Vom trata o problemă de o importanță vitală în rolul nostru de administratori și este o problemă legată de securitatea informațiilor din rețeaua noastră, știm cu toții că organizațiile trebuie să asigure securitatea și disponibilitatea informațiilor, deoarece există datele care sunt extrem de delicate și dacă sunt furate, piratate sau orice alt tip de situație pot avea probleme nu numai pentru organizație, ci și pentru responsabilul cu zona de sisteme.
Înainte de a începe, să trecem în revistă ceea ce Termen de criptare și ce beneficii ne poate oferi; Criptarea pur și simplu transformă datele pe care le avem într-un fișier imposibil de citit pentru un alt utilizator care nu este autorizat să aibă acces la datele menționate. Există, de asemenea, procesul de decriptare, care nu este altceva decât convertirea datelor criptate în starea inițială.
exista 3 tipuri de algoritmi de criptat:
SimetricEste una care folosește o cheie simplă pentru a cripta sau decripta un fișier.
AsimetricEste cea care folosește două chei corelate matematic, cu una fișierul este criptat și cu cealaltă este decriptat.
Tipul hashAcest tip de criptare funcționează într-un singur mod, adică după criptare nu poate fi decriptat.
Astăzi Windows Server 2012 încorporează două (2) tehnologii de criptare
- Sistem de criptare a fișierelor - Criptarea sistemului de fișiere (EFS)
- Criptare dispozitiv BitlLocker - Criptare unitate BitLocker
Să începem cu partea practică, să trecem la capitolul următor făcând clic pe următorul.
1. Criptați sau decriptați fișierele folosind EFS
Mai criptați fișiere pe volume NTFS iar pentru utilizarea acestuia utilizatorul trebuie să aibă codurile de acces, atunci când deschidem (cu parola validă) un fișier cu EFS va fi decriptat automat și dacă îl salvăm va fi decriptat.
Criptați fișierul cu EFS
Procesul pentru criptați un fișier cu EFS este următorul:
Trebuie să facem clic dreapta pe folderul sau fișierul pe care dorim să îl criptăm și să alegem opțiunea Proprietăți (editați):
În filă general alegem opțiunea Opțiuni avansate.
Opțiunea va fi afișată Atribute avansate.
Alegem opțiunea Criptați conținutul pentru a proteja datele, facem clic pe A accepta.
Vom vedea că folderul nostru criptat este evidențiat.
NotăDacă există subfoldere în folderul pe care îl avem, atunci când aplicăm modificările, sistemul ne va întreba dacă dorim să aplicăm aceste modificări tuturor folderelor (inclusiv subfolderelor) sau doar folderului rădăcină
Selectăm cea mai potrivită opțiune și facem clic pe A accepta.
Decriptați fișierul sau folderul cu EFS
Pentru a decripta un fișier sau dosar efectuăm următorul proces:
Facem clic dreapta și alegem proprietăți:
În filă general noi alegem Opțiuni avansate:
Fereastra de Atribute avansate și ar trebui să o facem debifează optiunea Criptați conținutul pentru a proteja datele:
Facem clic pe A accepta Da aplica pentru a salva modificările.
Să ne amintim aceste aspecte importante atunci când lucrăm cu Criptare EFS:
- Putem cripta directoare folosind doar volumul NTFS.
- Dosarul va fi decriptat automat atunci când îl mutăm sau îl copiem într-un alt volum NTFS.
- Fișierele care sunt root ale sistemului nu pot fi criptate.
- Folosirea EFS nu este o garanție că fișierele noastre pot fi șterse, pentru a evita acest lucru trebuie să folosim permisiunile NTFS.
2. Partajați fișiere protejate EFS altor utilizatori
Cum să partajați fișiere protejate EFS altor utilizatori? Aceasta este o întrebare foarte solicitată în acest domeniu, dar nu vă faceți griji, are o soluție. Când criptăm un fișier cu EFS, numai utilizatorul care l-a criptat poate avea acces la respectivul fișier, dar în cele mai recente versiuni de NTFS putem adăuga un certificat în fișierul sau folderul nostru criptat pentru a-l partaja cu alte persoane.
