Dacă doriți să vă protejați în mod fiabil conturile în serviciile online, atunci veți avea nevoie de o aplicație de autentificare cu doi factori.
Astfel de programe generează coduri de acces necesare pentru a vă conecta la rețelele sociale, pentru a plăti achizițiile de pe Internet și așa mai departe.
De asemenea, ar trebui să notați codurile de recuperare pe o bucată de hârtie obișnuită - vă va fi util dacă telefonul nu este la îndemână. Aflați mai jos unde puteți găsi aceste coduri.
Cum să obțineți coduri de recuperare
Microsoft
Accesați pagina contului Microsoft și deschideți fila Securitate din partea de sus. Puteți să vă schimbați parola, să adăugați adrese de e-mail și numere de telefon alternative pentru recuperarea contului și să vedeți detaliile activității. Mai jos veți vedea un link către opțiuni de securitate suplimentare - urmați-l pentru a obține codurile.
Aici puteți configura verificarea în doi pași. Vă recomandăm să alegeți autorizarea printr-o aplicație specială, deoarece metoda de verificare prin coduri SMS nu este complet sigură. Chiar mai jos, găsiți secțiunea „Cod de recuperare” și faceți clic pe butonul corespunzător. Va apărea un nou cod, pe care trebuie doar să-l notați.
Măr
Pe un iPhone, iPad sau iPod touch, trebuie să parcurgeți acești pași:
- Selectați Setări → [numele dvs.] → Parolă și securitate. Este posibil să vi se solicite să introduceți o parolă pentru ID-ul dvs. Apple.
- Faceți clic pe „Cheie de recuperare”.
- Mutați cursorul pentru a activa cheia de recuperare.
- Faceți clic pe „Cheie de recuperare” și introduceți parola dispozitivului.
Pe macOS, va trebui să faceți următoarele:
- Accesați Preferințe de sistem → iCloud → Cont. Este posibil să vi se solicite să introduceți o parolă pentru ID-ul dvs. Apple.
- Faceți clic pe pictograma Securitate.
- În secțiunea Cheie de recuperare, faceți clic pe Activare.
- Selectați Utilizați cheia de recuperare.
- Notați cheia de recuperare. Păstrați această notă într-un loc sigur.
- Faceți clic pe butonul Continuare.
- Confirmați că ați înregistrat cheia de recuperare introducând-o pe următorul ecran.
Accesați pagina Contului dvs. Google și selectați secțiunea „Securitate și conectare”. În panoul din stânga, selectați „Conectați-vă la contul dvs. Google” și faceți clic pe „Verificare în doi pași”. Conectați-vă din nou și găsiți „Coduri de rezervă” pe pagina următoare. Clic
la butonul „Creare”.
Google va oferi să descarce sau să imprime 10 coduri. Puteți crea coduri noi, făcând astfel inactive pe cele vechi. Fiecare cheie este utilizată o singură dată, așa că cele folosite vor trebui șterse manual sau tăiate din listă.
Imprimați codurile și păstrați-le într-un loc sigur
Astfel de chei sunt ultima opțiune pentru recuperarea contului. Dacă le pierdeți, este posibil să rămâneți fără cont pentru totdeauna.
Așezați bucata de hârtie cu codurile notate într-un loc unde alții nu o vor găsi. Acesta ar putea fi un sertar cu documente importante, sau cel puțin un spațiu sub saltea.
Stocați codurile și digital
Nu trebuie doar să imprimați cheile de recuperare pe hârtie, ci și să le stocați pe computer. Copiați codurile într-un fișier text și plasați-l pe o unitate flash criptată. Unitatea poate fi stocată lângă alte documente sau chiar în carcasa unui PC desktop.
Adăugați chei la managerul de parole
Trebuie să faceți totul pentru a vă asigura că puteți accesa întotdeauna codurile, chiar și atunci când telefonul și lista de chei imprimată nu sunt în apropiere. Dacă utilizați un manager de parole, atunci aveți deja tot ce aveți nevoie.
Manageri precum 1Password și LastPass au interfețe web, care sunt utile dacă trebuie să accesați informații personale de pe un computer sau smartphone nou. Cheile de recuperare pot fi plasate lângă restul datelor dvs. sau salvate într-un document nou care va fi stocat în serviciu.
Pentru a vă cripta datele personale, puteți utiliza multe metode și, mai precis, software terță parte. Dar de ce, dacă există BitLocker de la Microsoft. Din păcate, unii oameni au probleme la recuperarea fișierelor după criptarea BitLocker. Când criptați BitLocker, trebuie să creați o cheie specială de recuperare, trebuie salvată și nu contează unde, atâta timp cât este sigură. Îl poți imprima sau salva folosind un cont, dar nu unul local, ci de la Microsoft. Dacă discul nu se deblochează singur, atunci trebuie să utilizați aceeași cheie, altfel nu există altă cale.
Dar există și cazuri când cheia este pierdută. Ce să faci atunci? Uneori puteți uita parola de conectare, ceea ce face procesul de decriptare extrem de dificil. Să încercăm să studiem toate aceste probleme și să înțelegem ce să facem. Acest articol ar trebui să vă ajute să rezolvați problemele cu BitLocker .
Câteva articole despre criptarea datelor:
Ce să faci cu cheia de recuperare, ce se întâmplă dacă este pierdută?
Deci, factorul uman este așa încât atunci când vine vorba de memorie, care la un moment dat este foarte necesară, ne eșuează. Dacă ați uitat unde ați pus cheia de recuperare, amintiți-vă cum ați salvat-o în BitLocker. Deoarece utilitarul oferă trei moduri de salvare a cheii - imprimare, salvare într-un fișier și salvare într-un cont. În orice caz, a trebuit să alegi una dintre aceste metode.
Deci, dacă ați salvat cheia în contul dvs., atunci trebuie să mergeți la OneDrive din browser și să intrați în secțiune „Cheile de recuperare BitLocker”. Conectați-vă la sistem cu acreditările dvs. Cheia va fi cu siguranță acolo, cu condiția să ai încărcat-o acolo. Dacă nu este acolo, poate l-ai salvat într-un alt cont?
