• Введение
• Включение шифрования BitLocker для системного раздела
• Заключение

Введение

В предыдущей статье данного цикла было вкратце рассказано о технологии BitLocker, представляющей собой средство безопасности в современных операционных системах Windows. В принципе, в статье была описана архитектура данного средства, что при осуществлении самого шифрования дисков в домашней обстановке или в организации не принесёт много толку. Также из первой статье вы могли узнать, что для использования всех преимуществ данной технологии, компьютеры, для которых будет проводиться шифрование, должны быть оснащены таким модулем как доверенный платформенный модуль (Trusted Platform Module, TPM), который, к сожалению, можно найти далеко не на каждом компьютере. Поэтому в следующих статьях данного цикла при описании работы с доверенным платформенным модулем, будет рассматриваться только его эмулятор на виртуальной машине. Также, думаю, стоит отметить, что ни в этой, ни в следующих статьях данного цикла не будет рассматриваться блокировка дисков с данными при использовании смарт-карт.

Как вам, скорее всего, известно, при помощи технологии BitLocker вам предоставляется возможность зашифровать полностью весь диск, в то время как шифрованная файловая система (Encrypting File System, EFS) позволяет зашифровать лишь отдельные файлы. Естественно, в некоторых случаях вам нужно зашифровать только определённые файлы и, казалось бы, выполнять шифрование всего раздела не к чему, но EFS целесообразно использовать только на компьютерах в интрасети, которые не будут перемещаться между отделами и офисами. Другими словами, если у вашего пользователя есть ноутбук, ему нужно периодически ездить по командировкам и у такого пользователя на компьютере присутствуют, скажем, лишь несколько десятков файлов, которые необходимо зашифровывать, для его портативного компьютера лучше использовать не шифрованную файловую систему, а технологию BitLocker. Объясняется это тем, что при помощи EFS вы не сможете шифровать такие жизненно важные элементы операционной системы как файлы системного реестра. И если злоумышленник доберётся к реестру вашего ноутбука, то он может найти для себя много такой интересной информации, как закэшированные данные доменной учётной записи вашего пользователя, хэш пароля и многое другое, что в будущем может нанести существенный вред и убыток не только этому пользователю, но и всей компании в целом. А при помощи технологии BitLocker, в отличие от шифрованной файловой системы, как уже было отмечено немного выше, на ноутбуке вашего пользователя будут зашифрованы все данные, расположенные на зашифрованном диске ноутбука вашего пользователя. У многих может возникнуть вопрос: как же другие пользователи в организации смогут пользоваться файлами, которые зашифрованы при помощи данной технологии? На самом деле, все очень просто: если на компьютере с зашифрованными файлами при помощи технологии BitLocker будет предоставлен общий доступ, то авторизованные пользователи смогут взаимодействовать с такими файлами также просто, как если бы никакого шифрования на компьютере такого пользователя не было. Помимо этого, в том случае, если файлы, расположенные на зашифрованном диске будут скопированы на другой компьютер или на незашифрованный диск, то тогда эти файлы будут автоматически расшифрованы.

В следующих разделах вы узнаете о том, как можно зашифровать системный и дополнительные разделы на ноутбуке, не поддерживающем модуль TPM, с операционной системой Windows 7.

Включение шифрования BitLocker для системного раздела

В процедуре включения шифрования диска BitLocker для системного раздела на компьютере, который не входит в домен, нет ничего сложного. Перед тем как зашифровать системный диск, думаю, что следует обратить внимание на то, что на ноутбуке, на котором будут шифроваться диски, создано три раздела, причём, зашифрованными должны быть первые два:

Увеличить рисунок

Рис. 1. Проводник Windows на ноутбуке, на котором будут шифроваться диски

Для того чтобы зашифровать системный раздел, выполните следующие действия:

1. Прежде всего, так как на ноутбуке, указанном в этом примере, на котором будут шифроваться диски, отсутствует доверенный платформенный модуль, желательно выполнить некоторые предварительные действия. Вам нужно открыть оснастку «Редактор локальной групповой политики» и перейти к узлу Конфигурация компьютера\Административные шаблоны\Компоненты Windows\Шифрование диска BitLocker\Диски операционной системы. Здесь вы можете обнаружить шесть различных параметров политики. Так как было упомянуто ранее, что данный ноутбук не оснащён модулем TPM, нужно сделать так, чтобы перед загрузкой операционной системы, использовался USB-накопитель, содержащий специальный ключ, предназначенный для подтверждения проверки подлинности и последующей загрузки системы. Для выполнения этой операции предназначен параметр политики «Обязательная дополнительная проверка подлинности при запуске». В диалоговом окне свойств данного параметра политики вам следует установить флажок на опции «Разрешить использование BitLocker без совместимого TPM». В данном случае, так как это единственная опция, которая может нас заинтересовать при шифровании диска в рабочей группе, сохраните выполненные изменения. Диалоговое окно свойств этого параметра политики изображено на следующей иллюстрации:




Увеличить рисунок

Рис. 2. Диалоговое окно свойств параметра политики «Обязательная дополнительная проверка подлинности при запуске»

Для управления технологией BitLocker доступно много различных параметров групповой политики. Эти параметры будут подробно рассмотрены в одной из следующих статей по технологии BitLocker.

