stringtranslate.com

БитЛоккер

BitLocker — это функция полнотомного шифрования , включенная в версии Microsoft Windows, начиная с Windows Vista . Он предназначен для защиты данных путем шифрования целых томов . По умолчанию он использует алгоритм Advanced Encryption Standard (AES) в цепочке блоков шифра (CBC) или режим Tweaked codebook на основе xor-encrypt-xor (XEX) с кражей зашифрованного текста (XTS) [1] со 128- бит или 256-битный ключ . [2] [3] CBC не используется по всему диску; он применяется к каждому отдельному сектору . [3]

История

BitLocker возник как часть архитектуры Microsoft Next-Generation Secure Computing Base в 2004 году как функция под кодовым названием «Cornerstone» [4] [5] и была разработана для защиты информации на устройствах, особенно в случае потери или кражи устройства. Другая функция, названная «Укоренение целостности кода», была разработана для проверки целостности загрузочных и системных файлов Microsoft Windows. [4] При использовании в сочетании с совместимым доверенным платформенным модулем (TPM) BitLocker может проверять целостность загрузочных и системных файлов перед расшифровкой защищенного тома; неудачная проверка запретит доступ к защищенной системе. [6] [7] BitLocker кратко назывался «Безопасный запуск» до выпуска Windows Vista в производство . [6]

BitLocker доступен на:

Функции

Изначально графический интерфейс BitLocker в Windows Vista мог шифровать только том операционной системы . Начиная с Windows Vista с пакетом обновления 1 и Windows Server 2008, тома, отличные от тома операционной системы, можно было зашифровать с помощью графического инструмента. Тем не менее, некоторыми аспектами BitLocker (такими как включение или выключение автоматической блокировки) приходилось управлять с помощью инструмента командной строки под названием manage-bde.wsf. [13]

Версия BitLocker, включенная в Windows 7 и Windows Server 2008 Release 2, добавляет возможность шифрования съемных дисков. В Windows XP или Windows Vista доступ только для чтения к этим дискам можно обеспечить с помощью программы BitLocker To Go Reader, если используются файловые системы FAT16 , FAT32 или exFAT . [14] Кроме того, новый инструмент командной строки manage-bdeзаменил старый manage-bde.wsf. [15]

Начиная с Windows Server 2012 и Windows 8, Microsoft дополнила BitLocker спецификацией Microsoft Encrypted Hard Drive, которая позволяет переносить криптографические операции шифрования BitLocker на оборудование устройства хранения. [16] [17] Кроме того, BitLocker теперь можно управлять через Windows PowerShell . [18] Наконец, в Windows 8 появилась версия Windows To Go в версии Enterprise, которую может защитить BitLocker. [19]

Шифрование устройства

Windows Mobile 6.5 , Windows RT и основные выпуски Windows 8.1 включают шифрование устройства — версию BitLocker с ограниченными возможностями, которая шифрует всю систему. [20] [21] [22] При входе в систему с учетной записью Microsoft с правами администратора автоматически начинается процесс шифрования. Ключ восстановления хранится либо в учетной записи Microsoft, либо в Active Directory ( для Active Directory требуются версии Windows Pro), что позволяет получить его с любого компьютера. Хотя шифрование устройства предлагается во всех выпусках Windows 8.1, в отличие от BitLocker, для шифрования устройства требуется, чтобы устройство соответствовало спецификациям InstantGo (ранее Connected Standby ), [22] для которых требуются твердотельные накопители и чип TPM 2.0. [20] [23]

Начиная с Windows 10 1703, требования к шифрованию устройства изменились: требуется модуль TPM 1.2 или 2.0 с поддержкой PCR 7, безопасная загрузка UEFI , а также соответствие устройства требованиям Modern Standby или проверке HSTI. [24]

