Шифрование конечной точки — достаточно ли BitLocker?

Введение

В Европе количество потерь данных поразительно; многие организации по всему миру сталкиваются с вопросом о шифровании конечных точек и о том, какой продукт использовать для защиты своих данных. С ограниченным внедрением Vista BitLocker стал для некоторых вариантом. Вопросы типа, какие есть подводные камни и можно ли полагаться на то, что уже есть. Достаточно ли BitLocker? В этой статье основное внимание будет уделено сильным и слабым сторонам BitLocker и тому, насколько серьезно организации должны относиться к шифрованию.

Достаточно просто вынуть жесткий диск из компьютера и подключить его к другому компьютеру, чтобы получить доступ к файлам. Чтобы поместить жесткий диск в подставку USB/Firewire и просмотреть содержимое, или загрузиться с инструментами восстановления или альтернативными операционными системами, используя загрузочный носитель для восстановления данных. Эти и многие другие методы известны злоумышленникам и похитителям данных. Методы смягчения последствий, такие как полное шифрование диска, необходимы для обеспечения конфиденциальности, которая теперь стала необходимостью.

В нашей лаборатории мы протестировали 32 продукта для шифрования и помогли сформулировать отчеты для известных аналитических компаний, а также отчеты, которые легли в основу тендерных опросов, уделяя особое внимание полному шифрованию дисков, файлов и папок. Сотни часов тестирования и тщательной оценки привели к явному победителю или группе лучших игроков. Критерии для этой оценки были основаны на лучших практиках безопасности.

С выпуском Windows 7, а вместе с ней и BitLocker и BitLocker, необходимо найти ответы на многие вопросы.

Факты о BitLocker

• Шифр шифрования по умолчанию — AES128bit в режиме CBC — AES сильнее в 256-битном режиме, и это должно быть по умолчанию.
• BitLocker теперь может шифровать целые тома.
• Для трех реализаций BitLocker для двух требуется микросхема TPM [Trusted Platform Module (версия 1.2 или более поздняя) и совместимый BIOS].
• Доступно в Ultimate и Enterprise версиях Windows 7.

1. Прозрачный режим работы. В нем использовался TPM 1.2 для демонстрации прозрачного взаимодействия с пользователем — пользователь входит в операционную систему Windows как обычно, без каких-либо изменений в пользовательском интерфейсе. Ключ для разблокировки шифрования диска хранится в зашифрованном виде на микросхеме TPM и передается коду загрузчика ОС, если первичные загрузочные файлы остаются нетронутыми.
   Дополнительная информация о прозрачном режиме работы: BitLocker делает это, реализуя статический корень доверия, поскольку ключ отправляется в ОС, он помещается в память и, таким образом, уязвим для атаки с холодной загрузкой, когда ОЗУ замораживается сжатым воздухом. затем отключается от машины BitLocker и помещается на другой компьютер, после чего запускается программа отладки ОЗУ для вывода содержимого ОЗУ. Затем содержимое проверяется на наличие ключа, и ключ сбрасывается в файл. Затем этот ключ можно использовать для расшифровки жесткого диска. Исходный код доступен в Интернете (хотя этот режим удобен для пользователя, он уязвим для известной уязвимости).
2. Режим аутентификации пользователя: пользователь должен предоставить учетные данные для базовой предзагрузочной среды, чтобы загрузить ОС Windows. Пользователь должен предоставить PIN-код или учетные данные, хранящиеся на USB-накопителе.
3. Без чипа TPM: Режим флэш-накопителя USB: USB-устройство, содержащее ключ запуска, подключается к компьютеру, чтобы он мог загрузиться. BIOS должен поддерживать чтение с USB-накопителя перед загрузкой.
   Тот факт, что BitLocker использует платформу Windows как часть своего механизма аутентификации, делает его небезопасным, поскольку периодически обнаруживается множество известных уязвимостей, которые требуют исправления и изменения инфраструктуры. Недавно в Windows Vista и Windows 7 была обнаружена уязвимость, позволяющая злоумышленнику подключить компьютер к сети и заразить его целевым компьютером червем, который повысит привилегии и разрешит удаленный доступ к компьютеру. Использование прозрачного режима работы сделает BitLocker бесполезным для злоумышленника, обладающего этим знанием. Это означает, что машина не была защищена от этой угрозы, но это хороший аргумент для поставщиков, которые хотят продавать более надежные технологии.

