Šifrování disku, BitLocker, TPM a Microsoft

Šifrování disků je jeden ze základních stavebních kamenů pro bezpečné PC. Nedávno jsem narazil na článek Optimizing Client Security by Using Windows Vista (to samé platí dnes i pro Win 7), kde Microsoft popisuje zabezpečení svých klientských stanic - klíčovou součástí je právě BitLocker, chráněný režim IE, UAC, phishing filtr v IE, Defender a Windows 7 firewall. Obecně, sám Microsoft používá na maximum nových technologií ve Windows 7 (a i proto bych mohutně doporučil upgrade z Windows XP, Windows 7 je jednoznačně současný nejbezpečnější OS).

BitLocker je řešení, které je úžasně rychlé, bezpečné (používá se AES-256 s difusorem) a dokonale integrované v jádru operačního systému. Zásadní nevýhoda je v tom, že BitLocker bohužel není obsažen v Home Premium a Professional edicích Windows 7, jen v nejvyšších Ultimate a Enterprise.

Pro vlastní uložení klíčů máte několik možností. Na business noteboocích a lepších desktopových základních deskách máte k dispozici TPM chipset ve verzi 1.2, většinou od Infineonu či od Sinosunu.

TPM se používá pro dvě základní činnosti - uložení privátních šifrovacích klíčů a pro kontrolu, že systém jako celek nebyl změněn. TPM se při startu podívá na konfiguraci počítače (sleduje cca 20 ukazatelů, můžete je nastavit v gpedit.msc - Šablony pro správu) a pokud je hardware odlišný, TPM chipset klíč odmítne vydat.

ovládací panel Infineon TPM

Pokud se v hardware nic nezměnilo, systém pokračuje v bootování (pokud není v BIOSu autentizace či "lock" disku), a bezpečnost a přístup k šifrovaným datům s klíčem v TPM tak záleží na síle vašeho hesla do Windows.

Microsoft si samořejmě uvědomuje, že jednoúrovňová ochrana není vždy dostatečná, a proto je možné TPM autentizaci doplnit o PIN kód (heslo až o délce 20 číslic), popřípadě o druhý klíč uložený na USB flashdisku.

Osobně preferuji dvourovňové zabezpečení v kombinaci TPM + PIN, tuto používá nakonec i Microsoft pro veškeré své stanice. USB klíč je spíše nouzové řešení pokud nemáte na desce TPM, nicméně v praxi je stejně většinu času zastrčený v PC, na klíčence, či někde poblíž notebooku.

Oproti tomu PIN je další kód, který si musíte pamatovat, bezpečnost se zvyšuje. Nabourat se do PC, kde jsou disky šifrované pomocí kombinace TPM + PIN je de-facto nemožné (pokud zrovna nepracujete jako elitní tajný agent pro CIA a nedisponujete největší výpočetní silou na této planetě).

Každopádně pokud šifrujete, nespoléhal bych se jenom na TPM + heslo do Windows, kombinace TPM + PIN (zadává se ještě před startem Windows, při bootování počítače) + heslo do Windows je bezpečnější.