Se întâmplă ca un utilizator să creeze mai multe chei, apoi puteți determina una anume folosind identificatorul din utilitarul BitLocker și o puteți compara cu cea din cheie; dacă se potrivesc, aceasta este cheia corectă.
Dacă computerul dvs. nu dorește să pornească în sistem din cauza BitLocker?
Să presupunem că ați criptat discul de sistem și a apărut o problemă în care sistemul nu dorește să se deblocheze, atunci probabil că există un fel de problemă cu modulul TPM. Ar trebui să deblocheze automat sistemul. Dacă acesta este într-adevăr cazul, atunci în fața ochilor tăi va apărea o imagine care spune: și vi se va cere să introduceți cheia de recuperare. Și dacă nu îl aveți pentru că l-ați pierdut, atunci cu greu vă veți putea autentifica în sistem. Cel mai probabil, doar reinstalarea sistemului va ajuta. Până acum nu știu cum să debloc BitLocker fără o cheie, dar voi încerca să studiez această problemă.
Cum să deblochezi unitățile criptate BitLocker în Windows?
Dacă aveți câteva partiții sau hard disk-uri externe criptate cu BitLocker, dar trebuie deblocate, voi încerca să vă ajut.
Conectați dispozitivul la PC (dacă este extern). Lansați „Panou de control”, o puteți face din căutare și accesați secțiunea „Sistem și securitate”. Găsiți secțiunea acolo „Criptarea unității BitLocker”. Apropo, această operațiune poate fi efectuată doar pe versiunile PRO, țineți cont de acest lucru.
Găsiți discul pe care l-ați criptat în lista pe care trebuie să îl decriptați. Faceți clic lângă opțiune „Deblocați discul”.
Acum introduceți datele de deblocare de care aveți nevoie (PIN sau parolă). Nu aveți aceste date? Nu iti amintesti de ele? Apoi apasa „Opțiuni suplimentare”și selectați elementul.
Ca o concluzie, vreau să spun un lucru. Dacă vă pierdeți parola sau codul PIN, este posibil să restabiliți accesul la unitate folosind o cheie de recuperare, aceasta este 100%. Trebuie să-l depozitați într-un loc sigur și să vă amintiți întotdeauna unde se află. Dacă ați pierdut această cheie, vă puteți lua rămas bun de la datele dvs. Până acum nu am găsit o metodă prin care să puteți decripta BitLocker fără cheie.
Bitlocker este un program de criptare care a apărut pentru prima dată în Windows 7. Poate fi folosit pentru a cripta volumele de hard disk (chiar și partiția de sistem), unitățile flash USB și MicroSD. Dar se întâmplă adesea ca utilizatorul să uite pur și simplu parola pentru a accesa datele criptate Bitlocker. Citiți cum să deblocați informațiile pe mediile criptate în cadrul acestui articol.
Cum să activați Bitlocker
Programul însuși sugerează modalități de decriptare a datelor în etapa creării blocării:
- Pregătiți unitatea pe care doriți să o criptați. Faceți clic dreapta pe el și selectați „Activați Bitlocker”.
- Selectați o metodă de criptare.
De obicei, o parolă este setată pentru deblocare. Dacă aveți un cititor de carduri inteligente USB cu un cip obișnuit ISO 7816, îl puteți folosi pentru a debloca. 
Pentru criptare, opțiunile sunt disponibile separat sau ambele simultan. - În pasul următor, Expertul de criptare disc oferă opțiuni pentru arhivarea cheii de recuperare. Sunt trei în total:
- După ce ați ales opțiunea de salvare a cheii de recuperare, selectați partea din unitate pe care doriți să o decriptați.
- Înainte de a începe criptarea datelor, va apărea o fereastră care vă anunță despre proces. Faceți clic pe „Start Encryption”.
- Așteptați ceva timp până când procedura este finalizată.
- Unitatea este acum criptată și va cere o parolă (sau un smart card) la conexiunea inițială.
Important! Puteți alege metoda de criptare. Bitlocker acceptă criptarea XTS AES și AES-CBC pe 128 și 256 de biți.
Schimbarea metodei de criptare a unității
În Editorul de politici de grup local (nu este acceptat pe Windows 10 Home), puteți selecta metoda de criptare pentru unitățile de date. Valoarea implicită este XTS AES 128 biți pentru unitățile neamovibile și AES-CBC 128 biți pentru hard disk-uri și unități flash amovibile.
Pentru a schimba metoda de criptare:
După modificări ale politicii, Bitlocker va putea proteja cu parolă noile media cu parametrii selectați.
Cum să dezactivați Bitlocker
Procesul de blocare oferă două modalități de a obține acces în continuare la conținutul unității: parola și legarea la un card inteligent. Dacă ți-ai uitat parola sau ai pierdut accesul la smart card (sau, mai degrabă, nu ai folosit-o deloc), tot ce trebuie să faci este să folosești cheia de recuperare. Când protejați cu parolă o unitate flash, aceasta trebuie creată, astfel încât să o puteți găsi:
- Imprimat pe o coală de hârtie. Poate ai pus-o cu documente importante.
- Într-un document text (sau pe o unitate flash USB dacă partiția de sistem a fost criptată). Introduceți unitatea flash USB în computer și urmați instrucțiunile. Dacă cheia este salvată într-un fișier text, citiți-o pe un dispozitiv necriptat.
- În contul tău Microsoft. Conectați-vă la profilul dvs. de pe site, în secțiunea „Cheile de recuperare Bitlocker”.
După ce ați găsit cheia de recuperare:
- Faceți clic dreapta pe unitatea blocată și selectați „Deblocați unitatea”.
- O fereastră de introducere a parolei Bitlocker va apărea în colțul din dreapta sus al ecranului. Faceți clic pe „Opțiuni avansate”.
- Selectați Introduceți cheia de recuperare.
