BitLocker

BitLocker eller dets fullstendige betegnelse, BitLocker Drive Encryption, er en komponent eller ekstra funksjonalitet for fullstendig kryptering av harddisken som er inkludert i enkelte utgaver av Windows Vista og Windows 7. Dessuten med utgavene Pro og Enterprise av Windows 8 Det vil også være tilgjengelig på serverplattformer som Windows Server 2008, Windows Server 2008 R2 og Windows Server 2012. Funksjonaliteten er designet for å beskytte data ved å kunne kryptere hele harddisker. I utgangspunktet (default) benyttes det krypteringsalgoritmen Advanced Encryption Standard (AES) i CBC-modus med en nøkkel som er 128-bit eller 256-bit, kombinert med ekstra verktøy for ekstra beskyttelse. CBC er ikke benyttet fore hele harddisken, kun for de enkelte sektorer. Hensikten er å beskytte data på harddisken, samt å beskytte systemet mot angrep fra personer med fysisk tilgang til maskinen (stjålne bærbare PC-er og lignende).

Bakgrunn

Mange bærbare maskiner blir stjålet eller mistet hvert år og det er da relativt enkelt å få tilgang til data på disken. For eksempel selv om maskinen er satt opp med passord og brukernavn finnes det den rekke måter å få fysisk tilgang til maskinen. Det finnes en rekke verktøy på nettet man kan laste ned, brenne ut på DVD/CD og deretter starte opp maskinen rett fra DVD-en. Programmet på DVD-en kjøres så, uten at operativsystemet starter, og programmet lar så brukeren lett endre administrator passordet for operativsystemet på maskinen. Personen kan deretter starte operativsystemet og få full tilgang.

Teknisk

BitLocker er designet for bruk med systemer som har en Trusted Platform Module (TPM) tilgjengelig. Det er i all enkelhet en datachip som gir samme funksjonalitet som et Smartkort, pluss litt mer. BitLocker kan også benyttes på eldre systemer uten denne chipen, men man trenger da en USB-minnepinne til å lagre en krypteringsnøkkel.

TPM

TPM-chippen sørger for lagring av krypteringsnøkler og integritetskontroll av systemet som starter opp. Dersom noe er endret under oppstart, eksempelvis BIOS, oppstartsinformasjon og lignende, vil ikke krypteringsnøklen kunne hentes ut fra TPM-chipen og systemet kan dermed ikke starte. Dette er med å beskytte mot en rekke angrep ikke tilknyttet et nett. Dersom en angriper installerer noe ekstra eller forsøker å endre systemet for å kunne endre passord eller lignende vil systemsignaturen bli endret og man trenger da en egen gjenopprettingsnøkkel for å starte systemet igjen.

Kryptering

BitLocker bruker som standard AES-kryptering med «elefant-diffuser». Man kan ellers velge mellom AES i 128 bits eller 256 bits med eller uten diffuser. Diffuser er her to ekstra kryptologiske funksjoner som utføres før AES-krypteringen og bidrar til økt sikkerhet og reduserer risikoen for enkelte kryptologiske angrep.

AES-nøkkelen lagres kryptert på disken, men den er kryptert av en asymmetrisk nøkkel som lagres i TPM-chipen. Da man må sikre systemets ytelse når man krypterer hele operativsystemet er det ikke fornuftig å bruke en asymmetrisk krypteringsalgoritme til dette, derfor AES, som er regnet som en sikker algoritme av mange, men er symmetrisk og dermed mindre ressurskrevende. BitLocker krypterer sektorer av disken hver for seg, med en liten endring av nøkkelen per sektor. Dette gjør teoretisk sett angrep av typen «brute force» («rå kraft») vanskeligere.

Autentisering

BitLocker kan også settes til å kreve PIN-kode eller passord lagret på en minnepinne under oppstart. PIN-koden eller passordet vil da være en nødvendig del av nøkkelen for å dekryptere disk-nøkkelen og man vil således ikke få dekryptert disken uten.

Recovery

Ettersom det er en reell fare for at man kan glemme PIN-koden eller miste minnepinnen med passordet er gjenvinning et viktig aspekt ved all harddisk kryptering. BitLocker støtter dette på to måter, en for mer personlig bruk og en for bruk i firmaløsninger.

Dersom en bruker selv skrur på Bitlocker vil brukeren få flere valg om hvordan vedkommende ønsker å lagre gjenvinningsnøkkelen. Dette kan være på en minnepinne eller utskrift eller lignende.

I firmasammenheng, hvor det benyttes Microsofts serverprodukter, kan BitLocker settes opp til å lagre gjenvinningsinformasjon i «Active Directory». Man har full kontroll over hvordan BitLocker skal fungere, hvor gjenvinningsinformasjon skal lagres og lignende.

Bruksområder

Typiske bruksområder for BitLocker vil være følgende:

• Bærbare maskiner med behov for å sikre data
• Arbeidsstasjoner med sensitive data eller som er plassert i utsatte områder (eksempelvis manglende fysisk sikring)
• Servere med sensitive data eller som er plassert i utsatte områder

Det er verdt å merke seg at BitLocker reduserer systemytelsen med 4-6% i de fleste tilfellene. Enkelte scenarioer kan oppleve ytterligere redusert ytelse, for eksempel dersom brukeren jobber aktivt med ekstremt store filer. Det er tilfellet med de fleste harddisk krypteringsløsninger.

Eksterne lenker

• «Hva er kryptering, og hvorfor er det så viktig?», Telsys
• «Kryptere eller dekryptere en mappe eller fil», Microsoft

Autoritetsdata