「ハード ドライブ暗号化の問題をトラブルシューティングする方法」

目次:

1. ハードディスク暗号化とは
2. ハードウェア暗号化とソフトウェア暗号化の比較
3. TPMとは
4. FDE(フル ディスク暗号化)
5. BitLockerとは
6. Advanced Format 512e(4 K)FDEハード ドライブの暗号化
7. 暗号化ソフトウェアによって認識されないハード ドライブ
8. 起動前の問題
9. サード パーティーの暗号化ソフトウェアを追加した後、システムが起動しません。
10. 暗号化とオペレーティング システムの再インストール
11. パスワードまたは暗号化キーの紛失

1.ハードディスク暗号化とは

ハードディスク暗号化とは、ディスク上のデータまたはドライブ全体を、数学的アルゴリズムを使用して解読不可能なコードに変換して、不正なユーザーがアクセスできないようにすることです。暗号化されたドライブにアクセスするには、パスワード、指紋、スマート カードを入力する必要があります。暗号化は、ソフトウェアまたはハードウェアのメカニズムを使用して実行できます。クライアントの環境では、ほとんどの場合ソフトウェア暗号化を使用します。暗号化はファイル レベルでも、ハード ディスク全体でも可能です。

トップに戻る

2.ハードウェア暗号化とソフトウェア暗号化の比較

ソフトウェア暗号化とハードウェア暗号化の主な違いは、ソフトウェア暗号化メカニズムではマスターブートレコード（MBR）を暗号化できないことです。Dell Clientコンピュータは、ソフトウェアベースの暗号化用のTPMチップを搭載したDell Data ProtectionまたはDell ControlPoint Security Managerスイートの一部としてWave Trusted Drive Managerを使用します。エンタープライズ環境のお客様は、Dell Data Protection Encryptionと、ノートパソコンのミニ カードを使用してマザーボードのスロットに使用されるDDPEアクセラレーター モジュール、またはデスクトップ コンピューター用のPCIeカードを使用できます。ハードウェア暗号化は、ドライブをCPUとオペレーティング システムから分離するため、より安全であり、攻撃に対する脆弱性がはるかに低くなります。

トップに戻る

3.TPMとは

Trusted Platform Module(TPM)は、マザーボード上の暗号化マイクロプロセッサーで、ドライブの暗号化キーを格納して認証し、ドライブをコンピューターに接続します。つまり、暗号化されたドライブがコンピューターから盗まれ、別のコンピューターに配置された場合、ドライブにアクセスできません。TPMチップは、ドライブへの「ゲートウェイ」として機能します。暗号化スキームで使用されるTPMチップの主な欠点は、マザーボードの交換が必要な場合、ドライブにユーザーがアクセスできなくなる可能性があることです。ただしWave Trusted Drive Managerは、暗号化キーをハードドライブにも保存することにより、この問題を緩和します（これは、マザーボードが交換されてもRAIDアレイが失われないことに類似しています。アレイ情報はドライブストライプとRAIDコントローラEPROMに保存されます）。

その他の情報：「TPMおよびBitLockerに関する一般的な問題をトラブルシューティングして解決する方法」

トップに戻る

4.FDE(フル ディスク暗号化)

フル ディスク暗号化とは、ファイル、フォルダー、ファイル コンピューターではなく、ドライブ全体(すべてのセクター)を暗号化できることを意味します。コンピューターの盗難や紛失の可能性が高まっているため、FDEハード ドライブはノートパソコンの標準になりつつあります。「フル ディスク暗号化」という用語は、当初はSeagateによって作られていますが、現在では完全に暗号化可能なすべてのハード ドライブの業界用語です。FDEハードドライブセキュリティ機能は常時稼働しており、セキュリティポリシーが実装されるまでは通常のハードドライブとして機能します。

よくある質問は、Wave Trusted Drive Manager暗号化ソフトウェアを非FDEハード ドライブで使用してディスク全体を保護できるかどうかです。答えは、Wave Trusted Drive ManagerにはFDEドライブが必要ない、という問題です。Windows BitLockerなどのソフトウェア暗号化メカニズムを使用して、TPMチップまたはUSBドライブを使用して非FDEドライブ上のボリュームを暗号化できますが、ハード ドライブのオペレーティング システム ブートストラップ(ブート セクター)は暗号化できません。

Wave Trusted Drive Managerによって完全に暗号化されたハードドライブのコンテンツにアクセスするには、オペレーティングシステムやユーザーデータを含むセクターにアクセスできるようにするために、プリブート認証が使用されます。DDPAを使用しているクライアント コンピューターでは、起動前認証のセットアップはDDPA\DCPSM内のWaveソフトウェアによって処理されます。