В сентябре 2019 года было выпущено новое обновление (KB4516071 [25] ), изменяющее настройку BitLocker по умолчанию при шифровании самошифрующегося жесткого диска. Теперь по умолчанию для вновь зашифрованных дисков используется программное шифрование. Это связано с недостатками аппаратного шифрования и проблемами безопасности, связанными с этими проблемами. [26]

Режимы шифрования

В качестве строительных блоков для реализации шифрования BitLocker можно использовать три механизма аутентификации: [27]

Поддерживаются следующие комбинации вышеуказанных механизмов аутентификации, все с дополнительным ключом восстановления условного депонирования :

Операция

BitLocker — это система шифрования логических томов . (Том охватывает часть жесткого диска , весь диск или несколько дисков.) При включении TPM и BitLocker могут обеспечить целостность доверенного пути загрузки (например, BIOS и загрузочного сектора), чтобы предотвратить большинство отключений от сети. физические атаки и вредоносное ПО для загрузочного сектора. [35]

Чтобы BitLocker зашифровал том, на котором находится операционная система, необходимы как минимум два тома в формате NTFS : один для операционной системы (обычно C:), а другой с минимальным размером 100 МБ, который остается незашифрованным и загружает операционную систему. система. [35] (Однако в случае Windows Vista и Windows Server 2008 минимальный размер тома составляет 1,5 ГБ и должен иметь букву диска .) [36] В отличие от предыдущих версий Windows, инструмент командной строки Vista «diskpart» включает в себя команду возможность уменьшить размер тома NTFS, чтобы этот том можно было создать из уже выделенного пространства. От Microsoft также доступен инструмент под названием «Инструмент подготовки диска BitLocker», который позволяет сжать существующий том в Windows Vista, чтобы освободить место для нового загрузочного тома и для переноса на него необходимых файлов начальной загрузки . [37]

После создания альтернативного загрузочного раздела необходимо инициализировать модуль TPM (при условии, что эта функция используется), после чего настраиваются необходимые механизмы защиты ключей шифрования диска, такие как TPM, PIN-код или USB-ключ . [38] Затем том шифруется в фоновом режиме, что может занять значительное время при большом диске, поскольку каждый логический сектор считывается, шифруется и перезаписывается обратно на диск. [38] Ключи защищаются только после того, как весь том зашифрован, если том считается безопасным. [39] BitLocker использует низкоуровневый драйвер устройства для шифрования и дешифрования всех файловых операций, что делает взаимодействие с зашифрованным томом прозрачным для приложений, работающих на платформе. [38]

Шифрованную файловую систему (EFS) можно использовать в сочетании с BitLocker для обеспечения защиты после запуска операционной системы. Защита файлов от процессов и пользователей в операционной системе может быть выполнена только с помощью программного обеспечения для шифрования, работающего в Windows, например EFS. Таким образом, BitLocker и EFS обеспечивают защиту от различных классов атак. [40]

В средах Active Directory BitLocker поддерживает дополнительное депонирование ключей в Active Directory, хотя для этого может потребоваться обновление схемы (например, если службы Active Directory размещены в версии Windows, предшествующей Windows Server 2008).

BitLocker и другие системы полного шифрования диска могут быть атакованы мошенническим менеджером загрузки . Как только вредоносный загрузчик перехватит секрет, он сможет расшифровать главный ключ тома (VMK), что затем позволит получить доступ к расшифровке или изменению любой информации на зашифрованном жестком диске. Настроив TPM для защиты доверенного пути загрузки, включая BIOS и загрузочный сектор , BitLocker может снизить эту угрозу. (Обратите внимание, что некоторые незлонамеренные изменения в пути загрузки могут привести к сбою проверки реестра конфигурации платформы и тем самым вызвать ложное предупреждение.) [35]

Проблемы безопасности

Одного TPM недостаточно

«Режим прозрачной работы» и «Режим аутентификации пользователя» BitLocker используют оборудование TPM для обнаружения несанкционированных изменений в среде перед загрузкой, включая BIOS и MBR . При обнаружении несанкционированных изменений BitLocker запрашивает ключ восстановления на USB-устройстве. Этот криптографический секрет используется для расшифровки главного ключа тома (VMK) и позволяет продолжить процесс загрузки . [41] Однако одного TPM недостаточно:

Все эти атаки требуют физического доступа к системе и могут быть предотвращены дополнительным средством защиты, например USB-накопителем или PIN-кодом.

