Vista ja TURVALISUS-III. osa

Koju1 Koju2 Sisukord Arvutiabi Koolitus & help

Minu lugu...

Windows Vista ja TURVALISUS-III. osa

Trusted Platform Module (TPM) moodul ja mis on BitLocker Drive Encryption?

Trusted Platform moodul:

Ette õeldes: Antud vahendit võiksid kasutada äriettevõtted ja sülearvutite omanikud, kellede arvutites on ülitähtis informatsioon...

Nii Windows XP kui ka Windows Vista sisaldavad nn Encrypting File System (EFS)-i, et tema abil krüptida (krüpteerida - "salastada") failisid ja kaustasid. EFS abil saab kaitsta oma sensitiivseid faile nii et neile võib ligi saada ainult avaliku võtme infrastruktuuri ((public key infrastructure (PKI)) sertifikaadi abil. Krüptitud (krüpteeritud) sertifikaate hoitakse Sinu kasutaja profiilis. Ja kui Sa saad juurdepääsu oma profiilile ja temas asuvale krüptimisvõtmele, siis saad Sa ligi ka oma krüptitud failidele.

Kuigi EFS pakub suurepärast võimalust Sinu andmete kaitsmiseks, ei ole ta siiski nii turvaline. Kui Sa kaotad või kui keegi varastab Sinu arvuti või kui häkker logib end Interneti kaudu sisse sinu kompuutrisse, siis saadakse ligi ka Sinu andmetele, sest autoriseerimata kasutaja võib saada juurdepääsu Sinu kompuutrisse enne kui arvuti stardib. Ta võib Sinu kompuutrisse sisse saada CD plaadil oleva teise operatsioonisüsteemi abil ja muuta Sinu arvuti konfiguratsiooni.


Trusted Platform Module (TPM):

Et kaitsta kompuutrit füüsilise rünnaku eest ja lisada temale täiendav kaitsekiht, selleks lisati Windows Vistasse nn Trusted Platform Module Services arhitektuur. Tema abil võid Sa luua laiendatud turvameetmetega platvormi, mille sees on Sinu kompuutri andmed kaitstud isegi siis kui süsteem on offline's.

Trusted Platform Module Services kaitseb kompuutrit erilise riistvara komponendi abil, mille nimeks on TPM. TPM on mikrokiip, mis on tavaliselt installitud kompuutri emaplaadile, kus ta peab riistvara siini kaudu ühendust terve süsteemiga.

TPM võib luua krüptograafilisi võtmeid ja siis need krüptida nii et ainult tema ise saab neid dekrüptida. Selleks kasutab TPM oma peavõtit, mille nimeks on Storage Root Key (SRK) ja mis asub TPM enese sees.

Uuemates kompuutrites on see TPM juba olemas ja kompuuter, mis omab seda TPM'i, võib luua võtme, mis on kinnises "kastis" ja kast on omakorda kinni pitseeritud. Selle võtme pitseerimise protsess veendub selles, et antud võti on seotud spetsiifilise platvormi parameetritega (st meie kompuutri teatud kindlate parameetritega teatud kindlal ajahetkel) ja seda võtit saab ainult siis lahti pitseerida kui selle platvormi parameetrite väärtused langevad ühte selles võtmes olevate parameetrite väärtustega siis kui see krüptitud/krüpteeritud võti loodi.

TPM võib pitseerida ja siis jälle lahti pitseerida ka endast väljaspool genereerituid andmeid. Windows Vistas saab TPM-ile ligi ja teda ksutada vahendiga, mida kutsutakse BitLocker Drive Encryption'iks. See tehnoloogia on sisse lülitatud ainult Vista Enterprise ja Vista Ultimate versioonidesse!

Kui Sa kasutad BitLocker Drive Encryption'i ja TPM'i abi Boot Manager'i ja buutimisfailide kinnipitseerimiseks, siis saab neid lahti pitseerida ainult siis kui neid ei ole muudetud sellest ajast kui nad viimati pitseeriti.
See tähendab, et Sa võid kasutada TPM'i kompuutri buutimisfailide (alglaadimise ehk käivitamisfailide) kehtivuse kindlakstegemiseks juba pre-operatsioonisüsteemi keskkonnas. Kui Sa pitseerid kinni oma kõvaketta, siis saab teda lahti pitseerida ainult siis, kui kõvaketta andmeid ei ole muudetud sellest ajast kui ta viimati kinni pitseeeriti. Ja kui neid oli muudetud, siis tuleb sisestada oma taastamisvõti või parool, et saada ligi oma kõvakettale.

Seega kaitseb BitLocker Sinu andmeid isegi siis kui ründaja võib mõõda hiilida operatsioonisüsteemi kaitsemehhanismidest ja minna otse Sinu andmeteni. Teise sõnaga, BitLocker võib kaitsta Sinu kompuutrit siis kui ründaja omab füüsilist juurdepääsu Sinu andmetele. See on eriti tähtis ärireisijatele läptopi kaotamise korral.

