Зашифруйте USB-накопитель с помощью BitLocker To Go в Windows 10
Карты памяти USB, а также внешние жесткие диски и флэш-накопители являются удобными средствами передачи данных. Они позволяют вам переносить что угодно, включая видео, документы, презентации, приложения, средства восстановления системы и даже операционные системы. К сожалению, тот факт, что они переносимы, также делает их склонными к потере, что может подвергнуть риску любую конфиденциальную информацию, которую вы сохранили на них. Чтобы защитить свои данные и себя, вы можете использовать BitLocker To Go , инструмент Windows, который шифрует ваши данные для предотвращения несанкционированного просмотра. Без вашего пароля, смарт-карты или ключа восстановления ваши данные не будут расшифрованы для любого, кто найдет (или похитит) ваш USB-накопитель. Вот как использовать BitLocker To Go в Windows 10 для шифрования любого USB-накопителя:
Что такое BitLocker To Go?
BitLocker To Go — это инструмент от Microsoft, основанный на BitLocker , который позволяет шифровать съемные диски. Другими словами, вы можете использовать его для шифрования и защиты данных, которые вы храните на USB-накопителях, внешних жестких дисках и твердотельных дисках, SD-картах и любых других типах портативных накопителей. BitLocker To Go может шифровать съемные диски с данными, отформатированные с использованием файловых систем NTFS, FAT32, FAT16 или exFAT.
BitLocker To Go доступен в выпусках Windows 10 Pro, Enterprise и Education, но его нет в Windows 10 Home. Если вы не знаете, какую версию Windows 10 вы используете, вот как проверить версию Windows 10, сборку ОС, редакцию или тип.
Как использовать BitLocker To Go в Windows 10 для шифрования USB-накопителя
Чтобы зашифровать USB-диск в Windows 10, необходимо запустить мастер шифрования диска BitLocker , который можно открыть либо из проводника, либо из панели управления. Если вы решите использовать Проводник, перейдите на этот компьютер, щелкните правой кнопкой мыши или нажмите и удерживайте нажатой на USB-накопителе, который вы хотите зашифровать, и выберите «Включить BitLocker».
Если вы предпочитаете использовать панель управления , откройте ее , перейдите в раздел «Система и безопасность», а затем нажмите или нажмите на «Шифрование диска BitLocker».
В окне «Шифрование диска BitLocker» щелкните или нажмите «Включить BitLocker» рядом со съемным USB-накопителем, который необходимо зашифровать.
Независимо от того, как вы решили запустить мастер шифрования диска BitLocker — через проводник или из панели управления — теперь он открыт. Первое, что он делает, это просит вас: «Пожалуйста, подождите, пока BitLocker инициализирует диск».
В зависимости от скорости вашего ПК с Windows 10 и вашего USB-накопителя, это может занять несколько минут. Будьте осторожны, чтобы не отключить съемный диск во время этого шага. В противном случае данные на нем могут быть повреждены.
После того, как BitLocker инициализирует USB-накопитель, вы можете «выбрать, как вы хотите […] разблокировать его после его шифрования. Вы можете использовать либо пароль, либо смарт-карту. Поскольку большинство людей не владеют смарт-картами (которые в основном используются в компаниях), вам следует выбрать «Использовать пароль для разблокировки диска». После выбора этой опции введите пароль, который вы хотите использовать, и подтвердите его. Затем нажмите Далее.
BitLocker требует от вас выбрать место для резервного копирования ключа восстановления для зашифрованного USB-накопителя. Вы можете использовать этот ключ для восстановления данных на съемном диске, если вы забудете пароль или потеряете смарт-карту, выбранную на предыдущем шаге. Без этого ваши данные будут потеряны навсегда. Вы можете выбрать:
- сохраните файл на вашем компьютере с Windows 10 — BitLocker генерирует текстовый файл и просит вас выбрать, где его сохранить
- распечатайте его и сохраните для своих записей — распечатайте страницу с уникальным идентификатором для вашего зашифрованного устройства и уникальным ключом восстановления
- сохраните ключ восстановления в своей учетной записи Microsoft — загрузите в свою учетную запись Microsoft резервную копию ключа BitLocker, которую можно найти по этой ссылке
Мы рекомендуем использовать все параметры, чтобы не потерять ключ восстановления. Затем нажмите Далее.