トップに戻る

5.BitLockerとは

BitLockerとは、Windows 7で使用できるフルディスク暗号化機能であり、Ultimate EditionおよびEnterprise Editionでのみ使用できます。BitLocker To Goを使用すると、リムーバブルデータドライブ（外付けハードドライブやUSBフラッシュドライブなど）に保存されたあらゆるファイルの保護に役立ちます。

Trusted Drive Managerとは異なり、これらのドライブはFDEドライブである必要はありませんが、BitLockerはボリュームのみを暗号化できますが、起動ボリュームは暗号化できません。BitLockerで暗号化されたドライブは、パスワードまたはTPM付きスマートカードを使用して起動前にロック解除できます。起動前メカニズムでBitLockerにアクセスするには、BIOSが起動時にUSBドライブを読み取ることができ、2つのパーティションが存在し、コンピューター ドライブパーティションが100 MB以上でアクティブなパーティションとして設定されている必要があります。オペレーティング システムパーティションが暗号化され、コンピュータパーティションは暗号化されず、コンピュータを起動できます。

BITLockerの使用にはTPMは必要ありませんが、セキュリティを強化するために起動前に強くお勧めします。Windows UpdateではBitLockerを無効にする必要はありませんが、他のアップデートでは無効にする必要がある場合があります。他の暗号化アプリケーションと同様に、リカバリキー(PIN)はリムーバブルメディアまたはその他の安全な場所に保存することをお勧めします。リカバリPINを紛失してしまうと、ドライブをアンロックすることはできなくなります。コンピュータを起動してBitLocker回復コンソールを起動できない場合、またはハードドライブに障害が発生した場合は、BitLocker修復ツールをダウンロードしてブータブルキーまたはCDに解凍し、ドライブからデータを回復することができます。データにアクセスするには、PINが必要です。

ユーザーが Active Directory を使用しているドメインにあり、管理者がBitLockerをセットアップしている場合は、PINがActive Directory内に保存されていた可能性があるため、IT部門に確認してもらいます。

その他の情報：「TPMおよびBitLockerに関する一般的な問題をトラブルシューティングして解決する方法」

トップに戻る

6.Advanced Format 512e(4 K)FDEハード ドライブの暗号化。

512e(4 K)またはアドバンスト フォーマットのハード ドライブは、ドライブの個々のセクターが512バイトから4,096バイトに変更されたことを意味します。第1世代のAdvanced Formatハード ドライブは、8~512バイトのセクターを1つの4,096バイト セクターに結合することでこれを実現します。Dellコンピューターでは、512e(エミュレーション)という用語は、ハード ドライブのファームウェア内で変換メカニズムを使用して、512バイトのセクターを想定しているレガシー コンポーネントおよびソフトウェアの4,096セクターの外観をシミュレートすることから生じます。高度なフォーマットの512eハード ドライブに対するすべての読み取り/書き込みは512バイト単位で実行されますが、読み取りサイクルでは、4,096全体がメモリーにロードされます。このため、512eハードドライブはアラインの必要があります。ドライブのアラインが実行されないと、ドライブのパフォーマンスが深刻な影響を受けることがあります。Dell PCと一緒に購入された現在のハード ドライブはすでにアラインされています。

PCにAdvanced Format(512e)ドライブがあるかどうかを検出するには、Advanced Formatハード ドライブ検出ツールをダウンロードします。 

パーティションのアラインメントは、古いオペレーティング システムに必要であり、異なるセクター サイズのHDD間で適切なハード ドライブのパフォーマンスとイメージングを確保するために、新しいオペレーティング システムに推奨されます。

ドライブの位置合わせは、お使いのコンピューターのDellサポート サイトの [ドライバーおよびダウンロード ]の[SATAドライブ]セクションからダウンロードできるいくつかのツールを使用して実行できます。

トップに戻る

7.暗号化ソフトウェアによって認識されないハードディスク。

Wave Trusted Drive Managerでは、ドライブはフルドライブ暗号化（FDE）ドライブである必要があり、SATA動作設定が「RAID On\RAID」ではなく、「ATA\AHCI\IRRT」に設定されている必要があります。これは、サード パーティーの暗号化プログラムの場合があります。

BIOS設定要件についてベンダーに確認してください。

オペレーティングシステムイメージが使用されている場合は、特にWindows XPでは、ドライブのアラインを確認してください。暗号化する前に、すべてのアップデートがイメージに適用されていることを確認します。

サードパーティの暗号化ソフトウェアが使用されている場合は、ベンダーに問い合わせて、ソフトウェアがコンピュータのハードウェアと連携していることを確認し、Unified Extensible Firmware Interface(UEFI)BIOSを確認します。

