70-685 Windows 7 Support in Unternehmen.pdf - Gattner

178 Kapitel 4: Sicherheit
TPM mit PIN In diesem Modus muss der Benutzer eine PIN eingeben, um Windows
zu starten.
TPM mit PIN und externem Schlüssel In diesem Modus muss der Benutzer einen
externen Schlüssel bereitstellen und eine PIN eingeben.
Wenn TPM-Hardware zur Verfügung steht, überprüft BitLocker die Integrität des Computers
und des Betriebssystems, indem es »Messwerte« für verschiedene Teile des Computers und
Betriebssystems im TPM-Chip speichert. In seiner Standardkonfiguration weist BitLocker
das TPM an, den Master Boot Record, die aktive Startpartition, den Startsektor, den Windows-Start-Manager
und den BitLocker-Speicherungsstammschlüssel zu messen. Jedes Mal,
wenn der Computer gestartet wird, berechnet das TPM den SHA-1-Hash des gemessenen
Codes und vergleicht ihn mit dem Hashwert, der beim letzten Start im TPM gespeichert
wurde. Stimmen die Hashwerte überein, wird der Startprozess fortgesetzt. Stimmen die
Hashwerte nicht überein, wird der Startprozess angehalten. Am Ende eines erfolgreichen
Startprozesses gibt das TPM den Speicherungsstammschlüssel (engl. storage root key) für
BitLocker frei. BitLocker entschlüsselt die Daten, während Windows sie vom geschützten
Volume liest. Weil kein anderes Betriebssystem dies tun kann (nicht einmal eine andere
Instanz von Windows 7), gibt das TPM niemals den Schlüssel heraus. Das Volume bleibt
daher verschlüsselt und für Angreifer völlig nutzlos. Jeder Versuch, das geschützte Volume
zu manipulieren, bewirkt, dass es nicht mehr startfähig ist.
Aktivieren von BitLocker auf Computern ohne TPM
Ist keine TPM-Hardware verfügbar, kann BitLocker Entschlüsselungsschlüssel statt in einem
eingebauten TPM-Modul auch auf einem USB-Flashlaufwerk speichern. Es ist allerdings
gefährlich, BitLocker in dieser Konfiguration zu betreiben. Falls der Benutzer das USB-
Flashlaufwerk verliert, kann auf das verschlüsselte Volume nicht mehr zugegriffen werden
und der Computer kann ohne den Wiederherstellungsschlüssel nicht starten. Windows 7
stellt diese Option daher nicht standardmäßig zur Verfügung.
Wenn Sie die BitLocker-Verschlüsselung auf einem Computer ohne kompatibles TPM benutzen
wollen, müssen Sie eine Einstellung in den Computergruppenrichtlinien ändern.
Gehen Sie dazu folgendermaßen vor:
1. Öffnen Sie den Gruppenrichtlinienverwaltungs-Editor, indem Sie im Startmenü
gpedit.msc eingeben und die EINGABETASTE drücken. Bestätigen Sie die UAC-
Eingabeaufforderung, die daraufhin angezeigt wird.
2. Erweitern Sie die Knoten Computerkonfiguration, Administrative Vorlagen, Windows-
Komponenten, BitLocker-Laufwerkverschlüsselung und wählen Sie den Knoten Betriebssystemlaufwerke
aus.
3. Aktivieren Sie die Richtlinie Zusätzliche Authentifizierung beim Start erforderlich und
aktivieren Sie das Kontrollkästchen BitLocker ohne kompatibles TPM zulassen. Klicken
Sie auf OK.
Wenn Sie BitLocker in einem Großunternehmen bereitstellen und dabei statt TPM USB-
Flashlaufwerke einsetzen wollen, sollten Sie diese Einstellung in einer Domänen-Gruppenrichtlinieneinstellung
vornehmen.