Ketaste krüpteerimine

Mis on BitLocker?

BitLocker on programm, millega saab kogu kõvaketta ära krüpteerida ning ta on Windowsi sisse integreeritud võimaldades kaitsta andmeid varguse vastu. Bitlocker on olemas Windows Vista, Windows 7 Ultimate ning Enterprise versioonides, Windows 8 Pro ja Enterprise versioonides ning Windows Server 2008 ja 2008R2's. [1]

BitLockeril kasutus:
- Krüpteerides terve ketta - kõik kasutaja-, süsteemi-, saale- ning hibernatsioonifailid on krüpteeritud
- Alglaadimise terviklikkuse kontroll - Kui arvutil on TPM (Trusted Platform Module) kiip versioon 1.2, siis saab kontrollida, et alglaadimise komponente pole muudetud ning et kõvaketas oleks õiges arvutis.

Lahti krüpteerimiseks on 3 võimalust [2]:
- Automaatne dekrüpteerimine - kui oled juba ükskord deküpteerinud (kaardi või parooliga), siis pole vaja uuesti parooli sisestada (ega kaarti kasutada).
- Parooliga dekrüpteerimine - Kui avad mälupulga, siis küsitakse kasutaja käest parooli.
- Kiipkaardiga dekrüpteerimine - Kui kasutaja avab mälupulga/ketta, palutakse kasutajal sisestada kiipkaart.

Saab kasutada ka ühe ketta puhul mitut lahti krüpteerimise võimalust, näiteks ühes arvutis dekrüpteeritakse automaatselt aga teises arvutis küsitakse parooli.

BitLocker uuendused Windows 8-l [3]:
- Võimalik enne Windowsi installi juba BitLocker sisse lülitada
- Ainult kasutatud kettaruumi krüpteerimine
- Tavakasutaja saab muuta PIN koodi ja parooli

Mis on BitLocker To Go?

BitLocker To Go on programm mälupulkade ja väliste kõvaketaste krüpteerimiseks. See toetab lisaks NTFS-ile ka FAT failisüsteemi. [4] See on mõeldud peamiseks ettevõtetele, kus on oht, et kasutaja kopeerib tähtsat infot mälupulgale ja siis kaotab selle ära. BitLocker To Go aitab kaitsta neid andmeid. Ta töötab BitLockerist eraldiseisvalt, niiet ei ole vaja BitLockerit sisse lülitada selleks, et saaks kasutada mälupulga/välise ketta krüpteerimist. [5]

Failide ja kataloogide krüpteerimine

Mis on EFS?

EFS (Encrypting File System) on Windowsi sisseehitatud failide, kataloogide ja ketaste krüpteerimise programm. Et saaks kasutada EFS-i, peab ketas kasutama NTFS failisüsteemi. [6] See on saadavad kõikides Windowsi business versioonides alates Windows 2000-st. [7] EFS-i krüpteerimine toimib failisüsteemi tasemel, seega kasutaja ja programmide jaoks jääb märkamatuks. Kui kataloogile on krüpteerimine seadistatud, siis kõik failid, mis sinna tekitatakse või liigutatakse krüpteeritakse automaatselt. Programmid ei pea teadma midagi krüpteerimisest. Krüpteerimise võti on kaitstud kasutaja parooliga. Igaüks, kes saab teada kasutajanime ja parooli, saab dekrüpteerida failid. [8]

Võrdlus TrueCryptiga

Lisaks BitLockerile on üks tuntumaid krüpteerimistarkvarasid TrueCrypt. Põhjused, miks võiks kasutada mõnda teist tarkvara:

kui sul pole Windowsi versiooni, milles on BitLocker olemas
kui soovid funktsioone, mis puuduvad BitLockeris
kui soovid, et ühtne tarkvara oleks kasutuses Windows keskkonnas kui ka mujal

TrueCrypti plussid:

vabavara
sobib erinevatele operatsioonisüsteemidele
peidetud partitsiooni võimalus [9]

TrueCrypti miinused:

puudub keskne haldus
pole TPM tuge [10]
ei saa kaugelt arvutit restartida, sest kasutaja peab füüsiliselt kohal olema, et parool sisestada

BitLockeri plussid:

Windowsi sisseehitatud ning kerge kasutada
TPM kiibi tugi
keskne haldus

BitLockeri miinused:

terve süsteemi krüpteerimine on toetatud ainult Windowsi operatsioonisüsteemis
kuna lähtekood pole avalik, ei tea, kui palju turvaauke seal on
et seda kasutada, on vaja Ultimate/Enterprise versiooni Windowsist

Õpetused

Kuidas krüpteerida tervet ketast BitLockeriga?

Kui arvutil puudub TPM kiip, saab bitlockerit dekrüpteerida ainult parooli või võtmega, ning võtme saab panna usb mälupulgale. [11] Sellejaoks peab eelevalt lubama BitLockerit kasutada ilma TPM-ita:

vajuta windows nupp + Q
kirjuta gpedit.msc ning käivita gpedit

avatud aknast vali vasakust puust Computer Configuration -> Administrative Templates -> Windows Components -> BitLocker Drive Encryption -> Operating System Drives
paremast vali nüüd Require additional authentication at startup