Основываясь на вышеизложенном, вывод первого прохода: кажется, что BitLocker — идеальный компаньон шифрования для операционной системы Windows. Это «бесплатно» с некоторыми версиями Windows, бесшовное и интегрированное, но из-за слабости Windows и общего потенциала уязвимости это не лучший вариант, если серьезно относиться к шифрованию диска. Мы уверены, что со временем Microsoft улучшит эту технологию.

Что следует учитывать при установке BitLocker

• Смена материнской платы: помните, что при использовании BitLocker в режиме 1 ключ хранится в TPM. Убедитесь, что вы сделали резервную копию. Проверьте это, прежде чем утилизировать старую материнскую плату.
• Обновление BIOS: это может повлиять на работу TPM.
• Раздел: двойная загрузка и изменение последовательности загрузки.
• Блокировка чипа TPM из-за слишком большого количества неверных попыток ввода ключа в режиме 2.
• Поврежденный USB-накопитель, содержащий ключ. Я не рекомендую вам делать слишком много копий ключа, но убедитесь, что у вас есть копия, и храните ее в безопасности (для серьезных сред безопасности это слабая практика безопасности).
• Обновления на месте сложны, поэтому сделайте резервную копию перед обновлением.
• Обновление основной загрузочной записи может быть проблематичным, поэтому сделайте резервную копию перед изменением MBR.
• Изменения раздела на лету вызывают проблемы, поэтому сделайте резервную копию данных.
• Создание образов дисков представляет собой сложную задачу.
• Скрытый раздел BitLocker создается для рабочего фактора и загрузки, когда включено полное шифрование диска BitLocker, его размер составляет 1,5 ГБ.

Согласно веб-сайту Microsoft, BitLocker есть только в Ultimate и Enterprise версиях Windows Vista и Windows 7.

Соображения безопасности

Поскольку BitLocker использует Windows и систему проверки подлинности Windows в режимах без проверки подлинности перед загрузкой, моя команда не чувствовала себя комфортно в том, что BitLocker является безопасным решением для сред, которым необходимо защищать конфиденциальные документы. Есть веб-сайты с исходным кодом атаки, которые были протестированы в нашей лаборатории, что доказывает наличие уязвимости. Это выходит за рамки данной статьи. Кроме того, тот факт, что ключи управляются настолько свободно, что они статичны и могут быть распечатаны и эффективно скопированы на всех видах незащищенных носителей, не внушает доверия к мыслительному процессу безопасности. Настоятельно рекомендуется двухфакторный контроль доступа на основе токенов. Я уверен, что скоро поставщикам будет доступен API для развития в этом пространстве. Тот факт, что администраторы имеют такой контроль над решением BitLocker, также заставляет задуматься о разделении обязанностей. Более того, BitLocker не поддерживает разнородные среды, такие как Linux и Macintosh, и они становятся все более распространенными. У нас есть клиенты с 40 000 компьютеров Mac, и это решение просто не сработает для них.

Положительным моментом является то, что такие инновации, как BitLocker, делают его привлекательным решением для шифрования съемных носителей. Это решение не требует полного шифрования диска или использования чипа TPM.

Вывод

BitLocker — это ограниченный продукт, который находится в стадии эволюции. Некоторым организациям достаточно отпугнуть оппортунистов. Для организаций, которые более серьезно относятся к безопасности, эта технология все еще нуждается в значительной доработке, прежде чем ее можно будет использовать с уверенностью. Корпорация Майкрософт усердно работает над тем, чтобы воплотить это в жизнь, и в ближайшие 24 месяца ожидаются серьезные обновления и изменения в этом продукте. BitLocker не бесплатен, вы платите за него в рамках лицензии Enterprise/Ultimate, и это было решено на этапе маркетинга продукта. Как и во всем, что интегрировано в операционную систему, большая часть функций является базовой, и если вам нужны более продвинутые функции с дополнительными наборами функций и расширенной поддержкой, используйте стороннее решение.