Отправляет email-рассылки с помощью сервиса Sendsay

Секреты Windows: статьи о реестре, rundll32.exe, программах

Рассылка закрыта

При закрытии подписчики были переданы в рассылку "Всё о работе в Интернет" на которую и рекомендуем вам подписаться.

Вы можете найти рассылки сходной тематики в Каталоге рассылок.

←   Май 2009   →
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
Автор
Клименко Роман aka parad0x

Статистика

3.339 подписчиков
-4 за неделю
←   Все выпуски   →

Секреты Windows: статьи о реестре, rundll32.exe, программах


Глава 6. Администрирование Windows Vista. 6.4. Шифрование. Работа с механизмом BitLocker Drive Encryption
Дата: 9 мая 2009, суббота

Полезные ссылки

"Журнал Эффективная работа на компьютере"- компьютер для начинающих.
Бесплатный Журнал Эффективная работа на компьютере. Научитесь грамотно работать с полезными и нужными утилитами, узнайте что-то новое для себя из авторских статей. Ни на одном форуме вам не расскажут, того что могу дать вам я. Ведь видеоматериал усваивается человеком в несколько раз лучше, чем обычный печатный текст. В статьях и уроках используется мой личный опыт, а не пустая переписка текстов с сайтов, которая возможно даже не работает! Прежде чем что-то сообщить, я проверяю действие тех или иных программ и методов, выявляю их эффективность. И только после этого преподношу это вам.

С уважением Артём Ющенко.

Адрес сайта http://artomu.com
E-mail: admin@artomu.com

В конец записи

Нововведением операционной системы Windows Vista является мастер BITLOCKER DRIVE ENCRYPTION, доступ к которому можно получить при помощи одноименного значка папки CONTROL PANEL. Данный мастер позволяет зашифровать не отдельный файл, а весь раздел диска, после чего на лету расшифровывать его содержимое, если к содержимому данного диска обращается аутентифицированный пользователь. Шифрование содержимого диска выполняется при помощи 128- или 256-разрядного алгоритма шифрования Advanced Encryption Standard (AES). При этом вы можете пользоваться как знакомым по предыдущим операционным системам Windows способом шифрования файлов и папок на основе файловой системы EFS, так и механизмом BITLOCKER DRIVE ENCRYPTION. Например, файлы и папки на разделах диска, которые не являются загрузочными, можно шифровать при помощи EFS, а загрузочный раздел при помощи BITLOCKER DRIVE ENCRYPTION. При этом, поскольку ключи шифрования EFS хранятся на загрузочном разделе, безопасность их хранения будет повышена.

Работа мастера BITLOCKER DRIVE ENCRYPTION тесно связана с чипом TPM, однако вы можете использовать его и на компьютерах, не имеющих данного чипа. В этом случае необходимо использовать USB-носитель.

По умолчанию использование BitLocker на компьютерах без чипа TPM запрещено. Однако это можно изменить при помощи специальной групповой политики. Данная политика будет описана ниже.

Основное окно мастера состоит из списка разделов жесткого диска компьютера, напротив которых отображается информация о том, зашифровано ли содержимое данного раздела. Если мастер BITLOCKER DRIVE ENCRYPTION может выполнить шифрование содержимого данного раздела, тогда под ним отображается ссылка TURN ON BITLOCKER. После нажатия на эту ссылку перед вами отобразится мастер BITLOCKER DRIVE ENCRYPRION, представленный на рисунке 6.04. В операционной системе Windows Vista с помощью мастера BITLOCKER DRIVE ENCRYPTION можно выполнить шифрование только загрузочного раздела операционной системы, хотя при помощи сценариев можно зашифровать и другие разделы.


Рис. 6.04. Мастер шифрования содержимого раздела диска

Он содержит в себе следующие возможности.

Save a Startup Key on a USB Drive Если вы решили зашифровать содержимое раздела, тогда необходимо воспользоваться данной кнопкой, чтобы сохранить загрузочный ключ (он будет запрашиваться при попытке запуска операционной системы, если вы шифруете загрузочный раздел) на USB носителе, который нужно будет выбрать из списка USB-носителей, подключенных к компьютеру.

После того, как вы нажмете кнопку SAVE, загрузочный ключ будет сохранен на USB-носителе, а вам будет предложено установить пароль восстановления. Пароль восстановления создается автоматически (вы его не вводите), а вы можете также сохранить его на USB-носителе, сохранить в папке, отобразить на экране, либо распечатать на принтере.

Это последний шаг мастера шифрования выбранного раздела диска. После того, как вы сохраните пароль восстановления и нажмете на кнопку ENCRYPT, начнется процесс шифрования раздела диска. Учтите, что в случае большого объема раздела диска процесс шифрования может занять очень много времени (шифруются не только используемые кластеры раздела диска, а полностью весь раздел диска, независимо от того, сколько места на нем используется). Также учтите, что для работы механизма BITLOCKER DRIVE ENCRYPTION операционная система обязательно создает дополнительный раздел объемом 1,5 Гбайт.

Set a Startup PIN Позволяет установить загрузочный PIN.

Don’t Use a Startup Key or PIN Позволяет отключить механизм использования загрузочного ключа или PINа при выполнении загрузки с зашифрованного раздела.

Программа fveupdate.exe

Расположение: %systemroot%\system32\fveupdate.exe.