- Copiați sau rescrieți cheia din 48 de cifre și faceți clic pe „Deblocare”.
- După aceasta, datele de pe mass-media vor deveni disponibile pentru citire.
Criptați hard disk-ul, permiteți accesul la acesta numai cu o parolă sau o unitate USB cu o cheie de pornire și blocați accesul în cazul oricărei încercări de influență externă. Toate acestea, iar în cazul criptării mediilor externe, trebuie să contactați. Am rezolvat-o. Dar ce să faci dacă ți-ai uitat parola? Ce să faci dacă ai pierdut unitatea USB cu cheia de pornire? Ce ar trebui să faceți dacă trebuie să schimbați mediul de pornire al computerului, ceea ce va face imposibilă (din motive de securitate) citirea de pe hard disk? Sau, pentru a reduce totul, cum restabiliți BitLocker?
Modul de recuperare BitLocker
În cazurile în care:
- Mediul de pornire a fost modificat, în special unul dintre fișierele de boot Windows a fost schimbat.
- Dezactivat sau șters.
- Pornit fără a furniza un TPM, PIN sau cheie USB care conține cheia de pornire.
- Un volum cu sistemul de operare Windows este conectat la un alt computer.
Apoi computerul intră în modul de recuperare BitLocker. În astfel de cazuri, va trebui să vă amintiți momentul în care ați criptat hard disk-ul. La configurarea criptării, a existat o fereastră care a oferit opțiunea de a salva cheia de recuperare BitLocker în diferite moduri: într-un fișier, tipăriți-l și așa mai departe. Cheia de recuperare este scrisă simplu într-un fișier .txt, de unde puteți citi și introduce cu ușurință această cheie în fereastra de recuperare BitLocker. Dacă introduceți cheia de recuperare corectă, computerul va porni în modul normal.
Acțiunile enumerate se aplică în cazul pierderii cheii de acces pe hard disk. Dacă trebuie să schimbați mediul de pornire, schimbați orice în BIOS, puteți face din fereastră Criptarea unității BitLockerÎn Windows, dezactivați temporar BitLocker. Și după actualizarea mediului de pornire, activați-l din nou. Este destul de simplu.
În cazul suporturilor amovibile criptate, vi se va cere să introduceți cheia de recuperare direct în fereastra Explorer, imediat după ce indicați că ați uitat sau pierdut cheia de acces. Prin urmare, aș dori să spun: stocați-vă cheile de recuperare cu grijă!
utilitarul manage-bde.exe
Am aruncat o privire asupra tehnologiei BitLocker, am discutat despre capacitățile acesteia și am analizat cum să o gestionăm. Această metodă este destul de simplă - folosind interfața Explorer. Astăzi, în studio există o altă modalitate de a gestiona BitLocker - utilitarul manage-bde.exe, cu care vom termina cunoștințele noastre cu tehnologia BitLocker.
Sper că ați ghicit că noua metodă nu va fi similară cu cea anterioară. Și am dat un indiciu că diferența este în interfață. Deci cred că ai ghicit manage-bde.exe este un utilitar de linie de comandă.
Comenzi Manage-BDE.exe
Folosind diferiții parametri pe care îi voi oferi mai jos, puteți configura BitLocker să funcționeze așa cum doriți. Funcționalitatea acestui utilitar este identică cu funcționalitatea Explorer pentru lucrul cu BitLocker. Hai să-l cunoaștem.
manage-bde.exe -status
Afișează starea BitLocker.
manage-bde.exe -on
Criptează volumul și activează BitLocker.
manage-bde.exe -off
Decriptează volumul și dezactivează BitLocker.
manage-bde.exe -pause/-reluare
Întrerupe sau reia criptarea sau decriptarea.
manage-bde.exe -lock
Interzice accesul la datele criptate cu BitLocker.
manage-bde.exe -unlock
Permite accesul la datele criptate cu BitLocker.
manage-bde.exe -setidentifier
Configurați ID-ul volumului.
manage-bde.exe -changepin
Schimbă codul PIN.
manage-bde.exe -changepassword
Schimbă parola.
manage-bde.exe -changekey
Schimbă tasta de pornire a volumului.
Toate aceste comenzi trebuie executate într-o fereastră de prompt de comandă deschisă cu drepturi de administrator. Dacă aveți nevoie de ajutor suplimentar pentru orice comandă, introduceți această comandă
manage-bde.exe /?
La această solicitare veți primi ajutor complet pentru această comandă cu parametrii specificați, precum și câteva exemple de lucru. Asta e tot, folosește tehnologia BitLocker pentru sănătatea ta și nu uita că poate fi necesar să restabiliți BitLocker.
Tehnologia de criptare BitLocker a apărut pentru prima dată în urmă cu zece ani și s-a schimbat cu fiecare versiune de Windows. Cu toate acestea, nu toate modificările din acesta au fost concepute pentru a crește puterea criptografică. În acest articol, vom arunca o privire mai atentă asupra diferitelor versiuni de BitLocker (inclusiv pe cele preinstalate în cele mai recente versiuni ale Windows 10) și vom arăta cum să ocolim acest mecanism de protecție încorporat.
Atacurile offline
Tehnologia BitLocker a fost răspunsul Microsoft la numărul tot mai mare de atacuri offline care au fost deosebit de ușor de efectuat împotriva computerelor Windows. Oricine se poate simți ca un hacker. Pur și simplu va opri cel mai apropiat computer și apoi îl va porni din nou - cu sistemul său de operare și un set portabil de utilitare pentru găsirea parolelor, date confidențiale și disecția sistemului.
La sfârșitul zilei de lucru, puteți chiar să organizați o mică cruciadă cu o șurubelniță Phillips - deschideți computerele angajaților decedați și scoateți unitățile din ele. În aceeași seară, într-un mediu de acasă liniștit, conținutul discurilor extrase poate fi analizat (și chiar modificat) în o mie și una de moduri. A doua zi, vino devreme și întoarce totul la locul său.
