Ако искате надеждно да защитите акаунтите си в онлайн услуги, тогава ще ви трябва приложение за двуфакторна автентификация.
Такива програми генерират кодове за достъп, необходими за влизане в социални медии, плащане на покупки в интернет и т.н.
Трябва също да запишете кодовете за възстановяване на обикновен лист хартия - това ще бъде полезно, ако телефонът ви не е под ръка. Разберете къде да намерите тези кодове по-долу.
Как да получите кодове за възстановяване
Microsoft
Отидете на страницата на вашия акаунт в Microsoft и отворете раздела Сигурност в горната част. Можете да промените паролата, да добавите алтернатива имейл адресии телефонни номера за възстановяване на вашия акаунт и преглед на информация за дейността. По-долу ще видите връзка към допълнителни опции за сигурност - последвайте я, за да получите кодовете.
Тук можете да настроите проверка в две стъпки. Препоръчваме да изберете оторизация чрез специално приложение, тъй като методът за проверка чрез SMS кодове не е напълно сигурен. Точно по-долу намерете секцията „Код за възстановяване“ и щракнете върху съответния бутон. ще се появи нов код, което остава само да се запише.
Ябълка
На iPhone, iPad или iPod touchтрябва да направите следните стъпки:
- Изберете Настройки → [вашето име] → Парола и сигурност. Може да се наложи да въведете парола за вашия Apple ID.
- Кликнете върху „Ключ за възстановяване“.
- Преместете плъзгача, за да активирате ключа за възстановяване.
- Щракнете върху „Ключ за възстановяване“ и въведете паролата на вашето устройство.
В macOS ще трябва да направите следното:
- Отидете в менюто " Системни настройки» → iCloud → „Акаунт“. Може да се наложи да въведете парола за вашия Apple ID.
- Щракнете върху иконата за защита.
- В секцията Ключ за възстановяване щракнете върху Активиране.
- Изберете Използване на ключ за възстановяване.
- Запишете ключа за възстановяване. Съхранявайте тази бележка на сигурно място.
- Щракнете върху бутона Продължи.
- Потвърдете, че сте записали ключа за възстановяване, като го въведете на следващия екран.
Отидете на страницата на вашия акаунт в Google и изберете секцията „Сигурност и влизане“. В левия панел изберете „Вход в Google акаунт"и щракнете" Проверка в две стъпки" Влезте отново и на следващата страница намерете „ Резервни кодове" Кликнете
до бутона „Създаване“.
Google ще предложи да изтеглите или отпечатате 10 кода. Можете да създавате нови кодове, като по този начин правите старите неактивни. Всеки ключ е за еднократна употреба, така че използваните ще трябва да бъдат изтрити ръчно или зачеркнати от списъка.
Разпечатайте кодовете и ги съхранявайте на сигурно място
Такива ключове са последната опция за възстановяване на акаунта. Ако ги загубите, може да останете без акаунта си завинаги.
Поставете листчето със записаните кодове на място, където другите няма да го намерят. Това може да е чекмедже с важни документи или поне място под матрака.
Съхранявайте кодовете и цифрово
Не само трябва да отпечатате ключовете за възстановяване на хартия, но и да ги съхранявате на компютъра си. Копирайте кодовете в текстов файли го поставете на криптирана флашка. Устройството може да се съхранява до други документи или дори в кутията на настолен компютър.
Добавете ключове към вашия мениджър на пароли
Трябва да направите всичко, за да сте сигурни, че винаги имате достъп до кодовете, дори когато вашият телефон и отпечатаният списък с ключове не са наблизо. Ако използвате мениджър на пароли, значи вече имате всичко необходимо.
Мениджъри като 1Password и LastPass имат уеб интерфейси, които са полезни, ако имате нужда от достъп до лична информация от нов компютър или смартфон. Ключовете за възстановяване могат да бъдат поставени до останалите ви данни или запазени в нов документ, който ще се съхранява в услугата.
За да шифровате вашите лични данни, можете да използвате много методи, и по-конкретно, софтуеркомпании на трети страни. Но защо, ако има BitLocker от Microsoft. За съжаление, някои хора имат проблеми с възстановяването на файлове след криптиране с BitLocker. Когато криптирате BitLocker, трябва да създадете специален ключ за възстановяване, той трябва да бъде запазен и няма значение къде, стига да е защитен. Можете да го отпечатате или да го запишете, като използвате сметка, но не локален, а от Microsoft. Ако дискът не се отключи сам, тогава трябва да използвате същия ключ, иначе няма друг начин.
Но има и случаи, когато ключът е изгубен. Какво да правим тогава? Понякога можете да забравите паролата си за вход, което прави процеса на дешифриране изключително труден. Нека се опитаме да проучим всички тези проблеми и да разберем какво да правим. Тази статия трябва да ви помогне да разрешите проблеми с BitLocker .
Някои статии за криптиране на данни:
Какво да правя с ключа за възстановяване, ако се загуби?
И така, човешкият фактор е такова нещо, че когато става дума за памет, което е определен моментмного необходимо - това ни подвежда. Ако сте забравили къде сте поставили ключа за възстановяване, тогава си спомнете как сте го запазили в BitLocker. Тъй като помощната програма предлага три начина за запазване на ключа - отпечатване, запазване във файл и запазване в акаунт. Във всеки случай трябваше да изберете един от тези методи.
