Шифрование в системе windows 7. Установка, настройка и использование битлокер. Проверка подлинности только с USB-ключом запуска

Шифрование диска Bitlocker

Битлокер — BitLocker (полное название BitLockerDrive Encryption) - это , встроенная в операционные системы Windows Vista Ultimate/Enterprise, Windows 7 Ultimate, Windows Server 2008 R2, Windows Server 2012 и Windows 8.

С помощью BitLocker можно зашифровать полностью весь носитель данных (логический диск, SD-карту, USB-брелок). При этом поддерживаются алгоритмы шифрования AES 128 и AES 256.

Вас также может заинтересовать статья « », в которой мы пытались разобраться возможен ли взлом шифрования дисков Windows.

Ключ восстановления к шифру может храниться в компьютере, на USB-устройстве или в аппаратном чипе TPM (Trusted Platform Module, доверенный платформенный модуль). Можно также сохранить копию ключа в своей учет-ной записи Майкрософт (вот только зачем?).

ПОЯСНЕНИЕ Хранить ключ в чипе TPM можно только на тех компьютерах, где чип TPM вмонтирован в материнскую плату. Если материнская плата компьютера оснащена чипом TPM, тогда ключ может быть прочитан из него или после аутентификации с помощью USB-ключа/смарт-карты, или после ввода PIN-кода.

В самом простом случае можно аутентифицировать пользователя и по обычному паролю. Такой способ Джеймсу Бонду, конечно, не подойдет, но большинству обычных пользователей, которые хотят скрыть некоторые свои данные от коллег или родственников, его будет вполне достаточно.

С помощью BitLocker можно зашифровать любой том, в том числе и загрузочный - тот, с которого происходит загрузка Windows. Тогда пароль нужно будет вводить при загрузке (или использовать другие средства аутентификации, например, TPM).

СОВЕТ Я настоятельно не рекомендую вам шифровать загрузочный том. Во-первых, снижается производительность. На сайте technet.microsoft сообщают, что обычно снижение производительности составляет 10 %, однако в вашем конкретном случае можно ожидать большего «торможения» компьютера - все зависит от его конфигурации. Да и шифровать, по сути, нужно далеко не все данные. Зачем шифровать те же программные файлы? В них нет ничего конфиденциального. Во-вторых, если что-то случится с Windows, боюсь, все может закончиться плачевно - форматированием тома и потерей данных.

Поэтому лучше всего зашифровать один какой-то том - отдельный логический диск, внешний USB-диск и т. п. А затем на этот зашифрованный диск поместить все ваши секретные файлы. На зашифрованный диск также можно установить и программы, требующие защиты, - например, ту же 1С Бухгалтерию.

Такой диск вы будете подключать только при необходимости - щелкнул двойным щелчком на значке диска, ввел пароль и получил доступ к данным.

Что можно зашифровать с помощью BitLocker?

Можно зашифровать любой диск, кроме сетевого и оптического. Вот список поддерживаемых типов подключения дисков: USB, Firewire, SATA, SAS, ATA, IDE, SCSI, eSATA, iSCSI, Fiber Channel.

Не поддерживается шифрование томов, подключенных по Bluetooth. И хоть карта памяти мобильного телефона, подключенного к компьютеру по Bluetooth, выглядит как отдельный носитель данных, зашифровать его нельзя.

Поддерживаются файловые системы NTFS, FAT32, FAT16, ExFAT. Не поддерживаются прочие файловые системы, в том числе CDFS, NFS, DFS, LFS, программные RAID-массивы (аппаратные RAID-массивы поддерживаются).

Можно зашифровать твердотельные накопители: (SSD-накопители, флешки, SD-карты), жесткие диски (в том числе, подключаемые по USB). Шифрование других типов дисков не поддерживается.

Шифрование диска Bitlocker

Перейдите на рабочий стол, запустите Проводник и щелкните правой кнопкой мыши по диску , который вы хотите зашифровать. Напомню, что это может быть логический том, SD-карта, флешка, USB-диск, SSD-накопитель. Из появившегося меню выберите команду Включить BitLocker .

Команда включения шифрования BitLocker

Первым делом вас спросят, как вы будете с зашифрованного диска: с помощью пароля или смарт-карты. Нужно выбрать один из вариантов (или оба: тогда будут задействованы и пароль, и смарт-карта), иначе кнопка Далее не станет активной.

На следующем шаге вам будет предложено создать резервную копию ключа
восстановления.

ПОЯСНЕНИЕ Ключ восстановления используется для разблокировки диска в случае, когда вы забыли пароль или потеряли смарт-карту. Отказаться от создания ключа восстановления нельзя. И это правильно, потому что, приехав из отпуска, свой пароль к зашифрованному диску я-таки забыл. Эта же ситуация может повториться и у вас. Поэтому выбираем один из предложенных способов архивирования ключа восстановления.

• Сохранение ключа в учетную запись Майкрософта. Этот способ я не рекомендую: нет соединения с Интернетом - получить свой ключ не получится.
• Сохранение в файл - оптимальный способ. Файл с ключом восстановления будет записан на рабочий стол.

• Сами понимаете, его оттуда следует перенести в более надежное место, на-пример на флешку. Также желательно его переименовать, чтобы по имени файла не было сразу понятно, что это как раз тот самый ключ. Можно открыть этот файл (позже вы увидите, как он выглядит) и скопировать сам ключ восстановления в какой-то файл, чтобы только вы знали, что это за строка и в каком файле она находится. Оригинальный файл с ключом восстановления лучше потом удалить. Так будет надежнее.
• Распечатка ключа восстановления - идея довольно дикая, разве что потом вы поместите этот лист бумаги в сейф и закроете на семь замков.

Теперь нужно определить, какую часть диска требуется шифровать.

Можно зашифровать только занятое место, а можно - сразу весь диск. Если ваш диск практически пуст, то намного быстрее зашифровать только занятое место. Рассмотрим варианты:

• пусть на флешке в 16 Гбайт имеется всего 10 Мбайт данных. Выберите первый вариант, и диск будет зашифрован мгновенно. Новые же файлы, записываемые на флешку, будут шифроваться «на лету», т. е. автоматически;
• второй вариант подойдет, если на диске много файлов, и он почти полностью заполнен. Впрочем, для той же 16-гигабайтной флешки, но заполненной до 15 Гбайт, разница во времени шифрования по первому или второму варианту будет практически неразличима (что 15 Гбайт, что 16 - будут шифроваться
  практически одно и то же время);
• однако если на диске мало данных, а вы выбрали второй вариант, то шифрование будет длиться мучительно долго по сравнению с первым способом.

Итак, осталось только нажать кнопку Начать шифрование .

Дождаться, пока диск будет зашифрован. Не выключайте питание компьютера и не перезагружайте его до тех пор, пока шифрование не завершится - об этом вы получите соответствующее сообщение.

Если произойдет сбой питания, то шифрование при запуске Windows будет продолжено с того самого момента, где оно было остановлено. Так написано на сайте Майкрософт. Верно ли это для системного диска, я не проверял - не захотелось рисковать.

Продолжение статьи на следующей странице. Для перехода на следующую страницу нажмите на кнопоку 2 которая находится под кнопками социальных сетей.

Здравствуйте Друзья! В этой статье мы продолжим изучать встроенные в windows системы призванные повысить безопасность наших данных. Сегодня это система шифрования дисков Bitlocker. Шифрование данных нужно для того что бы вашей информацией не воспользовались чужие люди. Как она к ним попадет это уже другой вопрос.

Шифрование - это процесс преобразования данных таким образом что бы получить доступ к ним могли только нужные люди. Для получения доступа обычно используют ключи или пароли.

Шифрование всего диска позволяет исключить доступ к данным при подключении вашего жесткого диска к другому компьютеру. На системе злоумышленника может быть установлена другая операционная система для обхода защиты, но это не поможет если вы используете BitLocker.

Технология BitLocker появилась с выходом операционной системы windows Vista и была усовершенствована в windows 7. Bitlocker доступен в версиях windows 7 Максимальная и Корпоративная а так же в windows 8 Pro. Владельцам других версий придется искать альтернативу.

Как работает шифрование диска BitLocker

Не вдаваясь в подробности выглядит это так. Система шифрует весь диск и дает вам ключи от него. Если вы шифруете системный диск то без вашего ключа компьютер не загрузится. Тоже самое как ключи от квартиры. У вас они есть вы в нее попадете. Потеряли, нужно воспользоваться запасными (кодом восстановления (выдается при шифровании)) и менять замок (сделать шифрование заново с другими ключами)

Для надежной защиты желательно наличие в компьютере доверенного платформенного модуля TPM (Trusted Platform Module). Если он есть и его версия 1.2 или выше, то он будет управлять процессом и у вас появятся более сильные методы защиты. Если же его нет, то возможно будет воспользоваться только ключом на USB-накопителе.

Работает BitLocker следующим образом. Каждый сектор диска шифруется отдельно с помощью ключа (full-volume encryption key, FVEK). Используется алгоритм AES со 128 битным ключом и диффузором. Ключ можно поменять на 256 битный в групповых политиках безопасности.

Для этого воспользуемся поиском в windows 7. Открываем меню Пуск и в поле поиска пишем «политики» и выбираем Изменение групповой политики

В открывшемся окошке в левой части переходим по пути

Конфигурация компьютера > Административные шаблоны > Компоненты windows > Шифрование диска BitLocker

В правой части дважды кликаем на Выберите метод шифрования диска и стойкость шифра

В открывшемся окошке нажимаем Включить политику. В разделе Выбрать метод шифрования из выпадающего списка выбираем нужный

Самый надежный это AES с 256-битным ключом с диффузором. При этом скорее всего нагрузка на центральный процессор будет чуть чуть повыше, но не на много и на современных компьютерах вы разницы не заметите. Зато данные будут надежней защищены.

Использование диффузора еще больше повышает надежность так как приводит к значительным изменением зашифрованной информации при незначительном изменении исходных данных. То есть, при шифровании двух секторов с практически одинаковыми данными результат будет значительно отличаться.

Сам ключ FVEK располагается среди метаданных жесткого диска и так же шифруется с помощью основного ключа тома(volume master key, VMK). VMK так же шифруется с помощью TPM модуля. Если последний отсутствует, то с помощью ключа на USB накопителе.

Если USB накопитель с ключом будет недоступен, то необходимо воспользоваться 48-значным кодом восстановления. После этого система сможет расшифровать основной ключ тома, с помощью которого расшифрует ключ FVEK, с помощью которого будет разблокирован диск и пойдет загрузка операционной системы.

Усовершенствование BitLocker в windows 7

При установке windows 7 с флешки или с диска предлагается разметить или настроить диск. При настройке диска создается дополнительный загрузочный раздел размером 100 МБ. Наверное не у меня одного возникали вопросы по поводу его назначения. Вот именно этот раздел и нужен для работы технологии Bitlocker.

Этот раздел является скрытым и загрузочным и он не шифруется иначе не возможно было бы загрузить операционную систему.

В windows Vista этот раздел или том должен быть объемом в 1.5 ГБ. В windows 7 его сделали 100 МБ.

Если же вы при установке операционной системы сделали разбивку сторонними программами, то есть не создали загрузочный раздел, то в windows 7 BitLocker сам подготовит нужный раздел. В windows Vista вам бы пришлось его создавать с помощью дополнительного софта идущего в комплекте с операционной системой.

Так же в windows 7 появилась технология BitLocker To Go для шифрования флешек и внешних жестких дисков. Рассмотрим ее позже.

Как включить шифрование диска BitLocker

По умолчанию BitLocker настроен на запуск с модулем TPM и при его отсутствии не захочет запускаться. (Сначала просто попробуйте включить шифрование и если запуститься, то не нужно ничего отключать в групповых политиках)

Для запуска шифрования заходим в Панель управления\Система и безопасность\Шифрование диска BitLocker

Выбираем нужный диск (в нашем примере это системный раздел) и нажимаем Включить BitLocker

Если же вы видите картинку подобную ниже

необходимо править групповые политики.

