Параметры данных конфигурации загрузки и BitLocker

Этот раздел предназначен для ИТ-специалистов и посвящен описанию параметров данных конфигурации загрузки, которые используются BitLocker.

При защите данных, расположенных в томе операционной системы, во время загрузки BitLocker проверяет, не были ли изменены уязвимые к угрозам безопасности параметры данных конфигурации загрузки с момента последнего запуска, возобновления или восстановления BitLocker.

BitLocker и параметры данных конфигурации загрузки

В ОС Windows 7 и Windows Server 2008 R2 BitLocker проверял практически все параметры данных конфигурации загрузки с префиксами winload, winresume и memtest. Однако столь высокая степень проверки приводила к переходу BitLocker в режим восстановления из-за неопасных изменений параметров, например при применении языкового пакета.

В Windows 8, Windows Server 2012 и последующих операционных системах BitLocker сокращает набор проверяемых параметров данных конфигурации загрузки с целью снижения вероятности возникновения проблем с проверкой данных конфигурации загрузки из-за неопасных изменений. Если вы считаете, что существует определенный риск в случае исключения того или иного параметра данных конфигурации загрузки из профиля проверки, можно расширить область проверки данных конфигурации загрузки в соответствии со своими предпочтениями. Кроме того, если параметр данных конфигурации загрузки по умолчанию постоянно приводит к переходу в режим восстановления из-за неопасных изменений, можно исключить этот параметр данных конфигурации загрузки из профиля проверки.

Если включена безопасная загрузка

Компьютеры со встроенным ПО UEFI могут использовать безопасную загрузку для повышения безопасности во время загрузки. Если BitLocker может использовать безопасную загрузку для проверки целостности платформы и данных конфигурации загрузки в соответствии с параметром групповой политики Разрешить защищенную загрузку для проверки целостности, параметр групповой политики Использовать улучшенный профиль проверки данных конфигурации загрузки игнорируется.

Одним из преимуществ использования безопасной загрузки является возможность коррекции параметров данных конфигурации загрузки во время загрузки без срабатывания перехода в режим восстановления. Безопасная загрузка применяет те же параметры данных конфигурации загрузки, что и BitLocker. Применение данных конфигурации загрузки во время безопасной загрузки не настраивается в операционной системе.

Настройка параметров проверки данных конфигурации загрузки

Чтобы изменить параметры данных конфигурации загрузки, которые проверяет BitLocker, ИТ-специалист должен добавить или исключить соответствующие параметры данных конфигурации загрузки в профиле проверки платформы, включив и настроив для этого параметр групповой политики Использовать улучшенный профиль проверки данных конфигурации загрузки.

В целях проверки BitLocker параметры данных конфигурации загрузки связываются с определенным набором приложений загрузки Майкрософт. Параметры данных конфигурации загрузки либо сопоставляются с определенным приложением загрузки, либо могут применяться ко всем приложениям загрузки путем сопоставления префикса с параметром данных конфигурации загрузки, указанным в параметре групповой политики. Значения префиксов приведены ниже.

• winload

• winresume

• memtest

• all

Все параметры данных конфигурации загрузки указываются путем объединения значения префикса или с шестнадцатеричным значением, или с понятным именем.

Шестнадцатеричное значение параметра данных конфигурации загрузки сообщается при переходе BitLocker в режим восстановления и сохраняется в журнале событий (событие с ИД 523). Шестнадцатеричное значение уникальным образом указывает, какой параметр данных конфигурации загрузки привел к возникновению события восстановления.

Понятные имена параметров данных конфигурации загрузки можно быстро получить на компьютере с помощью команды bcdedit.exe /enum all.

Не все параметры данных конфигурации загрузки имеют понятные имена; для некоторых параметров шестнадцатеричное значение является единственным способом настройки политики исключений.

При указании значений данных конфигурации загрузки в параметре групповой политики Использовать улучшенный профиль проверки данных конфигурации загрузки необходимо придерживаться следующего синтаксиса.

• Параметру должен предшествовать префикс приложения загрузки

• Далее следует добавить двоеточие «:»

• После этого добавьте или шестнадцатеричное значение, или понятное имя

• При указании нескольких параметров данных конфигурации загрузки необходимо указывать каждый параметр в отдельной строке

Например, «winload:hypervisordebugport» и «winload:0x250000f4» соответствуют одному и тому же значению.

Параметр, который применяется ко всем приложениям загрузки, может быть применен к отдельному приложению, однако обратное неверно. Например, можно указать или «all:locale», или «winresume:locale», однако, поскольку параметр данных конфигурации загрузки «win-pe» не применяется ко всем приложениям загрузки, запись «winload:winpe» является допустимой, но запись «all:winpe» не является допустимой. Параметр, который управляет отладкой загрузки (bootdebug, или 0x16000010), всегда будет проверяться и не будет оказывать никакого влияния, если он включен в предоставленные поля.

Примечание  

Следует проявлять осторожность при настройке записей данных конфигурации загрузки в параметре групповой политике. Редактор локальных групповых политик не проверяет правильность записи данных конфигурации загрузки. BitLocker не сможет запуститься, если указанный параметр групповой политики является недопустимым.

Профиль проверки данных конфигурации загрузки по умолчанию

В следующей таблице содержится профиль проверки данных конфигурации загрузки по умолчанию, который используется BitLocker в Windows 8, Windows Server 2012 и последующих операционных системах.

Полный список понятных имен игнорируемых параметров данных конфигурации загрузки

Далее приводится полный список параметров данных конфигурации загрузки с понятными именами, которые игнорируются по умолчанию. Эти параметры не являются частью профиля проверки BitLocker по умолчанию, но могут быть добавлены, если необходимо проверить любые из этих параметров, прежде чем разрешить разблокировку диска с операционной системой, защищенной Bitlocker.

Примечание  

Существуют дополнительные параметры данных конфигурации загрузки, которые имеют шестнадцатеричные значения, но не имеют понятных имен. Эти параметры не включены в данный список.