Така че, ако сте запазили ключа в акаунта си, тогава трябва да отидете в OneDrive от браузъра и да влезете в секцията „Ключове за възстановяване на BitLocker“. Влезте в системата с вашите идентификационни данни. Ключът определено ще бъде там, при условие че сте го качили там. Ако не е там, може би сте го запазили в друг акаунт?
Случва се потребителят да създаде повече от един ключ, тогава можете да определите конкретен с помощта на идентификатора в помощната програма BitLocker и да го сравните с този от ключа; ако те съвпадат, тогава това е правилният ключ.
Ако компютърът ви не иска да стартира системата поради BitLocker?
Да приемем, че сте криптирали системен диски възникне проблем, при който системата не иска да отключи, тогава вероятно има някакъв проблем с TRM модула. Трябва автоматично да отключи системата. Ако това наистина е така, тогава пред очите ви ще се появи картина, която казва: и ще бъдете помолени да въведете ключа за възстановяване. И ако го нямате, защото сте го загубили, тогава едва ли ще можете да влезете в системата. Най-вероятно само преинсталирането на системата ще помогне. Засега не знам как да отключа BitLocker без ключ, но ще се опитам да проуча този проблем.
Как да отключите BitLocker криптирани дискове в Windows?
Ако имате няколко дяла или външни твърди дискове, криптирани с BitLocker, но трябва да бъдат отключени, ще се опитам да помогна.
Свържете устройството към компютъра (ако е външен). Стартирайте „Контролен панел“, можете да го направите от търсенето и отидете в секцията „Система и сигурност“. Намерете секцията там „Шифроване на устройство с BitLocker“. Между другото, тази операция може да се извърши само на PRO версии, имайте това предвид.
Намерете диска, който сте шифровали, в списъка, който трябва да дешифрирате. Кликнете до опцията "Отключи диск".
Сега въведете необходимите данни за отключване (ПИН или парола). Нямате тези данни? Не ги ли помниш? След това щракнете „Разширени опции“и изберете елемента.
Като заключение искам да кажа едно. Ако загубите своята парола или ПИН код, можете да възстановите достъпа до устройството с помощта на ключ за възстановяване, това е 100%. Трябва да го съхранявате на сигурно място и винаги да помните къде се намира. Ако сте загубили този ключ, можете да се сбогувате с вашите данни. Досега не съм намерил метод, при който можете да дешифрирате BitLocker без ключ.
Bitlocker е програма за рансъмуер, която се появи за първи път в Windows 7. Може да се използва за криптиране на томове твърди дискове(дори системния дял), USB и MicroSD флашки. Но често се случва потребителят просто да забрави паролата за достъп до криптираните данни на Bitlocker. Прочетете как да отключите информация на криптирана медия в рамките на тази статия.
Как да активирате Bitlocker
Самата програма предлага начини за дешифриране на данни на етапа на създаване на ключалката:
- Подгответе устройството, което искате да шифровате. Кликнете върху него щракнете с десния бутонмишката и изберете „Активиране на Bitlocker“.
- Изберете метод на криптиране.
Обикновено за отключване се задава парола. Ако имате USB четец на смарт карти с обикновен ISO 7816 чип, можете да го използвате за отключване. 
За криптиране опциите са налични отделно или и двете наведнъж. - В следващата стъпка съветникът за шифроване на диск предлага опции за архивиране на ключа за възстановяване. Има общо три:
- Когато сте избрали опцията за запазване на ключа за възстановяване, изберете частта от устройството, която искате да дешифрирате.
- Преди да започне криптирането на данните, ще се появи прозорец, който ви уведомява за процеса. Щракнете върху Стартиране на шифроване.
- Изчакайте известно време, докато процедурата приключи.
- Устройството вече е криптирано и ще поиска парола (или смарт карта) при първоначално свързване.
важно! Можете да изберете метода на криптиране. Bitlocker поддържа 128 и 256 битово XTS AES и AES-CBC криптиране.
Промяна на метода за криптиране на устройството
В Редактора на локални групови правила (не се поддържа в Windows 10 Home) можете да изберете метода на шифроване за дискове с данни. По подразбиране е XTS AES 128 бита за несменяеми устройства и AES-CBC 128 бита за сменяеми твърди дискове и флаш устройства.
За да промените метода на криптиране:
След промени в политиката Bitlocker ще може да защити с парола новата медия с избраните параметри.
Как да деактивирате Bitlocker
Процесът на заключване предоставя два начина за по-нататъшен достъп до съдържанието на устройството: парола и свързване към смарт карта. Ако сте забравили паролата си или сте загубили достъп до вашата смарт карта (или по-скоро не сте я използвали изобщо), можете да използвате само ключа за възстановяване. Когато защитавате с парола флаш устройство, то трябва да бъде създадено, за да можете да го намерите:
- Отпечатано на лист хартия. Може би сте го поставили с важни документи.
- IN текстов документ(или на USB флаш устройство, ако системният дял е криптиран). Залепете USB флашкавъв вашия компютър и следвайте инструкциите. Ако ключът е записан в текстов файл, прочетете го на некриптирано устройство.
- Във вашия акаунт в Microsoft. Влезте в профила си на уебсайта в секцията „Ключове за възстановяване на Bitlocker“.
След като намерите ключа за възстановяване:
- Щракнете с десния бутон върху заключения диск и изберете „Отключване на диск“.
