Sådan foretager du fejlfinding af problemer med harddiskkryptering
Summary: Denne artikel indeholder oplysninger om harddiskkryptering sammen med en forklaring af BitLocker og fejlfindingstrin til at løse harddiskkrypteringsrelaterede problemer på en Dell-computer. ...
Instructions
Indholdsfortegnelse:
- Hvad er harddiskkryptering?
- Hardwarekryptering sammenlignet med softwarekryptering
- Hvad er TPM?
- Fuld diskkryptering (FDE)
- Hvad er BitLocker?
- Kryptering af Advanced Format 512e (4K) FDE-harddiske
- Harddisk genkendes ikke af krypteringssoftware
- Preboot-problemer
- Systemet vil ikke starte efter tilføjelse af tredjepartskrypteringssoftware.
- Geninstallation af kryptering og operativsystem
- Mistet adgangskode eller krypteringsnøgle
1. Hvad er harddiskkryptering?
Harddiskkryptering er en proces, hvor data på disken eller hele drevet konverteres til ulæselig kode vha. matematiske algoritmer, så de ikke er tilgængelige for uautoriserede brugere. Brugeren skal angive en adgangskode, et fingeraftryk eller et chipkort for at få adgang til et krypteret drev. Kryptering kan udføres ved hjælp af software- eller hardwaremekanismer. I klientverdenen håndterer vi softwarekryptering det meste af tiden. Kryptering kan ske på filniveau eller for hele harddisken.
2. Hardwarekryptering sammenlignet med softwarekryptering
Den største forskel mellem software- og hardwarekryptering er, at MBR (Master Boot Record) ikke kan krypteres ved brug af en softwarekrypteringsmekanisme. Dell-klientcomputere bruger Wave Trusted Drive Manager som en del af Dell Data Protection- eller Dell ControlPoint Security Manager-pakken med TPM-chippen til softwarebaseret kryptering. Virksomhedskunder kan bruge Dell Data Protection Encryption og et DDPE Accelerator-modul, der bruges i en plads på bundkortet, ved hjælp af minikortet til bærbare computere eller et PCIe-kort til stationære computere. Hardwarekryptering er mere sikker, fordi den isolerer drevet fra CPU'en og operativsystemet, hvilket gør det langt mindre sårbart over for angreb.
3. Hvad er TPM?
Et Trusted Platform Module (TPM) er en kryptografisk mikroprocessor på bundkortet, der gemmer og godkender krypteringsnøglerne til drevet, som igen knytter drevet til computeren. Det betyder, at hvis det krypterede drev bliver stjålet fra computeren og placeret i en anden computer, er drevet ikke tilgængeligt. TPM-chippen fungerer som "gateway" til drevet. Den største ulempe ved en TPM-chip, der anvendes i en krypteringsplan, er, at hvis bundkortet skal udskiftes, er drevet muligvis ikke længere tilgængeligt for brugeren. Men Wave Trusted Drive Manager løser dette problem ved også at gemme krypteringsnøglerne på harddisken. (Det svarer til, at RAID-systemer ikke mistes, når et bundkort udskiftes. Systemoplysningerne gemmes på drev-striben og i RAID-controller-EPROM'en.)
Mere info: Sådan foretager du fejlfinding af og løser almindelige problemer med TPM og BitLocker
4. Fuld diskkryptering (FDE)
Fuld diskkryptering betyder ganske enkelt, at hele drevet (alle sektorer) kan krypteres i stedet for filerne, mapperne eller filcomputerne. FDE-harddiske er ved at blive standard i bærbare pc'er på grund af den øgede risiko for tyveri eller tab af computer. Ordet "fuld diskkryptering" er oprindeligt opfundet af Seagate, men er nu et brancheord for alle harddiske, der kan krypteres helt. FDE-harddiskes sikkerhedsfunktioner er altid aktiverede, og de fungerer som almindelige harddiske, indtil sikkerhedspolitikkerne implementeres.
Et almindeligt spørgsmål, der opstår, er, om Wave Trusted Drive Manager-krypteringssoftware kan bruges på en ikke-FDE-harddisk til at sikre hele disken. Svaret er, at Wave Trusted Drive Manager ikke kræver et FDE-drev. Softwarekrypteringsmekanismer som f.eks. Windows BitLocker kan bruges til at kryptere enheder på ikke-FDE-drev ved hjælp af TPM-chippen eller et USB-drev, men ikke operativsystemets boottrap (bootsektor) på harddisken.
For at få adgang til indholdet på en fuldt krypteret harddisk med Wave Trusted Drive Manager bruger man pre-boot-godkendelse, så de sektorer, der indeholder operativsystemet og brugerdata, kan tilgås. På klientcomputere, der bruger DDPA, håndteres opsætningen af pre-boot-godkendelse af Wave-softwaren inden for DDPA\DCPSM.
