCrypt, безкоштовний проект з відкритим кодом, який дозволяє шифрувати цілі диски, окремі розділи або контейнери (файли, що діють як зашифровані віртуальні диски). Він підтримує такі алгоритми, як AES, Serpent або Twofish, а також сучасні режими, такі як XTS, що робить його дуже гнучким та кросплатформним.

Інший варіант – це програми, орієнтовані на шифрувати певні папки, таких як Anvi Folder Locker або Hook Folder Locker. Їхній підхід відрізняється: замість шифрування всього диска ви вибираєте певні каталоги, призначаєте їм головний пароль, і програма обробляє блокування або розблокування доступу за потреби.

Якщо ви бажаєте залишатися в екосистемі Windows без BitLocker, існує також EFS (зашифрована файлова система), яка дозволяє шифрувати файли та папки, пов’язані з певним користувачем. Це швидко та відносно зручно, але Він не такий надійний і не такий незалежний від системи. Як і BitLocker: ключ зберігається в самій операційній системі, в кешах або тимчасових секторах можуть бути залишки інформації, і якщо хтось отримує доступ до вашого сеансу Windows, він бачить дані у звичайному тексті.

Тому, якщо у вас є така можливість, найкращим способом шифрування зовнішніх дисків є використання BitLocker або, якщо це неможливо, VeraCrypt. EFS та утиліти для папок підійдуть як тимчасовий захід, але вони не замінять повне шифрування диска, якщо ви хочете захистити весь диск.

Загалом, наявність гарної схеми шифрування на зовнішніх дисках, поєднання її з регулярним резервним копіюванням та добре розуміння того, як працюють ключі відновлення, дозволяє вам обробляти конфіденційну інформацію з набагато більшим душевним спокоєм як у вашому повсякденному житті, так і коли ви фізично виносите ці пристрої з дому чи офісу.

Пов'язана стаття:

Повний посібник з BitLocker To Go: безпечне шифрування на USB-накопичувачах та зовнішніх дисках

Ісаак

Пристрасний письменник про світ байтів і технологій загалом. Я люблю ділитися своїми знаннями, пишучи, і саме це я буду робити в цьому блозі, показуватиму вам все найцікавіше про гаджети, програмне забезпечення, апаратне забезпечення, технологічні тренди тощо. Моя мета — допомогти вам орієнтуватися в цифровому світі в простий і цікавий спосіб.