С помощью поиска из меню Пуск вызываем Редактор локальной групповой политики

Идем по пути

Конфигурация компьютера > Административные шаблоны > Компоненты windows > Шифрование диска BitLocker > Диски операционной системы

Справа выбираем Обязательная дополнительная проверка подлинности

В открывшемся окошке нажимаем Включить, затем необходимо проконтролировать наличие галочки Разрешить использование BitLocker без совместимого TPM и нажать ОК

После этого BitLocker можно будет запустить. Вас попросят выбрать единственный вариант защиты - Запрашивать ключ запуска при запуске. Это и выбираем

Вставляем флешку на которую будет записан ключ запуска и нажимаем Сохранить

Теперь необходимо сохранить ключ восстановления, на тот случай если флешка с ключом запуска будет не в зоне доступа. Можно сохранить ключ на флешке (желательно другой), сохранить ключ в файле для последующего переноса на другой компьютер или сразу распечатать.

Ключ восстановления нужно естественно хранить в надежном месте. Сохраню ключ в файл

Ключ восстановления это простой текстовый документ с самим ключом

Затем у вас откроется последнее окошко в котором вам рекомендуют Запустить проверку системы BitLocker до шифрования диска. Нажимаем Продолжить

Сохраняете все открытые документы и нажимаете Перезагрузить сейчас

Вот что увидите если что то пойдет не так

Если все работает то после перезагрузки компьютера запустится шифрование

Время зависит от мощности вашего процессора, емкости раздела или тома который вы шифруете и скорости обмена данными с накопителем (SSD или HDD). Твердотельный диск на 60 Гб заполненные почти под завязку шифруются минут за 30 при этом еще работают Добровольные распределенные вычисления.

Когда шифрование будет завершено увидите следующую картинку

Закрываете окошко и проверяете в надежных ли местах находятся ключ запуска и ключ восстановления.

Шифрование флешки - BitLocker To Go

С появлением в windows 7 технологии BitLocker To Go стало возможным шифровать флешки, карты памяти и внешние жесткие диски. Это очень удобно так как флешку потерять гораздо легче чем ноутбук и нетбук.

Через поиск или пройдя по пути

Пуск > Панель управления > Система и безопасность > Шифрование диска BitLocker

открываем окошко управления. Вставляете флешку которую нужно зашифровать и в разделе BitLocker To Go включаем шифрование для нужного USB накопителя

Необходимо выбрать способ снятия блокировки диска. Выбор не большой или пароль или сим-карта с ПИН-кодом. Сим-карты выпускаются специальными отделами в больших корпорациях. Воспользуемся простым паролем.

Устанавливаем галочку использовать пароль для снятия блокировки диска и два раза вводим пароль. По умолчанию минимальная длинна пароля составляет 8 символов (можно поменять в групповых политиках). Нажимаем Далее

Выбираем как будем сохранять ключ восстановления. Надежно, наверное, будет напечатать его. Сохраняем и нажимаем Далее

Нажимаем Начать шифрование и защищаем свои данные

Время шифрования зависит от емкости флешки, заполненности ее информацией, мощности вашего процессора и скорости обмена данными с компьютером

На емких флешках или внешних жестких диска эта процедура может затянуться на долго. По идее процесс можно закончить на другом компьютере. Для этого ставите шифрование на паузу и правильно извлекаете накопитель. Вставляете ее в другой компьютер разблокируете введя пароль и шифрование продолжится автоматически.

Теперь при установки флешки в компьютер появится окошко ниже с просьбой ввести пароль

Если вы доверяете этому компьютеру и не хотите постоянно вводить пароль устанавливаете галочку В дальнейшем автоматически снимать блокировку с этого компьютера и нажимаете Разблокировать. На этот компьютере вам больше не придется вводить пароль для этой флешки.

Для того что бы информацией на зашифрованном USB-накопителе можно было воспользоваться на компьютерах под управлением ОС windows Vista или windows XP флешку нужно отформатировать в файловую систему FAT32. В этих операционных системах возможно будет разблокировать флешку только введя пароль и информация будет доступна только для чтения. Запись информации не доступна.

Управление зашифрованным разделом

Управление осуществляется из окошка Шифрование диска BitLocker. Можно найти это окошко с помощью поиска, а можно зайти по адресу

Панель управления > Система и безопасность > Шифрование диска BitLocker

Вы можете выключить шифрование нажав на «Выключить BitLocker». В этом случае диск или том дешифруется. Это займет какое-то время и не нужно будет никаких ключей.

Так же здесь можно приостановить защиту

Данную функцию рекомендуют использовать при обновлении BIOS или редактировании загрузочного диска. (Того самого объемом 100 МБ). Приостановить защиту можно только на системном диске (тот раздел или том на котором установлена windows).

Почему нужно приостанавливать шифрование? Что бы BitLocker не заблокировал ваш диск и не прибегать к процедуре восстановления. Параметры системы (BIOS и содержимое загрузочного раздела) при шифровании фиксируются для дополнительной защиты. При их изменении может произойти блокировка компьютера.

Если вы выберите Управление BitLocker, то можно будет Сохранить или напечатать ключ восстановление и Дублировать ключ запуска

Если один из ключей (ключ запуска или ключ восстановления) утерян, здесь можно их восстановить.

Управление шифрованием внешних накопителей

Для управления параметрами шифрования флешки доступны следующие функции

Можно изменить пароль для снятия блокировки. Удалить пароль можно только если для снятия блокировки используется смарт-карта. Так же можно сохранить или напечатать ключ восстановления и включить снятие блокировки диска для этого компьютера автоматически.

Восстановление доступа к диску

Восстановление доступа к системному диску

Если флешка с ключом вне зоны доступа, то в дело вступает ключ восстановления. При загрузке компьютера вы увидите приблизительно следующую картину

Для восстановления доступа и загрузки windows нажимаем Enter

Увидим экран с просьбой ввести ключ восстановления

С вводом последней цифры при условии правильного ключа восстановления автоматически пойдет загружаться операционная система.

Восстановление доступа к съемным накопителям

Для восстановления доступа к информации на флешке или внешнему HDD нажимаем Забыли пароль?

Выбираем Ввести ключ восстановления

и вводим этот страшный 48-значный код. Жмем Далее

Если ключ восстановления подходит то диск будет разблокирован

Появляется ссылочка на Управление BitLocker, где можно изменить пароль для разблокировки накопителя.

Заключение

В этой статье мы узнали каким образом можно защитить нашу информацию зашифровав ее с помощью встроенного средства BitLocker. Огорчает, что эта технология доступна только в старших или продвинутых версиях ОС windows. Так же стало ясно для чего же создается этот скрытый и загрузочный раздел размером 100 МБ при настройке диска средствами windows.

Возможно буду пользоваться шифрованием флешек или внешних жестких дисков. Но, это маловероятно так как есть хорошие заменители в виде облачных сервисов хранения данных таких как DropBox, Google Диск, Яндекс Диск и подобные.

С уважением, Антон Дьяченко

YouPK.ru

Включение или отключение Bitlocker в windows

Никого совсем не удивляет тот факт, что на персональном компьютере может храниться сугубо личная информация или же корпоративные данные, представляющие повышенную ценность. Нежелательно, если такие сведения попадут в руки сторонних лиц, которые могут ими воспользоваться, провоцируя серьёзные проблемы у бывшего владельца ПК.

В зависимости от обстоятельств Bitlocker можно активировать и деактивировать.

Именно по этой причине многие пользователи выражают желание предпринять какие-то действия, ориентированные на ограниченный доступ ко всем файлам, сохраняющимся на компьютере. Такая процедура, действительно, существует. Проделав определённые манипуляции, никто из посторонних, не зная пароль или ключ к его восстановлению, не сможет получить доступ к документам.

Защитить важную информацию от ознакомления сторонними лицами удаётся, если провести шифрование диска Bitlocker. Такие действия помогают обеспечить полную конфиденциальность документам не только на конкретном ПК, но и в том случае, когда кем-то жёсткий диск извлечён и вставлен в другой персональный компьютер.

Алгоритм включения и выключения функции

Шифрование диска Bitlocker осуществляется на windows 7, 8 и 10, но только не всех версий. Предполагается, что на материнской плате, которой оснащён конкретный компьютер, на котором пользователь желает провести шифрование, должен наличествовать модуль TPM.

СОВЕТ. Не расстраивайтесь, если вы точно знаете, что такого специального модуля на вашей материнке нет. Существуют некоторые хитрости, позволяющие «игнорировать» такое требование, соответственно, устанавливать и без такого модуля.

Прежде чем приступить к процессу шифрования всех файлов, важно учесть, что эта процедура достаточно продолжительная. Точное количество времени назвать предварительно затруднительно. Всё зависит от того, какой объём информации имеется на жёстком диске. В процессе шифрования windows 10 будет продолжать работать, но вряд ли своей работоспособностью сможет порадовать вас, поскольку показатель производительности будет существенно снижен.

Включение функции

Если на вашем компьютере установлен windows 10, при этом вы испытываете активное желание включить шифрование данных, воспользуйтесь нашими советами, чтобы вам не только всё удалось, но и путь реализации такого желания не был затруднительным. Первоначально найдите на своей клавиатуре клавишу «Win», иногда она сопровождается пиктограммой windows, зажмите её, одновременно с нею зажмите клавишу «R». Зажатие этих двух клавиш одновременно вызывает открытие окна «Выполнить».

В открывшемся окне вы обнаружите пустую строку, в которую вам потребуется ввести «gpedit.msc». После нажатия на кнопку «Ok», откроется новое окно «Редактор локальной групповой политики». В этом окне нам предстоит проделать небольшой путь.

С левой стороны окна найдите и сразу же кликните по строке «Конфигурация компьютера», в открывшемся подменю найдите «Административные шаблоны», а затем в очередном открывшемся подменю перейдите на параметр, расположенный на первом месте в списке и именуемый «Компоненты windows».

Теперь переведите свой взгляд на правую сторону окна, в нём найдите «Шифрование диска Bitlocker», двойным щелчком клавиши мышки активируйте его. Теперь откроется новый список, в котором вашей очередной целью должна стать строка «Диски операционной системы». Кликните также и по этой строке, вам остаётся совершить ещё один переход, чтобы приблизиться к окну, где будет осуществляться непосредственная настройка Bitlocker, позволяющая его включить, чего именно вам так хочется.

Найдите строку «Этот параметр политики позволяет настроить требование дополнительной проверки подлинности при запуске», раскройте этот параметр двойным щелчком. В открытом окне вы найдёте желанное слово «Включить», возле которого рядом обнаружите чекбокс, в нём вам нужно поставить специфическую отметку в виде галочки своего согласия.

Чуть ниже в этом окне находится подраздел «Платформы», в нём вам нужно установить галочку в чекбоксе возле предложения использования BitLocker без специального модуля. Это очень важно, особенно если в вашем windows 10 нет модуля TPM.

Настройка желаемой функции в этом окне завершается, поэтому его можно закрыть. Теперь наведите курсор мышки на значок «windows», только кликните по нему правой клавишей, что позволит появиться дополнительному подменю. В нём вы найдёте строку «Панель управления», перейдите на неё, а затем на следующую строку «Шифрование диска Bitlocker».

Не забудьте обозначить, где вы желаете осуществить шифрование. Это можно проделать и на жёстком, и на съёмном дисках. После выбора желаемого объекта нажмите на клавишу «Включить Bitlocker».

Теперь windows 10 запустит автоматический процесс, изредка привлекая ваше внимание, предлагая вам конкретизировать ваши желания. Безусловно, лучше всего перед выполнением такого процесса сделать резервную копию. В противном случае при потере пароля и ключа к нему даже владелец ПК не сможет восстановить информацию.