- В горния десен ъгъл на екрана ще се появи прозорец за въвеждане на парола за Bitlocker. Кликнете върху „Разширени опции“.
- Изберете Въведете ключ за възстановяване.
- Копирайте или пренапишете 48-цифрения ключ и щракнете върху „Отключване“.
- След това данните на носителя ще станат достъпни за четене.
Шифроване твърд диск, достъп до него само с парола или USB устройство със стартов ключ и блокиране на достъпа при опит за външно въздействие. Всичко това и в случай на криптиране на външен носител, трябва да се свържете. Подредихме го. Но какво да направите, ако сте забравили паролата си? Какво да направите, ако сте загубили USB устройството с ключа за стартиране? Какво да направите, ако трябва да промените средата за зареждане на вашия компютър, което ще направи невъзможно (от съображения за сигурност) четенето от твърд диск? Или, за да обобщим всичко, как да възстановите BitLocker?
Режим на възстановяване на BitLocker
В случаите, когато:
- Средата за зареждане е променена, по-специално един от файловете за зареждане на Windows е променен.
- Деактивиран или изтрит.
- Стартиран без предоставяне на TPM, PIN или USB устройство с ключ за стартиране.
- Том от операционната Windows система, свързан към друг компютър.
След това компютърът преминава в режим на възстановяване на BitLocker. В такива случаи ще трябва да запомните момента, в който сте шифровали твърдия диск. Докато настройвахте криптирането, имаше прозорец, който предоставяше опция за запазване на ключа за възстановяване на BitLocker по различни начини: във файл, отпечатване и т.н. Ключът за възстановяване е написан просто в .txt файл, откъдето можете лесно да прочетете и въведете този ключ в прозореца за възстановяване на BitLocker. Ако въведете правилния ключ за възстановяване, компютърът ще се зареди в нормален режим.
Изброените действия се отнасят за случай на загуба на ключа за достъп. твърд диск. Ако трябва да промените средата за зареждане, промените нещо в BIOS, можете от прозореца BitLocker Drive EncryptionВ Windows временно деактивирайте BitLocker. И след като надстроите средата за зареждане, активирайте я отново. Това е съвсем просто.
В случай на криптиран преносим носител, ще бъдете помолени да въведете ключа за възстановяване директно в прозореца на Explorer, веднага след като посочите, че сте забравили или загубили ключа за достъп. Затова бих искал да кажа: съхранявайте внимателно вашите ключове за възстановяване!
помощна програма manage-bde.exe
Разгледахме технологията BitLocker, обсъдихме нейните възможности и разгледахме как да я управляваме. Този методДоста лесно е да използвате интерфейса на Explorer. Днес в студиото има още един начин за управление на BitLocker - помощната програма manage-bde.exe, с която ще завършим запознаването си с технологията BitLocker.
Надявам се, че се досещате нов начинняма да бъде подобен на предишния. И намекнах, че разликата е в интерфейса. Така че мисля, че познахте какво управление-bde.exeе помощна програма за команден ред.
Команди Manage-BDE.exe
Използвайки различните параметри, които ще дам по-долу, можете да конфигурирате BitLocker да работи по желания от вас начин. Функционалността на тази помощна програма е идентична с функционалността на Explorer за работа с BitLocker. Нека го опознаем.
management-bde.exe -състояние
Показва състоянието на BitLocker.
manage-bde.exe -on
Криптира обема и активира BitLocker.
управление-bde.exe -изкл
Дешифрира тома и деактивира BitLocker.
manage-bde.exe -pause/-resume
Поставя на пауза или възобновява криптирането или декриптирането.
manage-bde.exe -заключване
Отказва достъп до данни, криптирани с BitLocker.
manage-bde.exe -отключване
Позволява достъп до данни, криптирани с BitLocker.
manage-bde.exe -setidentifier
Конфигурира ID на тома.
manage-bde.exe -changepin
Променя PIN кода.
manage-bde.exe -промяна на паролата
Променя паролата.
manage-bde.exe -changekey
Променя клавиша за стартиране на звука.
Всички тези команди трябва да се изпълняват в прозорец на командния ред, отворен с права на администратор. Ако имате нужда от допълнителна помощ за която и да е команда, въведете тази команда
управление-bde.exe /?
включено това исканеЩе получите пълна помощ за тази команда с посочените параметри, както и няколко примера за работа. Това е всичко, използвайте технологията BitLocker за ваше здраве и не забравяйте, че може да се наложи да възстановите BitLocker.
Технологията за криптиране BitLocker се появи за първи път преди десет години и се променя с всяка версия на Windows. Въпреки това, не всички промени в него са предназначени да увеличат криптографската сила. В тази статия ще разгледаме по-отблизо различните версии на BitLocker (включително тези, които са предварително инсталирани в най-новите компилации на Windows 10) и ще покажем как да заобиколите този вграден защитен механизъм.
Офлайн атаки
Технологията BitLocker беше отговорът на Microsoft на нарастващия брой офлайн атаки, които бяха особено лесни за извършване срещу компютри с Windows. Всеки може да се почувства като хакер. Той просто ще изключи най-близкия компютър и след това ще го зареди отново - с неговата операционна система и преносим набор от помощни програми за намиране на пароли, поверителни данни и дисекция на системата.