Соблюдение принципа Керкхоффса

Хотя алгоритм шифрования AES, используемый в BitLocker, находится в открытом доступе , его реализация в BitLocker, как и другие компоненты программного обеспечения, являются проприетарными ; однако код доступен для изучения партнерам и предприятиям Microsoft при условии соблюдения соглашения о неразглашении . [46] [47]

Согласно источникам Microsoft, [48] BitLocker не содержит намеренно встроенного бэкдора , поэтому у правоохранительных органов нет возможности гарантировать доступ к данным на диске пользователя. В 2006 году Министерство внутренних дел Великобритании выразило обеспокоенность отсутствием бэкдора и попыталось вступить в переговоры с Microsoft о его внедрении. [49] Разработчик и криптограф Microsoft Нильс Фергюсон отклонил запрос на бэкдор и сказал: «через мой труп». [50] Инженеры Microsoft заявили, что агенты Федерального бюро расследований США также оказывали на них давление на многочисленных встречах с целью добавить бэкдор, хотя официального письменного запроса так и не было сделано; Инженеры Microsoft в конечном итоге предложили агентам искать бумажную копию ключа шифрования , которую программа BitLocker предлагает создать своим пользователям. [51]

Позиция Нильса Фергюсона о том, что «черные ходы просто неприемлемы» [50], соответствует принципу Керкхоффса . Этот принцип , сформулированный уроженцем Нидерландов Огюстом Керкхоффсом в 19 веке, гласит, что криптосистема должна быть безопасной, даже если все, что касается системы, кроме ключа шифрования, является общеизвестным.

Другие проблемы

Начиная с Windows 8 и Windows Server 2012, Microsoft удалила Elephant Diffuser из схемы BitLocker без объяснения причин. [52] Исследование Дэна Розендорфа показывает, что удаление Elephant Diffuser оказало «несомненно негативное влияние» на безопасность шифрования BitLocker от целенаправленной атаки. [53] Позже Microsoft сослалась на проблемы с производительностью и несоблюдение Федеральных стандартов обработки информации (FIPS) в качестве оправдания удаления диффузора. [54] Однако, начиная с Windows 10 версии 1511, Microsoft добавила в BitLocker новый FIPS-совместимый алгоритм шифрования XTS-AES . [1] Начиная с Windows 10 версии 1803, Microsoft добавила в BitLocker новую функцию под названием «Защита прямого доступа к памяти ядра (DMA)» для защиты от атак DMA через порты Thunderbolt 3 . [55] [56]

В октябре 2017 года сообщалось, что уязвимость позволяла выводить частные ключи из открытых ключей , что могло позволить злоумышленнику обойти шифрование BitLocker при использовании уязвимого чипа TPM. [57] Уязвимость заключается в возврате атаки Копперсмита или ROCA , которая находится в библиотеке кода, разработанной Infineon и широко используемой в продуктах безопасности, таких как смарт-карты и TPM. Microsoft выпустила обновленную версию прошивки для чипов Infineon TPM, которая исправляет ошибку через Центр обновления Windows. [58]