Cu toate acestea, nu este necesar să deschideți computerele altor persoane chiar la locul de muncă. O mulțime de scurgeri de date confidențiale după reciclarea computerelor vechi și înlocuirea unităților. În practică, ștergerea securizată și formatarea la nivel scăzut a discurilor scoase din funcțiune sunt realizate de foarte puțini oameni. Ce îi poate opri pe tinerii hackeri și colecționari de trupuri digitale?
După cum a cântat Bulat Okudzhava: „Întreaga lume este făcută de restricții, pentru a nu înnebuni de fericire”. Principalele restricții din Windows sunt stabilite la nivelul drepturilor de acces la obiectele NTFS, care nu protejează împotriva atacurilor offline. Windows pur și simplu verifică permisiunile de citire și scriere înainte de a procesa orice comenzi care accesează fișiere sau directoare. Această metodă este destul de eficientă atâta timp cât toți utilizatorii lucrează într-un sistem configurat de administrator cu conturi limitate. Cu toate acestea, de îndată ce porniți într-un alt sistem de operare, nu va rămâne nicio urmă din această protecție. Utilizatorul va reatribui drepturile de acces sau pur și simplu le va ignora prin instalarea unui alt driver de sistem de fișiere.
Există multe metode complementare pentru a contracara atacurile offline, inclusiv securitatea fizică și supravegherea video, dar cele mai eficiente necesită utilizarea unei criptografii puternice. Semnăturile digitale de bootloader împiedică rularea codului străin, iar singura modalitate de a proteja cu adevărat datele de pe hard disk este criptarea acestuia. De ce criptarea completă a discului a lipsit din Windows atât de mult timp?
De la Vista la Windows 10
Există o mulțime de oameni diferiți care lucrează la Microsoft și nu toți codifică cu piciorul stâng din spate. Din păcate, deciziile finale în companiile de software au fost luate de mult timp nu de programatori, ci de marketeri și manageri. Singurul lucru pe care îl iau în considerare cu adevărat atunci când dezvoltă un produs nou este volumul vânzărilor. Cu cât este mai ușor pentru o gospodină să înțeleagă software-ul, cu atât va putea vinde mai multe copii ale acestui software.
„Gândește-te, jumătate la sută dintre clienți sunt îngrijorați de siguranța lor! Sistemul de operare este deja un produs complex și aici sperii publicul țintă cu criptare. Ne putem descurca fara el! Ne-am descurcat înainte!” - Managementul de top al Microsoft ar fi putut raționa aproximativ în acest fel până în momentul în care XP a devenit popular în segmentul corporativ. Printre administratori, prea mulți specialiști s-au gândit deja la securitate pentru a-și refuza opinia. Prin urmare, mult așteptata criptare a volumului a apărut în următoarea versiune de Windows, dar numai în edițiile Enterprise și Ultimate, care sunt destinate pieței corporative.
Noua tehnologie se numește BitLocker. Acesta a fost probabil singurul lucru bun despre Vista. BitLocker a criptat întregul volum, făcând ca fișierele utilizator și de sistem să nu fie citite, ocolind sistemul de operare instalat. Documente importante, fotografii cu pisici, registru, SAM și SECURITATE - totul s-a dovedit a fi de necitit atunci când efectuați un atac offline de orice fel. În terminologia Microsoft, un „volum” nu este neapărat un disc ca dispozitiv fizic. Un volum poate fi un disc virtual, o partiție logică sau invers - o combinație de mai multe discuri (un volum întins sau în dungi). Chiar și o simplă unitate flash poate fi considerată un volum conectabil, pentru criptarea end-to-end a căruia, începând cu Windows 7, există o implementare separată - BitLocker To Go (pentru mai multe detalii, vezi bara laterală de la sfârșitul articolului ).
Odată cu apariția BitLocker, a devenit mai dificil să pornești un sistem de operare terță parte, deoarece toți încărcătoarele au primit semnături digitale. Cu toate acestea, o soluție este încă posibilă datorită modului de compatibilitate. Merită să schimbați modul de pornire din BIOS de la UEFI la Legacy și să dezactivați funcția Secure Boot, iar vechea unitate flash bootabilă va fi din nou utilă.
Cum se utilizează BitLocker
Să ne uităm la partea practică folosind ca exemplu Windows 10. În versiunea 1607, BitLocker poate fi activat prin panoul de control (secțiunea „Sistem și securitate”, subsecțiunea „Criptarea unității BitLocker”).
Cu toate acestea, dacă placa de bază nu are un procesor criptografic TPM versiunea 1.2 sau o versiune ulterioară, atunci BitLocker pur și simplu nu poate fi utilizat. Pentru a-l activa, va trebui să accesați editorul de politici de grup local (gpedit.msc) și să extindeți ramura „Configurare computer -> Șabloane administrative -> Componente Windows -> Criptare unități BitLocker -> Unități ale sistemului de operare” la setarea „ Această setare de politică vă permite să configurați cerințele de autentificare suplimentară la pornire." În el trebuie să găsiți setarea „Permiteți BitLocker fără un TPM compatibil...” și să o activați.
În secțiunile adiacente ale politicilor locale, puteți specifica setări suplimentare BitLocker, inclusiv lungimea cheii și modul de criptare AES.
După aplicarea noilor politici, reveniți la panoul de control și urmați instrucțiunile asistentului de configurare a criptării. Pentru protecție suplimentară, puteți alege să introduceți o parolă sau să conectați o anumită unitate flash USB.
Deși BitLocker este considerat o tehnologie de criptare completă a discului, permite criptarea parțială numai a sectoarelor ocupate. Acest lucru este mai rapid decât criptarea tuturor, dar această metodă este considerată mai puțin fiabilă. Numai pentru că, în acest caz, fișierele șterse, dar care nu au fost încă suprascrise, rămân disponibile pentru citire directă o perioadă de timp.
Criptare completă și parțială După setarea tuturor parametrilor, tot ce rămâne este să reporniți. Windows vă va cere să introduceți o parolă (sau să introduceți o unitate flash USB), apoi va porni normal și va începe procesul de fundal de criptare a volumului.
