stringtranslate.com

BitLocker

BitLocker — это функция полного шифрования томов , включенная в версии Microsoft Windows , начиная с Windows Vista . Она предназначена для защиты данных путем шифрования целых томов . По умолчанию она использует алгоритм Advanced Encryption Standard (AES) в цепочке блоков шифрования (CBC) или в режиме « xor–encrypt–xor (XEX) -based Tweaked codebook mode with ciphertext Stealing » (XTS) [1] с 128- битным или 256-битным ключом . [2] [3] CBC не используется на всем диске; он применяется к каждому отдельному сектору . [3]

История

BitLocker появился как часть архитектуры Next-Generation Secure Computing Base от Microsoft в 2004 году как функция с предварительным кодовым названием «Cornerstone» [4] [5] и был разработан для защиты информации на устройствах, особенно в случае потери или кражи устройства. Другая функция под названием «Code Integrity Rooting» была разработана для проверки целостности загрузочных и системных файлов Microsoft Windows. [4] При использовании совместно с совместимым модулем Trusted Platform Module (TPM) BitLocker может проверять целостность загрузочных и системных файлов перед расшифровкой защищенного тома; неудачная проверка запретит доступ к защищенной системе. [6] [7] BitLocker недолгое время назывался Secure Startup до выпуска Windows Vista в производство . [6]

BitLocker доступен на:

Функции

Первоначально графический интерфейс BitLocker в Windows Vista мог шифровать только том операционной системы . [13] Начиная с Windows Vista с пакетом обновления 1 и Windows Server 2008, тома, отличные от тома операционной системы, можно было шифровать с помощью графического инструмента. Тем не менее, некоторые аспекты BitLocker (например, включение или выключение автоблокировки) приходилось контролировать с помощью инструмента командной строки под названием manage-bde.wsf. [14]

Версия BitLocker, включенная в Windows 7 и Windows Server 2008 Release 2, добавляет возможность шифрования съемных дисков. В Windows XP или Windows Vista доступ только для чтения к этим дискам может быть получен с помощью программы BitLocker To Go Reader, если используются файловые системы FAT16 , FAT32 или exFAT . [15] Кроме того, новый инструмент командной строки под названием manage-bdeзаменил старый manage-bde.wsf. [16]

Начиная с Windows Server 2012 и Windows 8, Microsoft дополнила BitLocker спецификацией Microsoft Encrypted Hard Drive, которая позволяет переносить криптографические операции шифрования BitLocker на оборудование устройства хранения данных. [17] [18] Кроме того, BitLocker теперь можно управлять через Windows PowerShell . [19] Наконец, Windows 8 представила Windows To Go в своей редакции Enterprise, которую BitLocker может защищать. [20]

Шифрование устройства

Windows Mobile 6.5 , Windows RT и основные выпуски Windows 8.1 включают шифрование устройства , версию BitLocker с ограниченными функциями, которая шифрует всю систему. [21] [22] [23] Вход в систему с учетной записью Microsoft с правами администратора автоматически запускает процесс шифрования. Ключ восстановления сохраняется либо в учетной записи Microsoft, либо в Active Directory ( Active Directory требует выпусков Windows Pro), что позволяет извлекать его с любого компьютера. Хотя шифрование устройства предлагается во всех выпусках Windows 8.1, в отличие от BitLocker, шифрование устройства требует, чтобы устройство соответствовало спецификациям InstantGo (ранее Connected Standby ), [23] для которых требуются твердотельные накопители и чип TPM 2.0. [21] [24]

Начиная с Windows 10 1703, требования к шифрованию устройств изменились: требуется модуль TPM 1.2 или 2.0 с поддержкой PCR 7, UEFI Secure Boot и соответствие устройства требованиям Modern Standby или проверка HSTI. [25]

Требования к шифрованию устройств были смягчены в Windows 11 24H2, соответствие Modern Standby или HSTI больше не требуется, а черный список интерфейсов DMA удален. [26]

