Kiintolevyn salauksen vianmääritys

Sisällysluettelo:

1. Mitä kiintolevyn salaus tarkoittaa?
2. Laitteistosalaus vertautuu ohjelmistosalaukseen
3. Mikä TPM on?
4. FDE (Full Disk Encryption) -salaus
5. Mikä BitLocker on?
6. Advanced Format 512e (4 K) FDE -kiintolevyasemien salaus
7. Salausohjelmisto ei tunnista kiintolevyasemaa
8. Käynnistystä edeltävät ongelmat
9. Järjestelmä ei käynnisty, kun siihen on lisätty kolmannen osapuolen salausohjelmisto.
10. Salaus ja käyttöjärjestelmän uudelleenasennus
11. Kadonneet salasanat tai salausavain

1. Mitä kiintolevyn salaus tarkoittaa?

Kiintolevyn salaus tarkoittaa levyn tietojen tai koko levyn muuntamista lukukelvottomaksi koodiksi käyttäen matemaattisia algoritmeja, jotta luvattomat käyttäjät eivät pysty käyttämään kyseisiä tietoja. Salatun aseman käyttämiseen käyttäjän on annettava salasana, sormenjälki tai älykortti. Salaukseen voi käyttää ohjelmisto- tai laitteistomekanismeja. Työasemissa käytetään tavallisesti ohjelmistosalausta. Salaus voidaan tehdä tiedostotasolla tai koko kiintolevyllä.

Alkuun

2. Laitteistosalaus vertautuu ohjelmistosalaukseen

Keskeisin ohjelmisto- ja laitteistosalauksen ero on se, että pääkäynnistystietuetta (Master Boot Record, MBR) ei voi salata ohjelmistosalauksella. Dell-työasematietokoneissa käytetään Wave Trusted Drive Manageria osana Dell Data Protectionia tai Dell ControlPoint Security Manager -ohjelmistoa ja TPM-sirua ohjelmistopohjaista salausta varten. Yritysasiakkaat voivat käyttää Dell Data Protection Encryptionia ja DDPE Accelerator -moduulia, jota käytetään emolevyn paikassa käyttämällä kannettavien tietokoneiden minikorttia tai pöytätietokoneiden PCIe-korttia. Laitteistosalaus on suojatumpaa, koska se eristää aseman suorittimesta ja käyttöjärjestelmästä, mikä vähentää sen alttiusta hyökkäyksille.

Alkuun

3. Mikä TPM on?

Trusted Platform Module (TPM) on emolevyn salausmikroprosessori, joka säilyttää ja todentaa aseman salausavaimet, mikä puolestaan liittää aseman tietokoneeseen. Tämä tarkoittaa, että jos salattu asema varastetaan tietokoneesta ja laitetaan toiseen tietokoneeseen, asemaa ei voi käyttää. TPM-piiri toimii ”yhdyskäytävänä” levylle. Salauksessa käytetyn TPM-piirin keskeisin haitta on se, että jos emolevy tarvitsee vaihtaa, levy ei ehkä ole enää käyttäjän käytettävissä. Wave Trusted Drive Manager kuitenkin estää tämän ongelman säilyttämällä salausavaimet myös kiintolevyllä. (Tämä muistuttaa RAID-järjestelmien pysyvyyttä, vaikka emolevy vaihdetaan. Järjestelmätiedot säilyvät aseman lomituksessa ja RAID-ohjaimen EPROM-muistissa.)

Tietoja: TPM:n ja BitLockerin vianmääritys ja yleisten ongelmien ratkaiseminen

Alkuun

4. FDE (Full Disk Encryption) -salaus

Koko levysalaus tarkoittaa yksinkertaisesti sitä, että koko asema (kaikki sektorit) voidaan salata tiedostojen, kansioiden tai tiedostotietokoneiden sijasta. FDE-kiintolevyt ovat yhä yleisempia kannettavissa tietokoneiden varkauden tai menettämisen vuoksi. Full Disk Encryption -nimitykseen sisältyy alun perin Seagate, mutta se on nyt alan termi, joka koskee kaikkia täysin salattuja kiintolevyjä. FDE-kiintolevyn suojausominaisuudet ovat aina käytössä, ja levy toimii tavallisena kiintolevynä, kunnes suojauskäytännöt otetaan käyttöön.