În funcție de setările selectate, dimensiunea discului, frecvența procesorului și suportul acestuia pentru comenzile AES individuale, criptarea poate dura de la câteva minute la câteva ore.
După finalizarea acestui proces, vor apărea elemente noi în meniul contextual Explorer: schimbarea parolei și accesarea rapidă la setările BitLocker.
Vă rugăm să rețineți că toate acțiunile, cu excepția modificării parolei, necesită drepturi de administrator. Logica aici este simplă: deoarece v-ați autentificat cu succes în sistem, înseamnă că știți parola și aveți dreptul să o schimbați. Cât de rezonabil este asta? Vom afla în curând!
Cum funcționează BitLocker
Fiabilitatea BitLocker nu trebuie judecată după reputația AES. Este posibil ca un standard de criptare popular să nu aibă slăbiciuni evidente, dar implementările sale în anumite produse criptografice sunt adesea pline de ele. Microsoft nu dezvăluie codul complet al tehnologiei BitLocker. Se știe doar că în diferite versiuni de Windows s-a bazat pe diferite scheme, iar modificările nu au fost comentate în niciun fel. Mai mult, în versiunea 10586 a Windows 10 a dispărut pur și simplu, iar două versiuni mai târziu a reapărut. Cu toate acestea, primul lucru.
Prima versiune a BitLocker a folosit modul de înlănțuire a blocurilor de text cifrat (CBC). Chiar și atunci, neajunsurile sale erau evidente: ușurința de a ataca un text cunoscut, rezistența slabă la atacuri precum substituția și așa mai departe. Prin urmare, Microsoft a decis imediat să consolideze protecția. Deja în Vista, algoritmul Elephant Diffuser a fost adăugat la schema AES-CBC, ceea ce face dificilă compararea directă a blocurilor de text cifrat. Cu acesta, același conținut a două sectoare a dat rezultate complet diferite după criptarea cu o singură cheie, ceea ce a complicat calculul modelului general. Cu toate acestea, cheia în sine era scurtă în mod implicit - 128 de biți. Prin politicile administrative se poate extinde la 256 de biți, dar merită făcut?
Pentru utilizatori, după schimbarea cheii, nimic nu se va schimba extern - nici lungimea parolelor introduse, nici viteza subiectivă a operațiunilor. La fel ca majoritatea sistemelor de criptare pe disc complet, BitLocker folosește chei multiple... și niciuna dintre ele nu este vizibilă pentru utilizatori. Iată o diagramă schematică a BitLocker.
- Când BitLocker este activat, o secvență de biți master este creată folosind un generator de numere pseudoaleatoare. Aceasta este cheia de criptare a volumului - FVEK (cheie de criptare a volumului complet). Cu aceasta, conținutul fiecărui sector este acum criptat.
- La rândul său, FVEK este criptat folosind o altă cheie - VMK (cheie master de volum) - și este stocat în formă criptată printre metadatele de volum.
- VMK în sine este, de asemenea, criptat, dar în moduri diferite, la discreția utilizatorului.
- Pe plăcile de bază noi, cheia VMK este criptată implicit folosind cheia SRK (cheia rădăcină de stocare), care este stocată într-un procesor cripto separat - modul de platformă de încredere (TPM). Utilizatorul nu are acces la conținutul TPM și este unic pentru fiecare computer.
- Dacă nu există un cip TPM separat pe placă, atunci în loc de SRK, se folosește un cod PIN introdus de utilizator sau o unitate flash USB la cerere cu informații despre cheie preînregistrate pe ea pentru a cripta cheia VMK.
- Pe lângă TPM sau unitatea flash, puteți proteja cheia VMK cu o parolă.
Acest model general de funcționare BitLocker a continuat prin versiunile ulterioare ale Windows până în prezent. Cu toate acestea, metodele de generare a cheilor și modurile de criptare ale BitLocker s-au schimbat. Deci, în octombrie 2014, Microsoft a eliminat în liniște algoritmul suplimentar Elephant Diffuser, lăsând doar schema AES-CBC cu deficiențele sale cunoscute. La început, nu au fost făcute declarații oficiale în acest sens. Oamenii au primit pur și simplu o tehnologie de criptare slăbită cu același nume sub masca unei actualizări. Au urmat explicații vagi pentru acest pas după ce cercetătorii independenți au observat simplificări în BitLocker.
Formal, abandonarea Elephant Diffuser era necesară pentru a asigura conformitatea Windows cu cerințele standardelor federale de procesare a informațiilor (FIPS) din SUA, dar un argument respinge această versiune: Vista și Windows 7, care foloseau Elephant Diffuser, au fost vândute fără probleme în America. .
Un alt motiv imaginar pentru abandonarea algoritmului suplimentar este lipsa accelerației hardware pentru Elephant Diffuser și pierderea vitezei la utilizarea acestuia. Cu toate acestea, în anii precedenți, când procesoarele erau mai lente, viteza de criptare era oarecum satisfăcătoare. Și același AES a fost utilizat pe scară largă chiar înainte ca seturi de instrucțiuni separate și cipuri specializate să pară să-l accelereze. De-a lungul timpului, a fost posibil să se realizeze accelerare hardware pentru Elephant Diffuser sau cel puțin să le ofere clienților posibilitatea de a alege între viteză și securitate.
O altă versiune, neoficială, pare mai realistă. „Elefantul” a interferat cu angajații NSA care doreau să depună mai puțin efort pentru decriptarea următorului disc, iar Microsoft cooperează de bunăvoie cu autoritățile chiar și în cazurile în care solicitările lor nu sunt în întregime legale. Confirmă indirect teoria conspirației este faptul că înainte de Windows 8, la crearea cheilor de criptare în BitLocker, era folosit generatorul de numere pseudo-aleatoare încorporat în Windows. În multe (dacă nu toate) versiunile Windows, acesta a fost Dual_EC_DRBG - un „PRNG criptografic puternic” dezvoltat de Agenția de Securitate Națională a SUA și care conține o serie de vulnerabilități inerente.