Смотрите также

Рекомендации

  1. ↑ Аб Хакала, Труди (29 января 2020 г.). «Что нового в Windows 10 версий 1507 и 1511». ТехНет . Майкрософт . Проверено 7 марта 2020 г.
  2. ^ ab «Часто задаваемые вопросы о шифровании диска Windows BitLocker» . Библиотека ТехНет . Майкрософт. 22 марта 2012 года . Проверено 7 марта 2020 г.
  3. ^ Аб Фергюсон, Нильс (август 2006 г.). «AES-CBC + Elephant Diffuser: алгоритм шифрования диска для Windows Vista» (PDF) . Майкрософт . Проверено 7 марта 2020 г. {{cite journal}}: Требуется цитировать журнал |journal=( помощь )
  4. ^ Аб Биддл, Питер (2004). «База безопасных вычислений нового поколения». Майкрософт . Архивировано из оригинала (PPT) 27 августа 2006 года . Проверено 7 марта 2020 г.
  5. ↑ Терротт, Пол (9 сентября 2005 г.). «Эксклюзивно для Pre-PDC: выпуски продуктов Windows Vista». Суперсайт для Windows . Пентон . Архивировано из оригинала 2 апреля 2015 года . Проверено 7 марта 2020 г.
  6. ^ AB Microsoft (22 апреля 2005 г.). «Безопасный запуск – полное шифрование: технический обзор» (DOC) . Проверено 7 марта 2020 г.
  7. ^ Microsoft (21 апреля 2005 г.). «Безопасный запуск – полное шифрование тома: краткий обзор» (DOC) . Проверено 7 марта 2020 г.
  8. ^ ab «Что нового в BitLocker». Библиотека ТехНет . Майкрософт . 31 августа 2016 года . Проверено 7 марта 2020 г.
  9. ^ «Шифрование диска BitLocker в Windows Vista». ТехНет . Майкрософт. Архивировано из оригинала 17 ноября 2016 года . Проверено 7 марта 2020 г.
  10. ^ «Обзор шифрования диска BitLocker» . ТехНет . Майкрософт. 17 ноября 2009 года . Проверено 7 марта 2020 г.
  11. ^ «Сравнить выпуски Windows 10» . Windows для бизнеса . Майкрософт . Проверено 7 марта 2020 г.
  12. ^ «Нахождение ключа восстановления BitLocker в Windows» . Поддержка Windows . Майкрософт . Проверено 2 декабря 2021 г.
  13. ↑ Хайнс, Байрон (8 сентября 2016 г.). «Достижения в шифровании дисков BitLocker». Журнал ТехНет . Майкрософт . Проверено 7 марта 2020 г.
  14. ^ «Описание BitLocker To Go Reader» . Майкрософт. Архивировано из оригинала 24 сентября 2019 года . Проверено 25 апреля 2017 г.
  15. ^ «Включение BitLocker с помощью командной строки». ТехНет . Майкрософт . 12 сентября 2012 года . Проверено 7 марта 2020 г.
  16. ^ «Зашифрованный жесткий диск». ТехНет . Майкрософт . 31 августа 2016 года . Проверено 7 марта 2020 г.
  17. ^ «Руководство по устройству зашифрованного жесткого диска» . MSDN . Майкрософт . 1 июня 2017 года . Проверено 7 марта 2020 г.
  18. ^ «БитЛоккер». ТехНет . Майкрософт . Проверено 7 марта 2020 г.
  19. ^ «Windows To Go: часто задаваемые вопросы» . ТехНет . Майкрософт . 23 октября 2013 года . Проверено 7 марта 2020 г.
  20. ^ ab «Шифрование устройства». Шифрование устройства . Майкрософт . 18 ноября 2015 года . Проверено 7 марта 2020 г.
  21. ↑ Каннингем, Эндрю (17 октября 2013 г.). «Windows 8.1 включает в себя бесшовное автоматическое шифрование диска, если ваш компьютер его поддерживает». Арс Техника . Конде Наст . Проверено 7 марта 2020 г.