Usein kysytään, voidaanko Wave Trusted Drive Manager -salausohjelmistoa käyttää muuhun kuin FDE-kiintolevyyn koko levyn suojaamiseen. Vastaus on, että Wave Trusted Drive Manageriin ei vaadita FDE-asemaa. Ohjelmistojen salausmekanismeilla, kuten WindowsIn BitLockerilla, voi salata muiden kuin FDE-asemien taltioita TPM-piirillä tai USB-asemalla, mutta ei kiintolevyn käyttöjärjestelmän käynnistyssektorilla (käynnistyssektorilla).

Jotta Wave Trusted Drive Manager voi käyttää täysin salatun kiintolevyn sisältöä, käytössä on käynnistystä edeltävä todennus, jotta käyttöjärjestelmän ja käyttäjätiedot sisältäviä sektoreita voi käyttää. DDPA:ta käyttävissä työasemissa Wave-ohjelmisto käsittelee käynnistystä edeltävän todennuksen määrityksen DDPA:ssa/DCPSM:ssä.

Alkuun

5. Mikä BitLocker on?

BitLocker on Windows 7 -käyttöjärjestelmän sisältämä koko levyn salausominaisuus, joka on käytettävissä ainoastaan Ultimate- ja Enterprise-versiossa. BitLocker To Go -ominaisuudella voi suojata kaikki siirrettäviin laitteisiin (kuten ulkoisille kiintolevyille tai USB-muistitikuille) tallennetut tiedostot.

Trusted Drive Managerista poiketen näiden asemien ei tarvitse olla FDE-asemia, mutta BitLocker voi salata ainoastaan taltioita käynnistysaseman sijaan. BitLocker-salatut asemat voi avata ennen käynnistystä salasanalla tai älykortilla TPM:n avulla. Jotta käynnistystä edeltävä mekanismi voi käyttää BitLockeria, BIOSin on pystyttävä lukemaan USB-asema käynnistyksen aikana ja järjestelmässä on oltava kaksi osiota. Tietokoneosion koko on vähintään 100 Mt ja se on määritetty aktiiviseksi osioksi. Käyttöjärjestelmäosio on salattu, ja tietokoneosio jää salaamatta, jotta tietokone voi käynnistyä.

TPM ei ole pakollinen BitLockerin käyttöön, mutta sitä suositellaan ennen käynnistystä, jotta suojausta voidaan parantaa. Windows Update -päivitykset eivät edellytä BitLockerin poistamista käytöstä, mutta muut päivitykset saattavat edellyttää sen poistamista käytöstä. Kuten muidenkin salaussovellusten yhteydessä, palautusavaimet (PIN) kannattaa tallentaa siirrettäviin tallennusvälineisiin tai muihin suojattuihin sijainteihin. Jos käyttäjällä ei ole palautus-PIN-koodia, levyä ei voi avata. Jos tietokone ei käynnisty eikä pääse BitLocker-palautuskonsoliin tai kiintolevyssä on vika, BitLocker Repair Tool -työkalun voi ladata ja purkaa käynnistysmuistitikulle tai CD-levylle tietojen palauttamista varten. PIN-koodi tarvitaan tietojen käyttämiseen.

Jos käyttäjä on toimialueella, joka käyttää Active Directorya ja järjestelmänvalvoja on määrittänyt BitLockerin, pin-koodi on ehkä tallennettu Active Directoryyn, joten pyydä häntä tarkistamaan asia IT-osastoltaan.

