Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

420 Kapitel 15: Schützen von Zweigstellen
passt haben: Es stimmt, Sie starten Ihren Computer niemals von der Startpartition, und auf
der Systempartition befinden sich keine Windows-Systemdateien.)
Die aktive Partition ist nicht verschlüsselt, das Windows-Betriebssystemvolume schon. Anders
ausgedrückt: BitLocker verschlüsselt alles, was in ein geschütztes Volume geschrieben
wird, also Code, Daten und Temporärdateien.
Die BitLocker-Verschlüsselung des gesamten Volumes bietet Schutz gegen Offlineangriffe,
bei denen jemand versucht, das Betriebssystem zu umgehen. Es ist sehr wichtig, dass Bit-
Locker ein laufendes Betriebssystem nicht schützt. Wenn das Windows-Betriebssystemvolume
beim Start entsperrt wurde, verschlüsselt und entschlüsselt BitLocker die Sektoren
transparent. Das geschieht immer, wenn eine Anwendung oder das Betriebssystem selbst
Daten auf einem geschützten Volume liest oder schreibt. Weitere Schutzfunktion führt
BitLocker nicht aus. Aber BitLocker bietet eben Schutz gegen Offlineangriffe, wenn zum
Beispiel die Festplatte (oder der gesamte Server) gestohlen wird.
Ohne BitLocker ist es ganz einfach, die Festplatte aus dem Server aus- und in einen anderen
Computer einzubauen. So lassen sich die NTFS-Berechtigungen und ähnliche Schutzmechanismen
aushebeln. Mit BitLocker kann aber auch in einem anderen Computer nichts
Sinnvolles von der Festplatte ausgelesen werden, sofern Sie nicht das erforderliche Wiederherstellungskennwort
haben, um das Volume zu entsperren. Es stimmt, dass auch Dateien,
die durch RMS und EFS geschützt sind, nicht einfach gelesen werden können, aber BitLocker
dehnt diesen Schutz auf das gesamte Volume aus, inklusive der Dateien, die nicht durch
RMS oder EFS geschützt werden können (zum Beispiel die Active Directory-Datenbank
oder die Registrierung).
Direkt von der Quelle: Automatisches Entsperren von Datenvolumes
In Windows Server 2008 hat Microsoft Unterstützung für Datenvolumes zu BitLocker
hinzugefügt. Ergänzt wird das durch die Fähigkeit, alle verschlüsselten Datenvolumes
automatisch aufzusperren. Dazu speichert BitLocker Schlüssel für verschlüsselte Datenvolumes
in der Systemregistrierung, wo sie von BitLocker ausgelesen werden können,
um das Volume zu entsperren.
Es ist sehr wichtig, diese Schlüssel für die automatische Entsperrung gut zu schützen, da
sie benutzt werden können, um das Volume zu entschlüsseln. Daher werden diese Schlüssel
selbst immer verschlüsselt, bevor sie in der Registrierung gespeichert werden. Sie
werden dabei mit einem neuen Schlüssel verschlüsselt, dem AMK (Auto-Unlock Master
Key). Der AMK ist dem FVEK sehr ähnlich. Der FVEK dient dazu, die Daten auf dem
Volume zu verschlüsseln, der AMK wird dagegen benutzt, um die Daten in der Registrierung
zu verschlüsseln. Wie der FVEK wird auch der AMK mit dem VMK des Betriebssystemvolumes
verschlüsselt. Das erklärt, warum BitLocker erst auf dem Betriebssystemvolume
aktiviert werden muss, bevor es auf irgendwelchen Datenvolumes aktiviert werden
kann.
Dank dieses Entwurfs können Sie BitLocker auf sichere Weise auf einem Datenvolume
aktivieren und dieses Volume für die automatische Entsperrung einrichten (das ist die
Standardeinstellung), ohne erst warten zu müssen, bis das Betriebssystemvolume vollständig
verschlüsselt ist.