Mit der Bitlocker Drive Encryption hat Microsoft für Windows Vista und den Windows Server Longhorn einen neuen Ansatz zur Verschlüsselung implementiert. Die Technologie basiert auf dem TPM (Trusted Platform Module) und setzt entsprechende Hardware voraus. Bei neueren Systemen sollten solche Chips vorhanden sein, bei etwas älteren Systemen fehlen sie aber in der Regel. Insofern ist die Nutzbarkeit der Bitlocker Drive Encryption auch nicht immer gegeben. Bei Neuanschaffungen von Hardware sollte aber auf jeden Fall darauf geachtet werden, dass ein entsprechender Chip vorhanden ist.
Wichtig ist, dass die Bitlocker Drive Encryption nur in den professionellen Versionen von Windows Vista unterstützt wird, also nicht in den Varianten für Endanwender. Die Zielsetzung ist ein optimaler Schutz vor dem Verlust von Daten beispielsweise auch bei Notebooks, die verloren gehen.
Der wesentliche Unterschied zu anderen Lösungsansätzen ist die enge Integration mit den Hardwarefunktionen des TPM 1.2. Damit wird beispielsweise der Start eines anderen Betriebssystems eingeschränkt und die Verwendung von Hacking-Werkzeugen verhindert.
Schutzmechanismen von Bitlocker
Bitlocker schützt das System sowohl offline als auch während des Boot-Prozesses und der späteren Nutzung. Offline-Systeme sind geschützt, weil das gesamte Windows-Laufwerk einschließlich der Systemdaten, der Dateien für den Ruhezustand und der Auslagerungsdatei verschlüsselt werden.
Beim Bootprozess wird analysiert, ob sich die Bootdateien noch im korrekten Zustand befinden und nicht modifiziert wurden. Damit hat man´beispielsweise eine wirksame Kontrolle über Bootviren. Außerdem verfügt externe Software, die gegebenenfalls über ein anderes Laufwerk gebootet wurde, nicht über einen Zugriff auf die Schlüssel, die vom TPM-Chip gespeichert werden. Falls es irgendwelche Änderungen an beobachteten Dateien gibt, wird das erkannt und der Bootprozess unterbrochen. Damit kann ein Benutzer versuchte Modifikationen zuverlässig erkennen.
Die Architektur
Bild 1 zeigt die Architektur von Bitlocker. Die Bezeichnung FVE steht für Full Volume Encryption, also die vollständige Verschlüsselung des Lauf-werks. FVE bezeichnet also die Bitlocker-Komponenten, TPM dagegen die verschiedenen Komponenten der Trusted Platform Modules.
Die beiden Mechanismen arbeiten eng zusammen. Die Konfiguration der Bitlocker Drive Encryption erfolgt mit Hilfe eines Assistenten. Die Benachrichtigungen über wichtige Aktivitäten werden über ein Applet angezeigt. Über einen WMI Provider kann außerdem auf Statusinformationen zugegriffen und eine Konfiguration mit Hilfe von Skripts durchgeführt werden.
Die zentrale Komponente ist aber der FVE-Filter- Treiber, der als Dateisystem-Filter arbeitet und alle Zugriffe auf das Dateisystem verarbeitet. Er führt die Ver- und Entschlüsselung durch. Über einen gemeinsam mit dem TPM genutzten Speicherbereich werden die erforderlichen Schlüsselinformationen ausgetauscht.
Die Nutzung
Bitlocker wird als Teil von Windows Vista installiert, aber nicht aktiviert. Dieser Schritt muss manuell durchgeführt werden. Für die Nutzung wird ein TPM-Chip benötigt. Gegebenenfalls muss dieser im BIOS explizit aktiviert werden. Die Aktivierung von Bitlocker setzt voraus, dass bereits der TPM eingerichtet ist. Anschließend kann die Bitlocker-Verschlüsselung über die Systemsteuerung von Windows aktiviert werden.
Bei den zu definierenden Startoptionen defiunterstützt Bitlocker verschiedene Szenarien. Der einfachste Ansatz ist die Verwendung nur von TPM. In diesem Fall erfordert der Start des Systems keine weiteren Eingriffe durch den Benutzer. TPM lässt sich aber auch mit einer PIN oder einem auf einem USB-Gerät gespeicherten Startschlüssel kombinieren. Grundsätzlich ist es auch möglich, nur mit einem solchen Schlüssel zu arbeiten. Damit können Systeme ohne TPM-Unterstützung eingesetzt werden, wobei aber die wesentlichen Vorteile des Bitlocker-Konzepts verloren gehen. In diesem Fall stellt sich die Frage, ob man nicht mit dem bisherigen EFS (Encrypting File System) arbeiten soll.
Wiederherstellung
Eine der zentralen Herausforderung bei jedem Ansatz für die Verschlüsselung ist die Wiederherstellung von Daten – die in verschiedenen Situationen erforderlich sein kann, beispielsweise beim Wechsel von Hardwarekomponenten oder bei einer vergessenen PIN bzw. einem nicht mehr vorhandenen Startschlüssel auf einem externen Datenträger.
Die Steuerung, in welcher Form die Wiederherstellung erfolgen soll, erfolgt über die Gruppenrichtlinien, wo auch eine Reihe anderer Einstellungen möglich sind (Bild 2). Die Wiederherstellungsinformationen sollten in der Regel im Active Directory abgelegt werden, da damit flexibel darauf zugegriffen werden kann.