מה זה BitLocker ואיך הצפנת דיסק עובדת בווינדוס¶
מחשב נייד נגנב, ובתוכו קבצים אישיים, מסמכי עבודה, ואולי גם סיסמאות שמורות בדפדפן. אם הדיסק לא מוצפן, כל מי שמוציא אותו מהמחשב ומחבר אותו למכשיר אחר יכול לקרוא את כל התוכן שלו בקלות, גם בלי לדעת את סיסמת ההתחברות. BitLocker הוא הפתרון המובנה של ווינדוס בדיוק לתרחיש הזה.
מה זה BitLocker¶
BitLocker הוא כלי הצפנת דיסק מלא, מובנה בגרסאות Pro ו-Enterprise של ווינדוס, שמצפין את כל תוכן הדיסק, כולל מערכת ההפעלה עצמה. ברגע שBitLocker מופעל, כל מידע שנכתב לדיסק מוצפן אוטומטית, וכל מידע שנקרא ממנו מפוענח אוטומטית, כל זה בזמן אמת ובלי שהמשתמש מרגיש הבדל בעבודה היומיומית.
ההבדל הקריטי בין דיסק מוצפן לדיסק לא מוצפן מתגלה רק במקרה קיצון - אם הדיסק נגנב או מוצא לגמרי מהמחשב ומחובר למחשב אחר, בלי BitLocker כל הקבצים נגישים כמעט מיד. עם BitLocker, בלי מפתח ההצפנה הנכון, כל מה שרואים הוא רעש דיגיטלי לא קריא.
התפקיד של TPM¶
BitLocker עובד בצורה הכי חלקה ובטוחה כשיש למחשב שבב שנקרא TPM, ראשי תיבות של Trusted Platform Module. זהו שבב חומרה נפרד, שמאחסן את מפתח ההצפנה בצורה מבודדת מהמערכת ההפעלה עצמה, ומוודא שמערכת ההפעלה לא שונתה או נפרצה לפני שהוא מסכים לשחרר את המפתח ולפענח את הדיסק.
בפועל זה אומר ש-TPM בודק, בכל אתחול, שרצף האתחול - הקושחה, טוען האתחול, והקרנל - לא שונה מהמצב התקין שהוא זוכר. אם משהו נראה חשוד, למשל שינוי בקושחה שמעיד על ניסיון עקיפה, TPM מסרב לשחרר את המפתח, וBitLocker דורש דרך אימות נוספת, כמו קוד שחזור, לפני שהמחשב יכול לעלות.
מה קורה בלי TPM¶
מחשבים ללא שבב TPM עדיין יכולים להשתמש בBitLocker, אבל בהגדרה פחות נוחה - המערכת דורשת בכל אתחול הזנת מפתח על גבי כונן USB חיצוני, או קוד PIN, כי אין שבב מבודד ומוגן שיכול לשמור את המפתח ולוודא את שלמות תהליך האתחול בעצמו.
מפתח השחזור - הרשת ביטחון שאסור לאבד¶
כשמפעילים BitLocker, ווינדוס מייצר קוד שחזור ארוך, שאמור לשמש כדלת אחורית חוקית למקרה שהמנגנון הרגיל נכשל - למשל אם שונה משהו בחומרה שגורם ל-TPM לחשוד, או אם שכחתם את הסיסמה. הקוד הזה קריטי לשמור במקום בטוח ונפרד, למשל בחשבון מיקרוסופט או במסמך מודפס בכספת. בלי הקוד הזה, אם המנגנון הרגיל נכשל, אין דרך לגשת בחזרה לדיסק המוצפן, אפילו לא למי שהוא הבעלים החוקי שלו.
מתי כדאי להפעיל BitLocker¶
הבחירה כמעט תמיד ברורה עבור מחשבים ניידים, שנמצאים בסיכון ממשי לגניבה או אובדן. ארגונים שמנהלים מחשבים ניידים לעובדים מפעילים כמעט תמיד BitLocker כברירת מחדל, ולעיתים אוכפים זאת דרך מדיניות קבוצתית. גם למחשב שולחני ביתי, הפעלת BitLocker לא מזיקה ומספקת שכבת הגנה נוספת, אם כי הסיכון בפועל נמוך יותר כי מחשב שולחני פחות נוטה להיגנב.
לסיכום¶
BitLocker פותר בעיה ברורה ומוחשית - מה קורה למידע שלכם אם המחשב הפיזי נופל לידיים הלא נכונות. השילוב עם TPM הופך אותו כמעט לשקוף בשימוש היומיומי, בזמן שהוא מספק הגנה משמעותית במקרה הכי גרוע. שמירה קפדנית על קוד השחזור היא התנאי היחיד שממש חשוב לזכור.
רוצים להעמיק עוד באבטחת מחשבי ווינדוס? יש לנו קורס ווינדוס בסיסי מלא בחינם שבונה את הידע הזה שלב אחרי שלב.
יש לכם שאלה על BitLocker או הצפנת דיסק? בואו לדבר בדיסקורד.