В края на работния ден можете дори да организирате малък кръстоносен поход с отвертка Phillips - отворете компютрите на напуснали служители и извадете дисковете от тях. Същата вечер, в тиха домашна среда, съдържанието на извлечените дискове може да бъде анализирано (и дори модифицирано) по хиляда и един начина. На следващия ден просто елате по-рано и върнете всичко на мястото му.
Не е необходимо обаче да отваряте компютрите на други хора направо на работното място. Много поверителни данни изтичат след рециклиране на стари компютри и подмяна на устройства. На практика сигурното изтриване и форматиране на ниско нивоНаправени са само няколко излезли от експлоатация дискове. Какво може да спре младите хакери и колекционери на дигитална мърша?
Както пее Булат Окуджава: „Целият свят е направен от ограничения, за да не полудееш от щастие“. Основните ограничения в Windows са зададени на ниво права за достъп до NTFS обекти, които не предпазват от офлайн атаки. Windows просто проверява разрешенията за четене и запис, преди да обработи каквито и да било команди, които имат достъп до файлове или директории. Този метод е доста ефективен, стига всички потребители да работят в система, конфигурирана от администратора с ограничени акаунти. Въпреки това, веднага щом стартирате друга операционна система, няма да остане и следа от такава защита. Потребителят ще преназначи права за достъп или просто ще ги игнорира, като инсталира друг драйвер на файловата система.
Има много допълнителни методи за противодействие на офлайн атаки, включително физическа сигурност и видеонаблюдение, но най-ефективните изискват използването на силна криптография. Цифровите подписи на зареждащия механизъм предотвратяват стартирането чужд код, а единственият начин наистина да защитите самите данни на твърдия диск е да ги шифровате. Защо шифроването на целия диск липсва в Windows толкова дълго?
От Vista до Windows 10
В Microsoft работят много различни хора и не всички кодират със задния ляв крак. Уви, крайните решения в софтуерните компании отдавна не се вземат от програмисти, а от търговци и мениджъри. Единственото нещо, което наистина вземат предвид при разработването на нов продукт, е обемът на продажбите. Колкото по-лесно е за една домакиня да разбере софтуера, толкова повече копия на този софтуер ще може да продаде.
„Помислете само, половин процент от клиентите са загрижени за безопасността си! Операционната система вече е сложен продукт, но тук ни плашите с криптиране целева аудитория. Можем и без него! Преди успяхме!“ - Висшето ръководство на Microsoft можеше да разсъждава приблизително по този начин до момента, в който XP стана популярен в корпоративния сегмент. Сред администраторите твърде много специалисти вече са помислили за сигурността, за да отстъпят мнението им. Следователно дългоочакваното обемно криптиране се появи в следващата версия на Windows, но само в изданията Enterprise и Ultimate, които са насочени към корпоративния пазар.
Новата технология се нарича BitLocker. Това беше може би единственото хубаво нещо на Vista. BitLocker криптира целия том, правейки персонализирани и системни файловенечетливи, заобикаляйки инсталираната ОС. Важни документи, снимки на котки, регистър, SAM и SECURITY - всичко се оказа нечетливо при извършване на офлайн атака от всякакъв вид. В терминологията на Microsoft „том“ не е непременно подобен на диск физическо устройство. Том може да бъде виртуален диск, логически дял или обратно - обединяване на няколко диска (съставен или ивичен том). Дори обикновено флаш устройство може да се счита за свързан том, за криптиране от край до край, за което, започвайки с Windows 7, има отделна реализация - BitLocker To Go (за повече подробности вижте страничната лента в края на статията ).
С появата на BitLocker стана по-трудно да се стартира операционна система на трета страна, тъй като всички програми за зареждане получиха цифрови подписи. Все още обаче е възможно заобиколно решение благодарение на режима на съвместимост. Струва си да промените режима на зареждане в BIOS от UEFI на Legacy и да деактивирате функцията Secure Boot и доброто старо стартиращо флаш устройство отново ще бъде полезно.
Как да използвате BitLocker
Нека да разгледаме практическата част, като използваме Windows 10 като пример. В сборка 1607 BitLocker може да бъде активиран през контролния панел (раздел „Система и сигурност“, подраздел „Шифроване на BitLocker Drive“).
Ако обаче дънната платка няма TPM крипто процесор версия 1.2 или по-нова, тогава BitLocker просто не може да се използва. За да го активирате, ще трябва да отидете в редактора на локални групови правила (gpedit.msc) и да разширите клона „Конфигурация на компютъра -> Административни шаблони -> Компоненти на Windows -> Шифроване на устройство с BitLocker -> Дискове на операционна система“ до настройката „ Тази настройка на правилата ви позволява да конфигурирате изискването за допълнително удостоверяване при стартиране." В него трябва да намерите настройката „Разрешаване на BitLocker без съвместим TPM...“ и да я активирате.
В съседните раздели на местните политики можете да зададете допълнителни настройки BitLocker, включително дължина на ключа и режим на криптиране AES.
След като приложите новите политики, върнете се към контролния панел и следвайте инструкциите на съветника за настройка на криптиране. За допълнителна защита можете да изберете да въведете парола или да свържете конкретно USB флаш устройство.
Въпреки че BitLocker се счита за технология за криптиране на цял диск, тя позволява частично криптиране само на заети сектори. Това е по-бързо от криптирането на всичко, но този метод се счита за по-малко надежден. Макар и само защото в този случай изтритите, но все още не презаписани файлове остават достъпни за директно четене за известно време.