Выберите, хотите ли вы зашифровать весь USB-накопитель или только объем памяти, используемый файлами на нем. Как вы можете видеть на следующем скриншоте, Microsoft рекомендует:
- «шифровать только дисковое пространство (быстрее)» — если вы используете новый съемный диск без данных на нем
- «зашифровать весь диск (медленнее)» — если на нем уже хранятся данные.
После того, как вы сделаете свой выбор, нажмите Далее.
Затем Windows 10 попросит вас выбрать тип шифрования BitLocker, который вы предпочитаете использовать. Вы можете выбрать между:
- Новый режим шифрования , который является более безопасным режимом шифрования и называется XTS-AES, но несовместим со старыми версиями Windows 10 (до версии 1511, выпущенной в ноябре 2015 года).
- Режим совместимости — это традиционный режим шифрования BitLocker , совместимый с другими (более старыми) версиями Windows. Выберите этот режим, если вы хотите использовать зашифрованный USB-накопитель на компьютерах и устройствах под управлением Windows 7 или Windows 8.1.
После того, как вы сделали свой выбор, нажмите Далее.
На данный момент вам остается только зашифровать диск с помощью BitLocker To Go. Нажмите на Начать шифрование.
Шифрование USB-накопителя с помощью BitLocker To Go , особенно большого, может занять некоторое время.
ПРИМЕЧАНИЕ. Если вам необходимо извлечь диск во время процесса шифрования, нажмите «Пауза» в окне «Шифрование диска BitLocker», прежде чем продолжить, чтобы не повредить данные на нем. Когда вы будете готовы возобновить процесс шифрования, вставьте съемный диск обратно в один из USB-портов ПК с Windows 10. Введите пароль диска, и BitLocker To Go продолжает шифровать диск USB с того места, где вы остановились.
Когда ваш диск полностью зашифрован, вы получите быстрое всплывающее окно, которое необходимо закрыть, чтобы завершить процесс.
Ваш USB-накопитель теперь зашифрован с помощью BitLocker To Go и, таким образом, защищен от несанкционированного доступа. Отныне значок USB-накопителя в проводнике отличается. Он имеет небольшой замок, чтобы подчеркнуть тот факт, что он зашифрован.
Если позже вы захотите изменить настройки BitLocker To Go на своем зашифрованном USB-накопителе, прочитайте это руководство: Управление зашифрованной флэш-памятью BitLocker To Go. В нем мы расскажем о том, как изменить пароль BitLocker на диске и как включить или отключить функцию автоматической разблокировки BitLocker в Windows 10.
Используете ли вы BitLocker To Go для шифрования USB-накопителей?
Если вы работаете с конфиденциальными или личными данными, вам следует рассмотреть возможность использования BitLocker To Go . Он предлагает один из лучших и самых простых способов шифрования USB-накопителей, флэш-накопителей и любых других USB-накопителей в Windows 10. Прежде чем закрыть эту статью, дайте нам знать, используете ли вы BitLocker To Go в Windows 10 и каков ваш опыт с шифрованием съемных носителей.
Публикации
Определённые нововведения, появившиеся в новой операционной системе, могут повысить популярность данного решения, однако гораздо большие шансы на успех имеет решение для шифрования внешних устройств — BitLocker To Go.
Желание пользователей носить в кармане “зашифрованную флэшку”, похоже, может осуществиться на практике. Технология BitLocker To Go, доступная в Windows 7, конечно, не первая в этом классе. Многие вендоры поставляли вместе с USB-флэш собственные приложения для их криптографической защиты, а практически любое современное ПО для шифрования обязательно поддерживает работу с внешними устройствами или позволяет использовать шифрованные файл-контейнеры, которые могут на них храниться.
Доступные ранее продукты в большей массе своей требовали предварительной установки программного обеспечения на рабочую станцию, к которой подключался зашифрованный USB-диск или другое внешнее устройство хранения данных, что не всегда являлось возможным. Фактически единственным практичным сценарием была возможность работать с зашифрованной USB-флэш на конечном числе специально подготовленных рабочих мест (например, на офисном десктопе, ноутбуке и домашнем компьютере).
