Windows 7のBitLockerは、企業データをエスコートする

オペレーティングシステムのセキュリティは、大きく2つに分類されます。すなわち、オペレーティングシステム自体のセキュリティと、オペレーティングシステム上のデータのセキュリティです。 Windows 7では、UAC制御メカニズム、システムのバックアップと復元の手段により、オペレーティングシステムのセキュリティと安定性が大幅に向上しました。それで、私たちが尋ねるだけでなく、Windows 7のデータセキュリティ保護のための新しい対策はありますか？この答えはエキサイティングです。 Windows 7では、新しいデータ保護メカニズム、BitLockerを提案しました。このツールは企業情報ファイルのセキュリティを保護することができます。

上の図に示すように、BitLockerドライバを起動するためのインターフェイスです。既定では、WindowsオペレーティングシステムはこのBitLocker機能を起動しません。企業がデータファイルに対してより高いセキュリティ要件を持っている場合、この機能は必要に応じてアクティブにすることができます。それで、この関数の特徴は何ですか？それを使用する際にどんな制限がありますか？私は今日誰もがこのパズルを解決します。

まず、BitLockerとEFSの暗号化メカニズムの違い。

Windowsオペレーティングシステムを使用したことがある人は、2000オペレーティングシステム以降、MicrosoftはNTFSと呼ばれるファイルフォーマットをオペレーティングシステムに実装していることを理解しておく必要があります。このファイル形式は、ルートFAT32ファイル形式よりも比較的安全で安定しています。そしてこのパーティションフォーマットで、マイクロソフトはまた多くのエキサイティングな機能を達成しました。 EFSファイルの暗号化メカニズムはその一つです。それでは、このEFSファイル暗号化メカニズムとこのBitLockerの関係はどうなっていますか？違いは何ですか？

最初に確認する必要があるのは、両方のテクノロジが優れたファイル保護メカニズムであり、広範囲に使用できることです。安全なデータファイルただし、大きな違いがあります。つまり、EFSは特定のファイルまたはフォルダに対して暗号化されています。 BitLockerはドライブ全体を暗号化します。つまり、EFSテクノロジを使用すると、ユーザーはいくつかの重要なファイルまたはフォルダを選択的に暗号化できます。 BitLockerが使用されている場合、ユーザーにはこのオプションはありません。ドライブのすべてのフォルダを暗号化するか、またはそれらすべてを暗号化しません。これが2つのファイル暗号化メカニズムの主な違いです。

しかし、それらには共通点もたくさんあります。たとえば、EFS暗号化システムでもBitLocker保護メカニズムでも、エンドユーザーからは見えません。これは主に以下の点に反映されています。第一に、正当な利用者である限り、データにアクセスする際にそのような保護手段が存在するとは思われず、データの暗号化または復号化のプロセスがバックグラウンドで完了してもユーザーの介入は必要ありません。 BitLockerテクノロジがドライブに実装されている場合、ユーザーがファイルをドライブに保存すると、オペレーティングシステムは自動的にファイルを暗号化します。次回アクセス時に、オペレーティングシステムが自動的に復号化します。次に、他の非優先ユーザーが暗号化されたデータにアクセスしようとすると、「アクセスが拒否されました」というエラーが表示されます。 EFS暗号化システムでもBitLocker保護メカニズムでも、ユーザーの不正アクセスを保護できます。 3つ目は、Windowsオペレーティングシステムにログインしたときのユーザー認証プロセスです。つまり、それらのキーはオペレーティングシステムのアカウントに直接関連付けられています。このため、ユーザーが他のホストにファイルを不正にコピーした場合、所有者ユーザーからの承認（証明書）がない場合は、他の不正なユーザーがこれらのファイルを持っていても開くことができません。

Visible EFSには、このBitLocker保護メカニズムと同じところがたくさんあります。では、どうしてマイクロソフトはこのBitLockerファイル暗号化保護メカニズムを開発するために一生懸命努力しなければならないのでしょうか？これは主にこの保護メカニズムにはまだ独自の特性があるためです。これらの機能は、ある程度、EFSファイル暗号化システムの欠点を補います。

次に、BitLockerの方が共有が便利です。

フォルダ内のファイルがEFS暗号化システムで暗号化されている場合、そのファイルをネットワーク上で共有するのは面倒です。たとえば、システム管理者が他のユーザーのオペレーティングシステムにユーザーの証明書をインポートしたい場合がよくあります。または、他の同様の方法でこのファイルの共有を実現できます。ただし、BitLocker保護メカニズムを使用している場合は、このファイル共有の方が便利です。