Desigur, slăbirea în secret a criptării încorporate a provocat un val puternic de critici. Sub presiunea ei, Microsoft a rescris BitLocker din nou, înlocuind PRNG cu CTR_DRBG în noile versiuni de Windows. În plus, în Windows 10 (începând cu versiunea 1511), schema de criptare implicită este AES-XTS, care este imună la manipularea blocurilor de text cifrat. În cele mai recente versiuni ale „zecilor”, au fost remediate și alte deficiențe cunoscute ale BitLocker, dar principala problemă a rămas. Este atât de absurd încât face alte inovații fără sens. Vorbim despre principiile managementului cheilor.
Principiul Los Alamos
Sarcina de decriptare a unităților BitLocker este simplificată și de faptul că Microsoft promovează în mod activ o metodă alternativă de restabilire a accesului la date prin Agentul de recuperare a datelor. Ideea „Agentului” este că criptează cheile de criptare ale tuturor unităților din rețeaua întreprinderii cu o singură cheie de acces. Odată ce îl aveți, puteți decripta orice cheie și, prin urmare, orice disc folosit de aceeași companie. Confortabil? Da, mai ales pentru hacking.
Ideea de a folosi o cheie pentru toate încuietorile a fost deja compromisă de multe ori, dar continuă să fie returnată într-o formă sau alta de dragul confortului. Iată cum Ralph Leighton a înregistrat amintirile lui Richard Feynman despre un episod caracteristic al lucrării sale la Proiectul Manhattan la Laboratorul Los Alamos: „...Am deschis trei seifuri - și toate trei cu aceeași combinație.<…>M-am ocupat de toate: am deschis seifurile cu toate secretele bombei atomice - tehnologia de producere a plutoniului, o descriere a procesului de purificare, informații despre cât de mult material este necesar, cum funcționează bomba, cum sunt produși neutronii, cum funcționează bomba, care sunt dimensiunile ei - într-un cuvânt, tot ceea ce știau ei în Los Alamos, întreaga bucătărie!”.
BitLocker amintește oarecum de designul sigur descris într-un alt fragment al cărții You’re Surely Joking, Mr. Feynman! Cel mai impresionant seif dintr-un laborator top-secret avea aceeași vulnerabilitate ca un simplu dulap de dosare. „...Acesta era un colonel și avea un seif mult mai sofisticat, cu două uși, cu mânere mari care scoteau din cadru patru tije de oțel groase de trei sferturi de inci.<…>Am examinat partea din spate a uneia dintre ușile impunătoare de bronz și am descoperit că cadranul era conectat la o mică broască care arăta exact ca încuietoarea de pe dulapul meu Los Alamos.<…>Era evident că sistemul de pârghie depindea de aceeași tijă mică care încuia dulapurile de dosare.<…>. Prefăcând un fel de activitate, am început să rotesc cadranul la întâmplare.<…>Două minute mai târziu - faceți clic! - seiful s-a deschis.<…>Când ușa seifului sau sertarul superior al unui dulap de dosare este deschisă, este foarte ușor să găsești combinația. Este exact ceea ce am făcut când mi-ați citit raportul, doar pentru a vă demonstra pericolul.”.
Containerele cripto BitLocker în sine sunt destul de sigure. Dacă vă aduc o unitate flash care a venit de nicăieri, criptată cu BitLocker To Go, atunci este puțin probabil să o decriptați într-un timp acceptabil. Cu toate acestea, scenariul real al utilizării unităților criptate și a suporturilor amovibile este plin de vulnerabilități care pot fi exploatate cu ușurință pentru a ocoli BitLocker.
Potențiale vulnerabilități
Probabil ați observat că trebuie să așteptați mult timp când activați BitLocker pentru prima dată. Acest lucru nu este surprinzător - procesul de criptare sector cu sector poate dura câteva ore, deoarece nici măcar citirea tuturor blocurilor unui HDD terabyte nu este posibilă mai rapid. Cu toate acestea, dezactivarea BitLocker este aproape instantanee - cum se poate?
Faptul este că atunci când este dezactivat, BitLocker nu decriptează datele. Toate sectoarele vor rămâne criptate cu cheia FVEK. Pur și simplu, accesul la această cheie nu va mai fi limitat în niciun fel. Toate verificările vor fi dezactivate, iar VMK-ul va rămâne înregistrat printre metadate în text clar. De fiecare dată când porniți computerul, sistemul de încărcare a sistemului de operare va citi VMK (fără a verifica TPM-ul, a cere o cheie pe o unitate flash sau o parolă), decriptează automat FVEK cu acesta și apoi toate fișierele pe măsură ce sunt accesate. Pentru utilizator, totul va arăta ca o lipsă completă de criptare, dar cei mai atenți pot observa o scădere ușoară a performanței subsistemului de disc. Mai exact, nu există o creștere a vitezei după dezactivarea criptării.
Mai este ceva interesant în această schemă. În ciuda numelui (tehnologie de criptare a discului complet), unele date rămân încă necriptate atunci când se utilizează BitLocker. MBR și BS rămân deschise (cu excepția cazului în care discul a fost inițializat în GPT), sectoarele și metadatele deteriorate. Un bootloader deschis oferă spațiu imaginației. Sectoarele pseudo-defectuoase sunt convenabile pentru ascunderea rootkit-urilor și a altor programe malware, iar metadatele conțin o mulțime de lucruri interesante, inclusiv copii ale cheilor. Dacă BitLocker este activ, atunci acestea vor fi criptate (dar mai slab decât FVEK criptează conținutul sectoarelor), iar dacă sunt dezactivate, vor rămâne pur și simplu în clar. Aceștia sunt toți vectori potențiali de atac. Sunt potențiale pentru că, pe lângă ele, există și altele mult mai simple și mai universale.