В сентябре 2019 года было выпущено новое обновление (KB4516071 [27] ), изменяющее настройки по умолчанию для BitLocker при шифровании самошифрующегося жесткого диска. Теперь по умолчанию используется программное шифрование для недавно зашифрованных дисков. Это связано с недостатками аппаратного шифрования и проблемами безопасности, связанными с этими проблемами. [28]

Режимы шифрования

В качестве строительных блоков для реализации шифрования BitLocker можно использовать три механизма аутентификации: [29]

Поддерживаются следующие комбинации вышеуказанных механизмов аутентификации, все с дополнительным ключом восстановления депонирования :

Операция

BitLocker — это система шифрования логических томов . (Том охватывает часть жесткого диска , весь диск или несколько дисков.) При включении TPM и BitLocker могут гарантировать целостность доверенного пути загрузки (например, BIOS и загрузочного сектора), чтобы предотвратить большинство автономных физических атак и вредоносных программ загрузочного сектора. [37]

Для того чтобы BitLocker зашифровал том, содержащий операционную систему, требуются как минимум два тома в формате NTFS : один для операционной системы (обычно C:) и другой с минимальным размером 100 МБ, который остается незашифрованным и загружает операционную систему. [37] (Однако в случае Windows Vista и Windows Server 2008 минимальный размер тома составляет 1,5 ГБ и должен иметь букву диска .) [38] В отличие от предыдущих версий Windows, инструмент командной строки «diskpart» Vista включает возможность уменьшения размера тома NTFS, чтобы этот том мог быть создан из уже выделенного пространства. Инструмент под названием BitLocker Drive Preparation Tool также доступен от Microsoft, который позволяет уменьшить существующий том в Windows Vista, чтобы освободить место для нового загрузочного тома и для переноса на него необходимых файлов начальной загрузки . [39]

После создания альтернативного загрузочного раздела необходимо инициализировать модуль TPM (при условии, что эта функция используется), после чего настраиваются требуемые механизмы защиты ключей шифрования диска, такие как TPM, PIN-код или USB-ключ . [40] Затем том шифруется как фоновая задача, что может занять значительное время для большого диска, поскольку каждый логический сектор считывается, шифруется и перезаписывается обратно на диск. [40] Ключи защищаются только после того, как весь том будет зашифрован, когда том считается безопасным. [41] BitLocker использует низкоуровневый драйвер устройства для шифрования и дешифрования всех файловых операций, делая взаимодействие с зашифрованным томом прозрачным для приложений, работающих на платформе. [40]

Шифрование файловой системы (EFS) может использоваться совместно с BitLocker для обеспечения защиты после запуска операционной системы. Защита файлов от процессов и пользователей в операционной системе может быть выполнена только с использованием программного обеспечения для шифрования, работающего в Windows, такого как EFS. Таким образом, BitLocker и EFS предлагают защиту от различных классов атак. [42]

В средах Active Directory BitLocker поддерживает опциональное депонирование ключей в Active Directory, хотя для работы этой функции может потребоваться обновление схемы (например, если службы Active Directory размещены в версии Windows, предшествующей Windows Server 2008).

BitLocker и другие системы полного шифрования диска могут быть атакованы мошенническим менеджером загрузки . Как только вредоносный загрузчик перехватит секрет, он сможет расшифровать главный ключ тома (VMK), что затем позволит получить доступ для расшифровки или изменения любой информации на зашифрованном жестком диске. Настроив TPM для защиты доверенного пути загрузки, включая BIOS и загрузочный сектор , BitLocker может смягчить эту угрозу. (Обратите внимание, что некоторые невредоносные изменения пути загрузки могут привести к сбою проверки регистра конфигурации платформы и, таким образом, сгенерировать ложное предупреждение.) [37]

Проблемы безопасности

Одного TPM недостаточно

«Прозрачный режим работы» и «Режим аутентификации пользователя» BitLocker используют оборудование TPM для обнаружения несанкционированных изменений в среде предварительной загрузки, включая BIOS и MBR . Если обнаружены какие-либо несанкционированные изменения, BitLocker запрашивает ключ восстановления на USB-устройстве. Этот криптографический секрет используется для расшифровки главного ключа тома (VMK) и позволяет продолжить процесс загрузки . [43] Однако одного TPM недостаточно:

Все эти атаки требуют физического доступа к системе и предотвращаются с помощью дополнительных средств защиты, таких как USB-флеш-накопитель или PIN-код.