Pentru a realiza acest proces trebuie să parcurgem următorii pași:
Faceți clic dreapta pe folder sau fișier pentru a partaja și alege Proprietăți.
La fereastră Proprietăți (editați) noi alegem Opțiuni avansate.
Acolo fereastra de Atribute avansate, trebuie să alegem opțiunea Detalii.
Și în fereastra afișată adăugăm pur și simplu utilizatorii cu care va fi partajat și facem clic pe A accepta.
În cazul în care cineva care a gestionat SAI a părăsit organizația sau a uitat parola de criptare, putem folosi DRA (Agent de recuperare date-Agent de recuperare date).
Pentru aceasta, vom efectua următorul proces:
- Ne deschidem Administrator de politici de grup (În Managerul serverului sau Administratorul serverului, meniul Instrumente).
- Implementăm pădurea și domeniul.
- Facem clic dreapta pe Politică implicită sau Politică de domeniu implicită, selectăm Editați | ×:
Odată ce fereastra de editare se deschide, mergem la următorul traseu:
- Configurare computer
- Politici
- Opțiuni Windows
- Setări de securitate
- Politici cu cheie publică
Noi alegem Sistem de criptare fișiere (Encrypting File System) și acolo facem clic dreapta și alegem Creați un agent de recuperare a datelor (Creați un agent de recuperare a datelor).
Facem clic pe Sistem de criptare fișiere (Criptarea sistemelor de fișiere), alegem certificatele și închidem editorul de grup.
3. Managementul certificatelor
Când creăm un fișier pentru prima dată, sistemul va crea automat certificatul de criptare. Putem face o copie de rezervă a certificatului menționat, pentru aceasta mergem la comanda Executare sau chei:
Windows + R
Și introducem următoarele:
certmgr.msc
În fereastra afișată alegem Personal / Certificate, în certificatul afișat facem clic dreapta și alegem A exporta.
Expertul de export se va deschide, faceți clic pe Următorul.
Alegem dacă dorim să trimitem cheia privată:
Facem clic pe Următorul, alegem tipul de format și facem din nou clic pe Următorul.
Facem clic pe Următorul, căutăm certificatul nostru și facem clic pe Finalizează
4. Criptarea fișierelor utilizând Bitlocker
Cu BitLocker (Criptare unitate BDE-BitLocker) Este posibil să criptăm volume întregi, deci dacă ne pierdem dispozitivul, datele vor rămâne criptate chiar dacă sunt instalate în altă parte.
BDE folosește o nouă caracteristică numită TPM-Trusted Plattform Module - Modul de platformă de încredere, și acest lucru permite să aibă o securitate mai mare în cazul unui atac extern BitLocker folosește TPM pentru a valida boot-ul și pornirea serverului și garantează că hard disk-ul se află în condiții optime de securitate și funcționare.
Sunt cateva Cerințe pe care trebuie să le luăm în considerare pentru a implementa criptarea cu BitLocker, acestea sunt:
- Un computer cu TPM.
- Un dispozitiv de stocare detașabil, cum ar fi un USB, deci în cazul în care computerul nu are un TPM, TPM stochează cheia pe acel dispozitiv.
- Minim 2 partiții pe hard disk.
- BIOS compatibil cu TPM, dacă nu este posibil, trebuie să ne actualizăm BIOS-ul folosind BitLocker.
TPM este disponibil în următoarele versiuni de Windows pentru computerele personale:
- Windows 7 Ultimate
- Windows 7 Enterprise
- Windows 8 Pro
- Windows 8 Enterprise
BitLocker nu este utilizat în mod obișnuit pe servere, dar poate crește securitatea prin combinarea acestuia cu Cluster Failover.
Bit Locker poate accepta următoarele formate:
- FAT16
- FAT32
- NTFS
- SATA
- ATA, etc.