Важнейшее преимущество BitLocker To Go состоит в его интеграции в саму операционную систему. Теперь зашифрованное устройство можно будет просто подключать к любому компьютеру, не заботясь о предварительной установке и настройке чего-либо. Решение, давно доступное пользователям Linux, наконец-то приходит и к Windows-пользователям.
Первоначальное шифрование осуществляется достаточно просто. В контекстном меню подключенного USB-устройства достаточно выбрать нужный пункт. Для ограничения доступа к данным можно использовать пароль и/или смарт-карту. Приятно, что даже для компьютера вне домена по умолчанию заданы критерии качества вводимого пароля — желанию пользователей использовать пароль 123 не суждено сбыться.
В ходе дальнейшей настройки есть возможность сохранить в виде файла или распечатать ключ восстановления (recovery key), представляющий собой 48 цифр. Количество различных вариантов ключа восстановления (10 в степени 48) примерно соответствует 159 битам. В качестве алгоритма шифрования по умолчанию используется AES с длиной ключа 128 бит, а при необходимости можно увеличить её до 256 бит. Перед шифрованием данных BitLocker может использовать алгоритм, называемый диффузором (diffuser), основной целью применения которого является получение сильно разнящихся шифрованных данных при незначительно отличающихся исходных. Применение диффузора существенно затрудняет взлом ключей или дешифровку. Данная опция по умолчанию включена. В целом, обеспечиваемый уровень безопасности даже без дополнительных настроек вполне достаточен не только для защиты личной переписки от любопытных знакомых, но и в корпоративной среде
Время первоначального зашифрования зависит от скорости работы устройства и его полного объёма (но не от количества записанной информации), а после его завершения в контекстном меню появляется пункт для запуска утилиты управления, которая позволяет сменить пароль, зарегистрировать или удалить смарт-карту и повторно сохранить ключ восстановления, а также включить режим кэширования — то есть возможность работы с данным устройством на конкретном компьютере без ввода пароля. Расшифрование устройства возможно только в Панели управления.
Имеющаяся в большинстве решений сторонних разработчиков поддержка файлов-контейнеров позволяет использовать USB-флэш для хранения открытых и шифрованных данных одновременно, для чего достаточно сделать размер этого файла-контейнера меньшим, чем объём памяти самого устройства. BitLocker To Go может шифровать внешние носители только целиком.
Полноценная работа с зашифрованной информацией возможна только в Windows 7, в ОС Windows XP и Vista работа осуществляется с помощью специального приложения BitLocker To Go Reaser, записываемого на USB-флэш. С его помощью, после ввода правильного пароля или предъявления смарт-карты, можно выбрать файл для копирования с зашифрованной области. Интеграция с Windows Explore и прозрачные чтение/запись возможны только после установки соответствующей утилиты. Фактически, зашифрованный внешний USB-диск представляет собой большое количество служебных файлов, большая часть из которых являются скрытыми, а также уже упомянутое приложение, позволяющее считывать данные, но не имеющего функционала записи новых файлов на диск..
Hесмотря на некоторые неудобства, присущие, быть может, только текущей версии, BitLocker To Go может найти своё применение в корпоративной среде. Крайне немногие решения по шифрованию данных имеют централизованное управление, а по глубине интеграции вряд ли хоть одно из них может сравниться с решением от Microsoft. Как и остальные компоненты Windows, BitLocker To Go может управляться с помощью групповых политик.
Важнейшая задача централизованного управления при внедрении средств шифрования, а именно — архивирование ключей восстановления, на случай утраты пользователем данных для доступа к зашифрованной информации, успешно решена в Windows 7: эта информация хранится в Active Directory.
Из других интересных возможностей стоит отметить возможность запрета работы с незашифрованными USB-устройствами. При этом пользователю после подключения любого нового устройства будет предлагаться либо зашифровать его, либо работать только в режиме чтения. Записать что-либо на незащищённый внешний носитель будет нельзя.
Возможность использования смарт-карт для аутентификации пользователя при доступе к зашифрованной информации является не только существенным плюсом в плане обеспечиваемого уровня безопасности, но и потенциально способна повысить удобство использования этого решения на практике. Многие производители электронных USB-ключей уже предлагают интегрированные модели, оснащённые не только специализированным чипом с функционалом смарт-карты, но и дополнительной флэш-памятью. Такие гибридные устройства с использованием технологии BitLocker To Go позволят сочетать высокий уровень безопасности, мобильность и простоту использования.
