70-685 Windows 7 Support in Unternehmen.pdf - Gattner

176 Kapitel 4: Sicherheit
BitLocker
Tipp Entschlüsseln wiederhergestellter Dateien
Wenn Sie das Windows-Sicherungsprogramm verwenden, bleiben Dateien, die von Sicherungsmedien
wiederhergestellt wurden, mit EFS verschlüsselt. Sie können sie entschlüsseln,
indem Sie die Dateien auf einem Computer wiederherstellen und dann den DRA bitten, sich
auf diesem Computer anzumelden.
Sobald Sie die Dateien wiederhergestellt haben, sollten Sie alle Kopien Ihres DRA-Schlüssels
entfernen. Weil der DRA alle Dateien in Ihrer Domäne entschlüsseln kann, ist es wichtig,
dass keinesfalls eine Schlüsselkopie auf dem Computer eines Benutzers verbleibt.
NTFS-Dateiberechtigungen stellen die Zugriffssteuerung bereit, während das Betriebssystem
läuft. EFS ergänzt NTFS-Dateiberechtigungen mithilfe von Verschlüsselung, sodass die
Zugriffssteuerung sogar wirksam ist, falls ein Angreifer das Betriebssystem umgeht (indem
er zum Beispiel den Computer von einer startfähigen DVD startet). Die BitLocker-Laufwerkverschlüsselung
arbeitet wie EFS mit Verschlüsselung. Aber BitLocker unterscheidet
sich in wichtigen Punkten von EFS:
BitLocker verschlüsselt gesamte Volumes, beispielsweise das Systemvolume, mit allen
Benutzer- und Systemdateien. EFS kann keine Systemdateien verschlüsseln.
BitLocker schützt den Computer beim Systemstart, noch bevor das Betriebssystem startet.
Sobald das Betriebssystem gestartet wurde, arbeitet BitLocker völlig transparent.
BitLocker bietet computerspezifische Verschlüsselung, keine benutzerspezifische Verschlüsselung.
Daher brauchen Sie zusätzlich EFS, wenn Sie vertrauliche Dateien vor
anderen gültigen Benutzern schützen wollen.
BitLocker kann die Integrität des Betriebssystems schützen. Es hilft, Rootkits und Offlineangriffe
abzuwehren, die Systemdateien manipulieren.
Hinweis Editionen von Windows 7, die BitLocker enthalten
BitLocker ist ein Feature von Windows 7 Enterprise und Windows 7 Ultimate. In anderen
Editionen von Windows 7 wird es nicht unterstützt.
Auf älteren Windows-Versionen mussten Administratoren die BitLocker-Partitionen von
Hand konfigurieren. In Windows 7 konfiguriert das Setup die Partitionen automatisch so,
dass sie zu BitLocker kompatibel sind.
Verwenden von BitLocker mit TPM-Hardware
Steht ein TPM 1.2-Chip (Trusted Platform Module) zur Verfügung (was auf einigen neueren
Computermodellen der Fall ist), versiegelt BitLocker den symmetrischen Verschlüsselungsschlüssel
in diesem Chip. Hat der Computer keinen TPM-Chip, speichert BitLocker den
Verschlüsselungsschlüssel auf einem USB-Flashlaufwerk, das jedes Mal, wenn der Computer
startet oder aus dem Ruhezustand aufwacht, eingesteckt werden muss.
Bei vielen Computern, die mit TPM ausgerüstet sind, ist der TPM-Chip im BIOS (Basic
Input/Output System) deaktiviert. Bevor Sie TPM verwenden können, müssen Sie in einem