BitLocker nu acceptă:
- Fișiere de sistem CD sau DVD
- iSCI
- Fibră
- Bluetooth
BitLocker folosește 5 moduri operaționale în funcționarea sa:
TPM + PIN (Număr identificator personal) + ParolăSistemul criptează informațiile cu TPM, în plus, administratorul trebuie să introducă codul PIN și parola pentru a accesa
TPM + cheieSistemul criptează informațiile cu TPM, iar administratorul trebuie să furnizeze o cheie de acces
TPM + PINSistemul criptează informațiile cu TPM, iar administratorul trebuie să furnizeze identificarea sa de acces
Numai cheieAdministratorul trebuie să furnizeze parola de acces pentru gestionare
Numai TPMNu este necesară nicio acțiune de către administrator
5. Cum se instalează Bitlocker
Procesul de instalare a acestei caracteristici este următorul:
Mergem la Server Administrator sau Server Manager și alegem Adăugați roluri și caracteristici aflat în lansarea rapidă sau în meniu Administra:
MARI
În fereastra afișată facem clic pe Următorul, noi alegem Instalare bazată pe rol sau caracteristică, facem din nou clic pe Următorul:
În fereastra următoare ne selectăm serverul și facem clic pe Următorul, în fereastra rolului facem clic pe Următorul pentru că vom adăuga o caracteristică nu un rol. În fereastra Selectați caracteristici alegem opțiunea Criptare unitate BitLocker.
După cum vedem în panoul din dreapta, avem un scurt rezumat al funcționalităților acestei caracteristici, dăm clic pe Următorul. Va fi afișată o fereastră cu un rezumat al ceea ce vom face:
Facem clic pe Instalare pentru a începe procesul:
Odată ce a noastră Funcția BitLocker trebuie să repornim serverul.
6. Determinați dacă computerul nostru are TPM
Modul de platformă de încredere este cunoscut (TPM). În BitLocker, cipul TPM este utilizat pentru a proteja cheile de criptare și autentificare, oferind integritate cu încredere.
Pentru a determina dacă avem opțiunea TPM trebuie să mergem la Panou de control și alegem opțiunea Securitate:
Odată ce fereastra de Securitate noi alegem Criptare unitate Bitlocker.
Vom vedea că în panoul din stânga jos avem opțiunea de a Managementul TPM.
Facem clic pe această opțiune, Managementul TPM și vom vedea dacă echipa noastră are instalată această caracteristică:
7. Activare BitLocker
La activați BitLocker trebuie să mergem la:
- Panou de control
- Securitate
- Criptare unitate Bitlocker
Alegem opțiunea Activați BitLocker, procesul de activare va începe:
Sistemul va indica câteva dintre următoarele opțiuni:
În acest exemplu, alegem Scrie o parolă
Sistemul ne va spune ce să facem cu parola noastră:
În cazul nostru alegem Salvați în fișier:
Ne salvăm parola și facem clic pe Următorul, acolo sistemul ne spune ce tip de criptare dorim să realizăm, întreaga unitate sau doar spațiul pe disc, alegem în funcție de configurația noastră.
Alegem și facem clic pe Următorul și în cele din urmă procedăm la criptarea unității noastre.
AtenţieDacă din anumite motive hardware computerul nostru nu trece testul TPM, putem rula următorul proces pentru a permite activarea BitLocker:
- Executăm comanda gpedit.msc în Alerga
- Intrăm pe următorul traseu: Configurare computer / Șabloane administrative / Componente Windows / Criptare unitate Bitlocker / Unități de sistem de operare.
- Facem dublu clic pe această ultimă opțiune.
- Activăm politica făcând clic pe Permite.
- Economisim și putem executa activarea noastră fără probleme.
Ce este BitLocker To Go?Bitlocker To Go este o funcționalitate care ne permite să criptăm unitățile noastre flash, pentru aceasta trebuie să urmăm pasul anterior alegând unitatea flash.
Pre-aprovizionare BitLockerAceastă opțiune vă permite să configurați Bitlocker înainte de instalarea sistemului de operare, pentru aceasta trebuie să configurăm opțiunea Windows Preinstallation Environment Win PE cu comanda Manage-bde -on x:
Ca rezumat, putem spune că avem instrumente care ne oferă o securitate mai mare pentru fișierele și folderele noastre, toate cu scopul de a le păstra integritatea.
Dacă doriți mai multe informații despre DFS, nu uitați să vizitați site-ul oficial Microsoft.
Criptați discurile Windows 10 cu BitLocker