  22. ^ ab «Помогите защитить ваши файлы с помощью шифрования устройства». Справочный портал Windows . Майкрософт . Архивировано из оригинала 2 мая 2016 года . Проверено 7 марта 2020 г.
  23. ↑ Терротт, Пол (4 июня 2013 г.). «Синим цветом: шифрование устройства». SuperSite Пола Терротта для Windows . Пентон Медиа . Архивировано из оригинала 9 июня 2013 года . Проверено 7 марта 2020 г.
  24. ^ «Шифрование диска BitLocker в Windows 10 для OEM-производителей» . docs.microsoft.com . 16 ноября 2018 г. . Проверено 7 марта 2020 г.
  25. ^ «24 сентября 2019 г. — KB4516071 (сборка ОС 16299.1420)» . support.microsoft.com . Проверено 7 марта 2020 г.
  26. ↑ Чимпану, Каталин (5 ноября 2018 г.). «Недостатки твердотельных накопителей с самошифрованием позволяют злоумышленникам обойти шифрование диска». www.zdnet.com . Проверено 7 марта 2020 г.
  27. ^ «Шифрование диска BitLocker» . Набор инструментов шифрования данных для мобильных ПК: анализ безопасности . Майкрософт. 4 апреля 2007 года. Архивировано из оригинала 23 октября 2007 года . Проверено 7 марта 2020 г.
  28. ^ Дансимп. «Часто задаваемые вопросы об использовании BitLocker с другими программами (Windows 10) — Безопасность Windows». docs.microsoft.com . Проверено 27 июля 2022 г.
  29. ^ «Метод ProtectKeyWithTPM класса Win32_EncryptableVolume» . Библиотека MSDN . Майкрософт. 31 марта 2018 года . Проверено 7 марта 2020 г.
  30. ^ «Метод ProtectKeyWithTPMAndPIN класса Win32_EncryptableVolume» . Библиотека MSDN . Майкрософт. 31 марта 2018 года . Проверено 7 марта 2020 г.
  31. ^ «Метод ProtectKeyWithTPMAndPINAndStartupKey класса Win32_EncryptableVolume» . Библиотека MSDN . Майкрософт. 31 марта 2018 года . Проверено 7 марта 2020 г.
  32. ^ «Метод ProtectKeyWithTPMAndStartupKey класса Win32_EncryptableVolume» . Библиотека MSDN . Майкрософт. 31 марта 2018 года . Проверено 7 марта 2020 г.
  33. ^ «Метод ProtectKeyWithExternalKey класса Win32_EncryptableVolume» . Библиотека MSDN . Майкрософт. 31 марта 2018 года . Проверено 7 марта 2020 г.
  34. ^ «Метод ProtectKeyWithNumericalPassword класса Win32_EncryptableVolume» . Библиотека MSDN . Майкрософт. 31 марта 2018 года . Проверено 7 марта 2020 г.
  35. ^ abc «Шифрование диска BitLocker в Windows 7: часто задаваемые вопросы». ТехНет . Майкрософт. 12 сентября 2012 года . Проверено 7 марта 2020 г.
  36. ^ «Пошаговое руководство по шифрованию диска Windows BitLocker» . ТехНет . Майкрософт . 2 июля 2012 года . Проверено 7 марта 2020 г.
  37. ^ «Описание инструмента подготовки диска BitLocker» . Майкрософт. 21 декабря 2011 года . Проверено 7 марта 2020 г.
  38. ^ abc Эндрю, Беттани; Хэлси, Майк (2013). Экзамен 70-687: Настройка Windows 8 (1-е изд.). Майкрософт Пресс. п. 307. ИСБН 978-0-7356-7392-2. ОСЛК  851209981.
  39. ^ Джерри, Ханикатт (2012). Знакомство с Windows 8: обзор для ИТ-специалистов . Майкрософт. п. 121. ИСБН 978-0-7356-7050-1. ОКЛК  819519777.
  40. ^ Оу, Джордж (28 февраля 2007 г.). «Предотвратите кражу данных с помощью зашифрованной файловой системы (EFS) Windows Vista и BitLocker». Техреспублика . CBS Интерактив . Проверено 7 марта 2020 г.
