Comments 5
Вы сравниваете BitLocker в режиме "TPM only" и токен с PIN. Если же будет BitLocker в режиме "TPM + PIN", то это гораздо лучше этих ваших токенов: хотя бы из-за того, что после ввода PIN TPM не отдаст расшифрованный VMK, если загрузочные компоненты имеют некорректную подпись, а токен просто возьмет и отдаст расшифрованный ключ.
Да, тут вы можете вспомнить про модули доверенной загрузки, но они не работают, увы.
Ошибаетесь, bit locker сливает ключи в облако, в bit locker находили уязвимости, ещё он может слетать при обновления требуя recovery key, надежнее всего буржуйский токен с буржуйским алгоритмом, без возможности ввести пароль, и не используйте гост в обычной жизни, оставьте его для ЭДО, работой с гос тайной и тд.
Ошибаетесь, bit locker сливает ключи в облако
Только в том случае, если вы сами "проставили нужные галочки" (читай: разрешили сохранение ключа восстановления в облако). В условиях организации (если компьютер в домене) — ключи восстановления пойдут в Active Directory. При настройке руками — в текстовый файл или на печать.
ещё он может слетать при обновления требуя recovery key
Он "слетает" из-за того, что "загрузочные условия" изменились, при профиле валидации на базе Secure Boot должен "слетать" реже, значительно реже. Не нравится — отключайте TPM и включайте PIN или USB-ключ, но тогда ваш уровень защиты будет ниже.
в bit locker находили уязвимости
Из них несколько находил я (CVE-2025-21214, CVE-2025-21210, CVE-2024-43513, CVE-2025-21202). Но я могу смело сказать, что BitLocker уже давно впереди всех аналогов.
Откуда такое недоверие к отечественным решениям и отечественной криптографии? Лучший стандарт отрасли - это вариации Диффи-Хелмана с вычислениями на эллиптических кривых. ГОСТ 34.10 - это, внезапно, стандарт алгоритма подписи на эллиптических кривых, т.е. буквально тоже самое.
Как защитить ключи LUKS с помощью Рутокен ЭЦП 3.0 и алгоритмов ГОСТ Р 34.10-2012. Часть 3