Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Windows Server 2008 in der Zweigstelle 421
Und wenn Sie das Betriebssystemvolume entschlüsseln, erzwingen wir auch die Entschlüsselung
aller bereitgestellten Datenvolumes, bei denen die automatische Entsperrung
aktiviert ist, weil der AMK beim Entschlüsseln des Betriebssystemvolumes gelöscht
wird und daher die Schlüssel für die automatische Entsperrung in der Registrierung
unbrauchbar werden.
Narendra S. Acharya
Software Design Engineer in Test (SDET)
System Integrity, Core OS Division
BitLocker-Verschlüsselungsalgorithmen und -Schlüssel
BitLocker benutzt den AES-Algorithmus (Advanced Encryption Standard) mit einem 256-
Bit-Schlüsselraum. In der Standardeinstellung werden allerdings nur 128 Bit des Schlüssels
benutzt. Um stärkere Verschlüsselung zu erreichen, kann die Schlüssellänge auf 256 Bit
vergrößert werden. Diese Konfiguration können Sie über Gruppenrichtlinien oder den Bit-
Locker-WMI-Anbieter (Windows Management Instrumentation) vornehmen. Wie immer bei
Verschlüsselung bedeuten stärkere Verschlüsselung und längere Schlüssel, dass mehr Rechenleistung
benötigt wird. (Alle Änderungen an den Verschlüsselungseinstellungen werden
erst wirksam, nachdem BitLocker für ein Volume erneut aktiviert wurde.)
Bevor Daten an den AES-Algorithmus übergeben werden, werden sie durch zwei separate
Diffuser-Schritte geleitet. Ein Diffuser ist ein komplexer kryptografischer Algorithmus, der
einen einzigen Zweck verfolgt: Die Diffuser stellen sicher, dass jede Änderung (selbst wenn
es nur ein einziges Bit ist) am Klartext dazu führt, dass der gesamte Block im verschlüsselten
Ciphertext geändert wird. Das macht es schwieriger, unter Umständen sogar unmöglich,
Schlüssel dadurch zu erraten, dass Änderungen im Klartext vorgenommen und dann der
generierte Ciphertext analysiert wird.
BitLocker verschlüsselt jeden Sektor im Volume einzeln. Ein Teil des Verschlüsselungsschlüssels
wird aus der Sektornummer abgeleitet. Das bedeutet, dass zwei Sektoren mit denselben
unverschlüsselten Daten zwei völlig unterschiedliche verschlüsselte Blöcke ergeben,
wenn sie auf die Festplatte geschrieben werden. Das macht es schwieriger, die Schlüssel zu
ermitteln, indem bekannte Datenstücke verschlüsselt werden.
Niels Ferguson, einer der Entwickler des Algorithmus und ein geachteter Kryptografieexperte,
der an BitLocker gearbeitet hat, veröffentlichte einen Artikel zu den Details des BitLocker-
Verschlüsselungsalgorithmus. Sie können ihn auf der Begleit-CD zu diesem Buch und online
unter http://www.microsoft.com/downloads/details.aspx?familyid=131dae03-39ae-48bea8d6-8b0034c92555&displaylang=en
lesen: »AES-CBC + Elephant Diffuser: A Disk
Encryption Algorithm for Windows Vista«. Abbildung 15.7 zeigt einen vereinfachten
Überblick.
Wie bereits erwähnt, wird jeder Sektor individuell verschlüsselt, wobei ein Teil des Schlüssels
aus der Sektornummer abgeleitet wird. Der symmetrische Verschlüsselungsschlüssel,
der für den größten Teil der Verschlüsselung benutzt wird, ist der sogenannte FVEK (Full-
Volume Encryption Key). Der FVEK wird einem Benutzer oder Administrator gegenüber
niemals offengelegt. Für den Fall, dass der FVEK kompromittiert wird, schreiben Sicherheitsempfehlungen
vor, alles, was mit diesem Schlüssel verschlüsselt wurde, zu entschlüsseln
und anschließend mit einem neuen Schlüssel wieder zu verschlüsseln. Weil davon eine
sehr große Datenmenge betroffen sein kann, wäre das ein zeitaufwendiger Prozess (und