Далее начнётся процесс подготовки диска к последующему шифрованию. Во время выполнения этого процесса не разрешается выключать компьютер, поскольку таким действием можно нанести серьёзный вред операционной системе. После такого сбоя вы просто не сможете запустить ваш windows 10, соответственно, вместо шифрования вам предстоит установить новую операционную систему, потратив лишнее время.

Как только подготовка диска успешно завершается, начинается непосредственно сама настройка диска к шифрованию. Вам будет предложено ввести пароль, обеспечивающий доступ впоследствии к зашифрованным файлам. Также будет предложено придумать и ввести ключ восстановления. Оба этих важных компонента лучше всего сохранить в надёжном месте, лучше всего распечатать. Очень глупо хранить пароль и ключ к восстановлению на самом ПК.

В процессе шифрования система может поинтересоваться у вас, какую часть конкретно вы желаете зашифровать. Лучше всего такой процедуре подвергнуть полностью всё пространство диска, хотя имеется вариант зашифровать только занятое пространство.

Остаётся выбрать такой вариант действий, как «Новый режим шифрования», а после этого запустить автоматическую проверку операционной системы BitLocker. Далее система благополучно продолжит процесс, после чего к вам поступит предложение перезагрузить ваш ПК. Безусловно, выполните это требование, осуществите перезагрузку.

После очередного запуска windows 10 вы убедитесь в том, что доступ к документам без введения пароля будет невозможен. Процесс шифрования будет продолжаться, контролировать его можно при нажатии на значок BitLocker, располагающийся на панели уведомлений.

Отключение функции

Если по каким-либо причинам файлы на вашем компьютере перестали представлять повышенную важность, а вам не очень нравится каждый раз вводить пароль, чтобы получить к ним доступ, тогда предлагаем вам просто отключить функцию шифрования.

Чтобы выполнить такие действия, перейдите в панель уведомлений, найдите там значок BitLocker, кликните по нему. В нижней части открытого окна вы найдёте строку «Управление BitLocker», нажмите на неё.

Теперь система предложит вам выбрать, какое действие для вас является предпочтительным:

• провести архивацию ключа восстановления;
• изменить пароль доступа к зашифрованным файлам;
• удалить ранее установленный пароль;
• отключить BitLocker.

Безусловно, если вы решили отключить BitLocker, вам следует выбрать последний предлагаемый вариант. На экране сразу возникнет новое окно, в котором система пожелает убедиться в том, что вы действительно желаете отключить функцию шифрования.

ВНИМАНИЕ. Как только вы нажмёте на кнопку «Отключить BitLocker», сразу начнётся процесс дешифровки. К сожалению, и этот процесс не характеризуется высокой стремительностью, поэтому вам однозначно придётся настроиться на некоторое время, в ходе которого вам просто придётся ожидать.

Конечно, если вам нужно пользоваться в этот момент компьютером, вы можете себе это позволить, никакого категорического запрета на это нет. Однако следует себя настроить на то, что производительность ПК в этот момент может быть крайне низкой. Понять причину такой медлительности несложно, ведь операционной системе приходится разблокировать огромный объём информации.

Итак, имея желание зашифровать или дешифровать файлы на компьютере, достаточно ознакомиться с нашими рекомендациями, после этого без поспешности выполнять каждый шаг обозначенного алгоритма, а по завершении порадоваться достигнутому результату.

NastroyVse.ru

Настройка Bitlocker

Bitlocker- инструментальное средство обеспечивающее шифрование данных на уровне томов (том может занимать часть диска, а может включать в себя массив из нескольких дисков.) Bitlocker служит для защиты ваших данных в случае потери или кражи ноутбука\компьютера. В первоначальной версии BitLocker обеспечивал защиту только одного тома - диска с операционной системой. Средство BitLocker входит в комплект поставки всех редакций Server 2008 R2 и Server 2008 (за исключением редакции для Itanium), кроме того, windows 7 Ultimate и Enterprise, а также windows Vista. В версиях windows Server 2008 и Vista SP1 Microsoft реализовала средства защиты различных томов, в том числе томов локальных данных. В версиях windows Server 2008 R2 и windows 7 разработчиками была добавлена поддержка съемных накопителей данных (USB-устройств флэш-памяти и внешних жестких дисков). Эта функция называется BitLocker To Go. В технологии BitLocker используется AES алгоритм шифрования, ключ может хранится в TMP (Trusted Platform Module- специальная схема установленная в компьютер во время его производства, обеспечивающий хранение ключей шифрования)либо в USB-устройстве. Возможны следующие комбинации для доступа:

TPM - TPM + PIN - TPM + PIN + USB-ключ - TPM + USB-ключ - USB-ключПоскольку зачастую в компьютерах нет TMP, хочу описать пошагово настройку BitLocker с USB-накопителем.

Заходим в «Компьютер» и правой кнопкой мыши нажимаем на локальном диске, который мы хотим зашифровать (в данном примере будем шифровать локальный диск С) и выбираем «Включить BitLocker».

Оно и понятно, как я уже писал- на этом компьютере нету модуля TMP и вот результат, но это все легко исправляется, достаточно зайти в локальные политики компьютера и изменить там настройки, для этого необходимо зайти в редактор локальных политик- пишем в поле поиска gpedit.msc и нажимаем «Enter».

В результате откроется окно локальных политик, заходим по пути «Конфигурация компьютера- Административные шаблоны -Компоненты windows - Шифрование диска BitLocker - Диски операционной системы» (Computer Configuration - Administrative Templates -windows Components -Bit-Locker Drive Encryption - Operating System Drives) и в политике Обязательная дополнительная проверка подлинности при запуске ставим Включить, необходимо так же обратить внимание что бы стояла галочка Разрешить использование BitLocker без совместимого TPM Нажимаем «Ок».

Теперь если повторить первые шаги по включению BitLocker на локальном диске, откроется окно по настройке шифрования диска, выбираем «Запрашивать ключ запуска» при запуске (впрочем выбора у нас и не было, связано это с отсутствием TPM).

В следующем окне выбираем то USB устройство на котором будет хранится ключ.

Затем выбираем куда сохраним ключ восстановления (это ключ который вводится в ручную в случае потери носителя с основным ключом), рекомендую сделать это другой на USB- носитель, либо на другой компьютер или же распечатайте его, в случае если вы сохраните ключ восстановления на этом же компьютере или на этом же USB-носителе вы не сможете запустить windows потеряв USB на котором сохранен ключ. В данном примере я сохранил на другой USB-носитель.

В следующем окне запускаем проверку системы Bitlocker с помощью нажатия кнопки «Продолжить», после этого компьютер будет перезагружен.

После загрузки компьютера появится окно процесса шифрования. Зачастую это длительная процедура, требующая нескольких часов.

В результате мы имеем зашифрованный диск С, который без USB-накопителя с ключом или ключа восстановления не запустится.

pk-help.com

Как настроить шифрование данных BitLocker для windows

Для защиты от несанкционированного доступа к файлам, хранящихся на жестком диске, а также на съемных дисках (внешние диски или USB-устройства флэш-памяти), пользователи ОС windows имеют возможность зашифровывать их, используя встроенную программу для шифрования BitLocker и BitLocker To Go.

Программа шифрования BitLocker и BitLocker To Go предустановлены в Proffessional и Enterprise версиях ОС windows 8/8.1, а также в Ultimate версии windows 7. Но так же пользователям базовой версии windows 8.1 доступна такая опция как «Device Encryption», которая выступает в роли аналога BitLocker в более продвинутых версиях операционной системы.

Включение программы шифрования BitLocker

Для включения программы шифрования BitLocker, откройте Панель Управления и далее проследуйте по пунктам - Система и безопасность > Шифрование диска BitLocker. Также вы можете открыть Проводник windows («Компьютер»), нажать на выбранном диске правой клавишей мыши и в выпадающем меню выбрать пункт «Включить BitLocker». Если вышеупомянутой строчки в меню нет, значит у вас неподходящая версия OC windows.

Для включения BitLocker для системного диска, диска с данными или съемного диска необходимо выбрать пункт «Включить BitLocker».

В данном окне вам доступны 2 типа шифрования диска BitLocker:

• «Шифрование диска BitLocker - жесткие диски«: Эта функция позволяет зашифровать весь диск целиком. При загрузке компьютера, стартовый загрузчик windows будет подгружать данные из области жесткого диска, зарезервированного системой, и вам будет предложен заданный вами тип разблокировки, к примеру - ввести пароль. Затем BitLocker выполнит процесс дешифровки данных и процесс загрузки windows продолжится. Иными словами, шифрование можно представить как процесс, выполнение которого происходит незаметно для пользователя. Вы, как обычно работаете с файлами и данными, которые в свою очередь находятся в зашифрованном виде на диске. Кроме этого вы можете применять шифрование не только для системных дисков.
• «Шифрование диска BitLocker - BitLocker To Go«: Внешние накопители, такие как USB устройства флеш-памяти или внешние жесткие диски могут быть зашифрованы с помощью утилиты BitLocker To Go. При подключении зашифрованного устройства к компьютеру Вам будет предложено, к примеру, ввести пароль, что защитит ваши данные от посторонних.

Использование BitLocker без модуля TPM

При попытке шифрования с помощью BitLocker на ПК без установленного аппаратного модуля TPM (Trusted Platform Module), будет открыто нижеприведенное окно с сообщением о необходимости включения опции “Разрешить использование BitLocker без совместимого TPM” (Allow BitLocker without a compatible TPM).

Программа шифрования BitLocker требует для нормальной работы ПК с аппаратным модулем TPM для защиты системного диска. Модуль TPM представляет собой небольшой чип, установленный на материнской плате. BitLocker может хранить ключи шифрования в нем, что является более надежным вариантом, чем хранение их на обычном диске с данными. Модуль TPM предоставляет ключи только лишь после запуска и проверки состояния системы, что исключает возможность расшифровки данных в случае кражи вашего жесткого диска или создания образа зашифрованного диска с целью взлома на другом ПК.

Для включения вышеописанной опции вам необходимо иметь права администратора. Вам всего лишь потребуется открыть «Редактор локальной групповой политики» и задействовать следующую опцию.

Нажмите сочетание клавиш Win + R чтобы запустить диалог «Выполнить», введите команду gpedit.msc. Далее пройдите по следующим пунктам - Конфигурация компьютера (Computer Configuration) > Административные шаблоны (Administrative Templates) > Компоненты windows (windows Components) > Шифрование диска BitLocker (BitLocker Drive Encryption) > Диски операционной системы (Operating System Drives). Двойное нажатие мышью на пункте «Требовать дополнительную проверку подлинности при запуске компьютера» (Require additional authentication at startup), выбираем опцию «Включить» (Enabled) и ставим галочку в пункте «Разрешить использование BitLocker без совместимого TPM» (Allow BitLocker without a compatible TPM). Жмите «Применить» для сохранения настроек.

Выбор способа снятия блокировки диска

При успешном выполнении вышеуказанных действий, вам будет предложено окно “Выбор способа разблокировки диска при запуске” (Choose how to unlock your drive at startup). Если у вашего ПК нет модуля TPM, то вы можете выбрать два варианта: ввести пароль или использовать специальный USB флеш-накопитель (смарт-карту) в качестве ключа для разблокировки.

Если модуль TPM присутствует на материнской плате, то вам будет доступно больше опций. К примеру, возможно настроить автоматическую разблокировку при загрузке компьютера - все ключи будут сохранены в модуле TPM и автоматически будут использованы для расшифровывания данных на диске. Также вы можете поставить на начальный загрузчик PIN пароль, который дальше разблокирует ваши ключи для дешифровки, сохраненные в TPM, а далее и весь диск.

Выберите способ наиболее Вам подходящий и следуйте указаниям установщика.