Соблюдение принципа Керкхоффса

Хотя алгоритм шифрования AES, используемый в BitLocker, находится в открытом доступе , его реализация в BitLocker, а также другие компоненты программного обеспечения являются собственностью ; тем не менее, код доступен для проверки партнёрами и предприятиями Microsoft при условии соблюдения соглашения о неразглашении . [48] [49]

Согласно источникам Microsoft, [50] BitLocker не содержит намеренно встроенного бэкдора , поэтому Microsoft не предоставляет правоохранительным органам гарантированного доступа к данным на диске пользователя. В 2006 году Министерство внутренних дел Великобритании выразило обеспокоенность по поводу отсутствия бэкдора и попыталось вступить в переговоры с Microsoft, чтобы тот его внедрил. [51] Разработчик Microsoft и криптограф Нильс Фергюсон отклонил запрос на бэкдор и сказал: «Только через мой труп». [52] Инженеры Microsoft заявили, что агенты Федерального бюро расследований США также оказывали на них давление на многочисленных встречах, чтобы они добавили бэкдор, хотя никакого официального письменного запроса никогда не было; инженеры Microsoft в конечном итоге предложили агентам искать печатную копию ключа шифрования , который программа BitLocker предлагает своим пользователям вводить. [53]

Позиция Нильса Фергюсона о том, что «черные ходы просто неприемлемы» [52], соответствует принципу Керкхоффса . Этот принцип, сформулированный нидерландским криптографом Огюстом Керкхоффсом в 19 веке, гласит, что криптосистема должна быть безопасной, даже если все о системе, за исключением ключа шифрования, является общедоступным.

С 2020 года метод и структура данных BitLocker стали общедоступными благодаря обратному проектированию; программа cryptsetup для Linux способна считывать и записывать данные с дисков, защищенных BitLocker, при наличии ключа. [54]

Другие опасения

Начиная с Windows 8 и Windows Server 2012, Microsoft удалила Elephant Diffuser из схемы BitLocker без какой-либо объявленной причины. [55] Исследование Дэна Розендорфа показывает, что удаление Elephant Diffuser оказало «несомненно негативное влияние» на безопасность шифрования BitLocker от целенаправленных атак. [56] Позже Microsoft сослалась на проблемы с производительностью и несоответствие Федеральным стандартам обработки информации (FIPS), чтобы оправдать удаление диффузора. [57] Однако, начиная с Windows 10 версии 1511, Microsoft добавила в BitLocker новый алгоритм шифрования XTS-AES , соответствующий FIPS . [1] Начиная с Windows 10 версии 1803, Microsoft добавила в BitLocker новую функцию под названием «Защита прямого доступа к памяти ядра (DMA)» для защиты от атак DMA через порты Thunderbolt 3 . [58] [59] «Защита прямого доступа к памяти ядра (DMA)» защищает только от атак через Thunderbolt. Прямой доступ к памяти также возможен через PCI Express . В этом типе атаки злоумышленник подключает вредоносное устройство PCI Express , [60] которое, в свою очередь, может записывать данные напрямую в память и обходить вход в Windows. Чтобы защититься от этого типа атак, Microsoft представила «безопасность на основе виртуализации». [61] [62]

В октябре 2017 года сообщалось, что уязвимость позволяла выводить закрытые ключи из открытых ключей , что могло позволить злоумышленнику обойти шифрование BitLocker при использовании уязвимого чипа TPM. [63] Уязвимость представляет собой Return of Coppersmith's Attack или уязвимость ROCA , которая находится в библиотеке кода, разработанной Infineon , и широко использовалась в продуктах безопасности, таких как смарт-карты и TPM. Microsoft выпустила обновленную версию прошивки для чипов Infineon TPM, которая исправляет уязвимость через Центр обновления Windows. [64]

