BitLocker в Windows 10¶
BitLocker — средства шифрования дисков, разработанное корпорацией Microsoft и включённое в состав операционных систем Windows, начиная с Windows Vista. Предназначено для защиты данных на физических носителях — жёстких дисках и твердотельных накопителях — путём автоматического шифрования всего раздела. В Windows 10 BitLocker доступен в редакциях Pro, Enterprise и Education.
¶Назначение и принцип работы
Основная задача BitLocker — защита данных при физическом изъятии носителя или краже устройства. Шифрование происходит на уровне тома (volume), то есть весь раздел диска, включая системные файлы, загрузочный сектор и пользовательские данные, оказывается зашифрованным. При включённом BitLocker данные на диске нечитаемы без ключа расшифровки, даже если накопитель извлечь из компьютера и подключить к другому устройству.
В качестве алгоритма шифрования используется AES (Advanced Encryption Standard) с длиной ключа 128 или 256 бит и режимом XTS. Режим XTS обеспечивает устойчивость к атакам с изменением отдельных блоков шифротекста.
Важной особенностью является прозрачность для пользователя: после разблокировки тома работа с файлами происходит в обычном режиме, без заметного снижения производительности. Современные процессоры Intel и AMD поддерживают инструкции AES-NI, которые аппаратно ускоряют операции шифрования.
¶Способы разблокировки
Для доступа к зашифрованному тому BitLocker предлагает несколько методов разблокировки:
- PIN-код — числовой код, вводимый при загрузке компьютера;
- USB-накопитель с ключом — флешка, содержащая файл-ключ, подключаемая при старте системы;
- Ключ восстановления — 48-значный код, который предлагается сохранить при первичной настройке. Используется, если основной метод недоступен;
- Смарт-карта — в корпоративных средах для разблокировки может использоваться смарт-карта с сертификатом;
- Автоматическая разблокировка — при наличии совместимого TPM-модуля (Trusted Platform Module) система разблокирует том автоматически при загрузке, без действий пользователя.
TPM-модуль — это аппаратный криптографический чип, встроенный в материнскую плату большинства современных компьютеров. Он хранит ключи шифрования и проверяет целостность загрузочной цепочки. Если TPM обнаруживает несанкционированные изменения в загрузочных файлах, он может заблокировать доступ к зашифрованному тому.
¶Режимы работы
BitLocker поддерживает два основных режима шифрования:
| Режим | Описание |
|---|---|
| Обычное шифрование | Шифруется весь раздел целиком, включая свободное пространство. Обеспечивает максимальную защиту, но занимает больше времени при первичной настройке. |
| Шифрование только занятого места | Шифруются только те секторы диска, где уже размещены данные. Быстрее выполняется, но ранее удалённые файлы остаются нешифрованными до их перезаписи. |
При шифровании только занятого места новые данные шифруются по мере записи, а при обычном шифровании весь том шифруется сразу.
¶BitLocker To Go
Отдельного упоминания заслуживает BitLocker To Go — расширение BitLocker для съёмных носителей: USB-флешек и внешних жёстких дисков. Позволяет шифровать флешки и требовать пароль или смарт-карту для доступа к содержимому. Поддерживается во всех редакциях Windows 10, включая Home.
¶BitLocker в Windows 10
В Windows 10 BitLocker доступен в редакциях Pro, Enterprise и Education. В домашней редакции (Home) средства шифрования дисков нет, однако для владельцев ПК с TPM Microsoft предлагает Device Encryption — упрощённую версию шифрования, автоматически включающуюся при выполнении определённых условий (наличие TPM, подтверждённая учётная запись Microsoft).
Управление BitLocker осуществляется через панель управления «Шифрование диска BitLocker» или через оснастку «Управление BitLocker» в разделе безопасности Windows. В корпоративной среде параметры BitLocker могут централизованно управляться через групповые политики Active Directory или службу Microsoft Intune. Ключи восстановления при этом автоматически сохраняются в Active Directory, что упрощает восстановление доступа при сбоях.
¶Ограничения
Для работы BitLocker с автоматической разблокировкой требуется TPM версии 1.2 или 2.0. На компьютерах без TPM можно обойтись, включив соответствующую политику группового редактора, но тогда потребуется ручной ввод PIN-кода или подключение USB-ключа при каждой загрузке.
Шифрование BitLocker не защищает данные, если злоумышленник имеет физический доступ к работающей системе и может установить кейлоггер или выполнить иные атаки «холодной» атаки через DMA-порты (для защиты от последних в Windows 10 включена блокировка DMA по умолчанию).
¶История
BitLocker был впервые представлен в Windows Vista в 2006 году. Изначально он использовал AES в режиме CBC с энкрептором Elephant diffuser, позднее перешедший на XTS-AES. С выходом Windows 8 и 10 функциональность была существенно расширена: добавлена поддержка BitLocker To Go, аппаратное ускорение, улучшена интеграция с TPM 2.0.
¶Источники
- Официальная документация Microsoft по BitLocker
- Техническая документация Windows 10, раздел безопасности
- Спецификации NIST по режиму XTS-AES (SP 800-38E)