  41. ↑ Байрон, Хайнс (7 сентября 2016 г.). «Ключи к защите данных с помощью шифрования диска BitLocker». Журнал ТехНет . Майкрософт . Проверено 7 марта 2020 г.
  42. ^ аб Халдерман, Дж. Алекс; Шон, Сет Д .; Хенингер, Надя ; Кларксон, Уильям; Пол, Уильям; Каландрино, Джозеф А.; Фельдман, Ариэль Дж.; Аппельбаум, Джейкоб; Фельтен, Эдвард В. (21 февраля 2008 г.). Чтобы мы не помнили: атаки с холодной загрузкой на ключи шифрования (PDF) (Диссертация). Университет Принстон . Проверено 7 марта 2020 г.
  43. ^ «Системы и методы безопасного перемещения устройств кратковременной памяти при сохранении, защите и проверке их цифровых данных» . Проверено 7 марта 2020 г.
  44. ^ «Бюллетень по безопасности Microsoft MS15-122 - Важно» . Техцентр безопасности . Майкрософт . 11 октября 2017 года . Проверено 7 марта 2020 г.
  45. ^ «От украденного ноутбука до внутренней сети компании» . Группа Долос . 28 июля 2021 г. . Проверено 2 декабря 2021 г.
  46. ↑ Терротт, Пол (10 июня 2015 г.). «Нет лазейки: Microsoft открывает исходный код Windows правительствам ЕС». Петри . Проверено 7 марта 2020 г.
  47. ^ «Инициатива общего источника». www.microsoft.com . Проверено 7 марта 2020 г.
  48. ^ "Закулисная ерунда" . Блог группы обеспечения целостности системы . Майкрософт. 2 марта 2006 года . Проверено 7 марта 2020 г.
  49. ↑ Стоун-Ли, Олли (16 февраля 2006 г.). «Великобритания проводит переговоры по безопасности Microsoft» . Би-би-си . Проверено 7 марта 2020 г.
  50. ^ аб Эверс, Джорис (6 марта 2006 г.). «Microsoft: в Vista не будет бэкдора». CNET . CBS Интерактив . Проверено 7 марта 2020 г.
  51. ↑ Франчески-Биккьерай, Лоренцо (11 сентября 2013 г.). «Опиралось ли ФБР на Microsoft в получении доступа к ее программному обеспечению для шифрования?». Машаемый . Проверено 7 марта 2020 г.
  52. ^ «Обзор BitLocker» . technet.microsoft.com . 31 августа 2016 года . Проверено 7 марта 2020 г.
  53. ↑ Розендорф, Дэн (23 мая 2013 г.). «Bitlocker: Немного о внутренностях и о том, что изменилось в Windows 8» (PDF) . Архивировано из оригинала (PDF) 22 октября 2021 г. Проверено 7 марта 2020 г.
  54. ↑ Ли, Мика (4 июня 2015 г.). «Microsoft раскрывает подробности о своем спорном шифровании дисков». Перехват . Проверено 7 марта 2020 г.
  55. ^ «Блокировка драйвера SBP-2 и контроллеров Thunderbolt для уменьшения угроз 1394 DMA и Thunderbolt DMA для BitLocker» . Майкрософт. 7 ноября 2018 г. Проверено 7 марта 2020 г.
  56. ^ «Защита DMA ядра для Thunderbolt™ 3» . Майкрософт. 26 марта 2019 года . Проверено 16 марта 2020 г.
  57. ↑ Гудин, Дэн (16 октября 2017 г.). «Миллионы криптоключей высокой безопасности повреждены недавно обнаруженной уязвимостью». Арс Техника . Конде Наст . Проверено 7 марта 2020 г.
  58. ↑ Басвайн, Дуглас (16 октября 2017 г.). «Infineon сообщает, что исправила ошибку шифрования, обнаруженную исследователями». Рейтер . Проверено 7 марта 2020 г.

Внешние ссылки

В Wikibooks есть книга на тему: Руководство по командам Windows.