הצפנת דיסק עם BitLocker

Bitlocker+Bitlocker to go

מה זה bitlocker ?

Bitlocker הוא מנגנון הצפנה ברמת דיסקים ןמחציות שלמות,המאפשר הגנה מפני התקפות בלתי מקוונות (offline) לפגיעה או גניבת מידע ,מנגנון זה זמין אך ורק בגירסאות ultimateenterprise .

Bitlocker מסוגל להצפין את מחיצת מערכת ההפעלה ,כך שללא הקוד המתאים ,מערכת המחשב לא תוכל לבצע תהליך booting (איתחול) ובכך לספק הגנה למחשבים המכילים מידע רגיש מאוד.

למנגנון ה bitlocker ישנה יכולת לזהום אם אכן המחשב שעליו ממוקם הדיסק הקשיח הוא אכן המחשב המקורי שלו שייך דיסק זה ועליו הוצפן,ולא חלילה מערכת חיצונית שאליה חובר הדיסק הקשיח במקרה של גניבה.

EFS –מצפין תיקיות וקבצים-מספק הגנה מבית(online) .

Bitlocker –מצפין מחיצות שלמות (כונן).-מספק הגנה במחוץ (offline) .

מומלץ לשלב בין השניים .

Bitlocker –מצבי פעילות

למנגנון ה Bitlocker ,ישנם מספר מצבי עבודה התלויים בשני גורמים עיקריים:

רמת האבטחה.

יכולת חומרת המחשב.

שני המבים העיקריים הם:

TPM MODE –הסתמכות על אימות והצפנה מצד השבב ,ללא התערבות המשתמש הכולל בדיקת אימות ברמת חומרה.

NON TPM MODE –מצב המאפשר הצפנתת מידע ונעילת תהליך ה boot ,אך לא תומך בביצוע אימות למערכת ונפוץ במערכות ללא שבב ה TPM .(אם במצב זה נגנב הדיסק הקשיח +קוד אימות וחובר למחשב אחר ,יהיה אפשרות להפעיל אותו).

מצבי המשנה-TPM MODE WITH STARTUP KEY (קוד אבטחה)

מצב עבודה משולב בין שבב ה TPM לבין מקור איחסון חיצוני המכיל את המפתח הסודי וללא חיבור של שניהם המערכת לא תבצע boot ,אלא תיכנס למצב שיחזור.

TPM WITH PIN-שילוב השבב ה TPM (אימות המערכת)עם קוד המוזן בצורה ידנית ,או על ידי התקן חיצוני.

TPM WITH PIN AND STARTUP KEY –שילוב כלל האפשרויות לטובת סביבה מאוד מאובטחת.

TPM(trusted platform module)

זהו שבב המותקן על לוח האם של המחשב ומאפשר אימות חומרה ,כלומר בעזרת שבב זה תוכל המערכת לבצע בדיקת אמינות שאכן המערכת היא אכן מערכת המחשב המקורית ןלא מערכת אחרת במקרה של גניבה.

איך זה עובד?

שבב ה tpm מאחסן מידע ייחודי במערכת המארחת הכולל :

מפתחות הצפנה.

תעודות דיגיטאליות.

סיסמאות.

לאחר מכן הוא מתשאל את המערכת בכל פעם מחדש לטובת אימות באם המידע שהוחזר ,אומת

והשבב יודע שמערכת זו הינה במערכת המקורית ובמידה שלא ,המערכת תנעל את עצמה ולא תאפשר לבצע boot .

דרישות המערכת לעבודה עם TPM

לוח אם תומך TPM .

מערכת Bios תומכת TPM .

מערכת תומכת boot מהתקן usb .(במקרה של קוד אבטחה).

מטעמי אבטחה וכברירת מחדל המערכת עובדת במצב TPM ולא תאפשר הפעלה של המנגנון במידה ושבב זה לא קיים בנערכת ,עד שנשנה זאת דרך הגדרות ה gpo .

בכדי לאפשר עבודה ללא שבב ה TPM ובכדי לבצע הגדרות נוספות הקשורות למנגנון ניגש לנתיב הבא:

Computer configuration?administrative tampletes?windows components?bitlocker drive encryption?operating system drives?require additional authentication at startup

ונסמן enabled ונסמן:

Configure TPM startup key ?נסמן do not allow startup key with tpm

Configure TPM startup PIN ?נסמן do not allow startup pin with tpm

וברגע שאיפשרנו את זה ,נוכל לאשר תחילת עבודה עם bitlocker כשאין לנו TPM במחשב.

שימו לב שיש הגדרות ב group policustay שנוגעות ספציפית למערכת הפעלה windows 7 ולמערכות הפעלהista server 2008,v.

עבודה עם מנגנון ה Bitlocker

ישנן שלוש דרכים עיקריות לגשת למנגנון ה Bitlocker .

1-הקשה על המחיצה הרצויה ובחירת turn on bitlocker .

2-דרך לוח הבקרה system and settings (מפה אפשר גם לנהל את Bitlocker ).

3-שימוש בכלי ה cmd – manage-bde.exe

ישנה גם תצורת WSF .