Пълно и частично криптиране След като зададете всички параметри, остава само да рестартирате. Windows ще ви помоли да въведете паролата си (или да поставите USB флаш устройство) и след това да стартирате нормален режими ще започне фонов процесобемно криптиране.
В зависимост от избраните настройки, размера на диска, честотата на процесора и неговата поддръжка за отделни AES команди, криптирането може да отнеме от няколко минути до няколко часа.
След като този процес приключи, в контекстното меню на Explorer ще се появят нови елементи: промяна на вашата парола и бързо преминаване към настройките на BitLocker.
Моля, обърнете внимание, че всички действия, освен промяната на паролата, изискват администраторски права. Логиката тук е проста: след като сте влезли успешно, това означава, че знаете паролата и имате право да я промените. Колко разумно е това? Скоро ще разберем!
Как работи BitLocker
Надеждността на BitLocker не трябва да се оценява по репутацията на AES. Един популярен стандарт за криптиране може да няма очевидни слабости, но внедряването му в конкретни криптографски продукти често е пълно с тях. Microsoft не разкрива пълния код на технологията BitLocker. Известно е само, че в различни версии Windows беше базиран на различни схеми и промените не бяха коментирани по никакъв начин. Освен това в компилация 10586 на Windows 10 той просто изчезна, а след две компилации се появи отново. Въпреки това, всичко е на първо място.
Първата версия на BitLocker използва режим на верига на блокове за шифрован текст (CBC). Още тогава недостатъците му бяха очевидни: лекотата на атакуване на известен текст, слабата устойчивост на атаки като заместване и т.н. Затова Microsoft веднага реши да засили защитата. Вече във Vista алгоритъмът Elephant Diffuser беше добавен към схемата AES-CBC, което затрудни директното сравняване на блокове с шифрован текст. При него едно и също съдържание на два сектора даде напълно различни резултати след криптиране с един ключ, което усложни изчисляването на общия модел. Самият ключ обаче беше кратък по подразбиране - 128 бита. Чрез административни политики може да се разшири до 256 бита, но струва ли си да се прави?
За потребителите, след промяна на ключа, нищо няма да се промени външно - нито дължината на въведените пароли, нито субективната скорост на операциите. Подобно на повечето системи за криптиране на цял диск, BitLocker използва множество ключове... и нито един от тях не е видим за потребителите. тук електрическа схема BitLocker.
- Когато BitLocker е активиран, се създава главна битова последователност с помощта на генератор на псевдослучайни числа. Това е ключът за обемно криптиране - FVEK (full volume encryption key). Именно с това съдържанието на всеки сектор вече е криптирано.
- На свой ред FVEK се шифрова с помощта на друг ключ - VMK (главен ключ на обем) - и се съхранява в шифрована форма сред метаданните на тома.
- Самият VMK също е криптиран, но по различни начини по преценка на потребителя.
- На нови дънни платки VMK ключът е шифрован по подразбиране с помощта на SRK ключа (основен ключ за съхранение), който се съхранява в отделен криптопроцесор - доверен платформен модул (TPM). Потребителят няма достъп до съдържанието на TPM и то е уникално за всеки компютър.
- Ако няма отделен TPM чип на платката, тогава вместо SRK, за шифроване на VMK ключа се използва въведен от потребителя ПИН код или USB флаш устройство при поискване с предварително записана ключова информация.
- В допълнение към TPM или флаш устройство, можете да защитите VMK ключа с парола.
Такива обща схема BitLocker продължи да работи в следващите версии на Windows до наши дни. Въпреки това методите за генериране на ключове и режимите на криптиране на BitLocker са променени. И така, през октомври 2014 г. Microsoft тихо премахна допълнителния алгоритъм Elephant Diffuser, оставяйки само схемата AES-CBC с известните й недостатъци. Първоначално нищо не беше направено по въпроса официални изявления. Хората просто получиха отслабена технология за криптиране със същото име под прикритието на актуализация. Неясни обяснения за тази стъпка последваха, след като независими изследователи забелязаха опростявания в BitLocker.
Формално, изоставянето на Elephant Diffuser беше необходимо, за да се гарантира съответствие Изисквания за WindowsФедералните стандарти за обработка на информация (FIPS), но един аргумент опровергава тази версия: Vista и Windows 7, които използват Elephant Diffuser, се продават без проблеми в Америка.
Друга въображаема причина за изоставянето на допълнителния алгоритъм е липсата на хардуерно ускорение за Elephant Diffuser и загубата на скорост при използването му. Но в предишни години, когато процесорите бяха по-бавни, скоростта на криптиране беше някак си задоволителна. И същият AES беше широко използван дори преди да се появят отделни набори от инструкции и специализирани чипове за ускоряването му. С времето беше възможно да се направи хардуерно ускорениеи за Elephant Diffuser, или поне дават на клиентите избор между скорост и сигурност.
Друга, неофициална версия изглежда по-реалистична. „Слонът“ пречеше на служителите на NSA, които искаха да изразходват по-малко усилия за дешифриране на следващия диск, а Microsoft охотно сътрудничи на властите дори в случаите, когато техните искания не са напълно законни. Косвено потвърждава конспиративната теория е фактът, че преди Windows 8, при създаването на ключове за криптиране в BitLocker, се използва генераторът на псевдослучайни числа, вграден в Windows. В много (ако не във всички) издания на Windows това беше Dual_EC_DRBG – „криптографски силен PRNG“, разработен от Агенцията за национална сигурност на САЩ и съдържащ редица присъщи уязвимости.