В операционной системе Windows Vista присутствует программа командной строки, предназначенная для работы с механизмом шифрования BitLocker Drive Encryption и чипом TPM. К сожалению, ее опции недокументированны, поэтому точно сказать о том, что именно они делают, автор не может — для их работы необходимо, чтобы шифрование BitLocker Drive Encryption было включено, а на материнской плате присутствовал чип TPM.

Данная программа имеет следующие опции.

  • /memtest. Выполняет запрос на обслуживание программы memtest.exe.
  • /bootmgr. Выполняет запрос на обслуживание загрузочного меню.
  • /windowsbootenvironment. Выполняет запрос на обслуживание программ загрузки операционной системы winload.exe и winresume.exe.

Работа с WMI

Также для работы с BitLocker можно использовать новый класс репозитария управления CIM. Данный класс содержит обширный набор методов, предоставляющих доступ к основным возможностям работы механизма BitLocker Drive Encryption. Он находится в пространстве имен \\.\root\CIMV2\Security\MicrosoftVolumeEncryption и называется Win32_EncryptableVolume.

Групповые политики

Параметры работы механизма шифрования BitLocker Drive Encryption можно настроить при помощи групповых политик файла VolumeEncryption.admx, расположенных в подразделе Computer Configuration/Administrative Templates/Windows Components/BitLocker Drive Encryption.

Данные политики изменяют значения параметров типа REG_DWORD, расположенных в ветви реестра HKLM\SOFTWARE\Policies\Microsoft\FVE.

  • ActiveDirectoryBackup. Если значение данного параметра равно 1, тогда будет разрешено выполнять архивирование важных данных механизма BitLocker (пароль восстановления, различные идентификационные данные и ключ шифрования) на контроллер домена. Архивирование данных BitLocker на контроллере домена позволяет повысить отказоустойчивость механизма шифрования.
  • RequireActiveDirectoryBackup. Если значение данного параметра равно 1, тогда перед выполнением шифрования система должна выполнить архивирование данных BitLocker на контроллере домена. Если архивирование данных не будет выполнено, шифрование данных будет отменено.
  • ActiveDirectoryInfoToStore. Если значение данного параметра равно 1, тогда на контроллере домена будет архивироваться вся дополнительная информация, необходимая для восстановления. Если значение данного параметра равно 2, тогда на контроллере домена будет архивироваться только пароль восстановления.
  • DefaultRecoveryFolderPath. Данный параметр имеет тип REG_EXPAND_SZ. Он содержит в себе путь к папке для сохранения паролей восстановления по умолчанию.
  • UseRecoveryDrive. Если значение данного параметра равно 1, тогда перед шифрованием необходимо сохранить ключ шифрования на съемном носителе. Это позволяет повысить отказоустойчивость механизма шифрования.
  • UseRecoveryPassword. Если значение данного параметра равно 1, тогда перед шифрованием необходимо указать пароль шифрования и сохранить его. Это позволяет повысить отказоустойчивость механизма шифрования.
  • EnableNonTPM. Если значение данного параметра равно 1, тогда использование механизма BitLocker на компьютерах без чипа TPM будет разрешено.
  • UsePartialEncryptionKey. Если значение данного параметра равно 0, тогда TPM, при запуске компьютера, не будет требовать предъявления USB-флешки, содержащей ключ запуска. Если значение данного параметра равно 1, тогда значение параметра UsePIN должно быть равно 0.
  • UsePIN. Если значение данного параметра равно 0, тогда TPM, при запуске компьютера, не будет требовать ввод PIN кода (от 2 до 20 символов). Если значение данного параметра равно 1, тогда значение параметра UsePartialEncryptionKey должно быть равно 0.
  • EncryptionMethod. Значение данного параметра определяет алгоритм шифрования, который будет использоваться при следующем выполнении шифрования. Если значение параметра равно 1 (по умолчанию), тогда будет использоваться шифрование при помощи 128-битного ключа алгоритма AES с диффузором. Если значение параметра равно 2, тогда будет использоваться шифрование при помощи 256-битного ключа алгоритма AES с диффузором. Если же значение параметра равно 3 — будет использоваться шифрование при помощи 128-битного ключа алгоритма AES без диффузора. Ну а если значение параметра равно 4 — 256-битного ключа алгоритма AES без диффузора.
  • MorBehavior. Если значение данного параметра равно 1, тогда при перезагрузке компьютера не будет выполняться перезапись содержимого памяти. Это позволяет повысить скорость перезагрузки компьютера, хотя безопасность работы BitLocker будет понижена.

Также вы можете изменить профиль проверки целостности компьютера, используемый чипом TPM по умолчанию для определения применяемых способов защиты ключа шифрования BitLocker. Для этого нужно изменить значения параметров REG_DWORD типа, расположенных в подразделе PlatformValidation ветви реестра.

По умолчанию используется проверка изменений базовой точки начала доверительных измерений (CRTM), BIOS и расширений платформы (регистр PCR 0), кода Option ROM (PCR 2), основной загрузочной записи (MBR) (PCR 4), загрузочного сектора NTFS (PCR 8), загрузочного блока NTFS (PCR 9), диспетчера загрузки (PCR 10) и управления доступом BitLocker (PCR 11). Если какой-то из этих компонентов окажется измененным, TPM запретить расшифровку данных механизмом BitLocker и начнет процесс восстановления.

Продолжение следует
Рейтинг: 5.00 [ 1 ] 
Оцените: 1 2 3 4 5
moemesto.ru bobrdobr.ru - добавить в социальные закладки
В начало записи
Оригинал статьи: http://www.onestyle.com.ua/txt.php?u=516
В избранное