Dove viene archiviata la chiave Bitlocker senza il Trusted Platform Module (TPM)?

3

Ho visto molti client Windows con Bitlocker installato senza il Trusted Platform Module (TPM) abilitato. Ciò richiede modifiche manuali nei Criteri di gruppo poiché per impostazione predefinita non è possibile abilitare Bitlocker senza un Trusted Platform Module (TPM).

Il fatto che non sia possibile abilitare Bitlocker per impostazione predefinita senza TPM sembra che Microsoft lo scoraggia per un motivo.

È possibile utilizzare Bitlocker senza un TPM, quindi se la crittografia del disco intero viene utilizzata in questo modo, dove viene memorizzata la chiave e quanto è sicura rispetto a nessuna crittografia del disco completo o Bitlocker con un TPM?

    
posta Bob Ortiz 18.03.2017 - 15:49
fonte

2 risposte

2

Se l'attaccante è Microsoft o una potente agenzia governativa, non c'è molta differenza. La chiave di ripristino viene inviata a Microsoft in ogni caso.

The fact that new Windows devices require users to backup their recovery key on Microsoft’s servers is remarkably similar to a key escrow system, but with an important difference. Users can choose to delete recovery keys from their Microsoft accounts (you can skip to the bottom of this article to learn how) — something that people never had the option to do with the Clipper chip system. But they can only delete it after they’ve already uploaded it to the cloud.

Questa non è una differenza importante. Microsoft ha la chiave di ripristino. Non si sa se effettivamente lo cancellano e, a meno che la cancellazione della chiave non sia dimostrata, non si può presumere cancellata. Pertanto, si suppone che Microsoft contenga tutte le chiavi di ripristino Bitlocker.

L'articolo afferma in realtà questo:

As soon as your recovery key leaves your computer, you have no way of knowing its fate. A hacker could have already hacked your Microsoft account and can make a copy of your recovery key before you have time to delete it. Or Microsoft itself could get hacked, or could have hired a rogue employee with access to user data. Or a law enforcement or spy agency could send Microsoft a request for all data in your account, which would legally compel it to hand over your recovery key, which it could do even if the first thing you do after setting up your computer is delete it.

Mentre è assunto che il TPM è backdoor , a differenza della perdita chiave, questo non è effettivamente dimostrato, per quanto ne so. Se è vero, il TPM è completamente inutile.

Ma poiché sembra che tu sia interessato solo all'utilizzo del TPM da parte di Bitlocker, non all'uso di altri programmi (che potrebbero non far trapelare la tua chiave), non c'è molto da discutere su come Bitlocker manda il tuo recupero chiave per Microsoft comunque.

Indipendentemente dal fatto che venga utilizzato un TPM, aiuta le persone che vogliono solo dare una rapida occhiata ai tuoi file personali. Non aiuta contro attacchi di Microsoft, agenzie governative o altri hacker seri che rappresentano una minaccia per Microsoft o agenzie governative e possono quindi ottenere la chiave di ripristino. Il set di aggressori che rappresentano una minaccia per te non cambia molto indipendentemente dal fatto che venga utilizzato o meno un TPM.

Per rispondere alla tua domanda nel titolo: è memorizzato su un'unità flash.

Yes, you can enable BitLocker on a computer without a TPM version 1.2, provided that the BIOS has the ability to read from a USB flash drive in the boot environment. This is because BitLocker will not unlock the protected volume until BitLocker's own volume master key is first released by either the computer's TPM or by a USB flash drive containing the BitLocker startup key for that computer. However, computers without TPMs will not be able to use the system integrity verification that BitLocker can also provide.

To help determine whether a computer can read from a USB device during the boot process, use the BitLocker System Check as part of the BitLocker setup process. This system check performs tests to confirm that the computer can properly read from the USB devices at the appropriate time and that the computer meets other BitLocker requirements.

To enable BitLocker on a computer without a TPM, use Group Policy to enable the advanced BitLocker user interface. With the advanced options enabled, the non-TPM settings appear in the BitLocker setup wizard. For instructions about using Group Policy to enable the advanced user options, see http://go.microsoft.com/fwlink/?LinkId=83223.

( link )

    
risposta data 13.04.2017 - 15:03
fonte
3

Hai un'opzione per memorizzare la chiave su un disco (protetto con una password) o su un dispositivo USB. Se si utilizzano dispositivi di archiviazione normali, entrambi sono soggetti a un attacco di forza bruta. Vedi questo .

    
risposta data 18.03.2017 - 19:29
fonte

Leggi altre domande sui tag