Windows/BitLocker: Unterschied zwischen den Versionen
imported>Sim Keine Bearbeitungszusammenfassung |
imported>Sim Keine Bearbeitungszusammenfassung |
||
| Zeile 3: | Zeile 3: | ||
== Funktionsweise == | == Funktionsweise == | ||
Um das Systemlaufwerk verschlüsseln zu können, benötigt Bitlocker eine eigene | Um das Systemlaufwerk verschlüsseln zu können, benötigt Bitlocker eine eigene Partition der Festplatte, welche bei Bedarf automatisch erstellt wird. Es startet vor dem Betriebssystem und greift standardmäßig auf ein Trusted Platform Module (TPM) zu, um zu prüfen, ob die Hardware unverändert und somit vertrauenswürdig ist. Microsoft empfiehlt, zusätzlich die Eingabe einer PIN zu erzwingen. Allerdings ist bei Auswahl der PIN darauf zu achten, dass diese bei der Startroutine zu einem Zeitpunkt abgefragt wird, bei dem länderspezifische Einstellungen der Tastatur noch nicht geladen sind, also die Tastatur immer dem US-englischen Standard entspricht. Damit sind Y und Z gegenüber der deutschen Tastatur vertauscht, Sonderzeichen liegen vielfach auf anderen Tasten, Umlaute können nicht per Tastatur eingegeben werden. Alternativ oder zusätzlich zur PIN kann das Starten des Systems davon abhängig gemacht werden, ob ein USB-Stick mit einer Schlüsseldatei eingesteckt ist. Wenn keines von beidem konfiguriert wird, tritt BitLocker nicht in Erscheinung, solange die Umgebung der Festplatte unverändert bleibt. Bei Computern ohne Trusted Platform Module kann alternativ eine Schlüsseldatei auf einem USB-Stick zum Einsatz kommen oder, außer bei der Systempartition, die Eingabe einer PIN vorgesehen werden. | ||
Die Verschlüsselung erfolgt durch | Die Verschlüsselung erfolgt durch AES mit einer Schlüssellänge von 128 oder 256 Bit. Gegenüber Windows Vista unterstützt BitLocker ab Windows 7 auch die Verschlüsselung von USB-Medien („BitLocker to Go“), welche auch unter Windows Vista und XP gelesen werden können. | ||
Gegenüber Windows Vista unterstützt BitLocker ab Windows 7 auch die Verschlüsselung von USB-Medien („BitLocker to Go“), welche auch unter Windows Vista und XP gelesen werden können. | |||
Es ist grundsätzlich auch möglich, die Systempartition gänzlich ohne TPM zu verschlüsseln und stattdessen die PIN-Eingabe zu verwenden. | Es ist grundsätzlich auch möglich, die Systempartition gänzlich ohne TPM zu verschlüsseln und stattdessen die PIN-Eingabe zu verwenden. | ||
| Zeile 22: | Zeile 11: | ||
== Recovery-Funktionalität == | == Recovery-Funktionalität == | ||
BitLocker speichert die Recovery-Daten zur Entschlüsselung der Partition ohne Passwort während des Verschlüsselungsprozesses im Klartext auf einem Datenträger und in gemanagten Umgebungen zusätzlich in das | BitLocker speichert die Recovery-Daten zur Entschlüsselung der Partition ohne Passwort während des Verschlüsselungsprozesses im Klartext auf einem Datenträger und in gemanagten Umgebungen zusätzlich in das Active Directory. Hier wird pro Partition ein Key angelegt. Wenn ein TPM-Chip verwendet wird, so wird dessen Recovery-Passwort ebenfalls abgelegt. Für eine Entschlüsselung ist entweder das ursprüngliche Passwort oder das TPM-Passwort notwendig, eine Challenge-Response-Authentifizierung ist derzeit nicht vorgesehen. | ||
Version vom 7. Januar 2019, 14:10 Uhr
BitLocker ist eine Festplattenverschlüsselung des Unternehmens Microsoft, die serverseitig ab Windows Server 2008 und clientseitig in den Ultimate- und Enterprise-Versionen von Windows Vista und Windows 7 sowie den Pro- und Enterprise-Versionen von Windows 8, Windows 8.1 und Windows 10 enthalten ist.
Funktionsweise
Um das Systemlaufwerk verschlüsseln zu können, benötigt Bitlocker eine eigene Partition der Festplatte, welche bei Bedarf automatisch erstellt wird. Es startet vor dem Betriebssystem und greift standardmäßig auf ein Trusted Platform Module (TPM) zu, um zu prüfen, ob die Hardware unverändert und somit vertrauenswürdig ist. Microsoft empfiehlt, zusätzlich die Eingabe einer PIN zu erzwingen. Allerdings ist bei Auswahl der PIN darauf zu achten, dass diese bei der Startroutine zu einem Zeitpunkt abgefragt wird, bei dem länderspezifische Einstellungen der Tastatur noch nicht geladen sind, also die Tastatur immer dem US-englischen Standard entspricht. Damit sind Y und Z gegenüber der deutschen Tastatur vertauscht, Sonderzeichen liegen vielfach auf anderen Tasten, Umlaute können nicht per Tastatur eingegeben werden. Alternativ oder zusätzlich zur PIN kann das Starten des Systems davon abhängig gemacht werden, ob ein USB-Stick mit einer Schlüsseldatei eingesteckt ist. Wenn keines von beidem konfiguriert wird, tritt BitLocker nicht in Erscheinung, solange die Umgebung der Festplatte unverändert bleibt. Bei Computern ohne Trusted Platform Module kann alternativ eine Schlüsseldatei auf einem USB-Stick zum Einsatz kommen oder, außer bei der Systempartition, die Eingabe einer PIN vorgesehen werden.
Die Verschlüsselung erfolgt durch AES mit einer Schlüssellänge von 128 oder 256 Bit. Gegenüber Windows Vista unterstützt BitLocker ab Windows 7 auch die Verschlüsselung von USB-Medien („BitLocker to Go“), welche auch unter Windows Vista und XP gelesen werden können.
Es ist grundsätzlich auch möglich, die Systempartition gänzlich ohne TPM zu verschlüsseln und stattdessen die PIN-Eingabe zu verwenden.
Recovery-Funktionalität
BitLocker speichert die Recovery-Daten zur Entschlüsselung der Partition ohne Passwort während des Verschlüsselungsprozesses im Klartext auf einem Datenträger und in gemanagten Umgebungen zusätzlich in das Active Directory. Hier wird pro Partition ein Key angelegt. Wenn ein TPM-Chip verwendet wird, so wird dessen Recovery-Passwort ebenfalls abgelegt. Für eine Entschlüsselung ist entweder das ursprüngliche Passwort oder das TPM-Passwort notwendig, eine Challenge-Response-Authentifizierung ist derzeit nicht vorgesehen.