Подводя итоги, можно порекомендовать использование BitLocker To Go прежде всего в крупных организациях, стандартом ОС на рабочих местах в которых будет Windows 7. Ограниченная поддержка Windows Vista и Windows XP вряд ли будет серьёзной помехой для домашних пользователей Windows 7: принципиальная, пусть и не совсем удобная, возможность работы с зашифрованными данными на любой современной ОС Windows без дополнительных настроек является важным конкурентным преимуществом.
В заключение напомним, что BitLocker планируется сделать доступным только в топовых версиях Windows 7 — Ultimate и Enterprise.
Скрытые возможности Windows. Как BitLocker поможет защитить данные?
По мнению специалистов, именно кража ноутбука является одной из основных проблем в сфере информационной безопасности (ИБ).
В отличие от других угроз ИБ, природа проблем «украденный ноутбук» или «украденная флешка» довольно примитивна. И если стоимость исчезнувших устройств редко превышает отметку в несколько тысяч американских долларов, то ценность сохраненной на них информации зачастую измеряется в миллионах.
По данным Dell и Ponemon Institute, только в американских аэропортах ежегодно пропадает 637 тысяч ноутбуков. А представьте сколько пропадает флешек, ведь они намного меньше, и выронить флешку случайно проще простого.
Когда пропадает ноутбук, принадлежащий топ-менеджеру крупной компании, ущерб от одной такой кражи может составить десятки миллионов долларов.
Как защитить себя и свою компанию?
Мы продолжаем цикл статей про безопасность Windows домена. В первой статье из цикла мы рассказали про настройку безопасного входа в домен, а во второй — про настройку безопасной передачи данных в почтовом клиенте:
В этой статье мы расскажем о настройке шифрования информации, хранящейся на жестком диске. Вы поймете, как сделать так, чтобы никто кроме вас не смог прочитать информацию, хранящуюся на вашем компьютере.
Мало кто знает, что в Windows есть встроенные инструменты, которые помогают безопасно хранить информацию. Рассмотрим один из них.
Наверняка, кто-то из вас слышал слово «BitLocker». Давайте разберемся, что же это такое.
Что такое BitLocker?
BitLocker (точное название BitLocker Drive Encryption) — это технология шифрования содержимого дисков компьютера, разработанная компанией Microsoft. Она впервые появилась в Windows Vista.
С помощью BitLocker можно было шифровать тома жестких дисков, но позже, уже в Windows 7 появилась похожая технология BitLocker To Go, которая предназначена для шифрования съемных дисков и флешек.
BitLocker является стандартным компонентом Windows Professional и серверных версий Windows, а значит в большинстве случаев корпоративного использования он уже доступен. В противном случае вам понадобится обновить лицензию Windows до Professional.
Как работает BitLocker?
Эта технология основывается на полном шифровании тома, выполняемом с использованием алгоритма AES (Advanced Encryption Standard). Ключи шифрования должны храниться безопасно и для этого в BitLocker есть несколько механизмов.
Самый простой, но одновременно и самый небезопасный метод — это пароль. Ключ получается из пароля каждый раз одинаковым образом, и соответственно, если кто-то узнает ваш пароль, то и ключ шифрования станет известен.
Чтобы не хранить ключ в открытом виде, его можно шифровать либо в TPM (Trusted Platform Module), либо на криптографическом токене или смарт-карте, поддерживающей алгоритм RSA 2048.
TPM — микросхема, предназначенная для реализации основных функций, связанных с обеспечением безопасности, главным образом с использованием ключей шифрования.
Модуль TPM, как правило, установлен на материнской плате компьютера, однако, приобрести в России компьютер со встроенным модулем TPM весьма затруднительно, так как ввоз устройств без нотификации ФСБ в нашу страну запрещен.
Использование смарт-карты или токена для снятия блокировки диска является одним из самых безопасных способов, позволяющих контролировать, кто выполнил данный процесс и когда. Для снятия блокировки в таком случае требуется как сама смарт-карта, так и PIN-код к ней.
