Segurança do BitLocker sem PIN do WinPE?

Question

Digamos que você tenha um computador com a unidade do sistema criptografada pelo BitLocker e não esteja usando um PIN para que o computador seja inicializado sem supervisão. O que acontece se um invasor inicializar o sistema no Ambiente de Pré-instalação do Windows? Eles terão acesso à unidade criptografada?

Isso muda se você tiver um TPM vs. usando apenas uma chave de inicialização USB?

O que estou tentando determinar é se a chave de inicialização do TPM / USB pode ser usada sem a inicialização do sistema operacional original. Em outras palavras, se você estiver usando uma chave de inicialização USB e a máquina for reinicializada normalmente, os dados ainda estarão protegidos, a menos que um invasor possa efetuar login. Mas e se o hacker inicializar o servidor em um Ambiente de Pré-instalação do Windows com a chave de inicialização USB conectada? Eles teriam então acesso aos dados? Ou isso exigiria a chave de recuperação?

Idealmente, a chave de recuperação seria necessária quando inicializada assim, mas eu não vi isso documentado em lugar algum.

    

Answer 1

O TPM é seguro porque "assiste" ao processo de inicialização; Quando a instalação normal do Windows é inicializada, ela segue o caminho de inicialização "normal" e o TPM reconhece isso e só armazena / recupera chaves quando esse processo é seguido. Se você inicializar de qualquer outra forma, mesmo que seja apenas no modo seguro, você "mudará" esse processo e o TPM não "desbloqueará".

Tecnicamente, a chave é armazenada no chip TPM, e é teoricamente possível dividir esse chip e acessar os dados. O TPM é um cofre como qualquer outro, é sempre possível, teoricamente, invadir um cofre, com tempo e recursos suficientes. Para conhecimento disponível publicamente, isso nunca aconteceu. Mas esta metade do motivo das opções PIN e USB Key existirem. Tentar forçar brutalmente a chave de criptografia AES-256 demoraria um tempo ridículo.

Se a sua unidade requer apenas a chave USB, então seria possível usar apenas isso do WinPE para desbloquear a unidade.

Nós usamos o BitLocker onde eu trabalho. Cada unidade tem para protetores, a chave do TPM e uma chave de recuperação que é automaticamente publicada no Active Directory. O computador inicia normalmente e os usuários não sabem que estão criptografados, a menos que pareçam. Quando eu pego o computador para receber manutenção / limpeza / etc, eu uso a ferramenta de linha de comando manage-bde no WinPE para desbloquear e acessar a unidade, usando a chave de recuperação para desbloquear a unidade.

Lembre-se também de que a GUI não apresenta todas as opções disponíveis do BitLocker. A ferramenta de linha de comando manage-bde faz. Para a maioria das pessoas, a GUI é boa o suficiente para começar, mas a ferramenta CLI será necessária para configurações avançadas e pode apresentar uma melhor compreensão da tecnologia.

    

Answer 2

1. O Bitlocker criptografa os dados com uma chave, portanto, independentemente de outro usuário inicializar o ambiente, ele não terá acesso aos dados diretamente. A desvantagem é que ele pode tentar quebrar a criptografia porque ele tem acesso físico ao disco rígido (que pode ser impedido apenas com uma chave de inicialização USB).
2. Até onde sei, a chave TPM / USB não pode ser usada quando inicializada de outro SO sem o PIN \ PASSWORD.
3. Alguém que gostaria de acessar iria para a seguinte rota: a) obter laptop b) obter a chave c) obter o pin d) obter acesso.
4. Eles ainda precisariam da chave de recuperação ou do PIN, a menos que tentassem usar a força bruta diretamente sem a chave.

Espero que isso ajude.