Microsoft potichu zmenil spôsob fungovania BitLockeru — a môže vás to zamknúť mimo vášho vlastného počítača

Je možné, že si neuvedomujete, do akej miery spoločnosť Microsoft rozšírila automatické šifrovanie zariadení. To platí najmä od verzie Windows 11 24H2, ktorá spúšťa proces šifrovania počas úvodného nastavenia počítača. Pokiaľ sa prihlásite pomocou účtu Microsoft, čo je predvolený proces nastavenia, šifrovanie sa spustí bez akejkoľvek výstrahy, dramatického upozornenia alebo viditeľných známok, že sa niečo zmenilo.

Avšak šifrovanie je nevyhnutné pre prístup. V skutočnosti sa môže stať, že budete zamknutí mimo disku, ak sa stav firmvéru zmení, doska bude vymenená alebo sa resetuje váš TPM. Ak nemáte kľúč na obnovenie, môže sa z toho ľahko stať trvalé zablokovanie. Pozrime sa na tieto zmeny a kritické prvky, ktoré je potrebné zvážiť pred bežnými aktualizáciami BIOS-u.

Šifrovanie teraz prichádza počas nastavenia, nie po ňom

Nepovšimnutá expanzia automatickej ochrany zariadení vo Windows 11

Spoločnosť Microsoft dôsledne propagovala BitLocker ako funkciu Pro. Na niektorých z mojich starších počítačov so systémom Windows Home to zjavne chýbalo, a na iných som namiesto toho dostal Šifrovanie zariadenia, ak systém spĺňal určité hardvérové požiadavky. Táto alternatíva vyžadovala, aby systém podporoval Modern Standby a mal špecifický typ konfigurácie výrobcu. Z osobnej skúsenosti moje vlastné zostavy a staré počítače zvyčajne nespĺňali tieto podmienky.

Build Windows 11 24H2 zaviedol automatické aktivovanie šifrovania pri čerstvých inštaláciách Windows alebo systémoch prechádzajúcich továrenským resetom. Platilo to, pokiaľ mali systémy TPM 2.0 a povolený Secure Boot a prihlásili ste sa do Microsoftu počas procesu Out-of-Box Experience (OOBE).

Ovládacie prvky správy BitLocker sú stále k dispozícii iba na systémoch Windows Pro. Šifrovanie zariadenia, ktoré je k dispozícii na zariadeniach Home, a funkcia BitLocker Pro však používajú rovnaký šifrovací engine a podobnú kryptografiu. Hlavný rozdiel je v prehľadnosti a spôsobe, akým sa spravuje.

Keď TPM už váš systém nerozpoznáva

Väzby PCR, merania Secure Boot a režim obnovenia podľa návrhu

Tu je niekoľko dôležitých informácií: šifrovacie kľúče sú počas šifrovacieho procesu uzamknuté do Trusted Platform Module (TPM). Na väčšine moderných počítačov je Trusted Platform Module firmvérové TPM zabudované do procesora alebo čipsetu a uchováva merania bootovacieho prostredia v Platform Configuration Registers (PCR); PCR 7 a PCR 11 sú najdôležitejšie.

PCRy zohrávajú v systéme Windows rôzne úlohy. PCR 7 odráža stav Secure Boot a jeho politiku a PCR 11 je viazaný na kontrolu prístupu Windows Boot Managera. BitLocker sa zvyčajne viaže na PCR 7 a PCR 11, ak je povolený Secure Boot, čo umožňuje systému Windows odomknúť sa, pokiaľ sa merania zhodujú s hodnotami, ktoré očakáva TPM. Ak sa hodnoty nezhodujú, je spustený režim obnovy.

To vysvetľuje, prečo sú niektoré zmeny vo Windows rušivé a iné nie. Pri štandardnej konfigurácii Secure Boot pridanie pamäte RAM alebo výmena GPU neovplyvní PCR 7 ani 11 a nespôsobí žiadne rušenie. Ale aktualizácia firmvéru na rovnakom systéme môže byť rušivá. Ďalšie rušivé zmeny môžu zahŕňať vymazanie TPM v BIOS-e alebo vypnutie Secure Boot.

Secure Boot môže spôsobiť, že BitLocker bude považovať bežne neškodné zmeny za spúšťače pre režim obnovy. Keď sa to stane, nejde naozaj o poruchu; je to len model integrity systému Windows, ktorý funguje tak, ako je navrhnuté.

Obnovovací kľúč nemá prepísanie

Kde sa uchováva, kde sa neuchováva a kedy nikdy neexistovalo

Windows používa 48-ciferný číselný kód ako svoj kľúč na obnovu. Ale tu je to, čo stojí za zmienku: neexistujú žiadne zadné vrátka a nie je to voliteľné. To znemožňuje podpore spoločnosti Microsoft ho obísť, pokiaľ ho Windows požaduje. Musíte byť ochotní akceptovať tento kompromis, ak chcete šifrovanie celého disku.

Ak ste sa počas skúsenosti Out-of-Box Experience (OOBE) prihlásili pomocou účtu Microsoft, váš účet bude automaticky obsahovať obnovovací kľúč. V iných prípadoch adresár organizácie obsahuje kľúče, pokiaľ sú pracovné alebo školské zariadenia pripojené k Entra ID, a Active Directory je predvoleným úložiskom pre zariadenia pripojené k doméne. Manuálne nastavenie BitLockera na zariadeniach Pro vás môže vyzvať na uloženie tohto kľúča na USB disk.

Skutočné problémy sa sústreďujú na okrajové prípady. Napríklad miestne účty preskočia automatické ukladanie do cloudu, a jediný spôsob, ako sa dostať k tejto konfigurácii, je úmyselne obísť predvolený OOBE proces od Microsoftu. To znamená, že väčšina používateľov neuvidí možnosť preskočiť ukladanie do cloudu počas OOBE. Ak si kúpite použité PC, môže byť už zašifrované, čo vám neposkytne skutočnú cestu obnovy, ak nevlastníte pôvodný účet. Môžete sa tiež stretnúť s trvalým zamknutím, ak ste stratili prístup k účtu, ktorý obsahuje šifrovacie kľúče. Cieľom nie je zbaviť sa BitLockera a rozhodnutie ho používať závisí od jednotlivca.

Prevencia zablokovania skôr, než k nemu dôjde

Na domácich a Pro systémoch spustite príkaz manage-bde -status a skontrolujte svoj aktuálny stav pozorovaním Stavu konverzie a Stavu ochrany. Ak zistíte, že je aktívne šifrovanie, overte, či je záchranný kľúč uložený na mieste, ku ktorému máte prístup. Nikdy by ste sa tiež nemali spoliehať na pamäť pri jeho uchovávaní. Zvyčajne exportujem kópiu kľúča a uložím ju na externý disk, vytlačím a uschovám na bezpečnom mieste.

Pred vykonaním aktualizácie BIOSu alebo UEFI, vymazaním TPM, výmenou základnej dosky alebo nastavením prostredia s dvojitým zavádzaním by ste mali dočasne pozastaviť ochranu BitLocker. Po týchto činnostiach ju opäť zapnite. Na mojom stolnom počítači bez citlivých údajov vypínam šifrovanie, pretože nikdy neopúšťa moju kanceláriu. Na notebookoch a prenosných systémoch ho nechávam zapnuté, pretože nechcem obetovať bezpečnosť kvôli pohodliu.