5. Hvad er BitLocker?
BitLocker er en funktion til fuld diskkryptering, som er tilgængelig i Windows 7 og kun er tilgængelig i Ultimate- og Enterprise-versionerne. Du kan bruge BitLocker To Go til at beskytte alle de filer, der er gemt på et flytbart datadrev (som f.eks. eksterne harddiske eller USB-flashdrev).
I modsætning til Trusted Drive Manager behøver disse drev ikke at være FDE-drev, men BitLocker kan kun kryptere enheder, ikke startdiskenheden. Drev, der er krypteret med BitLocker, kan låses op via pre-boot ved hjælp af en adgangskode eller et chipkort med TPM. For at en pre-boot-mekanisme kan få adgang til BitLocker, skal BIOS kunne læse et USB-drev ved opstart, og der skal være to partitioner til stede, hvor computerdrevpartitionen skal være på mindst 100 MB og indstillet som den aktive partition. Operativsystemets partition er krypteret, og computerpartitionen forbliver ukrypteret, så computeren kan starte.
TPM er ikke påkrævet ved brug af BitLocker, men anbefales kraftigt til preboot for bedre sikkerhed. Windows-opdateringer kræver ikke deaktivering af BitLocker, men andre opdateringer kræver muligvis deaktivering. Ligesom andre krypteringsprogrammer anbefales det, at genoprettelsesnøgler (PIN) gemmes på flytbare medier eller andre sikre placeringer. Hvis brugeren ikke har sin gendannelses-PIN, er det ikke muligt at låse drevet op. Hvis computeren ikke kan starte for at komme til BitLocker-genoprettelseskonsollen, eller harddisken er defekt, kan BitLocker-reparationsværktøjet
downloades og pakkes ud til en startnøgle eller cd for at gendanne data fra drevet. Du skal have PIN-koden for at få adgang til disse data.
Hvis brugeren er på et domæne med Active Directory , og vedkommendes administrator har konfigureret BitLocker, er det muligt, at pinkoden er gemt i Active Directory, så bed vedkommende om at spørge vedkommendes it-afdeling.
Mere info: Sådan foretager du fejlfinding af og løser almindelige problemer med TPM og BitLocker
6. Kryptering af Advanced Format 512e (4K) FDE-harddiske.
En harddisk på 512e (4K) eller Advanced Format betyder ganske enkelt, at de enkelte sektorer på drevet er ændret fra 512 til 4.096 byte. Den første generation af Advanced Format-harddiske opnår dette ved at tage 8 sektorer på 512 byte og kombinere dem i en enkelt sektor med 4.096-byte. I Dell-computere kommer termen 512e (emulering) fra brugen af konverteringsmekanismer i firmwaren på harddisken til at simulere 4.096 sektoregenskaberne for ældre komponenter og software, der forventer sektorer med 512 byte. Alle læsninger\skrivninger til et Advanced Format 512e-harddisk udføres i trin på 512 byte, men i en læsecyklus indlæses hele 4.096 i hukommelsen. 512e-harddiske skal derfor justeres. Hvis drevjusteringen ikke udføres, kan drevets ydeevne kan blive alvorligt påvirket. De harddiske, der aktuelt købes sammen med en Dell-computer, er allerede justeret.
For at finde ud af, om din computer har et Advanced Format-drev (512e), skal du downloade værktøjet til registrering af Advanced Format-harddiske.
Partitionsjustering er påkrævet til ældre operativsystemer og anbefales til nye operativsystemer for at sikre korrekt harddiskydeevne og afbildning mellem harddiske af forskellig sektorstørrelse.
Drevjustering kan udføres ved hjælp af flere værktøjer, som kan downloades fra Dells supportwebsted Drivere og downloads til din computer under afsnittet SATA-drev.
7. Harddisk genkendes ikke af krypteringssoftware.
Med Wave Trusted Drive Manager skal drevet være et FDE-drev (Full Drive Encryption), og SATA-operationen skal være indstillet til ATA\AHCI\IRRT og ikke RAID On\RAID. Dette kan være tilfældet med tredjepartskrypteringsprogrammer.
Spørg leverandøren om eventuelle krav til BIOS-indstillinger.
Kontrollér for drevjustering, hvis der bruges en operativsystemafbildning, især Windows XP. Sørg for, at alle opdateringer er blevet anvendt på afbildningen før kryptering.
Hvis der bruges tredjepartskrypteringssoftware, skal du kontakte leverandøren for at sikre, at softwaren fungerer sammen med hardwaren i computeren, og UEFI BIOS (Unified Extensible Firmware Interface).