Tietoja: TPM:n ja BitLockerin vianmääritys ja yleisten ongelmien ratkaiseminen

Alkuun

6. Advanced Format 512e (4 K) FDE -kiintolevyasemien salaus

512e (4 K) -kiintolevy eli Advanced Format -kiintolevy tarkoittaa, että aseman yksittäisten sektorien koko on muuttunut 512 tavusta 4 096 tavuun. Ensimmäisessä Advanced Format -kiintolevyjen sukupolvessa tämä onnistuu yhdistämällä 8–512 tavun sektorit yhdeksi 4 096 tavun sektoriksi. Dell-tietokoneissa termi 512e (emulointi) on peräisin kiintolevyn laiteohjelmiston muuntomekanismeista, joilla simuloidaan 512 tavun sektoreita odottavien vanhojen komponenttien ja ohjelmistojen 4 096 sektoria. Kaikki Advanced Format 512e -kiintolevyn luku-/kirjoitustoimet tehdään 512 tavun erissä, mutta lukujakson aikana koko 4 096 tavua ladataan muistiin. Siksi 512e-kiintolevyt on tasattava. Levyn tasaamattomuus saattaa heikentää levyn suorituskykyä merkittävästi. Nykyiset Dell-tietokoneen kanssa ostetut kiintolevyt on jo kohdistettu.

Voit tarkistaa, onko tietokoneessa Advanced Format (512e) -asema, lataamalla Advanced Format -kiintolevyn tunnistustyökalun. 

Osioiden tasaus on pakollista vanhemmissa käyttöjärjestelmissä, ja sitä suositellaan uusille käyttöjärjestelmille, jotta kiintolevy toimii oikein ja levykuvat toimivat oikein eri sektorikokoisten kiintolevyjen välillä.

Aseman tasaukseen voi käyttää useita työkaluja, jotka voi ladata Dellin tukisivuston SATA Drives -osion Ohjaimet ja ladattavat tiedostot -sivulta tietokoneelle.

Alkuun

7. Salausohjelmisto ei tunnista kiintolevyasemaa

Wave Trusted Drive Managerissa levyn on oltava Full Drive Encryption (FDE) -levy, ja SATA-toiminnan on oltava ATA/AHCI/IRRT, ei RAID On/RAID. Tämä saattaa koskea kolmannen osapuolen salausohjelmia.

Tarkista mahdolliset BIOS-asetusvaatimukset valmistajalta.

Tarkista levyn tasaus, jos käytät käyttöjärjestelmän näköistiedostoa, erityisesti Windows XP:n yhteydessä. Varmista ennen salausta, että kaikki päivitykset on otettu käyttöön näköistiedostossa.

Jos käytössä on kolmannen osapuolen salausohjelmisto, varmista valmistajalta, että ohjelmisto toimii tietokoneen laitteiston ja UEFI (Unified Extensible Firmware Interface) BIOSin kanssa.

Alkuun

8. Käynnistystä edeltävät ongelmat.

• Jos käynnistystä edeltävässä todennuksessa ilmenee ongelmia, tarkista, mitä todennusmekanismia hän käyttää: Salasana, sormenjälki tai älykortti
• Jos hän käyttää salasanaa, varmista että hän käyttää oikeaa salasanaa ja että Cap Lock ja Num Lock on asetettu oikein.
• Jos hän käyttää sormenjälkeä, varmista että hän käyttää oikeaa sormea eikä pyyhkäise liian nopeasti. Kolmen virheellisen pyyhkäisyn pitäisi laukaista salasanakehote.
• Jos hän käyttää älykorttia, varmista että hän käyttää oikeaa korttia, joka on asetettu oikein, ja tarkista, onko kortti vioittunut. Kokeile jotakin toista korttia, jos mahdollista.
• Jos hän on toimialueella, varmista että hän ei ole vaihtanut paikalliseen kirjautumiseen. Asiakkaan on käytettävä samoja tunnistetietoja kuin salauksen valvojan otettaessa käyttöön.
• Jos käynnistystä edeltävä todennus ei käyttäjän mukaan toimi uudelleenkäynnistyksen yhteydessä, tarkista BIOSista, että salasanan ohitus ei ole käytössä. Ominaisuus ei toiminut varhaisissa BIOS-julkaisuissa, mutta se on korjattu. Varmista, että asiakas käyttää uusinta BIOSia.
• Jos käyttäjä on kadottanut salasanansa tai ei työskentele yrityksessä enää, Dell ei voi palauttaa Trusted Drive Manager -salauksen salasanaa. Jos käytät kolmannen osapuolen sovelluksia, kysy tukea valmistajalta.