[caption id="attachment_7062" align="alignnone" width="300" caption="bitlocker"][/caption]

Bitlocker to go

מנגנון ה bitlocker to go ,מאפשר הצפנת והגנת הסיסמה לאמצעי איחסון ניידים.

בניגוד למנגנון ה bitlocker ,מנגנון זה מאפשר צפייה בתוכן במחשבים אחרים כל עוד מפתחות וסיסמת ההצפנה נמצאים בידי הגורם הרוצה לצפות במידע.

במערכות ultimateenterprise 7 ,תהליך העברת התקנים חיצוניים שעברו הצפנה למערכות שונות הפך פשוט מאין כמוהו.

כשאנו מכניסים התקן usb שעבר הצפנה (bitlocker to go) ייפתח לנו חלון the drive is protected by bitlocker drive encryption ואנו נצטרך להזין את הסיסמה שברשותנו ואם נרצה שאותו מחשב יזכור את הסיסמה תמיד ולא ישאל אותנו בכל פעם שנכניס את ההתקן על הסיסמה ,אז נוכל לסמן automatically unlock on this computer from now on?unlock

ממש כמו למנגננון ה Bitlocker גם למנגנון זה ישנו הגדרות gpo שחשוב שנכיר תחת המסלול הבא:

Computer configuration?administrative tampletes?windows components?bitlocker drive encryption?removable data drives

ונתחיל להסביר מה כל הגדרה אומרת:

1-הגדרה זו מאפשרת למשתמשים להחיל אבטחת bitlocker to go על אמצעי אחסון ניידים ובנוסף גם לבטל הצפנה מסוג זה.

2-הגדרה זו מתירה או דורשת שימוש בכרטיסים חכמים לטובת אימות בכדי לגשת לאמצעי האיחסון הנייד.

3-הגדרה זו אוסרת כתיבת מידע לאמצעי איחסון חיצוניים שאינם מוגנים על ידי bitlocker

4-הגדרה זו תתיר או תאסור שימוש באמצעי איחסון חיצוניים בעלי מערכת קבצים ישנה כגון FAT .

5-הגדרה זו תקבע ,האם יש להזין סיסמה בכדי לגשת למידע הממוקם על אמצעי האיחסון נייד המוגן על ידי bitlocker to go .

6-הגדרה זו תקבע באיזו צורה ניתן לשחזר recovery key ,DRA .

איך לנהל bitlocker to go

שיש לנו התקן נייד המוצפן ב bitlocker to go ,אז ניכנס ל :

Control panel?system and security?manage bitlocker

ונבחר את הכונן USB הספציפי שנרצה לנהל אותו ונסמן manage bitlocker ויש לנו כמה הגדרות:

Change password ?נוכל לשנות את הסיסמא.

Remove password ?להסיר בבקשת סיסמא.

Add a smart card… ?להוסיף שימוש בכרטיס חכם,כדי להגיע למידע.

Save or print… ?להדפיס או לשמור במקום מסוים את ה recovery key שלנו.

Recovery key ?זהו מפתח שיפתח לנו את הקובץ המוצפן למקרה ששכחנו את הסיסמא.

אפשר גם לסמן את הכונן החיצוני שיש עליו הצפנה של bitlocker ולסמן turn off bitlocker ולהוריד את ההצפנה ולסמן decrypt drive כלומר:לפענח את ההצפנה(תהליך ארוך).

אז איך אנו מבצעים את ההצפנה עצמה (bitlocker to go)

computer?מקש ימני על התקן חיצוני?turn on bitlocker ובחלון שייפתח לנו נקיש סיסמה כדי לגשת לכונן זה ובחלון הבא נצטרך לשמור את ה recovery key למקרה שנישכח את הסיסמא ,אז נצטרך את ה recovery key בשביל לשחרר את ההצפנה(אפשר לשמור אותו כקובץ במחשב או להדפיס אותו)וזה נוגע גם ל bitlocker רגיל וגם ל bitlocker to go ונסמן next ונסמן start encrypting ומתחילה ההצפנה.

[caption id="attachment_7059" align="alignnone" width="300" caption="bitlocker"][/caption]

[caption id="attachment_7060" align="alignnone" width="300" caption="bitlocker"][/caption]

[caption id="attachment_7061" align="alignnone" width="300" caption="bitlocker"][/caption]

הדגמה של DRA (data recovery agent)

Computer configutation?windows settings?security?public key policies?bitlocker drive encryption

מקש ימני ונסמן add data recovery agent (ופה אנו נגדיר DRA במידה ואנו נימצאים ב domain) .

יש לציין ש data recovery agent הוא משתמש (user) שיש לו כאילו מאסטר key שיכול לפתוח את כל המידע המוצפן שיש בכל האירגון כל עוד יש DRA שהוגד לפני ההצפנה.

(גם אם הוגדר DRA אחרי ההצפנה יש דרכים לעשות שהוא יוכל לפתוח את כל הקבצים המוצפנים,אבל עדיף לפני ההצפנה).

סיכום זה נעשה על ידי רמי טראב