Схема работы BitLocker:
- При активации BitLocker с помощью генератора псевдослучайных чисел создается главная битовая последовательность. Это ключ шифрования тома — FVEK (full volume encryption key). Им шифруется содержимое каждого сектора. Ключ FVEK хранится в строжайшей секретности.
- FVEK шифруется при помощи ключа VMK (volume master key). Ключ FVEK (зашифрованный ключом VMK) хранится на диске среди метаданных тома. При этом он никогда не должен попадать на диск в расшифрованном виде.
- Сам VMK тоже шифруется. Способ его шифрования выбирает пользователь.
- Ключ VMK по умолчанию шифруется с помощью ключа SRK (storage root key), который хранится на криптографической смарт-карте или токене. Аналогичным образом это происходит и с TPM.
К слову, ключ шифрования системного диска в BitLocker нельзя защитить с помощью смарт-карты или токена. Это связано с тем, что для доступа к смарт-картам и токенам используются библиотеки от вендора, а до загрузки ОС, они, понятное дело, не доступны.
Если нет TPM, то BitLocker предлагает сохранить ключ системного раздела на USB-флешке, а это, конечно, не самая лучшая идея. Если в вашей системе нет TPM, то мы не рекомендуем шифровать системные диски.
И вообще шифрование системного диска является плохой идеей. При правильной настройке все важные данные хранятся отдельно от системных. Это как минимум удобнее с точки зрения их резервного копирования. Плюс шифрование системных файлов снижает производительность системы в целом, а работа незашифрованного системного диска с зашифрованными файлами происходит без потери скорости. - Ключи шифрования других несистемных и съемных дисков можно защитить с помощью смарт-карты или токена, а также TPM.
Если ни модуля TPM ни смарт-карты нет, то вместо SRK для шифрования ключа VMK используется ключ сгенерированный на основе введенного вами пароля.
При запуске с зашифрованного загрузочного диска система опрашивает все возможные хранилища ключей — проверяет наличие TPM, проверяет USB-порты или, если необходимо, запрашивает пользователя (что называется восстановлением). Обнаружение хранилища ключа позволяет Windows расшифровать ключ VMK, которым расшифровывается ключ FVEK, уже которым расшифровываются данные на диске.
Каждый сектор тома шифруется отдельно, при этом часть ключа шифрования определяется номером этого сектора. В результате два сектора, содержащие одинаковые незашифрованные данные, будут в зашифрованном виде выглядеть по-разному, что сильно затруднит процесс определения ключей шифрования путем записи и расшифровки заранее известных данных.
Помимо FVEK, VMK и SRK, в BitLocker используется еще один тип ключей, создаваемый «на всякий случай». Это ключи восстановления.
Для аварийных случаев (пользователь потерял токен, забыл его PIN-код и т.д.) BitLocker на последнем шаге предлагает создать ключ восстановления. Отказ от его создания в системе не предусмотрен.
Как включить шифрование данных на жестком диске?
Прежде чем приступить к процессу шифрованию томов на жестком диске, важно учесть, что эта процедура займет какое-то время. Ее продолжительность будет зависеть от количества информации на жестком диске.
Если в процессе шифрования или расшифровки компьютер выключится или перейдет в режим гибернации, то эти процессы возобновятся с места остановки при следующем запуске Windows.
Даже в процессе шифрования системой Windows можно будет пользоваться, но, вряд ли она сможет порадовать вас своей производительностью. В итоге, после шифрования, производительность дисков снижается примерно на 10%.
Если BitLocker доступен в вашей системе, то при клике правой кнопкой на названии диска, который необходимо зашифровать, в открывшемся меню отобразится пункт Turn on BitLocker.
На серверных версиях Windows необходимо добавить роль BitLocker Drive Encryption.
Приступим к настройке шифрования несистемного тома и защитим ключ шифрования с помощью криптографического токена.
Мы будем использовать токен производства компании «Актив». В частности, токен Рутокен ЭЦП PKI.
I. Подготовим Рутокен ЭЦП PKI к работе.
В большинстве нормально настроенных системах Windows, после первого подключения Рутокен ЭЦП PKI автоматически загружается и устанавливается специальная библиотека для работы с токенами производства компании «Актив» — Aktiv Rutoken minidriver.