Создание резервного ключа

BitLocker также предоставляет Вам возможность создания резервного ключа. Этот ключ будет использован для доступа к зашифрованным данным в случае, если вы забыли или потеряли ваш основной ключ, к примеру, забыли пароль доступа к ключу или переставили жесткий диск в новый ПК с новым модулем TPM и т. п.

Вы можете сохранить ключ в файл, распечатать его, поместить на внешний USB накопитель или сохранить в вашем аккаунте Microsoft (для пользователей windows 8 and 8.1). Главное быть уверенным в том что этот резервный ключ хранится в надежном месте, в противном случае злоумышленник сможет без труда обойти BitLocker и получить доступ ко всем интересующим его данным. Но несмотря на это обязательно необходимо создать резервный ключ, поскольку утратив основной ключ без резервного вы утратите все свои данные.

Шифрование и дешифровка диска

BitLocker будет автоматически шифровать новые файлы, по мере их появления, однако вам предстоит выбрать, как вы хотите зашифровать ваше остальное пространство на диске. Вы можете зашифровать весь диск целиком (включая свободное пространство) - второй вариант на скриншоте ниже, либо же только файлы - первый вариант, что ускорит процесс шифрования.

При использовании BitLocker на новом ПК (имеется в виду, с недавно установленной ОС) лучше использовать шифрование занятого файлами пространства, поскольку это займет немного времени. Однако, в том случае если вы включаете шифрование для диска который находится длительное время в использовании, лучше использовать метод в котором шифруется полностью весь диск, даже со свободным пространством. Такой метод сделает невозможным восстановления не зашифрованных ранее удаленных файлов. Таким образом первый метод быстрее, второй же более надежный.

При дальнейшей настройке шифрования BitLocker проведет анализ системы и перезагрузит компьютер. После перезагрузки ПК процесс шифрования будет запущен. Он будет отображаться в трее в виде иконки, с помощью которой Вы будете видеть процентный прогресс процесса. Вы и далее сможете пользоваться компьютером, но при этом будет наблюдаться небольшое притормаживание системы из-за параллельно работающего шифрования файлов.

После завершения шифрования и при следующем запуске ПК BitLocker предоставит вам окно, в котором потребуется ввести пароль, PIN или вставить USB накопитель в качестве ключа (зависит от того каким способом вы до этого настроили доступ к ключу).

Нажатие клавиши Escape в данном окне приведет вас к окну ввода резервного ключа, в случае если был утерян доступ к основному ключу.

При выборе способа шифрования BitLocker To Go для внешних устройств вас ждет похожий мастер настройки, однако, перезагрузка компьютера в этом случае не потребуется. Не отключайте внешний накопитель до окончания процесса шифрования.

При последующем подключении зашифрованного устройства к ПК, будет запрошен пароль либо смарт-карта для разблокировки. Устройство защищенное с помощью BitLocker будет отображаться с соответствующей иконкой в диспетчере файлов или windows Explorer.

Вы можете управлять зашифрованным диском (изменять пароль, выключать шифрование, создавать резервные копии ключа и др) используя окно панели управления BitLocker. Правый щелчок мышью на зашифрованном диске и выбор пункта «Управление BitLocker» приведет вас по назначению.

Как и любые другие способы защиты информации, шифрование на ходу в реальном времени с помощью BitLocker конечно же будет забирать на себя часть ресурсов вашего компьютера. Это выразится в основном в повышенной нагрузке на ЦП из-за непрерывного шифрования данных с диска на диск. Но с другой стороны, для людей, информация которых должна быть надежно защищена от посторонних взоров, информация которая может предоставить злоумышленникам губительные козыри в руки, эта потеря производительности - это самое компромиссное решение.

osmaster.org.ua

Шифрование в windows 7 с помощью BitLocker

Владимир Безмалый

7 января 2009 года компания Microsoft представила для тестирования очередную версию операционной системы для рабочих станций – windows 7. В данной операционной системе, как уже стало привычным, широко представлены технологии безопасности, в том числе и ранее представленные в windows Vista. Сегодня речь пойдет о технологии шифрования windows BitLocker, претерпевшей значительные изменения после своего появления в windows Vista. Кажется, сегодня уже никого не нужно убеждать в необходимости шифрования данных на жестких дисках и сменных носителях, однако, тем не менее, приведем аргументы в пользу данного решения.

Потеря конфиденциальных данных из-за хищения или утери мобильных устройств

Сегодня стоимость аппаратных средств во много раз меньше, чем стоимость информации, содержащейся на устройстве. Потерянные данные могут привести к потере репутации, потере конкурентоспособности и потенциальным судебным тяжбам.

Во всем мире уже давно вопросы шифрования данных регулируются соответствующими законодательными актами. Так, например, в США, U.S. Government Information Security Reform Act (GISRA) требует шифрование данных для защиты конфиденциальной информации, принадлежащей правительственным органам. ВстранахЕСпринятадиректива European Union Data Privacy Directive. Канада и Япония имеют свои соответствующие инструкции.

Все эти законы предусматривают серьезные штрафы за утрату персональной или корпоративной информации. Как только ваше устройство похищено (утеряно) – ваши данные могут быть утрачены вместе с ним. Для запрета несанкционированного доступа к данным можно использовать шифрование данных. Кроме того, не стоит забывать о такой опасности, как несанкционированный доступ к данным во время ремонта (в том числе гарантийного), либо продажи устройств, бывших в употреблении.

А то, что это не пустые слова, увы, неоднократно подтверждено фактами. Внештатный сотрудник министерства внутренних дел Великобритании потерял карту памяти с личными данными более чем сотни тысяч преступников, в том числе и отбывающих тюремный срок. Об этом говорится в сообщении ведомства. На носителе хранились имена, адреса и, в некоторых случаях, детали обвинений 84 тысяч заключенных, содержащихся в тюрьмах Соединенного Королевства. Также на карте памяти находятся адреса 30 тысяч человек с количеством судимостей от шести и выше. Как уточнили в министерстве, информация с карты памяти использовалась исследователем из компании РА Consulting. «Нам стало известно о нарушении правил безопасности, повлекшем за собой потерю сотрудником, находящемся на договоре, личной информации о нарушителях закона из Англии и Уэльса. Сейчас проводится тщательное расследование», – сказал представитель МВД.

С комментарием по этому поводу уже успел выступить министр внутренних дел «теневого» правительства Доминик Грив. Он отметил, что британские налогоплательщики будут «в совершенном шоке» от того, как британское правительство относится к секретной информации.

Это далеко не первый в Великобритании случай потери конфиденциальной информации различными организациями и ведомствами, напомнил Грив.

В апреле крупный британский банк HSBC признался в потере диска, на котором хранились личные данные 370 тысяч его клиентов. В середине февраля стало известно о краже из британской больницы Russels Hall Hospital в городе Дадли (графство Уэст-Мидландс) ноутбука с медицинскими данными 5 тысяч 123 пациентов. В конце января появилось сообщение, что у британской сети супермаркетов Marks and Spencer украден ноутбук с личными данными 26 тысяч сотрудников. Глава Минобороны Великобритании Дес Браун 21 января объявил, что у ведомства были украдены три ноутбука с личными данными тысяч человек.

В декабре прошлого года стало известно о том, что частная американская компания потеряла сведения о трех миллионах кандидатах на получение британских водительских прав. Они содержались на жестком диске компьютера. Среди утраченных данных – сведения об именах, адресах и телефонных номерах претендентов на получение водительских прав в период с сентября 2004 по апрель 2007 года.

В конце октября 2007 года два диска, на которых содержалась информация о 25 миллионах получателей детских пособий и их банковских счетах, пропали по дороге между двумя государственными учреждениями. Масштабная операция по поиску дисков, которая обошлась налогоплательщикам в 500 тысяч фунтов, не дала результатов.

Также в июне нынешнего года в одном из поездов, следовавших в Лондон, был обнаружен пакет с секретными документами (http://korrespondent.net/world/493585), в которых содержится информация о борьбе с финансированием террористов, контрабандой наркотиков и отмыванием денег. Ранее пакет с секретными документами, которые касаются последней информации о террористической сети Аль-Каида, был обнаружен (http://korrespondent.net/world/490374) на сиденье поезда в Лондоне. Спрашивается, чем думали пользователи, допустившие это?

А вот еще один факт, который должен заставить задуматься владельцев мобильных устройств

Согласно отчету Ponemon Institute (http://computerworld.com/action/inform.do?command=search&searchTerms=The+Ponemon+Institute) ежегодно в больших и средних аэропортах США теряется около 637 000 ноутбуков Согласно обзору, ноутбуки, как правило, теряются в контрольных точках безопасности.

Около 10 278 ноутбуков теряются еженедельно в 36 больших американских аэропортах, и 65% из них не возвращаются владельцам. В аэропортах среднего размера регистрируется потеря около 2 000 ноутбуков, и 69% из них не возвращены владельцам. Институт провел опросы в 106 аэропортах 46 государств и опросил 864 человека.

Наиболее часто ноутбуки теряют в следующих пяти аэропортах:

• Los Angeles International
• Miami International
• John F. Kennedy International
• Chicago O"Hare
• Newark Liberty International.

Путешественники не уверены что им возвратят потерянные ноутбуки.

Приблизительно 77% опрошенных рассказали, что у них нет никакой надежды на возвращение потерянного ноутбука, 16% говорят, что они ничего не делали бы, если бы потеряли свой ноутбук. Приблизительно 53% заявили, что ноутбуки содержат конфиденциальную информацию компании, а 65%, не сделали ничего для защиты информации.

(http://computerworld.com/action/article.do?command=viewArticleBasic&taxonomyId=17&articleId=9105198&intsrc=hm_topic)

Что этому противопоставить? Только шифрование данных.

В этом случае шифрование выступает в роли последней линии физической обороны вашего ПК. Технологий шифрования жесткого диска сегодня – великое множество. Естественно, что после успешной премьеры своей технологии BitLocker в составе windows Vista Enterprise и windows Vista Ultimate компания Microsoft не могла не включить эту технологию в windows 7. Впрочем, справедливости ради, стоит отметить, что в новой ОС мы увидим значительно переработанную технологию шифрования.

Шифрование в windows 7

Итак, наше знакомство начинается с установки windows 7 на ваш ПК. В windows Vista для использования шифрования вам было необходимо сделать одно из двух: или вначале с использованием командной строки подготовить ваш жесткий диск, разметив его соответствующим способом, или сделать это позднее, используя специальной ПО от Microsoft (BitLocker Disk Preparation Tool). В windows 7 проблема решается изначально, при разметке жесткого диска. Так, при установке, я задал системный раздел емкостью в 39 гигабайт, а получил… 2 раздела! Один – размером 200Мб, а второй в 38 гигабайт с небольшим. Причем в стандартном окне проводника вы видите следующую картинку (рис.1).

Рис. 1. Окно проводника

Однако открыв Start – All Programs – Administrative Tools – Computer Management – Disk Management вы увидите (Рис. 2) следующее:

Рис. 2. Computer Management

Как видите, первый раздел размером в 200Мб просто скрыт. Он же по умолчанию является системным, активным и первичным разделом. Для тех, кто уже знаком с шифрованием в windows Vista особо нового на данном этапе нет, кроме того, что разбивка таким образом проводится по умолчанию и жесткий диск уже на этапе установки готовится к последующему шифрованию. Единственное, бросающее в глаза отличие это его размер в 200 Мб против 1,5 Гб в windows Vista.

Безусловно, такая разбивка диска на разделы значительно удобнее, ведь зачастую пользователь, устанавливая ОС не задумывается сразу о том, будет ли он шифровать жесткий диск или нет.

