В этом пошаговом руководстве содержатся указания по шифрованию диска с помощью BitLocker™ в тестовой среде Windows® 7. Действия, описанные в настоящем руководстве, рекомендуется сначала выполнить в условиях тестовой среды. Пошаговые руководства не всегда должны рассматриваться как документы, которые можно использовать для развертывания компонентов операционной системы Windows 7 без сопроводительной документации. При их использовании в качестве самостоятельных документов следует проявлять благоразумие.
Что такое шифрование диска BitLocker?
Шифрование диска BitLocker является встроенной функцией безопасности в операционной системе Windows 7, которая позволяет защитить данные, хранящиеся на фиксированных и съемных дисках, а также на диске операционной системы. BitLocker позволяет защитить компьютер от "атак с выключением", которые проводятся путем отключения или обхода установленной операционной системы либо путем физического удаления жесткого диска для взлома данных автономно. Для фиксированных и съемных дисков BitLocker обеспечивает прочтение и запись данных на диск только для пользователей с требуемым паролем, учетными данными смарт-карты или при использовании диска на компьютере с защитой BitLocker и соответствующими ключами. Если в организации работают компьютеры под управлением предыдущих версий Windows, то для чтения данных защищенных съемных дисков на этих компьютерах можно использовать устройство чтения BitLocker To Go™.
Защита BitLocker на дисках операционной системы поддерживает двухфакторную проверку подлинности с помощью доверенного платформенного модуля (TPM) с персональным идентификационным номером (ПИН) или загрузочным ключом, а также однофакторную проверку подлинности с помощью ключа, хранящегося на USB-устройстве флэш-памяти, или с помощью доверенного модуля. Использование BitLocker с доверенным платформенным модулем TPM обеспечивает расширенную защиту данных и позволяет сохранить целостность загрузочных компонентов. Для этого варианта компьютер должен иметь совместимый микрочип доверенного платформенного модуля и совместимую версию BIOS. Совместимыми являются микрочипы доверенного платформенного модуля версии 1.2. Совместимая версия BIOS должна поддерживать доверенный платформенный модуль и измерение статического доверенного источника оценки в соответствии с определением организации TCG. Дополнительные сведения о спецификациях доверенного платформенного модуля см. в статье "Спецификации доверенного платформенного модуля" на веб-сайте организации TCG (страница может быть на английском языке) (http://go.microsoft.com/fwlink/?LinkId=72757).
Доверенный платформенный модуль взаимодействует с технологией защиты диска операционной системы BitLocker для обеспечения безопасности при загрузке системы. Это происходит незаметно для пользователей, а процесс входа в систему не изменяется. Однако если изменены сведения загрузки, то BitLocker переведет компьютер в режим восстановления и потребует ввода пароля или ключа восстановления для получения доступа к данным.
Содержание руководства
Данное руководство знакомит ИТ-специалистов с компонентом шифрования диска BitLocker в операционной системе Windows 7. Все эти действия выполняются только в целях тестирования. При развертывании компонентов ОС Windows Server® 2008 R2 или Windows 7 не рекомендуется ограничиваться лишь данным руководством. Ознакомьтесь со следующими разделами для понимания основополагающих сведений и действий, необходимых для начала настройки и развертывания BitLocker в своей организации.
Требования для шифрования диска BitLocker
Для работы с BitLocker необходимо следующее аппаратное и программное обеспечение:
-
Компьютер под управлением Windows 7 Корпоративная, Windows 7 Максимальная или Windows Server 2008 R2.
.gif) Примечание |
|---|
|
Технология шифрования диска BitLocker входит в состав Windows Server 2008 R2 в качестве дополнительного компонента. |
-
Компьютер, отвечающий минимальным требованиям к установке Windows 7 или Windows Server 2008 R2.
-
Микрочип доверенного платформенного модуля версии 1.2, включенный и настроенный для использования с BitLocker (рекомендуется на дисках операционной системы для проверки компонентов ранней загрузки и для хранения главного ключа BitLocker). Если на компьютере отсутствует доверенный платформенный модуль, то для хранения ключа BitLocker может использоваться USB-устройство флэш-памяти.
-
Модуль BIOS, отвечающий требованиям компании TCG и используемый вместе с BitLocker для дисков операционной системы.
-
Настройка BIOS, при которой компьютер загружается в первую очередь с жесткого диска, а не с компакт-диска или USB-устройства.
| Примечание |
|---|
|
Для всех действий с предоставлением ключа BitLocker на USB-устройстве флэш-памяти (например, ключа загрузки или восстановления) модуль BIOS должен поддерживать чтение USB-устройств при загрузке. |
.gif) Важно |
|
Не рекомендуется запускать отладчик ядра при включенном шифровании BitLocker, так как отладчик позволяет получить доступ к ключам шифрования и иным конфиденциальным данным. Однако отладку ядра можно включить перед включением BitLocker. Если включить отладку ядра или отладку загрузки (отладку ядра с параметром bcdedit /debug) после включения BitLocker, система будет автоматически начинать процедуру восстановления при каждой перезагрузке компьютера. |
Дополнительные ресурсы