質問: windows bitlockerと自動ロック解除パスワードストレージの安全性 bitlockerで外付けhddを暗号化し、コンピューターを再起動した後、そのドライブを開こうとすると次のメッセージが表示されました。たとえば、「今後、このコンピューターで自動的にロックを解除する」を選択した場合、windowsがパスワードをレジストリのどこかに保存することになりますか?ps。または、microsoftでハッシュだけを保存できるほど賢いですか?
回答: 同じクエリ here と here も投稿しており、すでに何らかの標準的な応答を受け取っているようです。とにかく、それは興味深い質問であり、これが私が見つけたものです。 windows 7でのbitlockerドライブ暗号化:よく寄せられる質問 ページには、 固定データドライブの自動ロック解除では、オペレーティングシステムドライブもbitlockerで保護する必要があります。 bitlockerで保護されたオペレーティングシステムドライブを搭載していないコンピューターを使用している場合、ドライブのロックを自動的に解除することはできません。 もちろん、リムーバブルデータドライブの暗号化にbitlocker to goを使用しているため、これは当てはまりません。あなたにとって、以下が関係します: windows 7では、パスワードまたはスマートカードを使用して、リムーバブルデータドライブのロックを解除できます。暗号化を開始したら、特定のユーザーアカウントの特定のコンピューターでドライブを自動的にロック解除することもできます。システム管理者は、ユーザーが使用できるオプション、およびパスワードの複雑さと最小長の要件を構成できます。 また、 リムーバブルデータドライブの場合、windowsエクスプローラーでドライブを右クリックし、[bitlockerの管理]をクリックして、自動ロック解除を追加できます。 bitlockerをオンにしたときに入力したパスワードまたはスマートカードの資格情報を使用して、他のコンピューターのリムーバブルドライブのロックを解除できます。 そして リムーバブルデータドライブは、パスワードまたはスマートカードを使用してドライブのロックを解除した後、windows 7を実行しているコンピューターで自動的にロック解除するように設定できます。ただし、リムーバブルデータドライブには、自動ロック解除方法に加えて、常にパスワードまたはスマートカードのロック解除方法が必要です。 これで、リムーバブルデータドライブの自動ロック解除を構成する方法と、そのようなドライブを他のpcでもロック解除する方法がわかりました。しかし、bitlockerが使用するキーは何で、どこに格納されますか? bitlockerドライブ暗号化でデータを保護するためのキー の記事のbitlockerキーセクションには、次のように記載されています。 [ボリューム]セクター自体は、フルボリューム暗号化キー(fvek)と呼ばれるキーを使用して暗号化されます。ただし、fvekはユーザーが使用したり、ユーザーがアクセスしたりすることはできません。 fvekは、ボリュームマスターキー(vmk)と呼ばれるキーで暗号化されます。このレベルの抽象化にはいくつかのユニークな利点がありますが、プロセスを理解するのが少し難しくなる可能性があります。 fvekが危険にさらされた場合、すべてのセクターを再暗号化する必要があるため、fvekは厳重に保護された秘密として保持されます。これは時間のかかる操作であるため、避けたい操作です。代わりに、システムはvmkで動作します。 fvek(vmkで暗号化)は、ボリュームメタデータの一部としてディスク自体に保存されます。 fvekはローカルに保存されますが、暗号化されていないディスクに書き込まれることはありません。 vmkも暗号化、つまり「保護」されますが、1つ以上の可能なキープロテクターによって保護されます。デフォルトのキープロテクターはtpmです。 そのため、vmkは1つ以上のキープロテクターによって再び暗号化されます。これらは、 [〜#〜] tpm [〜#〜] 、パスワード、キーファイル、データ回復エージェント証明書、スマートカードなどにすることができます。今、自動ロック解除を有効にすると、リムーバブルデータドライブでは、次の自動ロック解除レジストリキーが作成されます。hkey_current_user\software\microsoft\windows\currentversion\fveautounlock 次に、タイプが「外部キー」のさらに別のキープロテクターが作成され、そのレジストリの場所に次のように保存されます。hkey_current_user\software\microsoft\windows\currentversion\fveautounlock\{guid} レジストリに保存されるキーとメタデータは、cryptprotectdata() [〜#〜] dpapi [〜#〜] 関数を使用して、現在のユーザーのログイン認証情報と triple des (otoh暗号化されたボリューム上の実際のデータは、128ビットまたは256ビットの 保護 です [〜#〜] aes [〜#〜] およびオプションで elephant )と呼ばれるアルゴリズムを使用して拡散されます。外部キーは、現在のユーザーアカウントとマシンでのみ使用できます。別のユーザーアカウントまたはマシンに切り替える場合、fveautounlock guidの値は異なります。