Microsoft BitLocker na notebooku (versus HP SafeBoot)

Na hlavním PC s ultrarychlým diskovým polem s Adaptec SAS/SATA-3405 řadičem jsem přešel na BitLocker. BitLocker zde šifruje zhruba 3.5TB dat pomocí AES-256 s difuzorem, a po více než měsíci používání je zde mimořádná spokojenost s rychlostí i spolehlivostí.

Dříve jsem používal PGP Whole Disk Encryption 9.x a TrueCrypt 6.0a, to jsou jednoznačně horší řešení.

BitLocker na HP 6710b notebooku

Protože jsem s BitLockerem spokojen, chtěl jsem jej nasadit i na notebook. Je to HP 6710b s T7300 CPU (2.0GHz), 4GB RAM a rychlým 200GB Seagate 7200rpm diskem. Jako operační systém používám Vista Business x64 SP1 CZ (OEM).

HP k tomuto notebooku dodává šifrování bootovacího disku, dokonce využívající pro uložení šifrovacího klíče vestavěný TPM chipset, a to pod názvem HP SafeBoot. Veškeré potřebné drivery a instalační sady si můžete v nejnovější verzi stáhnout z webu HP Support.

HP je mimochodem jedna z nemnoha společností, které od počátku podporují 64bitovou verzi Windows Vista, ostatní výrobci se teprve nyní pomalu přidávají.

Předpokládal jsem, že upgrade Business x64 (OEM) SP1 CZ -> Ultimate x64 SP1 CZ bude triviální, zadám nové licenční číslo, systém se přes internet aktivuje, doinstaluje pár komponent, které tvoří rozdíl mezi Business a Ultimate edicí, a bude hotovo.

Bohužel, tak jednoduché to není.

Po zadání licenčního čísla Ultimate edice (retail balení) systém nahlásí, že toto číslo nejde použít. To samé nastane, když spustím setup.exe z instalačního DVD z Windows, a to samé pokud z tohoto DVD nabootuji. Možná je pouze čistá instalace. Bohužel jediná možnost jak provést upgrade Business -> Ultimate je za pomoci speciálního Anytime Upgrade DVD.

Pokud nemáte k dispozici toto speciální DVD, není možné provést upgrade, jen čistou instalaci Windows a následně všech programů :-(

Zprovoznění BitLockeru

HP 6710b obsahuje TPM chipset, takže klíče pro šifrování je možné ukládat do tohoto chipsetu, nikoliv na externí USB klíč (i když i tuto možnost si můžete pomocí gpedit.msc vynutit).

Před vlastním šifrováním musíte TPM chipset inicializovat pomocí HP ProtectTools Embedded Security, nikoliv pomocí Microsoftího appletu pro TPM chipset. Šifrování jinak nebude fungovat!

Následně je vhodné spustit gpedit.msc  a v nastavení si zapnout AES-256 namísto defaultního (a méně bezpečného) AES-128.

Po tomto nastavení již můžete použít Microsoftí BitLocker applet pro vytvoření nešifrované partition disku o velikosti 1.5GB a zašifrování hlavního disku.

Při startu počítače budete muset zadat heslo do TPM (Embedded Security) a až poté je klíč pro šifrování předán operačnímu systému a nabootuje se běžným způsobem.

Rychlost BitLockeru

Rychlost BitLockeru na HP 6710b je opět fantastická při minimální zátěži CPU. Celý systém je i po zašifrování velice svižný, nejsou znát (kromě extrémních operací s diskem u několika aplikací zároveň) latence, probouzení počítače je okamžité.

Takto vypadá test zašifrovaného disku pomocí HD Tune, povšimněte si jen minimálních rozdílů v zátěži CPU a rychlosti mezi nezašifrovaným diskem a při použití BitLockeru, zatímco HP SafeBoot je výrazně pomalejší a řádově více zatěžuje CPU.

HP 6710b - HP SafeBoot, AES-256

HP 6710b - Microsoft BitLocker, AES-256 s difuzorem

Závěr

Z uvedených grafů je jasně vidět, že Microsoft BitLocker je výrazně lepší řešení než HP SafeBoot (a také než TrueCrypt 6.0a,  který vytěžuje podobně brutálně CPU a navíc nepodporuje TPM, takže je z těchto možností nejméně bezpečný).

Pokud kupujete nový notebook, soustředil bych se na modely s Windows Vista Ultimate, která jako jediná BitLocker obsahuje (plus Enterprise verze, ale ta není běžně dostupná).

Pokud používáte nyní Vista Business či Home Premium verzi, nejlepší bude použít Windows Anytime Upgrade, protože pak nebudete muset reinstalovat celý systém.