I de flesta bolag körs idag Windows 7 Ultimate/Enterprise och man har därmed redan betalat för BitLocker. Samtidigt levereras nästan alla nya laptops med ett säkerhetschip som standard. Varför investera i dyra tredjepartsprodukter med extra administration när man redan har en lösning som bara behöver slås på? I denna bloggpost kommer min kollega Christian Malm, som arbetar på Onevinn AB som säkerhetskonsult, att berätta närmare om BitLocker och dess möjligheter. Christian har utfört och granskat flertalet BitLocker implementationer på stora företag i Sverige.

BitLocker

Gränsen mellan företagsnätet och Internet är på väg bort när tekniker som DirectAccess(för ytterligare information om DirectAccess läs här) dyker upp. Var och varannan vecka kan vi läsa om dataläckage vilket visar hur viktigt det är att skydda informationen som finns inom företaget. Nya sätt att alltid förbli uppkopplad utvecklas hela tiden, vilket låter anställda hålla sig uppkopplade hela tiden. Detta leder till att anställda tar med sina klienter ut till nya miljöer såsom resan, kaféet och även till stranden en varm sommardag.

Vad skulle hända ditt företag om en dator innehållande känslig data är blir stulen?
Konsekvenserna skulle kunna vara ödesdigra.

Det är här BitLocker tar vid och hjälper till att skydda. Målet med BitLocker är att skydda klientdata men samtidigt erhåller man synergieffekter.
För att nämna några:
· Möjligheten att återställa lokalt administratörskonto begränsas genom att förhindra uppbootning från alternativt media
· Vid avveckling av klienter behöver inte data skrivas över upprepade gånger för att inte kunna återläsas
· BitLocker med TPM känner av att en förändring skett på klienten som skulle kunna innebära intrångsförsök för att få ut krypteringsnyckeln
· Centraliserad administration i det familjära gränssnittet Active Directory

BitLocker Drive Encryption är en teknik som låter hela systempartitionen krypteras. Tillsammans med ett säkerhetschip som kallas TPM(Trusted platform module) valideras tidiga uppstartsvariabler för att försäkra klientens integritet. Detta hjälper till att skydda företagsklienters data vid exempelvis stöld där man annars hade kunnat få ut känsliga dokument eller i värsta fall få tillgång till företagsnätverket.

Administration
Att administrera BitLocker sker centralt då man utnyttjar uppbackning till Active Directory. Integrationen av Active Directory erbjuder IT-supporten en central administration för att återställa data eller klienter. Vid en säkerhetsöverträdelse som är legitim till dess att användaren åter får tillgång till sin dator, brukar processen se ut enligt följande:

1. Användaren upprättar autentiserad kommunikation med IT-support/Help Desk och läser upp en åtta-siffrig sträng.
2. IT-support/Help Desk läser 48-siffrigt återställningslösenord. Detta består av åtta fält med sex siffror i varje fält. Varje fält har en kontrollsumma så att man snabbt upptäcker fel.
3. Användaren upprättar företagskommunikation. (VPN, DirectAccess, Besöker en site)
4. IT-support/Help Desk verifierar kärnorsaken till problemet och återställer sedan klienten så att den fungerar som innan.

För utökad administration och monitorering finns idag BitLocker Administration
and Monitoring (MBAM). MBAM är del av Desktop Optimization Pack (MDOP) för
ytterligare information, besök: http://www.microsoft.com/en-us/windows/enterprise/products-and-technologies/mdop/default.aspx.

Att jobba på en BitLocker-klient
Många är vi som har provat på att arbeta på en klient med hårddiskkryptering och de flesta brukar känna av begränsningar prestandamässigt. Med BitLocker Drive Encryption är prestandapåverkan minimal och kan uppmätas till endast några enstaka procent. Microsoft hävdar själva att prestandapåverkan kan representeras med ensiffrig procentenhet vid prestandautvärderingar. Under krypteringen finns inga krav på att datorn behöver vara påslagen tills krypteringen är klar, utan användaren kan fritt stänga av datorn när arbetsdagen är slut och det är dags för hemgång. Detta gäller även om ett strömavbrott skulle ske under krypteringen, krypteringen återupptas när klienten återfår ström.

BitLocker To Go
Utöver att kryptera sekundära diskar vilket BitLocker möjliggör, så brukar önskemålet om BitLocker To Go dyka upp. Onevinn implementera en möjlighet för användarna till att köra BitLocker To Go i samband med våra BitLocker leveranser. Detta innebär att användare har möjlighet till kryptering av USB-minnen samtidigt som all återställningsinformation backas upp till Active Directory. När en användare glömmer bort sitt lösenord till det krypterade USB-minnet brukar de bli väldigt tacksamma när IT kan hjälpa dem att återställa annars förlorad data.

Onevinn AB har lång erfarenhet av BitLocker och har gjort flera implementationer, designer och granskningar. Önskar ni ytterligare information kring BitLocker och vilka möjligheter det ger er verksamhet är ni välkomna att kontakta oss.