Cheie de recuperare
Pe lângă FVEK, VMK și SRK, BitLocker folosește un alt tip de cheie care este creată „pentru orice eventualitate”. Acestea sunt cheile de recuperare, care sunt un alt vector de atac popular. Utilizatorilor le este frică să-și uite parola și să nu piardă accesul la sistem, iar Windows însuși le recomandă să facă o autentificare de urgență. Pentru a face acest lucru, expertul de criptare BitLocker vă solicită să creați o cheie de recuperare în ultima etapă. Nu este posibil să refuzi crearea lui. Puteți alege doar una dintre opțiunile cheie de export, fiecare dintre acestea fiind foarte vulnerabilă.
În setările implicite, cheia este exportată ca un simplu fișier text cu un nume ușor de recunoscut: „BitLocker Recovery Key #”, unde ID-ul computerului este scris în loc de # (da, chiar în numele fișierului!). Cheia în sine arată așa.
Dacă ați uitat (sau nu ați știut niciodată) parola pe care ați setat-o în BitLocker, atunci căutați pur și simplu fișierul cu cheia de recuperare. Cu siguranță va fi salvat printre documentele utilizatorului actual sau pe unitatea flash a acestuia. Poate chiar este imprimat pe o bucată de hârtie, așa cum recomandă Microsoft. Așteaptă doar până când colegul tău ia o pauză (uitând să-și blocheze computerul, ca întotdeauna) și începe să cauți.
Conectați-vă cu cheia de recuperare Pentru a localiza rapid o cheie de recuperare, este convenabil să limitați căutarea după extensie (txt), data creării (dacă vă puteți imagina când ar fi putut fi activat BitLocker) și dimensiunea fișierului (1388 de octeți dacă fișierul nu a fost editat). După ce găsiți cheia de recuperare, copiați-o. Cu acesta, puteți ocoli oricând autorizarea standard în BitLocker. Pentru a face acest lucru, trebuie doar să apăsați Esc și să introduceți cheia de recuperare. Te vei autentifica fără probleme și poți chiar să-ți schimbi parola BitLocker cu una personalizată fără a specifica cea veche! Acest lucru amintește deja de trucurile din secțiunea „Construcții de Vest”.
Deschiderea BitLocker
Un sistem criptografic real este un compromis între comoditate, viteză și fiabilitate. Ar trebui să ofere proceduri de criptare transparentă cu decriptare din mers, metode de recuperare a parolelor uitate și lucru convenabil cu cheile. Toate acestea slăbesc orice sistem, indiferent de algoritmii puternici pe care se bazează. Prin urmare, nu este necesar să căutați vulnerabilități direct în algoritmul Rijndael sau în diverse scheme ale standardului AES. Este mult mai ușor să le detectați în specificul unei anumite implementări.
În cazul Microsoft, astfel de „specificități” sunt suficiente. De exemplu, copii ale cheilor BitLocker sunt trimise la SkyDrive și depuse în Active Directory în mod implicit. Pentru ce? Ei bine, dacă le pierzi... sau întreabă agentul Smith. Este incomod să aștepți un client, cu atât mai puțin un agent.
Din acest motiv, compararea puterii criptografice a AES-XTS și AES-CBC cu Elephant Diffuser trece în fundal, la fel ca și recomandările pentru a crește lungimea cheii. Indiferent cât de lungă este, un atacator îl poate obține cu ușurință în formă necriptată.
Obținerea cheilor escrowed dintr-un cont Microsoft sau AD este metoda principală de a sparge BitLocker. Dacă utilizatorul nu și-a înregistrat un cont în cloud-ul Microsoft și computerul său nu se află pe un domeniu, atunci vor exista în continuare modalități de extragere a cheilor de criptare. În timpul funcționării normale, copiile lor deschise sunt întotdeauna stocate în RAM (altfel nu ar exista o „criptare transparentă”). Aceasta înseamnă că acestea sunt disponibile în fișierul său de descărcare și hibernare.
De ce sunt ținute acolo? Indiferent cât de amuzant ar părea - pentru comoditate. BitLocker a fost conceput pentru a proteja numai împotriva atacurilor offline. Ele sunt întotdeauna însoțite de o repornire și conectarea discului la un alt sistem de operare, ceea ce duce la ștergerea memoriei RAM. Cu toate acestea, în setările implicite, sistemul de operare aruncă memoria RAM atunci când are loc o blocare (care poate fi provocată) și își scrie întregul conținut într-un fișier de hibernare ori de câte ori computerul intră în somn profund. Prin urmare, dacă v-ați conectat recent la Windows cu BitLocker activat, există șanse mari să primiți o copie decriptată a cheii VMK și să o utilizați pentru a decripta FVEK și apoi datele în sine de-a lungul lanțului. Să verificăm?
Toate metodele de hacking BitLocker descrise mai sus sunt colectate într-un singur program - Forensic Disk Decryptor, dezvoltat de compania națională Elcomsoft. Poate prelua automat cheile de criptare și poate monta volume criptate ca discuri virtuale, decriptându-le din mers.
În plus, EFDD implementează o altă metodă non-trivială de obținere a cheilor - un atac prin portul FireWire, care este recomandabil să fie folosit în cazurile în care nu este posibil să rulați software-ul pe computerul atacat. Întotdeauna instalăm programul EFDD propriu-zis pe computerul nostru, iar pe computerul piratat încercăm să facem pașii minimi necesari.
De exemplu, să lansăm pur și simplu un sistem de testare cu BitLocker activ și să facem „în liniște” o descărcare de memorie. Așa că vom simula o situație în care un coleg a ieșit la prânz și nu și-a blocat computerul. Lansăm RAM Capture și în mai puțin de un minut primim un dump complet într-un fișier cu extensia .mem și o dimensiune corespunzătoare cantității de RAM instalată pe computerul victimei.
Efectuarea unei gropi de memorie În general, nu contează ce faci cu gunoiul. Indiferent de extensie, aceasta va avea ca rezultat un fișier binar, care va fi apoi analizat automat de EFDD în căutarea cheilor.
