6.2.15 BitLocker

USB-токены и смарт-карты JaCartaИнтеграцииUSB-токены и смарт-карты JaCarta

Аннотация

Настоящий документ содержит сведения о настройке шифрования BitLocker для съёмных (hdd, ssd) и несъёмных (usb-flah, usb-hdd, usb-ssd) носителей информации и доступа к ним по электронным ключам JaCarta PKI.

О технологии BitLocker

Во всех операционных системах Microsoft, начиная с Windows Vista и выше, существует встроенная технология шифрования разделов жёстких дисков — BitLocker (BitLocker Drive Encryption). Позднее в Windows 7 появилась возможность шифровать ещё и внешние носители (внешние жёсткие диски или USB-накопители).

Шифрование осуществляется симметричным алгоритмом AES (Advanced Encryption Standard). При этом шифруется не весь диск, а размеченные разделы (тома) по отдельности. Ключ шифрования должен безопасно хранится на защищённом носителе. Это может быть TPM (Trusted Platform Module) — специальная микросхема для реализации функций безопасности, встроенная, например, в материнскую плату ПК. Другой вариант — хранение ключа на смарт-карте или USB-токене JaCarta PKI, именно этот сценарий рассматривается в настоящем документе. Этот способ является одним из самых безопасных — пользователю для доступа потребуется наличие смарт-карты и знание ПИН-кода. Ещё есть возможность получать доступ по паролю, который будет каждый раз вырабатывать ключ. Однако это самый небезопасный способ хранения, так как если злоумышленник узнает пароль, то узнает и ключ.

В случае утери, безвозвратной блокировки или физической поломки смарт-карты существует механизм восстановления. Для этого создаётся специальный 48-значный ключ восстановления, который необходимо хранить отдельно от защищённого ПК, например в сейфе в виде распечатанного документа.

BitLocker в отличии от EFS-шифрования работает по клиент-серверной модели. Требуется наличие сервера и локальная работа технологии невозможна.

EFS-шифрование и доступ к защищённым данным с использованием электронных ключей JaCarta PKI рассмотрен в документе — “JaCarta PKI и EFS-шифрование в Microsoft Windows”, который размещен на официальном сайте “Аладдин Р.Д.”, в разделе “Интеграционные инструкции” — https://www.aladdin-rd.ru/support/guides.

О JaCarta

Для хранения ключа BitLocker подойдёт вся линейка электронных ключей JaCarta PKI, в любом форм-факторе, включая и биометрические токены, и смарт-карты, где вместо ввода ПИН-кода пользователь прикладывает к специальному считывателю свой палец.

JaCarta PKI — USB-токен или смарт-карта для строгой двухфакторной аутентификации пользователей при доступе к защищённым информационным ресурсам предприятия, безопасного хранения ключей, ключевых контейнеров программных СКЗИ с использованием инфраструктуры открытых ключей (PKI) на основе зарубежных криптоалгоритмов.

Описание демо-стенда

Демо-стенд состоит из следующих компонентов.

Сервер

moscow.local.test — Windows Server 2016 Datacenter с установленным программным обеспечением Единый Клиент JaCarta и настроенными ролями серверов Active Directory и Active Directory Certificate Services.

Клиент

Компонент шифрование BitLocker в рамках настоящего документа будет установлено на этот же сервер.

Подробное руководство об установке и настройке Active Directory Certificate Services доступно в документе — “JaCarta PKI для аутентификации в домене Windows Server 2016”, который размещен на официальном сайте “Аладдин Р.Д.”, в разделе “Интеграционные инструкции” — https://www.aladdin-rd.ru/support/guides.**smolensk.local.test — Windows 10,** введённый в домен moscow.local.test с установленным программным обеспечением Единый Клиент JaCarta.

Логический диск этой рабочей станции будет защищён шифрованием BitLocker в рамках настоящего документа.

Ход настройки

1. Настройка происходит на сервере и клиенте, делится на следующие этапы.

На сервере:

• установка компонента шифрования BitLocker;
• редактирование шаблона сертификата пользователя;
• настройка групповых политик для BitLocker на взаимодействие со смарт-картой.

На клиенте:

• включение шифрования\защиты диска на клиенте;
• проверка работоспособности.

Установка компонента шифрования BitLocker

Если ранее на сервере был установлен компонент шифрования BitLocker, перейдите к следующему разделу. В противном случае, установите компонент. Для этого выполните следующие действия.

1. Нажмите Пуск -> Диспетчер серверов.

2. В отобразившемся окне выберите Управление -> Добавить роли и компоненты.

   

3. Отобразится окно мастера добавления ролей и компонентов, для продолжения нажмите Далее.

   

4. В следующем окне выберите Установка ролей и компонентов.

   

5. Отобразится окно добавления новых ролей, нажмите Далее.

   

   

В отобразившемся окне выбора компонентов отметьте Шифрование диска BitLocker.

6. В следующем окне нажмите Добавить компоненты.

   

7. Далее нажмите Установить.

   

8. По завершении установки компонента нажмите Закрыть.

   

   

Редактирование шаблона сертификата пользователя

Чтобы сертификат пользователя MSCA мог работать с BitLocker, необходимо добавить новую политику применения, которой в нём нет по умолчанию.

В этом документе будет отредактирован шаблон JaCarta user, созданный в рамках документа “JaCarta PKI для аутентификации в домене Windows Server 2016”, который размещен на официальном сайте “Аладдин Р.Д.”, в разделе “Интеграционные инструкции” — https://www.aladdin-rd.ru/support/guides.Для редактирования шаблона откройте оснастку Центр сертификации (которая была создана в рамках ранее упомянутого документа “JaCarta PKI для аутентификации в домене Windows Server 2016”) далее щёлкните Шаблоны сертификатов и выберите Управление.