Процесс установки такой библиотеки выглядит следующим образом.
Наличие библиотеки Aktiv Rutoken minidriver можно проверить через Диспетчер устройств.
Если загрузки и установки библиотеки по каким-то причинам не произошло, то следует установить комплект Драйверы Рутокен для Windows.
II. Зашифруем данные на диске с помощью BitLocker.
Щелкнем по названию диска и выберем пункт Turn on BitLocker.
Как мы говорили ранее, для защиты ключа шифрования диска будем использовать токен.
Важно понимать, что для использования токена или смарт-карты в BitLocker, на них должны находиться ключи RSA 2048 и сертификат.
Если вы пользуетесь службой Certificate Authority в домене Windows, то в шаблоне сертификата должна присутствовать область применения сертификата «Disk Encryption» (подробнее про настройку Certificate Authority в первой части нашего цикла статей про безопасность Windows домена).
Если у вас нет домена или вы не можете изменить политику выдачи сертификатов, то можно воспользоваться запасным путем, с помощью самоподписанного сертификата, подробно про то как выписать самому себе самоподписанный сертификат описано здесь.
Теперь установим соответствующий флажок.
На следующем шаге выберем способ сохранения ключа восстановления (рекомендуем выбрать Print the recovery key).
Бумажку с напечатанным ключом восстановления необходимо хранить в безопасном месте, лучше в сейфе.
Далее выберем, какой режим шифрования будет использоваться, для дисков, уже содержащих какие-то ценные данные (рекомендуется выбрать второй вариант).
На следующем этапе запустим процесс шифрования диска. После завершения этого процесса может потребоваться перезагрузить систему.
При включении шифрования иконка зашифрованного диска изменится.
И теперь, когда мы попытаемся открыть этот диск, система попросит вставить токен и ввести его PIN-код.
Развертывание и настройку BitLocker и доверенного платформенного модуля можно автоматизировать с помощью инструмента WMI или сценариев Windows PowerShell. Способ реализации сценариев будет зависеть от среды. Команды для BitLocker в Windows PowerShell описаны в статье.
Как восстановить данные, зашифрованные BitLocker, если токен потеряли?
Если вы хотите открыть зашифрованные данные в Windows
Для этого понадобится ключ восстановления, который мы распечатали ранее. Просто вводим его в соответствующее поле и зашифрованный раздел откроется.
Если вы хотите открыть зашифрованные данные в системах GNU/Linux и Mac OS X
Для этого необходима утилита DisLocker и ключ восстановления.
Утилита DisLocker работает в двух режимах:
- FILE — весь раздел, зашифрованный BitLocker, расшифровывается в файл.
- FUSE — расшифровывается только тот блок, к которому обращается система.
Для примера мы будем использовать операционную систему Linux и режим утилиты FUSE.
В последних версиях распространенных дистрибутивов Linux, пакет dislocker уже входит в состав дистрибутива, например, в Ubuntu, начиная с версии 16.10.
Если пакета dislocker по каким-то причинам не оказалось, тогда нужно скачать утилиту DisLocker и скомпилировать ее:
Откроем файл INSTALL.TXT и проверим, какие пакеты нам необходимо доустановить.
В нашем случае необходимо доустановим пакет libfuse-dev:
Приступим к сборке пакета. Перейдем в папку src и воспользуемся командами make и make install:
Когда все скомпилировалось (или вы установили пакет) приступим к настройке.
Перейдем в папку mnt и создадим в ней две папки:
- Encrypted-partition— для зашифрованного раздела;
- Decrypted-partition — для расшифрованного раздела.
Найдем зашифрованный раздел. Расшифруем его с помощью утилиты и переместим его в папку Encrypted-partition:
Выведем на экран список файлов, находящихся в папке Encrypted-partition:
Введем команду для монтирования раздела:
Для просмотра расшифрованного раздела перейдем в папку Encrypted-partition.
Резюмируем
Включить шифрование тома при помощи BitLocker очень просто. Все это делается без особых усилий и бесплатно (при условии наличия профессиональной или серверной версии Windows, конечно).
Для защиты ключа шифрования, которым шифруется диск, можно использовать криптографический токен или смарт-карту, что существенно повышает уровень безопасности.