Alkuun

9. Järjestelmä ei käynnisty, kun siihen on lisätty kolmannen osapuolen salausohjelmisto.

Käynnistä tietokone ja avaa BIOS-käynnistysvalikko painamalla käynnistyksen aikana F12-näppäintä. Näppäintä tarvitsee ehkä painaa toistuvasti käynnistyksen aikana, jotta BIOS tunnistaa näppäimen oikeaan aikaan. Valitse <valikosta diagnostics> ylä- ja alanuolinäppäimillä ja paina Enter-näppäintä.

ePSA (Enhanced Preboot System Assessment) -diagnostiikka varmistaa, että asema ei ole vikatilassa eikä ole ilmoittanut virheistä. Jos käytössä on Advanced Format (512e) -asema, varmista että asema on kohdistettu oikein ennen salauksen suorittamista.

Kysy palautusvaihtoehdot kolmannen osapuolen myyjältä. Useimmilla yrityksillä on palautusapuohjelma, jonka käyttäjä voi ladata käynnistysmuistitikulle tai -CD-levylle. Tarkista myös valmistajan sivustosta, onko kyseisessä ohjelmistossa ongelmia tässä tietokonemallissa.

Alkuun

10 Salaus ja käyttöjärjestelmän uudelleenasennus

Jos salatulla kiintolevyllä oleva käyttöjärjestelmä vioittuu ja se tarvitsee asentaa uudelleen, Windowsin asennuslevy ei välttämättä tunnista levyä, koska se on lukitussa tilassa. Jos levy on salattu Wave Trusted Drive Managerilla, levyn lukitus on avattava, jotta käyttöjärjestelmän uudelleenasennus onnistuu.

Katso Wave-sivuston tukiasiakirjoista, miten levyn lukitus avataan ennen uudelleenasennusta.

Jos käytössä on kolmannen osapuolen salausohjelmisto, tarkista valmistajalta, miten toimitaan, ennen kuin yrität asentaa ohjelmiston uudelleen.

Alkuun

11 kadonnutta salasanaa tai salausavainta

Jos käyttäjä on kadottanut käynnistystä edeltävän salasanansa, salausavaimensa tai jos loppukäyttäjä on poistunut yrityksestä, useimmat salaussovellusten valmistajat tarjoavat vianmääritysmekanismin palautusta varten. Alan standardien mukaisesti asiakkaan on käynnistettävä palautusmekanismi. Se tehdään tallentamalla salasana/avain siirrettävään tallennusvälineeseen tai verkkosijaintiin. Jos koko levyn salaus on otettu käyttöön ja käyttäjä on kadottanut salasanansa/avaimensa, Dell ei voi auttaa häntä palauttamaan aseman salasanaa/avainta. Tässä tapauksessa käyttäjä tarvitsee korvaavan kiintolevyn. Ongelma ei kuulu takuun piiriin, koska salaus toimii suunnitellusti ja suojaa tietoja tunkeutumiselta. Käyttäjä vastaa levyn vaihtokustannuksista. Wave voi auttaa käyttäjätunnusten ongelmissa. Käyttäjälläon oltava salasanansa, jotta Wave voi auttaa unohtuneen käyttäjätunnuksen kanssa. Jos käyttäjä on unohtanut tai kadottanut salasanansa tai hänellä ei ole hänen salasanaansa, Wave ei valitettavasti voi auttaa.

Jos ongelma ei ratkea edellä kuvattujen ohjeiden avulla, soita Dellin tekniseen tukeen.

Alkuun

Suositellut artikkelit

Seuraavassa on joitakin aiheeseen liittyviä suositeltuja artikkeleita, jotka saattavat kiinnostavat sinua.

• Dell Full Disk Encryption -järjestelmävaatimukset
• M.2 SSD -aseman kiintolevyn salasanan määrittäminen BIOSissa
• Automaattinen Windows-laitesalaus tai BitLocker Dell-tietokoneissa