Разбира се, тайното отслабване на вграденото криптиране предизвика мощна вълна от критики. Под нейния натиск Microsoft пренаписа отново BitLocker, заменяйки PRNG с CTR_DRBG в новите версии на Windows. Освен това, в Windows 10 (започвайки с компилация 1511), схемата за криптиране по подразбиране е AES-XTS, която е имунизирана срещу манипулиране на блокове с шифрован текст. В най-новите компилации на „десетките“ други известни недостатъци на BitLocker също бяха коригирани, но основният проблем все още остава. Толкова е абсурдно, че обезсмисля други иновации. Говорим за принципите на управление на ключове.
Принцип на Лос Аламос
Задачата за декриптиране на BitLocker устройства също е опростена от факта, че Microsoft активно насърчава алтернативен методвъзстановяване на достъпа до данни чрез Data Recovery Agent. Смисълът на „Агента“ е, че той криптира ключовете за криптиране на всички устройства в мрежата на предприятието с един ключ за достъп. След като го имате, можете да дешифрирате всеки ключ и следователно всеки диск, използван от същата компания. Удобно? Да, особено за хакване.
Идеята за използване на един ключ за всички ключалки вече е била компрометирана много пъти, но продължава да се връща под една или друга форма в името на удобството. Ето как Ралф Лейтън записва спомените на Ричард Файнман за един характерен епизод от работата му по проекта Манхатън в лабораторията в Лос Аламос: “...Отворих три сейфа - и трите с една и съща комбинация.<…>Разправих се с всички: отворих сейфовете с всички тайни на атомната бомба - технологията за производство на плутоний, описание на процеса на пречистване, информация колко материал е необходим, как работи бомбата, как се произвеждат неутроните, как работи бомбата, какви са нейните размери - с една дума, всичко, което знаеха в Лос Аламос, цялата кухня!”.
BitLocker донякъде напомня на безопасния дизайн, описан в друг фрагмент от книгата Вие със сигурност се шегувате, г-н Файнман! Най-впечатляващият сейф в свръхсекретна лаборатория имаше същата уязвимост като обикновен картотечен шкаф. „...Това беше полковник и имаше много по-сложен сейф с две врати и големи дръжки, които измъкваха четири стоманени пръта с дебелина три четвърти инча от рамката.<…>Разгледах гърба на една от внушителните бронзови врати и открих, че циферблатът е свързан с малка ключалка, която изглеждаше точно като ключалката на моя гардероб в Лос Аламос.<…>Беше очевидно, че лостовата система зависеше от същата малка пръчка, която заключваше шкафовете с документи.<…>. Преструвайки се на някаква дейност, започнах да въртя циферблата на случаен принцип.<…>Две минути по-късно - клик! - сейфът се отвори.<…>Когато вратата на сейфа или горното чекмедже на шкаф за документи е отворено, е много лесно да се намери комбинацията. Точно това направих, когато прочетохте моя доклад, само за да ви демонстрирам опасността.".
Самите крипто контейнери на BitLocker са доста сигурни. Ако ви донесат флашка, дошла от нищото, криптирана с BitLocker To Go, тогава едва ли ще я дешифрирате в приемливо време. Въпреки това, в реален сценарий на използване на криптирани дискове и сменяеми носителипълен с уязвимости, които могат лесно да бъдат използвани за заобикаляне на BitLocker.
Потенциални уязвимости
Вероятно сте забелязали, че трябва да чакате дълго време, когато активирате BitLocker за първи път. Това не е изненадващо - процесът на криптиране сектор по сектор може да отнеме няколко часа, защото дори да прочетете всички блокове от терабайт HDD е по-бързне успява. Деактивирането на BitLocker обаче е почти мигновено - как е възможно това?
Факт е, че когато е деактивиран, BitLocker не декриптира данните. Всички сектори ще останат криптирани с FVEK ключа. Просто достъпът до този ключ вече няма да бъде ограничен по никакъв начин. Всички проверки ще бъдат деактивирани и VMK ще остане записан сред метаданните в чист текст. Всеки път, когато включите компютъра, буутлоудърът на ОС ще прочете VMK (без да проверява TPM, да иска ключ на флаш устройство или парола), автоматично ще декриптира FVEK с него и след това всички файлове при достъп до тях. За потребителя всичко ще изглежда като пълна липса на криптиране, но най-внимателният може да забележи лек спад в производителността на дисковата подсистема. По-точно, няма увеличение на скоростта след деактивиране на криптирането.
Има още нещо интересно в тази схема. Въпреки името (технология за криптиране на цял диск), някои данни все още остават некриптирани при използване на BitLocker. MBR и BS остават отворени (освен ако дискът не е инициализиран в GPT), повредени сектори и метаданни. Отвореният буутлоудър дава място за въображение. Псевдо-лошите сектори са удобни за скриване на руткитове и друг зловреден софтуер, а метаданните съдържат много интересни неща, включително копия на ключове. Ако BitLocker е активен, тогава те ще бъдат криптирани (но по-слабо от FVEK криптира съдържанието на секторите), а ако е деактивиран, те просто ще лежат на чисто. Всички те са потенциални вектори на атака. Те са потенциални, защото освен тях има много по-прости и универсални.