Kuid on ka miinused:

1) Sa ei tohi kaotada oma krüptimisvõtit, sest ilma temata ei saa Sa oma kompuutrit käivitada;

2) Komputri taastamine/parandamine on palju keerulisem kui BitLocker on sisse lülitatud, sest enne taastamist tuleb Sul oma kõvaketas lahti pitseerida, aga seda saad Sa teha ainult omaenese kompuutris. Näiteks kui Sa eelnevalt ei kasutanud BitLockerit ja Sul ei õnnestu käivitada oma kompuutrit, siis võid Sa viia oma kõvaketta teisle kompuutrile, siis andmed sealt üle kopeerida ja seejärel taastada;

3) BitLocker kaitseb Sinu kompuutrit ainult siis kui ta on offline'is. Ta ei kaitse kompuutrit Internetist tuleva ründe vastu.

Seega võiks seda BitLockerit kasutada ainult ärireisidel läpakate puhul ja äriettevõtte keskkonnas.

Ülesse

TPM juhtimine (TPM Management) - nii Vistas kui ka Win 7-s:

Et kasutada Trusted Platform Module Services (TPM) arhitektuuri, peab Windows Vista ja Windows 7 kompuuter olema varustatud temaga ühilduva TPM'i ja BIOS'ga (sealjuures peab TPM olema BIOS-is ka sisse lülitatud - tuleb üle kontrollida).
Windows Vista toetab TPM versiooni 1.2 ja nõuab Trusted Computing Group (TCG)–ühilduvat BIOS'i. Selline BIOS toetab Static Root of Trust Measurement spetsifikatsiooni, sellest võid lugeda siit: http://www.trustedcomputinggroup.org.

TPM'i saab juhtida Trusted Platform Module Management konsooli abil ((TPM Management on Microsoft Management Console (MMC) snap-in)), et teda avada, tee selleks:

1. Start - All Programs - Accessories ja siis klõpsa Run (Sa pead olema administraatori õigustega).

2. Tipi tpm.msc ja vajuta Enter
   
   Märkus: Sa võid ta (tpm.msc) tippida ka Start menüü Search otsikasti ja vajutada ENTER.
   
   Juhul kui ilmub järgnev teade, siis kas Sinu kompuutri emaplaat ei sisalda seda TPM mikrokiipi või ta ei ole BIOS'is sisse lülitatud (kontrolli see üle):
   
   
   

Kui aga kõik on korras ja selleks et seada TPM konfiguratsiooni, kasuta käskusid, mis asuvad akna parempoolsemas paanis Actions all - pilt.

Enne kui Sa võid TPM-i kasutada, pead Sa ta initsialiseerima esmaseks kasutamiseks ja lülitama ta sisse.

TPM-i initsialiseerimine esmakordseks kasutamiseks:

TPM initsialiseerimise tähendus:

Trusted Platform Module (TPM) võib Sul olla järgmistes seisukordades (staadiumites):

- Mitte omistatud (st teda ei ole veel "käiku lastud") ja välja lülitatud

- Mitte omistatud ja sisse lülitatud

- Omistatud, aga välja lülitatud

- Omistatud ja sisse lülitatud

Et TPM-i saaks kasutada, peab ta olema eelnevalt sisse lülitatud ja omistatud - neid mõlemaid protsesse nimetatakse initsialiseerimiseks. Initsialiseerimise käigus luuakse uued juurvõtmed, mida hakatakse TPM poolt kasutama.
Et saaks kasutada sellist tarkvara nagu BitLocker Drive Encryption, peab Sul olema TPM initsialiseeritud.

Teosta järgmised sammud:

1. Logi ennast administraatorina sisse.

2. Käivita Trusted Platform Module Management konsool (eelpool oli sellest juttu).

3. Actions all klõpsa Initialize TPM, ilmub TPM Initialization Wizard, kliki lehel Welcome nupule Next.

4. Järgmine samm sõltub TPM seisukorrast:

   • Kui tuvastatakse, et BIOS ei vasta nõuetele, siis jääb asi katki...

   • Kui TPM on välja lülitatud (mõnedes uuemates kompuutrites on ta juba sisse lülitatud!), siis ilmub Turn On The TPM Security Hardware leht. Järgi juhiseid, et TPM sisse lülitada. Klõpsa Shutdown (või Restart) ja siis järgi BIOS ekraani hoiatust. Pärast seda kui kompuuter on teinud restardi, kinnnita, et Sa soovid TPM-i sisse lülitada.

   • Kui TPM on juba sisse lülitatud, siis ilmub Create The TPM Owner Password leht.

    

Nüüd tuleb üles seada TPM omanik, kellele määratakse parool, et olla kindel, et ainult autoriseeritud TPM omanik võib saada ligi ja juhtida TPM-i.

Et seada ülesse TPM omanikku, selleks tee:

1. Logi ennast administraatorina sisse.

2. Käivita Trusted Platform Module Management konsool.

3. Actions all klõpsa Initialize TPM, ilmub TPM Initialization Wizard. Welcome lehel klõpsa Next.

4. Create The TPM Owner Password lehel vali Automatically Create The Password (Recommended) ja klõpsa Next.

5. Lehel Save Your TPM Owner Password klõpsa Save ja siis vali koht kuhu parool salvestada, parim lahendus oleks ta salvestada eemaldatavale meediale (nt USB mälupulka).

6. Klõpsa jälle Save. Parool salvestatakse nimega computer_name. tpm.

7. Klõpsa Print kui soovid parooli ka paberile trükkida.

8. Klõpsa Initialize.

9. Kui valmis, siis klõpsa Close.