Сразу же после установки ОС мы в Control Panel в разделе System and Security можем выбрать (рис. 3) BitLocker Drive Encryption

Рис. 3. System and Security

Выбрав Protect your computer by encrypting data on your disk выпопадаетевокно (рис 4)

Рис. 4. BitLocker Drive Encryption

Обратите внимание (на рисунке выделено красным цветом) на опции, которые в windows Vista отсутствуют или организованы иначе. Так, в windows Vista сменные носители можно было шифровать только в том случае, если они использовали файловую систему NTFS, причем шифрование производилось по тем же правилам, что и для жестких дисков. А шифровать второй раздел жесткого диска (в данном случае диск D:) можно было только после того, как зашифрован системный раздел (диск C:).

Однако не стоит думать, что как только вы выберете Turn on BitLocker, вот вам и все хорошо. Не тут-то было! При включении BitLocker без дополнительных параметров, все, что вы получите, это шифрование жесткого диска на этом ПК без применения ТРМ, что, как я уже указывал в своих статьях, не является хорошим примером. Впрочем, у пользователей в некоторых странах, например, Российская Федерация или Украина просто нет другого выхода, так как в этих странах запрещен ввоз компьютеров с ТРМ. В таком случае вы выбираете Turn on BitLocker и попадаете на рис.5.

Рис. 5. BitLocker Drive Encryption

Если же вы хотите использовать ТРМ, чтобы воспользоваться всей мощью шифрования, вам необходимо воспользоваться редактором групповых политик. Для этого вам необходимо запустить режим командной строки (cmd.exe) и наберите в командной строке gpedit.msc (рис.6), запустив редактор групповой политики (рис 7).

Рис. 6. Запуск редактора групповой политики

Рис. 7. Редактор групповой политики

Рассмотрим подробнее опции групповой политики, с помощью которых можно управлять шифрованием BitLocker.

Опции групповой политики BitLocker Drive Encryption

Store BitLocker recovery information in Active Directory Domain Services (windows Server 2008 and windows Vista)

С помощью данной опции групповой политики вы можете управлять Active Directory Domain Services (AD DS) для резервирования информации для последующего восстановления BitLocker Drive Encryption. Данная опция применима только к компьютерам, работающим под управлением windows Server 2008 или windows Vista.

Когда данная опция будет установлена, при включении BitLocker, его информация восстановления будет автоматически скопирована в AD DS.

Если вы отключите данную опцию политики или оставите ее по умолчанию, то информация восстановления BitLocker не будет скопирована в AD DS.

Choose default folder for recovery password

Эта опция политики позволит вам определить используемое по умолчанию местоположение папки для сохранения пароля восстановления, которое отображается мастером BitLocker Drive Encryption при запросе. Данная опция применяется, когда вы включаете шифрование BitLocker. Вместе с тем необходимо отметить, что пользователь может сохранить пароль восстановления в любой другой папке.

Choose how users can recover BitLocker-protected drives (windows Server 2008 и windows Vista)

Данная опция позволит вам управлять опциями восстановления BitLocker, отображаемыми мастером установки. Эта политика применима к компьютерам, работающим под управлением windows Server 2008 и windows Vista. Данная опция применяется при включении BitLocker.

Для восстановления зашифрованных данных пользователь может воспользоваться 48-значным цифровым паролем или USB-диском, содержащим 256-разрядный ключ восстановления.

С помощью данной опции вы можете разрешить сохранение на USB-диск 256-разрядного ключа пароля в качестве невидимого файла и текстового файла, в котором будет содержаться 48 цифр пароля восстановления.

В случае, если вы отключите или не будете конфигурировать это правило групповой политики, мастер установки BitLocker позволит пользователю выбрать опции восстановления.

Если вы отключите или не конфигурируете этот параметр политики, то мастер установки BitLocker предоставит пользователям другие способы сохранить опции восстановления.

Choose drive encryption method and cipher strength

С помощью данного правила вы можете выбрать алгоритм шифрования и длину используемого ключа. Если диск уже зашифрован, а затем вы решили сменить длину ключа, ничего не произойдет. По умолчанию для шифрования используется метод AES со 128-разрядным ключом и диффузором.

Provide the unique identifiers for your organization

Данное правило политики позволит вам создавать уникальные идентификаторы для каждого нового диска, принадлежащего организации и защищаемого с помощью BitLocker. Данные идентификаторы хранятся как первое и второе поля идентификатора. Первое поле идентификатора позволит установить уникальный идентификатор организации на диски, защищенные BitLocker. Этот идентификатор будет автоматически добавляться к новым дискам, защищаемым BitLocker, и он может быть обновлен для существующих дисков, зашифрованных с помощью BitLocker, с помощью программного обеспечения командной строки Manage-BDE.

Второе поле идентификатора используется в комбинации с правилом политики «Запрет доступа на сменные носители, не защищенные BitLocker» и может использоваться для управления сменными дисками в вашей компании.

Комбинация этих полей может использоваться для определения, принадлежит ли диск вашей организации или нет.

В случае если значение данного правила не определено или отключено, поля идентификации не требуются.

Поле идентификации может иметь длину до 260 символов.

Prevent memory overwrite on restart

Данное правило позволит увеличить производительность компьютера за счет предотвращения перезаписи памяти, однако стоит понимать, что ключи BitLocker не будут удалены из памяти.

Если данное правило отключено или не конфигурировано, то ключи BitLocker будут удалены из памяти при перезагрузке компьютера.

Для усиления защищенности данное правило стоит оставить по умолчанию.

Configure smart card certificate object identifier

Это правило позволит связать идентификатор объекта сертификата смарт-карты с диском, зашифрованным BitLocker.

Стационарные жесткие диски

В данном разделе описываются правила групповой политики, которые будут применяться к дискам данных (не системным разделам).

Configure use of smart cards on fixed data drives

Данное правило позволит определить, можно или использовать смарт-карты для разрешения доступа к данным на жестком диске ПК.

Если вы отключаете это правило, смарт-карты использовать нельзя.

По умолчанию смарт-карты могут использоваться.

Deny write access to fixed drives not protected by BitLocker

Это правило определяет разрешение или запрет записи на диски, не защищенные BitLocker. Если данное правило определено, то все диски, не защищенные BitLocker, будут доступны только для чтения. Если же диск зашифрован с помощью BitLocker, то он будет доступен для чтения и записи. Если данное правило отключено или не определено, то все жесткие диски компьютера будут доступны по чтению и записи.

Allow access to BitLocker-protected fixed data drives from earlier versions of windows

Данное правило политики устанавливает, могут ли диски с файловой системой FAT быть разблокированы и прочитаны на компьютерах под управлением windows Server 2008, windows Vista, windows XP SP3 и windows XP SP2.

Если данное правило включено или не конфигурировано, диски данных, отформатированные под файловой системой FAT, могут быть доступны для чтения на компьютерах с вышеперечисленными ОС.

Если это правило отключено, то соответствующие диски не могут быть разблокированы на компьютерах под управлением windows Server 2008, windows Vista, windows XP SP3 и windows XP SP2.

Внимание! Это правило не относится к дискам, форматированным под NTFS.

Данное правило определяет необходимость пароля для разблокирования дисков, защищенных BitLocker. Если вы хотите использовать пароль, то можете установить требования сложности пароля и его минимальную длину. Стоит учесть, что для установки требований сложности, необходимо установить требование к сложности пароля в разделе Политики паролей групповой политики.

Если данное правило определено, пользователи могут конфигурировать пароли, отвечающие выбранным требованиям.

Длина пароля должна быть не менее 8 символов (по умолчанию).

Choose how BitLocker-protected fixed drives can be recovered

Данное правило позволит вам управлять восстановлением зашифрованных дисков.

Если данное правило не сконфигурировано или заблокировано, то доступны опции восстановления по умолчанию.

Operation System Drives

В данном разделе описываются правила групповой политики, применяемые для разделов операционной системы (как правило, диск C:).

Require additional authentication at startup

Это правило групповой политики позволит установить, используете ли вы для идентификации Trusted Platform Module (ТМР).

Внимание! Стоит учесть, что при запуске может быть задана только одна из опций, иначе вы получите ошибку политики.

Если данное правило включено, пользователи смогут конфигурировать расширенные опции запуска в мастере установки BitLocker

Если политика отключена или не сконфигурирована, основные опции можно конфигурировать только на компьютерах с ТРМ.

Внимание! Если вы хотите использовать PIN и USB-диск, то должны сконфигурировать BitLocker, используя командную строку bde вместо мастера BitLocker Drive Encryption.

Require additional authentication at startup (windows Server 2008 and windows Vista)

Данное правило политики применимо только к компьютерам, работающим под управлением windows 2008 или windows Vista.

На компьютерах, оборудованных TPM, можно установить дополнительный параметр безопасности – PIN код (от 4 до 20 цифр).

На компьютерах, не оборудованных ТРМ, будет использоваться USB-диск с ключевой информацией.

Если данный параметр включен – мастер отобразит окно, в котором пользователь сможет сконфигурировать дополнительные параметры запуска BitLocker.

Если же данный параметр отключен или не сконфигурирован, то мастер установки отобразит основные шаги для запуска BitLocker на компьютерах с ТРМ.

Configure minimum PIN length for startup

С помощью данного параметра производится настройки минимальной длины PIN-кода для запуска компьютера.

PIN-код может иметь длину от 4 до 20 цифр.

Choose how BitLocker-protected OS drives can be recovered

С помощью данного правила групповой политики вы сможете определить, как будут восстанавливаться диски, зашифрованные с помощью BitLocker, при отсутствии ключа шифрования.

Configure TPM platform validation profile

С помощью данного правила можно конфигурировать модель ТРМ. Если соответствующего модуля нет, данное правило не применяется.

Если вы разрешаете это правило, то сможете конфигурировать, какие компоненты начальной загрузки будут проверены с помощью ТРМ, прежде чем разблокировать доступ к зашифрованному диску.

Съемные носители

Control use of BitLocker on removable drives

С помощью данного правила групповой политики вы сможете управлять шифрованием BitLocker на сменных дисках.

Вы можете выбрать, с помощью каких параметров настройки пользователи смогут конфигурировать BitLocker.

В частности, для разрешения выполнения мастера установки шифрования BitLocker на сменном диске вы должны выбрать «Allow users to apply BitLocker protection on removable data drives».

Если вы выберете «Allow users to suspend and decrypt BitLocker on removable data drives», то пользователь сможет расшифровать ваш сменный диск или приостановить шифрование.

Если данное правило не сконфигурировано, то пользователи могут использовать BitLocker на съемных носителях.

Если данное правило отключено, то пользователи не смогут использовать BitLocker на съемных дисках.

Configure use of smart cards on removable data drives

С помощью данной установки политики вы сможете определить, можно ли использовать смарт-карты для аутентификации пользователя и доступа его к сменным дискам на данном ПК.

Deny write access to removable drives not protected BitLocker

С помощью данного правила политики вы можете запретить запись на сменные диски, не защищенные BitLocker. В таком случае, все сменные диски, не защищенные BitLocker будут доступны только для чтения.

Если будет выбрана опция «Deny write access to devices configured in another organization», то запись будет доступна только на сменные диски, принадлежащие вашей организации. Проверка производится по двум полям идентификации, определенным согласно правилу групповой политики «Provide the unique identifiers for your organization».

Если вы отключили данное правило или оно не сконфигурировано, то все сменные диски будут доступны и по чтению и по записи.

Внимание! Это правило можно отменить параметрами настройки политики User ConfigurationAdministrative TemplatesSystemRemovable Storage Access Если правило «Removable Disks: Deny write access» разрешено, то это правило будет проигнорировано.

Allow access to BitLocker-protected removable data drives from earlier versions of windows

Это правило определяет, могут ли сменные диски, отформатированные под FAT, быть разблокированы и просмотрены на компьютерах под управлением windows 2008, windows Vista, windows XP SP3 и windows XP SP2.

Если данное правило разрешено или не сконфигурировано, то сменные диски с файловой системой FAT могут быть разблокированы и просмотрены на компьютерах под управлением windows 2008, windows Vista, windows XP SP3 и windows XP SP2. При этом эти диски будут доступны только для чтения.