1. В открывшемся окне найдите JaCarta user, щёлкните по нему правой кнопкой и откройте его Свойства.

   

2. Перейдите во вкладку Расширения, нажмите Изменить.

   

3. В открывшемся окне кликните Добавить.

   

4. Выберите Шифрование диска BitLocker, нажмите ОК.

   

5. Далее нажмите ОК.

   

   

Шифрование диска BitLocker появится в описании политики применения.

6. Нажмите Применить, затем ОК.

   

Настройка групповых политик BitLocker для взаимодействия с JaCarta PKI

1. Далее необходимо настроить политики шифрования BitLocker для взаимодействия со смарт-картами.

2. Для этого откройте Диспетчер серверов -> Средства -> Управления групповой политикой. Далее правой кнопкой щёлкните Default Domain Policy и нажмите Изменить.

3. Откроется окно редактора групповой политики.

   

4. Выберите Конфигурация компьютера -> Политики -> Административные шаблоны -> Компоненты Windows -> Шифрование диска BitLocker.

5. Выберите параметр проверки согласованности правил использования смарт-карт.

   

6. В отобразившемся окне отметьте Включено, нажмите Применить и ОК.

   

7. Проверьте значение идентификатора, оно должно быть таким, как показано ниже 1.3.6.1.4.1.311.67.1.1.

8. Перейдите в раздел Несъёмные диски с данными и откройте параметр настройки использования смарт-карт на несъёмных дисках с данными.

   

9. В отобразившемся окне отметьте Включено, нажмите Применить и ОК.

   

10. Перейдите в раздел C ъёмные носители с данными и откройте параметр настройки использования смарт-карт на съёмных носителях с данными.

11. В отобразившемся окне отметьте Включено, нажмите Применить и ОК.

Включение защиты (шифрования) носителя со стороны клиента

Теперь пользователь может активировать BitLocker для своего физического диска или съёмного носителя с данными. Для этого выполните следующие действия.

1. Перейдите на пользовательскую рабочую станцию.

2. Откройте Проводник. Выберите диск, который необходимо зашифровать. В настоящем примере это диск Е:.

   

3. Откройте его содержимое, чтобы убедиться, что он не пуст.

   

4. Нажмите назад . В открывшемся окне щёлкните правой кнопкой **диск Е:**, в отобразившемся меню выберите Включить BitLocker.

   

5. Отметьте Использовать смарт-карту для снятия блокировки диска, нажмите Далее.

   

6. В отобразившемся окне выберите способ сохранить ключ восстановления — “в файл” или “отправить на печать”. В настоящем примере используется сохранение ключа “в файл”, выберите Сохранить в файл. Сохраненный файл будет содержать ключ в виде открытого текста, его можно распечатать позже. Этот ключ можно будет использовать для разблокировки диска в случае утери смарт-карты.

   

Не следует хранить ключ разблокировки на рабочей станции, которая содержит объекты, защищённые этим ключом.

7. Далее укажите директорию, в которую будет сохранён файл, и его имя.

   

8. В следующем окне нажмите Да.

   

9. В настоящем документе ключ сохраняется на этот же ПК только в качестве примера. Не следует хранить ключ разблокировки на рабочей станции, которая содержит объекты, защищённые этим ключом. Полученный файл можно скопировать на несколько носителей или распечатать ключ.

10. Следующим шагом укажите, какую часть диска требуется зашифровать — шифровать только занятое место на диске или весь диск. В настоящем примере шифруется весь диск, выберите Шифровать весь диск и нажмите Далее.

11. Нажмите Начать шифрование.

Строка состояния отобразит процесс завершения в процентах. Длительность процесса зависит от размера диска и может занимать продолжительное время.

12. По завершении процесса нажмите Закрыть.

13. Выполните перезагрузку рабочей станции.

14. На этом настройка BitLocker завершена.

Проверка работоспособности

1. После перезагрузки подключите JaCarta PKI и откройте проводник. Если ранее всё было верно настроено, около зашифрованного диска появится значок замка. Щёлкните локальный диск (E:) и выберите вариант разблокировки смарт-карта.

2. Введите ПИН-код, нажмите ОК.

   

   

После ввода ПИН-кода содержимое диска откроется автоматически.

В проводнике изображение диска сменится с закрытого замка на открытый.

Разблокировка ключом восстановления

В случае утери смарт-карты доступ можно восстановить с помощью сохранённого или распечатанного ранее ключа. Для этого откройте файл с ключом или достаньте его распечатку.

1. Далее щёлкните зашифрованный диск и выберите вариант разблокировки Введите ключ восстановления.

   

2. В отобразившемся окне введите 48-значный ключ восстановления и нажмите Разблокировать.

   

3. После ввода ключа откроется содержимое диска.

   

Отключение BitLocker

1. Для отключения BitLocker щёлкните правой кнопкой по зашифрованному диску и выберите Управление BitLocker.

   

2. В отобразившемся окне выберите отключить BitLocker напротив того диска, для которого нужно выполнить отключение.

   

3. В отобразившемся окне предупреждения нажмите Отключить BitLocker.

   

Расшифрование как и зашифрование может занимать продолжительное время, зависит от

объёма диска.

4. По завершении нажмите Закрыть.

   

5. Теперь BitLocker отключен.