8. Pre-boot-problemer.
- Hvis brugeren oplever problemer med pre-boot-godkendelse, skal du kontrollere, hvilken godkendelsesmekanisme de bruger: Adgangskode, fingeraftryk eller chipkort
- Ved adgangskoder skal du sørge for, at de bruger den korrekte adgangskode og kontrollere, at Caps Lock og Num Lock er indstillet korrekt.
- Hvis de bruger fingeraftryk, skal du sørge for, at de bruger den korrekte finger, og at de ikke stryger for hurtigt. Tre ugyldige strøg bør udløse en anmodning om adgangskode.
- Ved chipkort skal du kontrollere, at det korrekte kort bruges, sættes korrekt i, og kontrollere for eventuelle skader. Prøv et andet kort, hvis det er muligt.
- Hvis de er på et domæne, skal du sørge for, at de ikke har skiftet til lokalt login. De skal bruge de samme legitimationsoplysninger, som da krypteringen blev oprettet.
- Hvis brugeren siger, at pre-boot-godkendelse ikke fungerer ved en genstart, skal du kontrollere BIOS for at sikre, at omgåelse af adgangskoden ikke er aktiveret. Denne funktion fungerede ikke i tidlige BIOS-versioner, men er siden blevet rettet. Sørg for, at kunden bruger den nyeste BIOS.
- Hvis brugeren har mistet sin adgangskode eller ikke længere er ansat, er det ikke muligt for Dell at gendanne adgangskoden til Trusted Drive Manager-kryptering. For tredjepartsprogrammer henvises til denne leverandør for support.
9. Systemet vil ikke starte efter tilføjelse af tredjepartskrypteringssoftware.
Tænd for computeren, og tryk derefter på F12-tasten under opstartsprocessen for at gå til BIOS Boot Menu. Det kan være nødvendigt at trykke flere gange på tasten under startprocessen for at få BIOS til at genkende nøglen på det rigtige tidspunkt. Brug op- og ned-pilene til at vælge <Diagnosticering> i menuen, og tryk på Enter-tasten.
ePSA-diagnosticeringen (Enhanced Preboot System Assessment) køres for at sikre, at drevet ikke er i fejltilstand og ikke har rapporteret nogen fejl. Hvis du har et Advanced Format (512e)-drev, skal du sørge for, at drevet er justeret korrekt, før krypteringen udføres.
Kontakt tredjepartsleverandøren for at få oplysninger om genoprettelsesmuligheder. De fleste virksomheder har et gendannelsesværktøj, som brugeren kan indlæse på en USB-nøgle eller en cd, der kan startes fra. Undersøg også leverandørens websted for problemer med computerplatformen, hvis der er problemer med den pågældende software på denne computermodel.
10 Geninstallation af kryptering og operativsystem
Hvis operativsystemet bliver ødelagt på en krypteret harddisk og kræver geninstallation, er der risiko for, at Windows-installationsdisken ikke kan genkende drevet, fordi harddisken er i låst tilstand. Ved drev med Wave Trusted Drive Manager-kryptering skal drevet skal være låst op, før geninstallationen af operativsystemet kan finde sted.
Se supportdokumenterne på Wave-webstedet, der forklarer, hvordan du låser drevet op før en geninstallation her.
For tredjepartskrypteringssoftware skal du spørge leverandøren om den korrekte procedure, før du forsøger at geninstallere.
11 Mistet adgangskode eller krypteringsnøgle
Hvis en bruger har mistet sin pre-boot-adgangskode, krypteringsnøgle, eller en slutbruger har forladt virksomheden, har næsten alle krypteringsprogramleverandører en fejlsikker mekanisme til gendannelse. På grund af branchestandarddatapolitikker skal gendannelsesmekanismen startes af kunden. Dette gøres ved at gemme adgangskoden\nøglen på et flytbart lager eller en netværksplacering. Hvis der blev implementeret fuld diskkryptering, og brugeren har mistet sin adgangskode\nøgle, kan Dell ikke hjælpe med at gendanne adgangskoden\nøglen til drevet. Brugeren kræver en erstatningsharddisk i denne forekomst. Dette problem falder uden for garantiens omfang, da krypteringen fungerer efter hensigten og beskytter data mod indtrængen. Udskiftningen af drevet vil være på brugerens regning. Wave kan hjælpe med brugernavnsproblemer. Brugeren skal have sin adgangskode, for at Wave kan hjælpe med et glemt brugernavn. Hvis brugeren har glemt, mistet eller ikke har sin adgangskode, kan Wave desværre ikke hjælpe.
Hvis de ovenstående trin ikke løser problemet, skal du ringe til Dells tekniske support for at få hjælp.
Additional Information
Anbefalede artikler
Her er nogle anbefalede artikler relateret til dette emne, der kan have din interesse.