Если это правило заблокировано, то соответствующие сменные диски не могут быть разблокированы и просмотрены на компьютерах под управлением windows 2008, windows Vista, windows XP SP3 и windows XP SP2.

Данное правило не относится к дискам, отформатированным под NTFS.

Configure password complexity requirements and minimum length

Данное правило политики определяет, должны ли сменные диски, заблокированные с помощью BitLocker, быть разблокированы с помощью пароля. Если же вы позволите использовать пароль, вы сможете установить требования к его сложности и минимальную длину пароля. Стоит учесть, что в этом случае требования сложности должны совпадать с требованиями политики паролей Computer Configurationwindows SettingsSecurity SettingsAccount PoliciesPassword Policy

Choose how BitLocker-protected removable drives can be recovered

Данное правило позволяет выбрать способ восстановления сменных дисков, защищенных BitLocker.

Однако продолжим шифрование жесткого диска. Так как вы уже убедились, что изменения групповой политики позволят значительно шире использовать возможности шифрования BitLocker, то перейдем к правке групповой политики. Для этого сформулируем цели и условия использования нашего шифрования.

1. Исследуемый компьютер обладает установленным модулем ТРМ

2. Мы будем шифровать:

• системный диск
• диск данных
• сменные носители, как под NTFS, так и под FAT.

Причем мы должны проверить, будут ли доступны наши сменные носители, отформатированные под FAT, на компьютере, работающем как под управлением windows XP SP2, так и под управлением windows Vista SP1.

Переходим к процессу шифрования.

Для начала в групповых политиках BitLocker выберем алгоритм шифрования и длину ключа (рис. 8)

Рис. 8. Выбор алгоритма шифрования и длины ключа

Затемвразделе Operation System Drive выбираемправило Require additional authentication at startup (рис.9)

Рис. 9. Правило «Require additional authentication at startup»

После этого установим минимальную длину PIN-кода равную 6 символамспомощьюправила Configure minimum PIN length for startup .

Для шифрования раздела данных установим требования к сложности и минимальной длине пароля в 8 символов (рис 10).

Рис. 10. Установка требований к минимальной длине и сложности пароля

При этом необходимо помнить, что нужно выставить требования к парольной защите (рис 11).

Рис. 11. Требования к парольной защите

Для сменных дисков выберем следующие настройки:

• Не разрешать читать сменные диски с файловой системой FAT под младшими версиями windows;
• Пароли должны удовлетворять требованиям сложности;
• Минимальная длина пароля 8 символов.

После этого командой gpupdate.exe /force в окне командной строки обновить политику (рис 12).

Рис. 12. Обновление настроек групповой политики

Так как мы решили использовать PIN-код при каждой перезагрузке, то выбираем (рис.13) Require a PIN at every startup.

Рис. 13. Вводить PIN при каждой загрузке

Рис. 14. Ввод PIN-кода

Введем PIN-код длиной 4 символа (рис.15)

Рис. 15. PIN-код не удовлетворяет требованиям минимальной длины

Минимальная длина PIN-кода, заданная в политике – 6 цифр, после ввода нового PIN-кода получаем приглашение на сохранение ключа на USB-диске и в виде текстового файла.

Рис. 16. Сохранение резервного ключа шифрования

После этого перегружаем систему, и начинается собственно процесс шифрования диска С:.

После этого мы с вами шифруем второй раздел нашего жесткого диска – диск D: (рис. 17)

Рис. 17. Шифрование диска D:

Перед шифрованием диска D: мы должны вести пароль для этого диска. При этом пароль должен соответствовать нашим требованиям к минимальной длине пароля и требованиям сложности пароля. Стоит учесть, что возможно автоматически открывать этот диск на этом ПК.

Соответственно, аналогично сохраним пароль восстановления на USB-диск.

Стоит учесть, что при первом сохранении пароля он одновременно сохраняется и в текстовом файле на этом же USB-диске!

Необходимо иметь в виду, что при шифровании раздела данных размером 120 Гб (из них 100 свободно), windows Explorer все время выдает сообщение о нехватке места на разделе (рис. 18).

Рис. 18. Окно windows Explorer

Попробуем зашифровать USB-диск, отформатированный файловой системой FAT.

Шифрование USB-диска начинается с того, что нам предлагают ввести пароль для будущего зашифрованного диска. Согласно определенным правилам политики, минимальная длина пароля – 8 символов. При этом пароль должен соответствовать требованиям сложности (рис. 19)

Рис. 19. Ввод пароля для шифрования сменного USB-диска

По окончании шифрования я попробовал просмотреть этот USB-диск на другом компьютере, работающем под windows Vista Home Premium SP1. Результат – на рис. 21.

Рис. 21. Попытка прочесть зашифрованный USB-диск на компьютере с ОС windows Vista SP1

Как видите, в случае потери вашего диска, информация не будет прочитана, более того, скорее всего диск будет просто отформатирован.

При попытке подсоединить этот же USB-диск к компьютеру под управлением windows 7 Beta1 можно увидеть следующее (рис.22).

Вывод

Таким образом, мы с вами увидели, как будет производиться шифрование в windows 7. Что можно сказать – по сравнению с windows Vista в ней появилось гораздо больше правил в групповых политиках, соответственно возрастает ответственность ИТ-персонала за их правильное применение и правильное построение взаимосвязанных отношений.

Как удалить точки восстановления системы в windows 7

Напоминаем, что попытки повторить действия автора могут привести к потере гарантии на оборудование и даже к выходу его из строя. Материал приведен исключительно в ознакомительных целях. Если же вы собираетесь воспроизводить действия, описанные ниже, настоятельно советуем внимательно прочитать статью до конца хотя бы один раз. Редакция 3 DNews не несет никакой ответственности за любые возможные последствия.

⇡ Введение

Почти обо всех решениях, упомянутых в предыдущем материале , так или иначе рассказывалось на страницах нашего ресурса. Однако тема шифрования и уничтожения данных незаслуженным образом была обойдена стороной. Исправим же это упущение. Рекомендуем ещё раз прочитать прошлую статью, перед тем как что-либо делать. Обязательно сделайте резервную копию всех данных перед их шифрованием! И ещё — десять раз подумайте, какую именно информацию вам придётся везти с собой и нет ли возможности отказаться хотя бы от её части. Если всё готово, приступаем.

⇡ Шифрование стандартными средствами Windows 7, Mac OS X 10.7 и Ubuntu 12.04

Все современные десктопные ОС уже давно обзавелись встроенными утилитами для шифрования файлов и папок или целых дисков. Перед тем как рассматривать сторонние утилиты, лучше обратиться именно к ним, ибо они довольно просты в настройке и использовании, хотя и не обладают различными дополнительными функциями. В Windows 7 Ultimate и Enterprise есть функция шифрования томов под названием BitLocker . Для защиты системного диска она требует наличия модуля TPM, который установлен далеко не во всех ПК или ноутбуках, но для прочих томов он не требуется. Также в Windows 7 есть функция BitLocker To Go для защиты съёмных накопителей, которой тоже можно воспользоваться без аппаратного криптомодуля, а этого вполне достаточно для большинства пользователей.

Если у вас установлена подходящая версия Windows 7, то для задействования BitLocker (To Go) перейдите в панели управления к пункту «Шифрование диска BitLocker». Напротив соответствующего накопителя кликните по ссылке «Включить BitLocker». Выберите опцию разблокировки с помощью пароля и сохраните ключ восстановления (это просто текстовый файл) в безопасное место, например на флешку, которую вы не берёте с собой в дорогу. Через некоторое время, а это зависит от объёма накопителя и мощности ПК, процесс шифрования будет завершён.

При подключении зашифрованного тома вас каждый раз будут просить ввести пароль для доступа к данным, если вы не включите автоматическую разблокировку, а делать это не рекомендуется. Управлять параметрами зашифрованного тома можно всё в том же разделе «Шифрование диска BitLocker» панели управления. Если вы вдруг забыли пароль от BitLocker, то для расшифровки надо использовать 48-значный цифровой ключ восстановления — после его ввода том будет временно разблокирован.

В Windows 7, помимо BitLocker, есть ещё метод шифрования папок и файлов, а не томов, — шифрованная файловая система (EFS). Поддерживается во всех редакциях ОС, но в Starter и Home (Premium) можно только работать с уже зашифрованными папками и файлами, но не создавать их. Для работы EFS обязательно использование NTFS с отключённой опцией сжатия данных. Если ваша машина удовлетворяет этим требованиям, то можно приступать к настройке.

В панели управления переходим к параметрам учётных записей и кликаем по ссылке «Управление сертификатами шифрования файлов». Следуя подсказкам мастера, создаём новый самозаверяющий сертификат для ПК. Обязательно сохраняем его в надёжном месте и защищаем паролем. Это можно сделать и потом с помощью этого же мастера, но лучше не тянуть, ибо экспортируемый PFX-файл понадобится для экстренного восстановления данных. Если у вас уже были зашифрованные данные на диске, то для них надо обновить ключи.

Система EFS прозрачна для пользователя, то есть с файлами и папками можно работать как обычно. Но если попытаться открыть их в другой среде (ОС, ПК), то доступ к ним будет закрыт. Чтобы зашифровать файл или папку, достаточно в их свойствах нажать кнопку «Другие…» на вкладке «Общие» и поставить галочку «Шифровать содержимое для защиты данных». После применения изменений цвет имени зашифрованного элемента по умолчанию меняется на зелёный для лучшей визуальной идентификации защищённых данных.

Для расшифровки достаточно снять галочку в свойствах файла/папки. При попытке скопировать защищённые данные в неподходящие для этого места — на диск c FAT32, в сетевое хранилище и так далее — появится предупреждение, что данные будут расшифрованы и попадут туда в незащищённом виде. Для удобства работы с EFS можно добавить в контекстное меню проводника соответствующие пункты. Достаточно создать DWORD-параметр EncryptionContextMenu в ветке реестра HKEY_ LOCAL_ MACHINE \\SOFTWARE \\Microsoft \\Windows \\CurrentVersion \\Explorer \\Advanced \\ и выставить его значение в 1.

Для расшифровки данных на накопителе в случае недоступности машины, на которой они шифровались, нужна резервная копия сертификата и пароль к ней. Для импорта достаточно дважды кликнуть по pfx-файлу и следовать указаниям мастера. Если вы хотите в дальнейшем экспортировать данный сертификат для работы с данными на ещё одной машине, то отметьте эту опцию галочкой.

Сохранить импортируемый сертификат нужно в личном хранилище. После окончания процесса доступ к зашифрованным файлам и папкам будет открыт. Управлять личными сертификатами можно с помощью оснастки MMC — Win+R, certmgr.msc, Enter.

Ещё одна крайне полезная опция, а именно затирание свободного места на диске, доступна только с помощью командной строки. Ключ /W — очистка места, /E — шифрование, /D — расшифровка. Описание остальных параметров доступно во встроенной справке — ключ /?.

Cipher /W X:\\путь\\до\\любой\\папки\\на\\очищаемом\\диске

Mac OS X

Кратенько остановимся на возможностях защиты данных в «яблочных» компьютерах. В Mac OS X уже давно имеется встроенная система шифрования FileVault , а с версии 10.7 она позволяет защищать не только домашний каталог, но и сразу весь диск. Включить её можно в настройках системы в разделе «Защита и безопасность». Там же полезно будет отметить галочкой опцию защиты виртуальной памяти. При включении шифрования придётся задать мастер-пароль, если он ещё не задан, а также сохранить ключ восстановления. Для дальнейшей настройки следуйте указаниям мастера. Впрочем, более универсальный метод — это использование зашифрованных образов диска.