トップに戻る

8.起動前の問題。

• ユーザーが起動前認証チェックで問題が発生している場合は、使用している認証メカニズムを確認します。パスワード、指紋、スマートカード
• パスワードの場合は、正しいパスワードを使用していることを確認し、キャップ ロックとNum Lockが正しく設定されていることを確認します。
• 指紋を使用している場合は、正しい指を使用しており、スワイプが速すぎないことを確認します。3回の無効なスワイプでパスワード プロンプトがトリガーされます。
• スマートカードの場合は、正しいカードが使用されていることを確認し、正しく挿入されていることを確認し、損傷がないか確認します。可能な場合は別のカードを試します。
• ドメイン上の場合は、ローカル ログインに切り替えないことを確認します。暗号化が確立されたときと同じ認証情報を使用する必要があります。
• ユーザーが再起動時に起動前認証が機能していないと言っている場合は、BIOSをチェックして、パスワードのバイパスが有効になっていないことを確認します。この機能は、初期のBIOSリリースでは機能しませんが、その後修正されています。お客様が最新のBIOSを使用していることを確認します。
• ユーザーがパスワードを紛失した場合、またはすでに在職していない場合は、デルではTrusted Drive Manager暗号化のパスワードを復旧する方法はありません。サード パーティー アプリケーションについては、そのベンダーを参照してください。

トップに戻る

9.サード パーティーの暗号化ソフトウェアを追加した後、システムが起動しません。

コンピュータの電源を入れ、起動プロセス中に F12 キーを押してBIOS起動メニューを表示します。キーを適時に認識させるために、起動プロセス中にキーを何度も押してBIOSを表示する必要があることがあります。上矢印キーと下矢印キーを使用して、メニューの[Diagnostics>]を選択<し、Enterキーを押します。

Enhanced Preboot System Assessment Diagnostics(ePSA)を実行して、ドライブが障害状態ではなく、エラーも報告されていないことを確認します。Advanced Format(512e)ドライブがある場合は、暗号化を実行する前に、ドライブが正しくアラインされていることを確認してください。

リカバリオプションについては、サードパーティベンダーに確認してください。ほとんどの会社ではリカバリユーティリティを用意しており、ユーザーはそれをブータブルキーまたはCDにロードできます。また、このモデルのコンピューターでこの特定のソフトウェアに問題がある場合は、ベンダー サイトでコンピューター プラットフォームの問題を確認してください。

トップに戻る

10 暗号化とオペレーティング システムの再インストール

暗号化されたハードディスクでオペレーティングシステムが破損し再インストールの必要がある場合は、ハードドライブがロックされた状態であることが原因で、Windowsインストールディスクでドライブが認識されない可能性があります。Wave Trusted Drive Managerで暗号化されたドライブの場合は、オペレーティングシステムの再インストールを行う前にドライブをアンロックする必要があります。

再インストールする前にドライブのロックを解除する方法については、Waveサイトのサポート ドキュメントを 参照してください。

サードパーティの暗号化ソフトウェアの場合は、再インストールを試みる前に、ベンダーに適切な手順を確認してください。

トップに戻る

11 パスワードまたは暗号化キーの紛失

ユーザーが起動前パスワード、暗号化キーを紛失した場合、またはエンドユーザーが会社を離れた場合、ほとんどの暗号化アプリケーション ベンダーはリカバリのためのフェイルセーフ メカニズムを提供します。業界標準のデータ ポリシーにより、お客様がリカバリ メカニズムを開始する必要があります。これは、パスワード\キーをリムーバブル ストレージまたはネットワークの場所に保存することによって行われます。フル ディスク暗号化が実装され、ユーザーがパスワード\キーを紛失した場合、デルはドライブのパスワード\キーの回復をサポートできません。この場合、ユーザーは交換用ハード ドライブを必要とします。この問題は、暗号化が設計どおりに動作し、データが侵入から保護されるため、保証の範囲外になります。ドライブの交換はユーザーの負担となります。Waveは、ユーザー名の問題に役立ちます。ユーザーは、ユーザー名を忘れた場合に役立つWaveのパスワードを持っている必要があります。ユーザーがパスワードを忘れた、紛失した、またはパスワードを持っていない場合、残念ながらWaveはサポートできません。

上記の手順で問題が解決しない場合は、デルテクニカルサポートにお問い合わせください。

トップに戻る

推奨記事

ここでは、このトピックに関連した役立つ可能性のある推奨記事をいくつか紹介します。

• Dellフル ディスク暗号化のシステム要件
• M.2 SSDにハード ドライブのパスワードを設定するためのBIOSオプション
• Dell製コンピューターにおけるWindowsデバイスの自動暗号化/BitLocker