הצפנת דיסק - הצפנת כונן C עם Bitlocker
פרקי ההרצאה: הצפנת דיסק - הצפנת כונן C עם Bitlocker
תמלול ההרצאה: הצפנת דיסק - הצפנת כונן C עם Bitlocker
הטקסט המלא של הדקות הראשונות בהרצאה «הצפנת דיסק - הצפנת כונן C עם Bitlocker» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם בהרצאה הזאת אנחנו רוצים להצפין בביטלוקר את כל קונן C כדי שהאקר שיבוא ויגנוב לי את המחשב לא יוכל לגשת למידע ששמור בקונן C שימו לב אנחנו נעשה את זה לא ברמת קובץ בודד אלא ברמת כל הקונן והסיסמה הסודית המפתח ההצפנה לא יהיה שמור בקונן C הוא יהיה שמור על משהו חיצוני מה זה המשהו החיצוני הזה יש לנו כמה אפשרויות
אז יש לנו אפשרות לשים אותו ברכיב שנקרא TPM זה רכיב פיזי בלוח M וצריך שהוא יהיה קיים שמה שישמור לנו על המידע הסודי הזה ה TPM הזה זה רכיב פיזי ששומר על המפתחות ההצפנה והוא לא קיים בכל הלוחות יותר מזה ברוב הלוחות הוא אפילו לא קיים אבל אם הוא קיים זה מצוין למה כי אז אנחנו נוכל לשמור שמה את המפתח הסודי וזה יהיה טרנספרנט, זה יהיה שקוף למשתמש.
המשתמש ידליק את המחשב ולא ירגיש שכל הhard disk שלו מוצפן, הוא לא צריך להכניס שום סיסמה והוא לא צריך לעשות שום דבר. הרכיב TPM הזה בודק שכל התהליך של הבוט לא נפגע, שהכל תקין מבחינת החומרה וקבצי בוט, ורק אז משחרר את המפתח ההצפנה ופותח את כל הקונן C שלי.
אז ה-TPM הזה זה משהו מצוין, מצוין, חבל שהוא לא קיים ברוב לוחות M. אם הוא לא קיים, איפה נשמור את המפתח הסודי שלנו? כי הרי אסור לשמור אותו בקונן C, כי קונן C עצמו מוצפן.
אז יש לנו מצב של Authentication Mode עם PIN. אנחנו מכניסים כזאת סיסמה או מספר סודי ואיתו פותחים את ההצפנה, או USB. אז יש לנו בעצם שלוש אפשרויות, יש לנו או TPM או סיסמה או USB, שלוש אפשרויות יש לנו.
אז אחרי שהבנו את השלוש אפשרויות, דרך אגב, אני יכול לשלב, אני יכול להגיד שהכל שמור רק ב-TPM, הסיסמה הסודית שמורה רק ב-TPM. אני יכול להגיד שאני רוצה גם TPM וגם PIN, זאת אומרת, גם המפתח שמור שמה, אבל גם כדי לחלץ אותו צריך לדעת את הקוד הסודי שלי.
ככה אני בעצם מוודא שמי שגנב לי את המחשב, לא רק לא יצליח לפרוץ אותו, הוא גם לא יצליח להדליק אותו, כל המידע יהיה מוצפן והמפתח הסודי יהיה גם ברמת TPM וגם ברמת PIN ואני יכול לעשות הכי סודי גם PIN להכניס, גם להכניס פיזית את ה-USB שנניח נמצא על המפתחות שלי וצריך לגנוב לי את המפתחות, גם צריך לגנוב לי מהראש את ה-PIN קוד וגם הסיסמה השמורה ב-TPM שמוודא שכל תהליך הבוט הוא לא נפגע, שלא שאת
עלת שם איזה תוכנת רוגלה בתוך תהליך הבוט, TPM בודק את כל שלבי הבוט משהו שלא עושה פין ו-USB אז TPM הזה אפשר גם לשלב אותו עם USB בקיצור יש לנו או TPM או USB או פין קוד ואפשר לעשות רק USB ורק סיסמה רק USB ורק סיסמה זה למקרה שאין לי את ה-TPM שימו לב רק USB או רק סיסמה לא מוודא שהקבצים של הבוט לא נפגעו
TPM אכן מוודא שהקבצים של הבוט הם עובדים כמו שצריך והנה זה כתוב כאן כתוב כאן The TPM chip will only be released to the OS loader code, כאילו TPM ישחרר רק את הקוד הסודי, if רק אם early boot files appear to be unmodified, רק אם קבצים של ה-boot לא השתנו.
זאת אומרת, ה-TPM עצמו גם מוודא שאף אחד לא שטה לכם רוגלה בתוך קבצי ה-boot עצמם, שתהליך של ה-boot הוא כמו שהוא היה במקור, וזה היתרון הגדול של TPM, שהוא לא רק שומר את הסיסמה בצורה שקופה שלא צריך להקיש שום דבר, הוא גם לא נותן לאף אחד לשנות את ה-boot process עצמו, וזה מדהים מדהים מדהים.