Ключ за възстановяване
В допълнение към FVEK, VMK и SRK, BitLocker използва друг тип ключ, който се създава „за всеки случай“. Това са ключове за възстановяване, които са друг популярен вектор за атака. Потребителите се страхуват да не забравят паролата си и да загубят достъп до системата, а самата Windows им препоръчва да направят спешно влизане. За да направите това, съветникът за криптиране на BitLocker ви подканва да създадете ключ за възстановяване на последната стъпка. Не е възможно да се откаже създаването му. Можете да изберете само една от ключовите опции за експортиране, всяка от които е много уязвима.
В настройките по подразбиране ключът се експортира като обикновен текстов файл с разпознаваемо име: „Ключ за възстановяване на BitLocker #“, където идентификаторът на компютъра е написан вместо # (да, точно в името на файла!). Самият ключ изглежда така.
Ако сте забравили (или никога не сте знаели) паролата, която сте задали в BitLocker, просто потърсете файла с ключа за възстановяване. Със сигурност ще бъде записано сред документите на текущия потребител или на неговата флашка. Може дори да е отпечатан на лист хартия, както препоръчва Microsoft. Просто изчакайте колегата ви да излезе в почивка (както винаги е забравил да заключи компютъра си) и започнете да търсите.
Влезте с ключ за възстановяване За бързо намиране на ключ за възстановяване е удобно да ограничите търсенето по разширение (txt), дата на създаване (ако можете да си представите кога BitLocker може да е бил включен) и размер на файла (1388 байта, ако файлът не е бил редактиран). След като намерите ключа за възстановяване, копирайте го. С него можете да заобиколите стандартната авторизация в BitLocker по всяко време. За да направите това, просто натиснете Esc и въведете ключа за възстановяване. Ще влезете без никакви проблеми и дори можете да промените паролата си за BitLocker на персонализирана, без да посочвате старата! Това вече напомня на трикове от рубриката „Западно строителство“.
Отваряне на BitLocker
Истинската криптографска система е компромис между удобство, скорост и надеждност. Той трябва да предоставя процедури за прозрачно криптиране с декриптиране в движение, методи за възстановяване забравени паролии удобна работа с ключове. Всичко това отслабва всяка система, независимо на какви силни алгоритми е базирана. Следователно не е необходимо да търсите уязвимости директно в алгоритъма Rijndael или в различни схеми на стандарта AES. Много по-лесно е да ги открием в спецификата на конкретна реализация.
В случая с Microsoft такива „специфики“ са достатъчни. Например, копия на ключове BitLocker се изпращат до SkyDrive по подразбиране и се депозират на Активна директория. за какво? Ами ако ги загубите... или агент Смит попита. Неудобно е да карате клиент да чака, още по-малко агент.
Поради тази причина сравняването на криптографската сила на AES-XTS и AES-CBC с Elephant Diffuser остава на заден план, както и препоръките за увеличаване на дължината на ключа. Без значение колко дълго е, нападателят може лесно да го получи в некриптирана форма.
Получаването на депозирани ключове от акаунт в Microsoft или AD е основният метод за разбиване на BitLocker. Ако потребителят не е регистрирал акаунт в облака на Microsoft и компютърът му не е в домейн, тогава все още ще има начини за извличане на ключовете за криптиране. По време на нормална работа, отворените им копия винаги се записват в RAM памет(в противен случай няма да има „прозрачно криптиране“). Това означава, че те са налични в неговия файл за дъмп и хибернация.
Защо изобщо ги държат там? Колкото и смешно да изглежда - за удобство. BitLocker е проектиран да предпазва само от офлайн атаки. Те винаги са придружени от рестартиране и свързване на диска към друга ОС, което води до изчистване на RAM. Въпреки това, в настройките по подразбиране, операционната система изхвърля RAM паметта, когато възникне срив (който може да бъде провокиран) и записва цялото й съдържание във файл за хибернация, когато компютърът премине в дълбок сън. Следователно, ако наскоро сте влезли в Windows с активиран BitLocker, има голям шанс да получите декриптирано копие на VMK ключа и да го използвате за декриптиране на FVEK и след това на самите данни по веригата. да проверим ли
Всички описани по-горе методи за хакване на BitLocker са събрани в една програма - Forensic Disk Decryptor, разработена от местната компания Elcomsoft. Той може автоматично да извлича ключове за криптиране и да монтира криптирани томове като виртуални дискове, като ги дешифрира в движение.
Освен това EFDD прилага друг нетривиален метод за получаване на ключове - атака през порта FireWire, която е препоръчително да се използва в случаите, когато не е възможно да стартирате вашия софтуер на атакувания компютър. Ние винаги инсталираме самата програма EFDD на нашия компютър и на компютъра, който е хакнат, се опитваме да направим минимално необходимите стъпки.
Например, нека просто стартираме тестова система с активен BitLocker и „тихо“ да направим дъмп на паметта. Така че ще симулираме ситуация, в която колега е излязъл за обяд и не е заключил компютъра си. Стартираме RAM Capture и за по-малко от минута получаваме пълен дъмп във файл с разширение .mem и размер, съответстващ на количеството RAM, инсталирано на компютъра на жертвата.
Създаване на дъмп на паметта Като цяло няма значение какво правите със сметището. Независимо от разширението, това ще доведе до двоичен файл, който след това ще бъде автоматично анализиран от EFDD в търсене на ключове.