ユーザーがBitLockerメカニズムを使用するドライブにファイルを保存すると、そのファイルは自動的に暗号化されます。しかし、ユーザーがこの暗号化ファイルをBitLockerテクノロジを使用していない別のドライブにコピーするとどうなりますか？ファイルは自動的に復号化されます。この時点で、他のユーザーは、適切な権限を持っているかぎり読むことができます。ただし、ファイルをコピーしたユーザーが復号化する権利を持っていることが前提です。 EFSによるファイル暗号化システムの処理方法は、ここでも同じです。ただし、このファイル共有の両面にはまだ大きな違いがあります。ユーザーがBitLocker暗号化メカニズムで暗号化されたファイルをネットワーク経由で他のユーザーと共有したいとします。この時点でオペレーティングシステムはどうなりますか？最初に明らかになることは、共有ファイルが保護されたドライブ上にある限り、ファイルは暗号化された形式で保存され、オペレーティングシステムはそれを復号化しないことです。第2に、ユーザーが他のユーザーに共有ファイルへのアクセスを許可する限り（許可認証によって実装される）、他のユーザーはそのファイルにアクセスできます。 EFS暗号化ファイルシステムなどの他のユーザーに証明書を手動でインポートする代わりに。つまり、BitLocker保護メカニズムの下では、この認証および承認プロセスはユーザーに対して透過的です。これは、EFSファイル暗号化システムと比較した場合のBitLockerの最大の改善点の1つです。

第三に、オペレーティングシステムパーティションの特別な保護。

EFS暗号化ファイルシステムは、システムファイルを通常のユーザーファイルと同じように扱います。ただし、BitLocker保護メカニズムでは、システムファイルのセキュリティを最大限に保護するために特別な保護対策が講じられています。システム管理者がBitLockerテクノロジを使用してシステムパーティションを暗号化している限り、オペレーティングシステムの起動後、ディスクエラー、BiOSの変更、スタートアップ構成ファイルの変更など、システムは常にコンピュータを監視し、これを防ぐことができます。セキュリティ上のリスクオペレーティングシステムがこれらのエラーを検出すると、BitLockerは自動的にディスクドライブをロックします。この時点で、システム管理者はプリセットキーでドライブのロックを解除する必要があります。この対策により、システム管理者の知らないうちにオペレーティングシステムのファイルおよび設定ファイルが変更されるのを防ぎます。これは、トロイの木馬、ウイルス、悪意のあるプログラムなどがオペレーティングシステムを損傷するのを防ぐのに役立ちます。

ただし、この保護メカニズムをオペレーティングシステムに使用するときは、2つの点に注意する必要があります。最初に、システム区画の暗号化保護メカニズムを初めて使用するときには、ロック解除パスワードを作成する必要があります。そうでなければ、オペレーティングシステムが疑わしいツールによってロックされているとき、システム管理者はそれをロック解除することができません。このドライブのファイルにもアクセスできません。したがって、このドライブが各ドライブに対して有効になっているときは、ロック解除パスワードを設定することを忘れないでください。次に、TPMチップがユーザーのコンピューターにインストールされている場合は、パスワードをチップに保存できます。システムパーティションがロックされると、BitLockerはチップの要求に応じてパスワードをロック解除します。 Windows 7オペレーティングシステムをサーバーとして使用する場合、このサーバー用にTPMチップを構成し、システムパーティションでBitLocker保護メカニズムを有効にすると、サーバーシステムのセキュリティと安定性を大幅に保証できます。このことからも、マイクロソフトがサーバーのセキュリティと安定性を継続的に向上させていることがわかります。

さらに、EFS暗号化ファイルシステムを使用している場合、攻撃者はアカウントとパスワードを知っている限り、オペレーティングシステムにログインできます。この時点で、EFS暗号化ファイルの保護メカニズムは失われています。ただし、BitLockerもこの点で改善されています。攻撃者がユーザーのアカウントとパスワードを知っていても、システムファイルを保護するための措置を講じることができます。つまり、BitLockerはシステムファイルへの変更を監視します。この変更がオペレーティングシステムにセキュリティ上のリスクをもたらすことが判明した場合は、変更を拒否する手順を実行します。これまでのところ、これはEFSファイル暗号化システムでは不可能な機能です。

目に見えるEFS暗号化システムとBitLocker暗号化メカニズムは、実装の詳細という点でまったく異なります。 BitLockerは、システムパーティションの保護において比較的ユニークなパフォーマンスを発揮します。そしてそれは共有ファイルの管理においてより便利です。