Смотрите также

Ссылки

  1. ^ ab Hakala, Trudy (29 января 2020 г.). «Что нового в Windows 10, версии 1507 и 1511». TechNet . Microsoft . Получено 7 марта 2020 г. .
  2. ^ ab "Часто задаваемые вопросы по шифрованию диска Windows BitLocker". Библиотека TechNet . Microsoft. 22 марта 2012 г. Получено 7 марта 2020 г.
  3. ^ ab Ferguson, Niels (август 2006 г.). "AES-CBC + Elephant Diffuser: алгоритм шифрования диска для Windows Vista" (PDF) . Microsoft . Получено 7 марта 2020 г. .
  4. ^ ab Biddle, Peter (2004). "Next-Generation Secure Computing Base". Microsoft . Архивировано из оригинала (PPT) 27 августа 2006 г. Получено 7 марта 2020 г.
  5. ^ Thurrott, Paul (9 сентября 2005 г.). "Pre-PDC Exclusive: Windows Vista Product Editions". Суперсайт для Windows . Penton . Архивировано из оригинала 2 апреля 2015 г. . Получено 7 марта 2020 г. .
  6. ^ ab Microsoft (22 апреля 2005 г.). «Безопасный запуск–Шифрование полного тома: технический обзор» (DOC) . Получено 7 марта 2020 г.
  7. ↑ Microsoft (21 апреля 2005 г.). «Безопасный запуск – полное шифрование тома: обзор для руководителей» (DOC) . Получено 7 марта 2020 г.
  8. ^ ab "Что нового в BitLocker". Библиотека TechNet . Microsoft . 31 августа 2016 г. Получено 7 марта 2020 г.
  9. ^ "Шифрование диска BitLocker в Windows Vista". TechNet . Microsoft. Архивировано из оригинала 17 ноября 2016 г. Получено 7 марта 2020 г.
  10. ^ «Обзор шифрования диска BitLocker». TechNet . Microsoft. 17 ноября 2009 г. Получено 7 марта 2020 г.
  11. ^ "Сравнение выпусков Windows 10". Windows для бизнеса . Microsoft . Получено 7 марта 2020 г.
  12. ^ "Поиск ключа восстановления BitLocker в Windows". Поддержка Windows . Microsoft . Получено 2 декабря 2021 г. .
  13. ^ Йегулалп, Сердар (7 августа 2007 г.). «Шифрование BitLocker в Vista». Computerworld . Получено 15 мая 2024 г. .
  14. ^ Хайнс, Байрон (8 сентября 2016 г.). «Достижения в шифровании дисков BitLocker». Журнал TechNet . Microsoft . Получено 7 марта 2020 г. .
  15. ^ "Описание BitLocker To Go Reader". Microsoft. Архивировано из оригинала 24 сентября 2019 г. Получено 25 апреля 2017 г.
  16. ^ «Включение BitLocker с помощью командной строки». TechNet . Microsoft . 12 сентября 2012 г. . Получено 7 марта 2020 г. .
  17. ^ "Зашифрованный жесткий диск". TechNet . Microsoft . 31 августа 2016 г. Получено 7 марта 2020 г.
  18. ^ «Руководство по зашифрованным жестким дискам». MSDN . Microsoft . 1 июня 2017 г. . Получено 7 марта 2020 г. .
  19. ^ "BitLocker". TechNet . Microsoft . Получено 7 марта 2020 г. .
  20. ^ «Windows To Go: часто задаваемые вопросы». TechNet . Microsoft . 23 октября 2013 г. Получено 7 марта 2020 г.
  21. ^ ab "Device Encryption". Device Encryption . Microsoft . 18 ноября 2015 г. . Получено 7 марта 2020 г. .
  22. ^ Каннингем, Эндрю (17 октября 2013 г.). «Windows 8.1 включает бесшовное автоматическое шифрование диска — если ваш ПК его поддерживает». Ars Technica . Condé Nast . Получено 7 марта 2020 г. .
  23. ^ ab "Помогите защитить ваши файлы с помощью шифрования устройства". Справочный портал Windows . Microsoft . Архивировано из оригинала 2 мая 2016 г. Получено 7 марта 2020 г.