כדי לעקוף את ה... לפרוץ את כל ההגנה הזאת של ביטלוקר זה בעצם מאוד מאוד קשה. מה שצריך לעשות זה להקפיא פיזית את הזיכרונות של המחשב בזמן העבודה התקינה של המחשב, להקפיא את הזיכרונות ממש כמו מקרר כזה קטן עם חומר מיוחד, להוציא את הזיכרונות, להכניס אותם למחשב אחר, להעתיק את התוכן של
הרם, את התוכן של הזיכרון, ומתוך הזיכרון לחלץ את מפתחות ההצפנה. כי מפתחות ההצפנה מתוך TPM אתה לא יכול לחלץ. אז כדי לעבוד על המחשב, אתה יכול לחלץ אותם מתוך הרם.
אז בשביל זה אתה צריך להעלות את המחשב רגיל, כדי שמפתחות ההצפנה יהיו בזיכרון הרם שלו, להקפיא אותו ממש עם חומר שמקפיא, כזה ספריי שמקפיא הכל, אחרי זה לכבות את המחשב, מהחשמל להוציא את הזיכרונות בגלל שהם מוקפאים המידע שם לא הלך לאיבוד להכניס את זה במחשב אחר ולהעלות מערכת מיוחדת שיודעת לקרוא מהזיכרון
מידע ולשפוך אותה לתוך קובץ ואז לחטט בתוך הקובץ הזה שזה למעשה צילום של הזיכרון של המחשב. זאת השיטה היחידה שיש להוציא את המפתחות ההצפנה כי TPM עצמו אי אפשר לפרוץ.
מי שרוצה לראות איך עושים את זה שיכתוב call בוט אטאק ביט לוקר ויראה את זה טוב אז הבנו שיש לנו סך הכל שלוש אפשרויות או לשים בtpm או לשים בפין קוד עם סיסמה או בusb אז בואו נתחיל לעשות את זה אז אם אנחנו מגיעים למחשב וכותבים פה התחל וכותבים ביט לוקר או שמגיעים כאן לכונן ועושים turn on ביט לוקר תפעיל הצפנה הוא אומר תקשיב אני לא יכול להפעיל
לך את ההצפנה בגלל שאין לך את ה-TPM ומבחינתי בגרופוליסי כתוב שחייבים TPM אתם רואים אין לי Trusted Platform Module TPM יור אדמיניסטרטור המנהל המחשב שלך צריך לאפשר ביטלוקר בלי ה-TPM שימו לב ביטלוקר בלי TPM האבטחה שלו הרבה יותר נמוכה ולכן היא חסומה by default למה היא חסומה למה היא נמוכה כי היא לא בודקת
את התהליך של הבוט אז בוא נלך לגרופוליסי Edit Group Policy, נפתח אותו על כל המסך, נלך ל-computer admin templates windows components ויש לנו פה ביט לוקר דרייב אינקריפשן.
שימו לב, יש לנו פה הגדרות ברמת removable שזה כל מה שקשור ל-USB, אני יכול להגדיר מה אני רוצה ברמת מדיניות שלי מעדכני USB, לדוגמה אני יכול לעשות Enforce Drive have encryption type on removable data drives.
אינפור זה להכריח את ההצפנה על מה ש... על usb-ים, זאת אומרת שזה חייב להיות מוצפן. ויש לנו פה, if you enable the encryption bitlocker, it will be used to encrypt data.
בקיצור, נהיה חייבים להצפין אותם. וזה ברמת removable. יש לנו פיקסט, שזה כוננים קבועים, ויש לנו operating system, שזה הווינדוס עצמו, כונן C. אז יש לנו פה שלושה חלקים, חלק של הכוננים הקשיחים הרגילים גם כן פה יש לי enforce שאני מחייב להצפין הכל ופה יש לנו operating system ופה בoperating system יש לנו הרבה
יותר אפשרויות כמובן שאתם יכולים ללחוץ על כל אחד ולקרוא אבל אנחנו נחסוך זמן ונלך ישר למה שאנחנו צריכים require additional authentication at start-up זה מה שאנחנו רוצים והאפשרות הזאת מה היא נותנת לי היא מאפשרת לי לאו ביטלוקר וודאוט tpm לאפשר ביטלוקר בלי tpm מה שהוא אומר שזה יחייב פסוורד או usb ופה אני יכול להגיד גם
שאני מאפשר tpm או שtpm ופין האם אני מאפשר את זה או שאני דורש מחייב שיהיה גם פין שזה מספר סודי וגם tpm לא רק tpm עצמו אז פה אני יכול לקבוע כל מיני רמות מבחינתי אני אומר Hello BitLocker without Compatible TPM בואו נראה מה יקרה עכשיו אני עושה אוקיי האופציה הזאת Enabled ואחרי ש-Enabled אנחנו נחזור
חזרה כאן נכון שהוא לא נתן לנו את ה-BitLocker נעשה עוד פעם Turn-On BitLocker והפעם זה עובד שימו לב הפעם הדבר הזה עובד דרך אגב אני בכוונה אצא מפה הוא שואל אותי האם אני רוצה USB או פסוורד מה אני רוצה להכניס סיסמה להצפנה או USB אני יכול גם כמובן להגיע לביטלוקר מתפריט של