Scriem dump-ul pe o unitate flash sau îl transferăm prin rețea, după care ne așezăm la computer și lansăm EFDD.
Selectați opțiunea „Extrage chei” și introduceți calea către fișierul de descărcare a memoriei ca sursă a cheilor.
Specificați sursa cheii BitLocker este un container cripto tipic, cum ar fi PGP Disk sau TrueCrypt. Aceste containere s-au dovedit a fi destul de fiabile în sine, dar aplicațiile client pentru a lucra cu ele sub Windows așează cheile de criptare din RAM. Prin urmare, EFDD implementează un scenariu de atac universal. Programul găsește instantaneu chei de criptare din toate cele trei tipuri de containere cripto populare. Prin urmare, puteți lăsa toate casetele bifate în cazul în care victima folosește în secret TrueCrypt sau PGP!
După câteva secunde, Elcomsoft Forensic Disk Decryptor arată toate cheile găsite în fereastra sa. Pentru comoditate, le puteți salva într-un fișier - acest lucru va fi util în viitor.
Acum BitLocker nu mai este o problemă! Puteți efectua un atac offline clasic - de exemplu, scoateți hard diskul unui coleg și copiați conținutul acestuia. Pentru a face acest lucru, pur și simplu conectați-l la computer și rulați EFDD în modul „decriptare sau montare disc”.
După ce a specificat calea către fișierele cu cheile salvate, EFDD va efectua, la alegerea dvs., o decriptare completă a volumului sau îl va deschide imediat ca disc virtual. În acest din urmă caz, fișierele sunt decriptate pe măsură ce sunt accesate. În orice caz, nu se fac modificări la volumul original, așa că a doua zi îl puteți returna ca și cum nimic nu s-ar fi întâmplat. Lucrul cu EFDD are loc fără urmă și numai cu copii ale datelor și, prin urmare, rămâne invizibil.
BitLocker To Go
Începând cu Windows 7, a devenit posibil să se cripteze unități flash, USB-HDD-uri și alte medii externe. O tehnologie numită BitLocker To Go criptează unitățile amovibile în același mod ca și unitățile locale. Criptarea este activată utilizând elementul corespunzător din meniul contextual Explorer.
Pentru unitățile noi, puteți utiliza criptarea numai a zonei ocupate - oricum, spațiul liber al partiției este umplut cu zerouri și nu există nimic de ascuns acolo. Dacă unitatea a fost deja utilizată, se recomandă să activați criptarea completă pe ea. În caz contrar, locația marcată ca liberă va rămâne necriptată. Poate conține fișiere șterse recent care nu au fost încă suprascrise.
Chiar și criptarea rapidă numai a zonei ocupate durează de la câteva minute la câteva ore. Acest timp depinde de volumul de date, de lățimea de bandă a interfeței, de caracteristicile unității și de viteza calculelor criptografice ale procesorului. Deoarece criptarea este însoțită de compresie, spațiul liber de pe discul criptat crește de obicei ușor.
Data viitoare când conectați o unitate flash criptată la orice computer care rulează Windows 7 sau o versiune ulterioară, expertul BitLocker va fi apelat automat pentru a debloca unitatea. În Explorer, înainte de deblocare, acesta va fi afișat ca un disc blocat.
Aici puteți folosi atât opțiunile deja discutate pentru ocolirea BitLocker (de exemplu, căutarea cheii VMK într-un fișier de memorie sau hibernare), cât și pe cele noi legate de cheile de recuperare.
Dacă nu cunoașteți parola, dar ați reușit să găsiți una dintre chei (manual sau folosind EFDD), atunci există două opțiuni principale pentru accesarea unității flash criptate:
- utilizați vrăjitorul BitLocker încorporat pentru a lucra direct cu o unitate flash;
- utilizați EFDD pentru a decripta complet unitatea flash și pentru a-i crea imaginea sector cu sector.
Prima opțiune vă permite să accesați imediat fișierele înregistrate pe unitatea flash, să le copiați sau să le modificați și, de asemenea, să le scrieți pe ale dvs. A doua opțiune durează mult mai mult (de la o jumătate de oră), dar are avantajele ei. Imaginea decriptată sector cu sector vă permite să efectuați în continuare o analiză mai rafinată a sistemului de fișiere la nivel de laborator criminalistic. În acest caz, unitatea flash în sine nu mai este necesară și poate fi returnată neschimbată.
Imaginea rezultată poate fi deschisă imediat în orice program care acceptă formatul IMA sau poate fi convertită mai întâi într-un alt format (de exemplu, folosind UltraISO).
Desigur, pe lângă detectarea cheii de recuperare pentru BitLocker2Go, EFDD acceptă și toate celelalte metode de ocolire BitLocker. Doar parcurgeți toate opțiunile disponibile într-un rând până când găsiți o cheie de orice tip. Restul (până la FVEK) va fi decriptat de-a lungul lanțului și veți avea acces complet la disc.
concluzii
Tehnologia de criptare a discului complet BitLocker diferă între versiunile de Windows. După o configurație adecvată, vă permite să creați containere cripto care sunt teoretic comparabile ca putere cu TrueCrypt sau PGP. Cu toate acestea, mecanismul încorporat în Windows pentru lucrul cu taste anulează toate trucurile algoritmice. În special, cheia VMK folosită pentru a decripta cheia principală în BitLocker este recuperată folosind EFDD în câteva secunde dintr-un duplicat escrowed, o descărcare de memorie, un fișier de hibernare sau un atac de port FireWire.
Odată ce aveți cheia, puteți efectua un atac offline clasic, puteți copia în liniște și decripta automat toate datele de pe discul „protejat”. Prin urmare, BitLocker ar trebui utilizat numai împreună cu alte măsuri de securitate: Sistemul de fișiere de criptare (EFS), Serviciul de gestionare a drepturilor (RMS), Controlul lansării programelor, Instalarea dispozitivului și Controlul atașamentelor, precum și politici locale mai stricte și măsuri generale de securitate.