В дисковой утилите выберите «Новый образ» и в появившемся диалоге укажите имя файла и его местоположение, задайте имя диску и выберите размер. В качестве ФС вполне подойдёт журналируемая Mac OS Extended. Шифрование лучше выбрать AES-256. В списке «Разделы» оставьте выбор «Жёсткий диск», а в качестве формата укажите растущий пакет-образ. Осталось придумать или сгенерировать пароль для доступа, но не запоминать его в связке ключей для пущей безопасности, а каждый раз вводить вручную. При двойном клике по образу он подмонтируется с запросом пароля. После сохранения на нём важных данных не забудьте отмонтировать образ.

Ubuntu ещё на этапе установки предлагает зашифровать домашний каталог пользователя. Одновременно с этим шифруется и раздел подкачки, что приводит к невозможности использования спящего режима. Если же вы отказались от шифрования при установке, то придётся настроить все вручную. При этом от защиты swap-раздела можно отказаться, что естественным образом снижает безопасность. Более удобный и защищённый, но и более сложный в настройке вариант — шифрование всего диска сразу. Если вы хотите сделать это, то воспользуйтесь вот этой инструкцией . Мы же рассмотрим простой вариант с защитой home и, по желанию, swap. Для начала установим с помощью терминала необходимое ПО:

Sudo apt-get install ecryptfs-utils cryptsetup

Здесь есть один нюанс — чтобы зашифровать домашний каталог какого-нибудь пользователя, файлы в этом каталоге не должны быть открыты в какой-либо программе, а значит, пользователь должен выйти из системы. Для этого придётся создать ещё одну временную учётную запись с правами администратора. После создания оной выходим из системы и логинимся с новым аккаунтом.

От имени второго пользователя выполняем следующую команду, в которой username заменяем именем пользователя, чей домашний каталог мы будем шифровать. Преобразование файлов займёт некоторое время, так что наберитесь терпения.

Sudo ecryptfs-migrate-home -u username

После завершения операции выходим из системы и снова входим в неё под основной учётной записью. Теперь можно удалить временный аккаунт и все его файлы. Через несколько минут после входа появится предупреждение о том, что надо бы сохранить в надёжном месте случайно сгенерированный пароль для доступа к только что зашифрованным файлам на случай экстренного восстановления. Не забудьте это сделать.

Наконец, осталось удалить «старый» домашний каталог / home/имя_пользователя. XXXXXXXX , где XXXXXXXX — случайный набор букв.

Sudo rm -rf /home/username.XXXXXXXX

Для шифрования раздела подкачки достаточно выполнить одну-единственную команду, затем убедиться, что в / etc/ fstab закомментирована запись о старом swap-разделе, а в качестве нового указан /dev/mapper/cryptswap1 .

Sudo ecryptfs-setup-swap

⇡ Шифрование с помощью TrueCrypt

TrueCrypt — это открытое кроссплатформенное приложение для создания защищённых томов и работы с ними с шифрованием на лету. На практике это означает, что, во-первых, в расшифрованном виде данные находятся только в оперативной памяти. Во-вторых, что работа с криптоконтейнерами возможна в любой ОС. И в-третьих, что с довольно высокой степенью вероятности можно говорить об отсутствии каких-либо «закладок». Помимо этого TrueCrypt поддерживает инструкции AES-NI для ускорения (де-)шифрования. На самом деле возможности программы гораздо шире и все они хорошо описаны в руководстве, которое доступно с пакетом локализации (распакуйте содержимое архива в каталог с установленной программой). Поэтому мы рассмотрим простейший случай создания криптоконтейнера в среде Windows.

Итак, после установки запускаем утилиту, нажимаем кнопку «Создать том» и следуем советам мастера, так как выбранные по умолчанию параметры достаточно безопасны. Вручную потребуется задать лишь объём тома и пароль к нему. После монтирования контейнера он будет выглядеть в системе как обычный физический том, а значит, его можно форматировать, дефрагментировать и так далее.

Особенностью контейнеров TrueCrypt является то, что со стороны они выглядят как наборы случайных битов, и распознать, что в файле именно контейнер, теоретически невозможно. Обязательно следуйте советам по созданию надёжного пароля и сразу же сохраните его в безопасном месте. Дополнительной защитой является использование ключевых файлов любого типа, для которых также надо будет сделать резервную копию.

Осталось выбрать формат ФС (набор зависит от ОС), поводить мышью внутри окна и разметить том. На этом создание контейнера завершено.

Чтобы смонтировать том, надо нажать кнопку «Файл…», выбрать контейнер и букву диска, нажать «Смонтировать», ввести пароли и, если необходимо, выбрать ключевые файлы, а также указать прочие параметры. Теперь можно работать с данными так же, как если бы они находились на обычном логическом диске. Для отключения криптоконтейнера достаточно нажать кнопку «Размонтировать». В настройках программы также можно включить автоматическое размонтирование по таймеру/выходу из системы/запуску хранителя экрана, очистку кешей и прочие полезные функции.

Это достаточно простой и надёжный вариант хранения важной информации. Однако если вам требуется большая безопасность, то TrueCrypt позволяет создавать скрытые тома, шифровать диски и разделы, добавлять скрытый раздел с ещё одной ОС, настраивать «конвейер» из нескольких алгоритмов шифрования, защищать переносной диск, использовать токены и смарт-карты для авторизации, а также многое другое. Крайне рекомендуется прочитать в документации главу о требованиях безопасности и мерах предосторожности.

⇡ Безопасное удаление

Единственный надёжный способ гарантированно удалить данные — это физическое уничтожение накопителя, на котором они находятся. Для этого даже разработаны специальные процедуры, порой утончённо-извращённого садистского характера. А «виноваты» в этом различные технологии, которые используются в современных накопителях, — остаточная намагниченность, TRIM-операции, равномерное распределение нагрузки, журналирование и так далее. Суть их в целом сводится к тому, что данные зачастую помечаются как удалённые или готовые к удалению вместо того, чтобы быть действительно стёртыми. Поэтому были разработаны методики достаточно безопасного удаления остаточной информации , которые не столь радикальны, как полное уничтожение носителя.

Функция безопасной очистки диска присутствует во многих редакторах разделов. Для Windows есть множество подобных утилит, но мы остановимся на классической SDelete . Работа с ней осуществляется в режиме командной строки. Синтаксис довольно простой. Ключом -p задаётся число проходов перезаписи, с ключом -s (или -r) программа рекурсивно уничтожает всё содержимое папки, а передача ключа -c (или -z) очищает (забивает нулями) свободное место на указанном томе. В конце указывается путь до папки или файла. Например, для стирания нашего тома TrueCrypt и очистки диска выполним две команды:

C:\\sdelete.exe -p 26 C:\\exampletc C:\\sdelete.exe -c C:\\

В большинстве Linux-дистрибутивов есть утилита shred, которая выполняет те же функции, что и SDelete . У неё также есть несколько параметров, но для нас вполне достаточно знать три из них. Ключ -n задаёт число проходов перезаписи, -u удаляет файл, а -z в конце забивает использовавшееся место нулями. Пример работы:

Sudo shred -u -z -n 26 /home/dest/exampletc2

Программа shred имеет ряд ограничений в плане безопасного удаления, о чём честно предупреждает пользователя при запуске с ключом --help. Более эффективный набор утилит входит в пакет Secure-Delete. Установим его и рассмотрим пару встроенных программ. Утилита srm аналогична shred, но принимает чуть меньше параметров. Нам интересны ключи -r для рекурсивного удаления указанного каталога и вездесущий -z для заполнения пространства нулями. Также в пакете имеется утилита для затирания свободного места на диске с указанной папкой.

Sudo apt-get install secure-delete sudo srm -z /home/dest/exampletc3 sudo -z sfill /home/dest

Для Mac OS X есть всё тот же CCleaner с функцией зачистки свободного места, а также утилита srm, которая работает так же, как в Linux. В настройках Finder рекомендуется включить функцию безопасной очистки корзины. Она же доступна в контекстном меню корзины при нажатой клавише CMD.

Для SSD-накопителей и флешек лучше использовать низкоуровневое форматирование (см. ) или же процедуру Secure Erase, что может привести вас к потере гарантии на SDD. Для последнего случая подойдёт другой Live-дистрибутив для работы с разделами на диске — Parted Magic . Загрузитесь с него и выберите в главном меню System tools → Erase Disk. Для твердотельных накопителей выберите последний пункт Secure Erase, а для обычных HDD используйте метод nwipe, который является по сути тем же DBAN.

⇡ Заключение

Рассмотренного нами сочетания шифрования данных с последующим их безопасным удалением вполне достаточно для того, чтобы надёжно защитить конфиденциальную информацию. Естественно, стопроцентной защиты это никоим образом не гарантирует, но для простых пользователей риски утечки резко падают. А о «непростых смертных» позаботятся соответствующие службы. Ещё раз напоминаем о важности создания резервных копий вообще и перед шифрованием в частности, а также о минимизации объёма перемещаемых вместе с вами данных в стан вероятного противника и необходимости использования надёжных паролей с ключами вкупе с их резервированием. Ну и просто будьте всегда внимательны. Удачи!

По мнению специалистов, именно кража ноутбука является одной из основных проблем в сфере информационной безопасности (ИБ).

В отличие от других угроз ИБ, природа проблем «украденный ноутбук» или «украденная флешка» довольно примитивна. И если стоимость исчезнувших устройств редко превышает отметку в несколько тысяч американских долларов, то ценность сохраненной на них информации зачастую измеряется в миллионах.

По данным Dell и Ponemon Institute, только в американских аэропортах ежегодно пропадает 637 тысяч ноутбуков. А представьте сколько пропадает флешек, ведь они намного меньше, и выронить флешку случайно проще простого.

Когда пропадает ноутбук, принадлежащий топ-менеджеру крупной компании, ущерб от одной такой кражи может составить десятки миллионов долларов.

Как защитить себя и свою компанию?

Мы продолжаем цикл статей про безопасность Windows домена. В первой статье из цикла мы рассказали про настройку безопасного входа в домен, а во второй - про настройку безопасной передачи данных в почтовом клиенте:

1. Как при помощи токена сделать Windows домен безопаснее? Часть 1 .
2. Как при помощи токена сделать Windows домен безопаснее? Часть 2 .

В этой статье мы расскажем о настройке шифрования информации, хранящейся на жестком диске. Вы поймете, как сделать так, чтобы никто кроме вас не смог прочитать информацию, хранящуюся на вашем компьютере.

Мало кто знает, что в Windows есть встроенные инструменты, которые помогают безопасно хранить информацию. Рассмотрим один из них.

Наверняка, кто-то из вас слышал слово «BitLocker». Давайте разберемся, что же это такое.

Что такое BitLocker?

BitLocker (точное название BitLocker Drive Encryption) - это технология шифрования содержимого дисков компьютера, разработанная компанией Microsoft. Она впервые появилась в Windows Vista.

С помощью BitLocker можно было шифровать тома жестких дисков, но позже, уже в Windows 7 появилась похожая технология BitLocker To Go, которая предназначена для шифрования съемных дисков и флешек.

BitLocker является стандартным компонентом Windows Professional и серверных версий Windows, а значит в большинстве случаев корпоративного использования он уже доступен. В противном случае вам понадобится обновить лицензию Windows до Professional.

Как работает BitLocker?

Эта технология основывается на полном шифровании тома, выполняемом с использованием алгоритма AES (Advanced Encryption Standard). Ключи шифрования должны храниться безопасно и для этого в BitLocker есть несколько механизмов.

Самый простой, но одновременно и самый небезопасный метод - это пароль. Ключ получается из пароля каждый раз одинаковым образом, и соответственно, если кто-то узнает ваш пароль, то и ключ шифрования станет известен.

Чтобы не хранить ключ в открытом виде, его можно шифровать либо в TPM (Trusted Platform Module), либо на криптографическом токене или смарт-карте, поддерживающей алгоритм RSA 2048.

