Принцип действия BitLocker прост. Вместе с микросхемой TPM (Trusted Platform Module), устанавливаемой на системной плате персонального компьютера, BitLocker обеспечивает шифрование всего жесткого диска. Как утверждают представители Microsoft, эта функция поможет сохранить в тайне важные сведения компаниям, особенно тем из них, чьи руководители часто бывают в командировках с ноутбуками. Но существуют опасения, что BitLocker будет использован и нарушителями закона для сокрытия своих данных. А поскольку компания Microsoft обещала, что для BitLocker не будет доступа с "заднего хода", то информация на жестких дисках будет всегда скрыта от посторонних глаз, как плохих, так и хороших.
Принцип работы BitLocker. BitLocker представляет собой механизм шифрования с аппаратной поддержкой, который защищает от взлома весь жесткий диск. Он интегрирован с микросхемой TPM 1.2 и работает со 128- или 256-разрядным алгоритмом шифрования Advanced Encryption Standard (AES). BitLocker можно использовать и в компьютерах, не оснащенных микросхемой TPM, но в этом случае для доступа к системе необходимо применить устройство USB-памяти или буквенно-числовой пароль. Благодаря взаимодействию с TPM, BitLocker обеспечивает защиту даже в процессе начальной загрузки. При отсутствии TPM гарантировать целостность загрузочного файла невозможно.
У пользователей, знакомых с таким компонентом NTFS, как EFS (Encrypting File System), могут возникнуть сомнения в революционности BitLocker. Несмотря на серьезные технические различия между двумя компонентами (самое явное из которых - использование в BitLocker более мощной аппаратной схемы шифрования) конечный результат одинаков: данные шифруются, чтобы посторонние не могли восстановить их, просто вставив украденный жесткий диск в другой компьютер. BitLocker обеспечивает защищенную начальную загрузку и полное шифрование тома. Для повышенной безопасности, BitLocker и EFS можно применять даже совместно, так как BitLocker защищает только том, на котором установлена операционная система Windows. С помощью EFS можно защитить данные на других томах, а поскольку ключи шифрования EFS хранятся в разделе операционной системы, то повышается надежность защиты EFS.
Применение BitLocker затрудняется из-за требований к конфигурации, в частности, необходимости иметь два разных раздела для загрузочных файлов и операционной системы. Компания Microsoft представляет довольно путаные инструкции по настройке системы для работы с BitLocker (см. http://list.windowsitpro.com/t?ctl=28CF9:21BD1), поэтому эти шаги не приводятся в данной статье. Важнее проблемы, которые возникают при использовании BitLocker.
BitLocker видится очевидным выбором для корпораций, которые не поскупятся на приобретение аппаратных средств TPM. Но Microsoft пока не сообщила, как отразится применение BitLocker на производительности компьютера. Похоже, для эффективного использования BitLocker потребуется выполнить сложную процедуру настройки. Неясно, удастся ли легко активизировать BitLocker без интенсивного ручного вмешательства администраторов даже в хорошо управляемой среде.
Машины с BitLocker, но без TPM, технически уязвимы для атак с применением методов перебора. В действительности, взломать можно даже системы BitLocker с аппаратной поддержкой, хотя представители Microsoft утверждают, что это "практически исключено". В конечном итоге, эффективность BitLocker определяется в основном тем, насколько удачно настроена конфигурация. Таким образом, вновь важную роль играет возможность ошибки человека.
Существует также проблема восстановления. Данные, защищенные BitLocker буквально невосстановимы в случае, если пользователь забудет пароль или потеряет ключ. Если, конечно, закон Мура не возобладает над 256-разрядными шифрами AES. Компания Microsoft рекомендует хранить информацию в безопасном месте, но людям свойственно ошибаться.
Я провел лишь краткое тестирование BitLocker, но меня заинтересовали интеграция с Windows и возможности Group Policy, и конечно, любому пользователю хочется застраховать свои данные от любопытных глаз конкурентов и преступников. Но меня беспокоит, что в конечном итоге, BitLocker может принести больше вреда, чем пользы. Кого будет больше: людей, пострадавших от BitLocker, или спасенных им? Ответ на этот вопрос даст только время.
Поль Тюрро, thurrott@windowsitpro.com