Jak system Windows może uruchomić się z Bitlockerem po wyczyszczeniu TPM?

Po zainstalowaniu systemu Windows włączyłem Bitlocker dla pełnego szyfrowania dysku C: \. Zapisałem klucze odzyskiwania, a następnie pozwoliłem Bitlockerowi kontynuować szyfrowanie całego dysku.

Po ponownym uruchomieniu byłem zaskoczony, że system uruchomił się całkowicie bez monitowania o podanie kodu PIN. Myślę, że Bitlocker prosi TPM (AMD fTPM) o klucze do odszyfrowania dysku, powiedz mi, czy się mylę.

Starałem się więc, aby TPM wymagał pinezki przed ujawnieniem wszystkich jego małych tajemnic. Znalazłem sposób zmiany „Lokalnych zasad komputera” i skonfigurowałem ustawienia „Wymagaj dodatkowego uwierzytelnienia przy uruchomieniu”, wymagające podania kodu PIN.

Następnie przystąpiłem do ustawiania pinu dla mojego dysku C: \, co poszło idealnie. Uruchomiłem się ponownie i zostałem poproszony o podanie pinezki, która moim zdaniem była końcem historii.

Ale chciałem przetestować czyszczenie modułu TPM, aby upewnić się, że jest to składnik przechowujący klucze (mam klucz odzyskiwania Bitlocker, więc nie powinno to stanowić problemu). Wyczyściłem TPM za pomocą graficznego interfejsu użytkownika TPM systemu Windows.

Ku mojemu wielkiemu zdziwieniu, kiedy ponownie uruchomiłem system Windows, nie zostałem poproszony o podanie kodu PIN NOR A RECOVERY KLUCZ! System uruchomił się idealnie, ale Bitlocker był w stanie zawieszenia! Jak to możliwe po wyczyszczeniu TPM? Klucze powinny zniknąć na zawsze! Czy zostały skopiowane do strefy czytelnej na moim dysku?

Czy nie rozumiem, w jaki sposób Bitlocker i TPM działają razem?

— mimipc
źródło

Wygląda na to, że funkcja BitLocker jest obecnie zawieszona. Czy możesz sprawdzić, czy tak jest w rzeczywistości?

— Ramhound

Co to znaczy? Po wyczyszczeniu modułu TPM wszedł w stan zawieszenia, aby uniknąć zablokowania?

— mimipc

„Zawieszenie funkcji BitLocker nie oznacza, że funkcja BitLocker odszyfrowuje dane na woluminie. Zamiast tego zawieszenie powoduje, że klucz służy do odszyfrowania danych dla wszystkich w sposób jawny. Nowe dane zapisane na dysku są nadal szyfrowane” . Możesz przejrzeć manage-bde: protektory i poczytać o tym -tpmandpinandstartupkeyparametrze i przetestować go .

— Pimp Juice IT

Ok, więc teraz myślę, że klucze zostały zapisane na niezaszyfrowanej partycji dysku. Cóż za miła funkcja dla kogoś, kto chce odczytać wszystkie dane! To jest głupie

— mimipc

@mimipc - Po wznowieniu funkcji BitLocker dane, o które się martwiłeś, zostały usunięte, ponieważ zostały zapisane w zaszyfrowanych danych, o które nie masz się czym martwić. Jednak, jak obecnie napisano, twoje pytanie nie zawiera faktu, że funkcja BitLocker była w stanie zawieszenia, więc na to pytanie nie można odpowiedzieć w obecnym stanie. Zawieszenie funkcji BitLocker polega na aktualizacji oprogramowania układowego TPM, więc fakt, że funkcja BitLocker została zawieszona, nie zwiększa / nie zmniejsza poziomu bezpieczeństwa. Jest to stan niezbędny w niektórych czynnościach konserwacyjnych.

— Ramhound

Odpowiedzi na moje pytanie dzięki pomocy Ramhounda.

Podczas czyszczenia TPM, Windows automatycznie przełącza się w tryb zawieszony Bitlockera. Ten tryb utrzymuje klucz głośności w nieszyfrowanym sektorze dysku. Gdy system uruchomi się ponownie, używa klucza wyczyszczenia do odczytu woluminu i przejmuje własność TPM, co wyłącza tryb zawieszenia.

Poniższe łącza podają informacje o tym, jak przechowywany jest klucz do wyczyszczenia i jak sądowa może pomóc w czytaniu woluminu, jeśli został on umieszczony w trybie zawieszonym:

— mimipc
źródło

To jest rzeczywiście poprawne. Jeśli usuniesz moduł TPM z oprogramowania układowego, pojawi się pytanie o klucz odzyskiwania. Windows sprawia, że wszystko jest dla ciebie wygodne, najpierw zawieszając ochronę, a następnie włączając ją ponownie po ponownym uruchomieniu, kiedy może ponownie zapisać klucze z powrotem do TPM.

— Wes Sayeed