Записваме дъмпа на флашка или го прехвърляме по мрежата, след което сядаме на компютъра си и стартираме EFDD.
Изберете опцията „Извличане на ключове“ и въведете пътя до дъмп файла на паметта като източник на ключ.
Посочете източника на ключ BitLocker е типичен крипто контейнер, като PGP Disk или TrueCrypt. Тези контейнери се оказаха доста надеждни сами по себе си, но клиентските приложения за работа с тях под Windows затрупват ключовете за криптиране в RAM. Следователно EFDD прилага универсален сценарий за атака. Програмата незабавно намира ключове за криптиране и от трите вида популярни крипто контейнери. Следователно можете да оставите всички квадратчета отметнати в случай, че жертвата тайно използва TrueCrypt или PGP!
След няколко секунди Elcomsoft Forensic Disk Decryptor показва всички намерени ключове в своя прозорец. За удобство можете да ги запишете във файл - това ще бъде полезно в бъдеще.
Сега BitLocker вече не е проблем! Можете да извършите класическа офлайн атака - например да извадите твърдия диск на колега и да копирате съдържанието му. За да направите това, просто го свържете към вашия компютър и стартирайте EFDD в режим „дешифриране или монтиране на диск“.
След като посочите пътя до файловете със запаметените ключове, EFDD по ваш избор ще извърши пълно декриптиране на тома или веднага ще го отвори като виртуален диск. В последния случай файловете се декриптират при достъп до тях. Във всеки случай не се правят промени в оригиналния том, така че на следващия ден можете да го върнете, сякаш нищо не се е случило. Работата с EFDD се извършва без следа и само с копия на данни и следователно остава невидима.
BitLocker To Go
Започвайки с Windows 7, стана възможно криптирането на флаш устройства, USB-HDD и други външни носители. Технология, наречена BitLocker To Go, криптира сменяемите устройства по същия начин като локални дискове. Шифроването се активира чрез съответния елемент в контекстното меню на Explorer.
За нови дискове можете да използвате криптиране само на заетата област - така или иначе свободното пространство на дяла е запълнено с нули и там няма какво да се крие. Ако устройството вече е било използвано, препоръчително е да активирате пълно криптиране на него. В противен случай мястото, маркирано като свободно, ще остане некриптирано. Може да съдържа наскоро отворени изтрити файлове, които все още не са презаписани.
Дори бързото криптиране само на заетата област отнема от няколко минути до няколко часа. Това време зависи от обема на данните, честотна лентаинтерфейс, характеристики на задвижването и скорост на криптографско изчисление на процесора. Тъй като криптирането е придружено от компресия, свободното пространство на криптирания диск обикновено леко се увеличава.
Следващият път, когато свържете шифровано флаш устройство към който и да е компютър с Windows 7 или по-нова версия, автоматично ще бъде извикан съветникът BitLocker, за да отключи устройството. В Explorer преди отключване ще се показва като заключен диск.
Тук можете да използвате както вече обсъдените опции за заобикаляне на BitLocker (например търсене на VMK ключ в дъмп на паметта или файл за хибернация), така и нови, свързани с ключовете за възстановяване.
Ако не знаете паролата, но сте успели да намерите един от ключовете (ръчно или с помощта на EFDD), тогава има две основни опции за достъп до криптираното флаш устройство:
- използвайте вградения съветник BitLocker за директна работа с флаш устройство;
- използвайте EFDD, за да дешифрирате напълно флаш устройството и да създадете неговото изображение сектор по сектор.
Първата опция ви позволява незабавно да получите достъп до файловете, записани на флаш устройството, да ги копирате или промените, както и да напишете свои собствени. Вторият вариант отнема много повече време (от половин час), но има своите предимства. Дешифрираното изображение сектор по сектор ви позволява допълнително да извършите по-прецизен анализ на файловата система на ниво криминалистична лаборатория. В този случай самото флаш устройство вече не е необходимо и може да бъде върнато непроменено.
Полученото изображение може да се отвори незабавно във всяка програма, която поддържа формата IMA, или първо да се преобразува в друг формат (например с помощта на UltraISO).
Разбира се, в допълнение към откриването на ключа за възстановяване за BitLocker2Go, EFDD поддържа и всички други методи за заобикаляне на BitLocker. Просто преминете през всички налични опции подред, докато намерите ключ от произволен тип. Останалите (до FVEK) ще бъдат дешифрирани по веригата и ще получите пълен достъп до диска.
Изводи
Технологията за криптиране на целия диск BitLocker се различава между версиите на Windows. След адекватна конфигурация ви позволява да създавате крипто контейнери, които теоретично са сравними по сила с TrueCrypt или PGP. Вграденият в Windows механизъм за работа с ключове обаче отрича всички алгоритмични трикове. По-специално, VMK ключът, използван за декриптиране на главния ключ в BitLocker, се възстановява с помощта на EFDD за няколко секунди от депозиран дубликат, дъмп на паметта, файл за хибернация или атака на FireWire порт.
След като имате ключа, можете да извършите класическа офлайн атака, тихо да копирате и автоматично да дешифрирате всички данни на „защитения“ диск. Поради това е препоръчително да използвате BitLocker само заедно с други средства за защита: криптирани файлова система(EFS), услуга за управление на правата (RMS), контрол на стартирането на програмата, инсталиране на устройство и контрол на връзката и по-строги местни политиции общи мерки за безопасност.