  24. ^ Thurrott, Paul (4 июня 2013 г.). "In Blue: Device Encryption". SuperSite Пола Террота для Windows . Penton Media . Архивировано из оригинала 9 июня 2013 г. Получено 7 марта 2020 г.
  25. ^ «Шифрование диска BitLocker в Windows 10 для OEM-производителей». docs.microsoft.com . 16 ноября 2018 г. . Получено 7 марта 2020 г. .
  26. ^ «Шифрование диска BitLocker в Windows 11 для OEM-производителей». learn.microsoft.com . 22 мая 2024 г. . Получено 18 октября 2024 г. .
  27. ^ "24 сентября 2019 г. — KB4516071 (сборка ОС 16299.1420)". support.microsoft.com . Получено 7 марта 2020 г. .
  28. ^ Cimpanu, Catalin (5 ноября 2018 г.). «Недостатки в самошифрующихся SSD позволяют злоумышленникам обходить шифрование диска». ZDNet . Получено 7 марта 2020 г. .
  29. ^ "Шифрование диска BitLocker". Набор инструментов шифрования данных для мобильных ПК: анализ безопасности . Microsoft. 4 апреля 2007 г. Архивировано из оригинала 23 октября 2007 г. Получено 7 марта 2020 г.
  30. ^ Dansimp. «Часто задаваемые вопросы об использовании BitLocker с другими программами (Windows 10) — безопасность Windows». docs.microsoft.com . Получено 27 июля 2022 г. .
  31. ^ "Метод ProtectKeyWithTPM класса Win32_EncryptableVolume". Библиотека MSDN . Microsoft. 31 марта 2018 г. Получено 7 марта 2020 г.
  32. ^ "Метод ProtectKeyWithTPMAndPIN класса Win32_EncryptableVolume". Библиотека MSDN . Microsoft. 31 марта 2018 г. Получено 7 марта 2020 г.
  33. ^ "Метод ProtectKeyWithTPMAndPINAndStartupKey класса Win32_EncryptableVolume". Библиотека MSDN . Microsoft. 31 марта 2018 г. Получено 7 марта 2020 г.
  34. ^ «Метод ProtectKeyWithTPMAndStartupKey класса Win32_EncryptableVolume». Библиотека MSDN . Microsoft. 31 марта 2018 г. Получено 7 марта 2020 г.
  35. ^ "Метод ProtectKeyWithExternalKey класса Win32_EncryptableVolume". Библиотека MSDN . Microsoft. 31 марта 2018 г. Получено 7 марта 2020 г.
  36. ^ "Метод ProtectKeyWithNumericalPassword класса Win32_EncryptableVolume". Библиотека MSDN . Microsoft. 31 марта 2018 г. Получено 7 марта 2020 г.
  37. ^ abc "Шифрование диска BitLocker в Windows 7: часто задаваемые вопросы". TechNet . Microsoft. 12 сентября 2012 г. Получено 7 марта 2020 г.
  38. ^ «Пошаговое руководство по шифрованию диска Windows BitLocker». TechNet . Microsoft . 2 июля 2012 г. . Получено 7 марта 2020 г. .
  39. ^ «Описание инструмента подготовки диска BitLocker». Microsoft. 21 декабря 2011 г. Получено 7 марта 2020 г.
  40. ^ abc Эндрю, Беттани; Хэлси, Майк (2013). Экзаменационная ссылка 70-687: Настройка Windows 8 (1-е изд.). Microsoft Press. стр. 307. ISBN 978-0-7356-7392-2. OCLC  851209981.
  41. ^ Джерри, Ханикатт (2012). Знакомство с Windows 8: Обзор для ИТ-специалистов . Microsoft. стр. 121. ISBN 978-0-7356-7050-1. OCLC  819519777.
  42. ^ Оу, Джордж (28 февраля 2007 г.). «Предотвратите кражу данных с помощью зашифрованной файловой системы Windows Vista (EFS) и BitLocker». TechRepublic . CBS Interactive . Получено 7 марта 2020 г. .
  43. ^ Байрон, Хайнс (7 сентября 2016 г.). «Ключи к защите данных с помощью шифрования диска BitLocker». Журнал TechNet . Microsoft . Получено 7 марта 2020 г. .