2. Откройте «Панель управления», перейдите к категории «Система и безопасность», а затем выберите «Шифрование диска BitLocker»;
3. В отобразившемся окне панели управления выберите системный раздел, а затем нажмите на ссылку «Включить BitLocker». Стоит обязательно обратить внимание на то, что вы сможете зашифровать раздел только в том случае, если он расположен на базовом диске. В том случае, если у вас созданы разделы на динамическом диске, перед их шифрованием вам нужно будет сконвертировать диск из динамического в базовый. На следующей иллюстрации показано окно «Шифрование диска BitLocker»:




Увеличить рисунок

Рис. 3. Окно «Шифрование диска BitLocker» панели управления

4. После выполнения проверки конфигурации компьютера, на первой странице мастера шифрования диска BitLocker вы можете указать различные параметры запуска. Но так как на моем ноутбуке нет доверенного платформенного модуля, а также был изменен параметр групповой политики, разрешающий использовать шифрование BitLocker на оборудовании без поддержки TPM, можно выбрать лишь параметр «Запрашивать ключ при запуске». Первая страница мастера показана ниже:




Увеличить рисунок

Рис. 4. Параметр запуска BitLocker мастера шифрования диска

5. На странице «Сохраните ключ запуска» мастера шифрования диска BitLocker вам следует присоединить к компьютеру флэш-накопитель, а затем указать его в списке. После того как вы выберите накопитель, нажмите на кнопку «Сохранить»;
6. На третьей странице мастера вам предстоит указать расположение для ключа восстановления. Ключ восстановления представляет собой маленький текстовый файл, содержащий некоторые инструкции, метку диска, идентификатор пароля, а также 48-значный ключ восстановления. Необходимо помнить, что этот ключ отличается от ключа запуска тем, что он используется для получения доступа к данным в тех случаях, когда невозможно получить к ним доступ любыми другими способами. Вы можете выбрать один из трех следующих вариантов: сохранить ключ восстановления на флэш-накопителе USB, сохранить ключ восстановления в файле или напечатать ключ восстановления. Учтите, что при выборе первого варианта, вам необходимо сохранять ключи восстановления и запуска на разных флэш накопителях. Так как рекомендуется сохранять несколько ключей восстановления, причём, на компьютерах отличных от шифруемого, в моем случае ключ восстановления был сохранен в сетевой папке на одном из моих серверов, а также на облачном диске HP. Теперь содержимое ключа восстановления будет известно только мне и компании HP, хоть, скорее всего, они убеждают нас в полной конфиденциальности информации. Если вы распечатываете ключ восстановления, то в этом случае корпорация Microsoft советует такой документ хранить в закрытом сейфе. Я же рекомендую просто заучить эти 48 цифр и после прочтения документ просто сжечь :). Страница «Как сохранить ключ восстановления?» мастера шифрования BitLocker изображена на следующей иллюстрации:




Увеличить рисунок

Рис. 5. Сохранение ключа восстановления данных, зашифрованных при помощи BitLocker

7. Эту страницу мастера шифрования диска можно считать последней, так как на этом этапе вы можете выполнить проверку системы BitLocker, при помощи которой убедитесь, что в случае необходимости будет предоставлена возможность с легкостью использовать свой ключ восстановления. Для завершения выполнения проверки системы вам будет предложено перезагрузить компьютер. В принципе, этот шаг не является обязательным, но все-таки желательно выполнить данную проверку. Последнюю страницу мастера вы сможете увидеть ниже:




Увеличить рисунок

Рис. 6. Последняя страница мастера шифрования диска

8. Сразу после POST-теста для запуска операционной системы вам будет предложно вставить флэш-накопитель с ключом запуска. После того как компьютер будет перезагружен и BitLocker-у будет известно, что после шифрования не случится никаких непредвиденных обстоятельств, начнется сам процесс шифрования диска. Об этом вы узнаете из значка, отображаемого в области уведомлений, или если перейдете к окну «Шифрование диска BitLocker» из панели управления. Сам процесс шифрования выполняется в фоновом режиме, то есть, вы во время выполнения шифрования сможете продолжить работу на компьютере, однако BitLocker будет интенсивно использовать ресурсы процессора и свободное место на шифруемом диске. Чтобы посмотреть, сколько процентов вашего диска уже зашифровано, найдите в области уведомлений значок «Выполняется шифрования %имя_тома% с помощью шифрования диска BitLocker» и дважды по нему щелкните. Значок уведомления BitLocker-а и диалоговое окно «Шифрование диска BitLocker» отображено ниже:




Увеличить рисунок

Рис. 7. Выполнение шифрования

9. После завершения процесса шифрования диска BitLocker, вы будете уведомлены о том, что шифрование выбранного вами диска успешно завершено. Это диалоговое окно можно увидеть ниже:





Рис. 8. Завершение шифрования диска BitLocker

Для тех, кто выполняет шифрование диска впервые, хочу отметить, что эта процедура выполняется не моментально и, например, у меня на то, чтобы зашифровать системный диск объемом в 75 гигабайт ушло 70 минут.

Теперь, как заметно на следующей иллюстрации, в проводнике Windows на значке системного раздела изображен замок, что означает, что этот раздел зашифрован при помощи технологии BitLocker:

Увеличить рисунок

Рис. 9. Проводник Windows с зашифрованным системным разделом

Заключение

Из этой статьи вы узнали о том, как можно зашифровать диск при помощи технологии BitLocker. Рассмотрен процесс подготовки к шифрованию и самого шифрования диска при помощи графического интерфейса. Так как в начале статьи я указал, что на данном ноутбуке будут зашифрованы два диска, в следующей статье вы узнаете о том, как можно зашифровать диск, используя технологию BitLocker, при помощи утилиты командной строки manage-dbe.