TPM - микросхема, предназначенная для реализации основных функций, связанных с обеспечением безопасности, главным образом с использованием ключей шифрования.

Модуль TPM, как правило, установлен на материнской плате компьютера, однако, приобрести в России компьютер со встроенным модулем TPM весьма затруднительно, так как ввоз устройств без нотификации ФСБ в нашу страну запрещен.

Использование смарт-карты или токена для снятия блокировки диска является одним из самых безопасных способов, позволяющих контролировать, кто выполнил данный процесс и когда. Для снятия блокировки в таком случае требуется как сама смарт-карта, так и PIN-код к ней.

Схема работы BitLocker:

1. При активации BitLocker с помощью генератора псевдослучайных чисел создается главная битовая последовательность. Это ключ шифрования тома - FVEK (full volume encryption key). Им шифруется содержимое каждого сектора. Ключ FVEK хранится в строжайшей секретности.
2. FVEK шифруется при помощи ключа VMK (volume master key). Ключ FVEK (зашифрованный ключом VMK) хранится на диске среди метаданных тома. При этом он никогда не должен попадать на диск в расшифрованном виде.
3. Сам VMK тоже шифруется. Способ его шифрования выбирает пользователь.
4. Ключ VMK по умолчанию шифруется с помощью ключа SRK (storage root key), который хранится на криптографической смарт-карте или токене. Аналогичным образом это происходит и с TPM.
   К слову, ключ шифрования системного диска в BitLocker нельзя защитить с помощью смарт-карты или токена. Это связано с тем, что для доступа к смарт-картам и токенам используются библиотеки от вендора, а до загрузки ОС, они, понятное дело, не доступны.
   Если нет TPM, то BitLocker предлагает сохранить ключ системного раздела на USB-флешке, а это, конечно, не самая лучшая идея. Если в вашей системе нет TPM, то мы не рекомендуем шифровать системные диски.
   И вообще шифрование системного диска является плохой идеей. При правильной настройке все важные данные хранятся отдельно от системных. Это как минимум удобнее с точки зрения их резервного копирования. Плюс шифрование системных файлов снижает производительность системы в целом, а работа незашифрованного системного диска с зашифрованными файлами происходит без потери скорости.
5. Ключи шифрования других несистемных и съемных дисков можно защитить с помощью смарт-карты или токена, а также TPM.
   Если ни модуля TPM ни смарт-карты нет, то вместо SRK для шифрования ключа VMK используется ключ сгенерированный на основе введенного вами пароля.

При запуске с зашифрованного загрузочного диска система опрашивает все возможные хранилища ключей - проверяет наличие TPM, проверяет USB-порты или, если необходимо, запрашивает пользователя (что называется восстановлением). Обнаружение хранилища ключа позволяет Windows расшифровать ключ VMK, которым расшифровывается ключ FVEK, уже которым расшифровываются данные на диске.

Каждый сектор тома шифруется отдельно, при этом часть ключа шифрования определяется номером этого сектора. В результате два сектора, содержащие одинаковые незашифрованные данные, будут в зашифрованном виде выглядеть по-разному, что сильно затруднит процесс определения ключей шифрования путем записи и расшифровки заранее известных данных.

Помимо FVEK, VMK и SRK, в BitLocker используется еще один тип ключей, создаваемый «на всякий случай». Это ключи восстановления.

Для аварийных случаев (пользователь потерял токен, забыл его PIN-код и т.д.) BitLocker на последнем шаге предлагает создать ключ восстановления. Отказ от его создания в системе не предусмотрен.

Как включить шифрование данных на жестком диске?

Прежде чем приступить к процессу шифрованию томов на жестком диске, важно учесть, что эта процедура займет какое-то время. Ее продолжительность будет зависеть от количества информации на жестком диске.

Если в процессе шифрования или расшифровки компьютер выключится или перейдет в режим гибернации, то эти процессы возобновятся с места остановки при следующем запуске Windows.

Даже в процессе шифрования системой Windows можно будет пользоваться, но, вряд ли она сможет порадовать вас своей производительностью. В итоге, после шифрования, производительность дисков снижается примерно на 10%.

Если BitLocker доступен в вашей системе, то при клике правой кнопкой на названии диска, который необходимо зашифровать, в открывшемся меню отобразится пункт Turn on BitLocker .

На серверных версиях Windows необходимо добавить роль BitLocker Drive Encryption .

Приступим к настройке шифрования несистемного тома и защитим ключ шифрования с помощью криптографического токена.

Мы будем использовать токен производства компании «Актив». В частности, токен Рутокен ЭЦП PKI .

I. Подготовим Рутокен ЭЦП PKI к работе.

В большинстве нормально настроенных системах Windows, после первого подключения Рутокен ЭЦП PKI автоматически загружается и устанавливается специальная библиотека для работы с токенами производства компании «Актив» - Aktiv Rutoken minidriver.

Процесс установки такой библиотеки выглядит следующим образом.

Наличие библиотеки Aktiv Rutoken minidriver можно проверить через Диспетчер устройств .

Если загрузки и установки библиотеки по каким-то причинам не произошло, то следует установить комплект Драйверы Рутокен для Windows .

II. Зашифруем данные на диске с помощью BitLocker.

Щелкнем по названию диска и выберем пункт Turn on BitLocker .

Как мы говорили ранее, для защиты ключа шифрования диска будем использовать токен.
Важно понимать, что для использования токена или смарт-карты в BitLocker, на них должны находиться ключи RSA 2048 и сертификат.

Если вы пользуетесь службой Certificate Authority в домене Windows, то в шаблоне сертификата должна присутствовать область применения сертификата «Disk Encryption» (подробнее про настройку Certificate Authority в первой части нашего цикла статей про безопасность Windows домена).

Если у вас нет домена или вы не можете изменить политику выдачи сертификатов, то можно воспользоваться запасным путем, с помощью самоподписанного сертификата, подробно про то как выписать самому себе самоподписанный сертификат описано .
Теперь установим соответствующий флажок.

На следующем шаге выберем способ сохранения ключа восстановления (рекомендуем выбрать Print the recovery key ).

Бумажку с напечатанным ключом восстановления необходимо хранить в безопасном месте, лучше в сейфе.

На следующем этапе запустим процесс шифрования диска. После завершения этого процесса может потребоваться перезагрузить систему.

При включении шифрования иконка зашифрованного диска изменится.

И теперь, когда мы попытаемся открыть этот диск, система попросит вставить токен и ввести его PIN-код.

Развертывание и настройку BitLocker и доверенного платформенного модуля можно автоматизировать с помощью инструмента WMI или сценариев Windows PowerShell. Способ реализации сценариев будет зависеть от среды. Команды для BitLocker в Windows PowerShell описаны в статье .

Как восстановить данные, зашифрованные BitLocker, если токен потеряли?

Если вы хотите открыть зашифрованные данные в Windows

Для этого понадобится ключ восстановления, который мы распечатали ранее. Просто вводим его в соответствующее поле и зашифрованный раздел откроется.

Если вы хотите открыть зашифрованные данные в системах GNU/Linux и Mac OS X

Для этого необходима утилита DisLocker и ключ восстановления.

Утилита DisLocker работает в двух режимах:

• FILE - весь раздел, зашифрованный BitLocker, расшифровывается в файл.
• FUSE - расшифровывается только тот блок, к которому обращается система.

Для примера мы будем использовать операционную систему Linux и режим утилиты FUSE.

В последних версиях распространенных дистрибутивов Linux, пакет dislocker уже входит в состав дистрибутива, например, в Ubuntu, начиная с версии 16.10.

Если пакета dislocker по каким-то причинам не оказалось, тогда нужно скачать утилиту и скомпилировать ее:

Откроем файл INSTALL.TXT и проверим, какие пакеты нам необходимо доустановить.

В нашем случае необходимо доустановим пакет libfuse-dev:

Приступим к сборке пакета. Перейдем в папку src и воспользуемся командами make и make install:

Когда все скомпилировалось (или вы установили пакет) приступим к настройке.

Перейдем в папку mnt и создадим в ней две папки:

• Encrypted-partition- для зашифрованного раздела;
• Decrypted-partition - для расшифрованного раздела.

Найдем зашифрованный раздел. Расшифруем его с помощью утилиты и переместим его в папку Encrypted-partition:

Выведем на экран список файлов, находящихся в папке Encrypted-partition:

Введем команду для монтирования раздела:

Для просмотра расшифрованного раздела перейдем в папку Encrypted-partition.

Резюмируем

Включить шифрование тома при помощи BitLocker очень просто. Все это делается без особых усилий и бесплатно (при условии наличия профессиональной или серверной версии Windows, конечно).

Для защиты ключа шифрования, которым шифруется диск, можно использовать криптографический токен или смарт-карту, что существенно повышает уровень безопасности.

Инструкция

В операционной системе Windows версии XP служба шифрования по умолчанию не подлежит специальному включению, поскольку она запускается одновременно с загрузкой самой OC. Для осуществления процедуры шифрования выбранной папки или файла вызовите контекстное меню выбранного файла кликом правой кнопки мыши и укажите пункт «Свойства». Перейдите на вкладку «Общие» открывшегося диалогового окна и воспользуйтесь кнопкой «Другие». Примените флажок на поле «Шифровать содержимое для защиты данных» и авторизуйте применение сделанных изменений, нажав кнопку OK (для Windows XP).

Вызовите главное системное меню OS Windows версии 7 для выполнения операции включения шифрования диска операционной системы с применением утилиты n перейдите в пункт «Панель управления». Раскройте раздел «Система и безопасность» и разверните узел «Шифрование диска BitLocker».

Воспользуйтесь командой «Включить BitLocker» в новом диалоговом окне для диска, содержащего системные файлы, и дождитесь завершения сканирования тома для определения необходимости инициализации модуля TMP. Выполните рекомендации мастера конфигурации шифрования данных по подключению необходимого модуля и дождитесь окончания перезагрузки системы и появления сообщения об инициализации службы безопасности для доверенного платформенного модуля.

Укажите желаемый метод сохранения ключа безопасности в следующем диалоговом окне мастера:- на съемном USB-носителе;- в выбранном файле;- в печатном виде (требуется подключение принтера)Подтвердите свой выбор нажатием кнопки «Далее».

Примените флажок в строке «Запустить проверку системы BitLocker» в очередном диалоговом окне мастера и авторизуйте выполнение действия, нажав кнопку «Продолжить». Подтвердите применение сделанных изменений нажатием кнопки «Перезагрузить сейчас» и проконтролируйте осуществление операции шифрования в строке состояния (для Windows 7).

Источники:

• Включение шифрования диска BitLocker на диске операционной системы (Windows 7)

В составе ОС Windows 7 есть системное приложение BitLocker, которое предназначено для шифрования дисков в целом. К сожалению, доступно оно только в «старших» версиях этой системы - «Максимальная» и «Корпоративная». Но и в остальных вариантах ОС есть возможность шифровать отдельные файлы и папки. Она реализована с помощью шифрующей надстройки EFS над основной файловой системой NTFS.

Вам понадобится

• ОС Windows 7.

Инструкция

Включить опцию шифрования отдельного файла или всех объектов в каком-либо каталоге проще всего через стандартный менеджер файлов Windows - «Проводник». Откройте его двойным щелчком по ярлыку «Компьютер» на рабочем столе или выбором в главном меню ОС пункта с таким же названием.

В окне этой программы перейдите к каталогу, содержащему файл, шифрование которого требуется включить. Кликните по нему правой кнопкой мыши и во всплывшем меню активируйте пункт «Свойства».

Вкладка «Общие» окна свойств файла в своей нижней части содержит кнопку «Другие» - нажмите ее. В новом окне, которое в результате откроется, есть секция «Атрибуты сжатия и шифрования» с чекбоксом «Шифровать содержимое для защиты данных». Поставьте отметку в этом поле и нажмите кнопку OK.