  44. ^ ab Halderman, J. Alex; Schoen, Seth D .; Heninger, Nadia ; Clarkson, William; Paul, William; Calandrino, Joseph A.; Feldman, Ariel J.; Appelbaum, Jacob; Felten, Edward W (21 февраля 2008 г.). Lest We Remember: Cold Boot Attacks on Encryption Keys (PDF) (диссертация). Принстонский университет . Получено 7 марта 2020 г.
  45. ^ "Системы и методы безопасного перемещения устройств кратковременной памяти с сохранением, защитой и исследованием их цифровых данных" . Получено 7 марта 2020 г. .
  46. ^ "Microsoft Security Bulletin MS15-122 – Important". Security TechCenter . Microsoft . 11 октября 2017 г. . Получено 7 марта 2020 г. .
  47. ^ «От украденного ноутбука до внутренней сети компании». Dolos Group . 28 июля 2021 г. Получено 2 декабря 2021 г.
  48. ^ Thurrott, Paul (10 июня 2015 г.). «Бэкдоров нет: Microsoft открывает исходный код Windows правительствам ЕС». Petri . Получено 7 марта 2020 г. .
  49. ^ "Shared Source Initiative". www.microsoft.com . Получено 7 марта 2020 г. .
  50. ^ "Back-door бессмыслица". Блог команды System Integrity Team . Microsoft. 2 марта 2006 г. Получено 7 марта 2020 г.
  51. ↑ Стоун-Ли, Олли (16 февраля 2006 г.). «Великобритания проводит переговоры по безопасности Microsoft». BBC . Получено 7 марта 2020 г.
  52. ^ ab Evers, Joris (6 марта 2006 г.). «Microsoft: Vista не получит бэкдор». CNET . CBS Interactive . Получено 7 марта 2020 г. .
  53. ^ Франчески-Биккьераи, Лоренцо (11 сентября 2013 г.). «Обращалось ли ФБР к Microsoft за доступом к ее программному обеспечению для шифрования?». Mashable . Получено 7 марта 2020 г.
  54. ^ Trefny, Vojtech (25 января 2020 г.). Шифрование диска BitLocker в Linux (PDF) . DevConf CZ.
  55. ^ "Обзор BitLocker". technet.microsoft.com . 31 августа 2016 г. . Получено 7 марта 2020 г. .
  56. ^ Розендорф, Дэн (23 мая 2013 г.). «Bitlocker: немного о внутренностях и что изменилось в Windows 8» (PDF) . Архивировано из оригинала (PDF) 22 октября 2021 г. . Получено 7 марта 2020 г. .
  57. ^ Ли, Мика (4 июня 2015 г.). «Microsoft приводит подробности о своем противоречивом шифровании дисков». The Intercept . Получено 7 марта 2020 г. .
  58. ^ «Блокировка драйвера SBP-2 и контроллеров Thunderbolt для снижения угроз 1394 DMA и Thunderbolt DMA для BitLocker». Microsoft. 7 ноября 2018 г. Получено 7 марта 2020 г.
  59. ^ "Защита DMA ядра для Thunderbolt 3". Microsoft. 26 марта 2019 г. Получено 16 марта 2020 г.
  60. ^ "PCILeech". Ульф Фриск. 6 июня 2024 г. Получено 13 июня 2024 г.
  61. ^ «Защита BitLocker: начальная настройка и защита от атак». VidraSec. 15 марта 2024 г. Получено 13 июня 2024 г.
  62. ^ "PCILeech". Microsoft. 20 марта 2023 г. Получено 13 июня 2024 г.
  63. ^ Гудин, Дэн (16 октября 2017 г.). «Миллионы высоконадежных криптографических ключей парализованы из-за недавно обнаруженной уязвимости». Ars Technica . Condé Nast . Получено 7 марта 2020 г. .
  64. ^ Busvine, Douglas (16 октября 2017 г.). «Infineon заявляет, что исправила уязвимость шифрования, обнаруженную исследователями». Reuters . Получено 7 марта 2020 г.

Внешние ссылки

В Wikibooks есть книга по теме: Руководство по командам Windows