Comments 90
Да неужели? Столько лет приходилось идти на ухищрения, что бы на домашней версии ставить шифрование. Интересно, добавят ли наконец кнопку включения разблокировки только по паролю?
А для домашней версии это точно фича? Сколько хомячков в случае чего не продолбают все свои данные? И в какой момент за те ключи, что всё-таки засинкались в профиль MS, то самое MS попросит денег наравне с традиционными шифровальщиками?)
Microsoft не просит денег "за шифрование". Денег (в виде апгрейда до Pro) просят за управление BitLocker. Т.е. если вы хотите не просто шифрование, а тонко настраивать его политиками, управлять предохранителями, иметь разные типы предохранителей.
Шифрование устройство даётся бесплатно, и только, если аппаратное обеспечение отвечает определенным требованиям (поддержка Modern Standby, наличие TPM для прозрачной расшифровки, поддержка безопасной загрузки). В отличие от BitLocker, который вы можете включить на любой аппаратной конфигурации, хоть на древней "коре дуба".
наличие TPM для прозрачной расшифровки
Потом шаловливые ручки зайдут в биос и нажмут "Clear TPM" случайно - и досвиданья данные :)
Так с дури и член сломать можно, так на вскидку найти пункт с TPM еще тот квест.
Криво обновить биос (или обновление пойдёт не так) и всё.
Если человек дошел до обновления биоса, то как минимум он понимает все риски. Простому пользователю в биосе разве что xmp включить и все, больше там реально нечего настраивать. Все в дефолте, PBO на автомате, остальное и даром трогать не нужно. Вторичные, троичные тайминги, андерволтинг - все это для опытных пользователей. Это вот если настройка, а вот прежде чем обновлять биос нужно понимать "а на кой оно вообще надо?!" Левая прошивка просто не прошьется, а если моргнул свет, то тут да приехали, конечная. И вот если пошла такая пьянка, то бекапы никто не отменял.
а если моргнул свет, то тут да приехали, конечная
Сейчас большинство материнок имеют резервную область и вачдог. Если с основного биоса не стартует, то запускается с резервного, либо принудительно можно запустить.
Ноутбуки давным давно получают обновление биос с обновлениями винды. А вот отключить эти обновления обычный пользователь почти не может. Получается домохозяйка Люся обновит свой биос чуть ли не с большей вероятностью, чем я
Шифрование в Home версиях по умолчанию включается только при соответствии системным требованиям + логин в учетку MS. Так что ключ останется в аккаунте и его можно спокойно восстановить.
А зачем оно на домашнем, стационарном ПК?
Я понимаю нотубук, можно потерять(могут украсть) и любой желающий при помощи отвертки получит доступ к вашим данным, но на стационарном то ПК нафиг оно надо?
P.s. На личном и рабочем ноуте использую битлокер, проблем с производительностью не замечал (но специально и не искал).
У очень большой части именно домашних, непрофессиональных пользователей именно ноуты. Десктопы собирают либо увлечённые люди, либо геймеры - остальным проще зайти в магазин бытовой электроники и выйти оттуда с одной плоской коробкой.
Путешествуют они, конечно, в основном с кухни на диван, максимум - на дачу, но тем не менее.
Чет я не уловил зачем вы выделили отдельную категорию и решили рассматривать вопрос только в рамках нее. Тем более что вопрос был про стационарные ПК и только про них.
Надо сравнивать абсолютные значения. Рандомный сайт в интернете (statista) говорит о том что продажи ПК к ноутам, это ~1\4, так что игнорировать ~25% рынка это такое себе занятие.
зачем оно на домашнем, стационарном ПК
Кха кхм. Как бы это выразиться. На случай незванных гостей
Кха кхм. Как бы это выразиться. На случай незванных гостей
У "незванных" гостей есть ключи в отделе К, а даже если и нет, то утюг лежащий на вашем животе быстро подскажет нужный пароль. Не стоит себя обманывать.
Те кто украдут ваш комп но не вас в пролёте
Те, кто крадёт ваш комп, в подавляющем большинстве случаев чихать хотели на ваши данные. Комп (как и любая другая матценность) крадётся с целью дальнейшего сбыта барыге по сходной цене, и как можно быстрее.
Как дети малые, право слово...
Стираешь ключ шифрования, на NAS размонтируешь шифрованные диски, тогда никакие терморектальные способы не помогут.
А запасной ключ можно записать например на NFC-наклейку, которую спрятать в неведомые края.
Почему-то мне кажется, что этим вы хуже только себе сделаете. Давайте, убедите грозного дядю с 3 классами приходской школы, что усё.
Может проще не хранить\не работать с чем не надо?
тогда никакие терморектальные способы не помогут.
Чтож у вас за информация такая что вы готовы пожертвовать своим здоровьем (жизнью?), а так же родными и близкими?
ключ шифрования, на NAS
Вы пытаетесь решить проблему техническим путем, забывая, что работают совершенно другие методы и правила, с более гарантированным результатом. Вот, очень хороший метод.
Чтож у вас за информация такая что вы готовы пожертвовать своим здоровьем (жизнью?), а так же родными и близкими?
Всё правильно, честному человеку скрывать нечего. </s>
Кстати, а можете мне креды вашей учётки в фейсбуке дать? мне просто хочется личку почитать, посмотреть ваши разговоры с друзьями. Вдруг там что не так. Или вам есть что скрывать?
и ещё раз закрываю тег</s>
Кстати, а можете мне креды вашей учётки в фейсбуке дать?
Без проблем, можно только ознакомиться с вашим удостоверением, а то сейчас столько жуликов и мошенников, жуть просто
Только это, чтобы валидность подписи можно было проверить
Паранойя - страшная вещь.
mne pomogla kogda v 2004 prinyal otdel-k&r i znakomomu chelu chto vykinul iz okna hdd popav v bolshoi kamen tk dumal chto prishli za karding dveri lomat hotya isp prosto za krazu traffika nakatal - dccp s hidenos & truecrypt blokirovali oformlenie srokov ... tot chel dropami v litse zabytyh starushek soderzhal ih kvarplaty na raione - trudno bylo konechno babushkam obyasnyatsya v tamozhke zachem im shlyut moduli ram v takom kolichestve iz usa
Так гости унесут диск вместе с TPM и все будет так же прозрачно расшифровываться по включении.
Потому что у большинства людей домашний ПК - это ноут.
и? вопрос не про ноутбуки, а про стационарники коих ~25%
Вопрос про шифрование устройств в целом.
Не воспринимайте лично, но что в вашей жизни произошло такого что на конкретный вопрос про домашние стационарники (на минуточку, выделено жирным), вы отвечаете про ноутбуки и устройства в целом?
Вот специально же акцентировано, что речь не о корпоративных ПК, не о серверах, не о планшетах, не о мобилках, не о ноутбуках.
Можно мне для понимания, как это работает (я правда хочу понять)? Вот стоят люди обсуждают зеленых слонов и как? как это происходит? как появляется желания встрять с розовым попугаем?
И что вы там собрались шифровать на бюджетном домашнем ноуте? Текстуры от игор? Статические ассеты ютуба с вконтактиком в кэше браузера?
SSD с аппаратным шифрованием потихоньку наполняют рынок, пусть и неспешно. А там уже не важно, текстурки игр или фотографии котят. Видимого импакта на производительность не должно быть
и каким боком аппаратное шифрование к битлокеру?
Может потому что bitlocker кроме AES-XTS умеет и в аппаратное шифрование накопителей? (Для совместимых SSD, конечно, в соответствующем режиме работы)
Да, в основном кэшы, незащищенные пароли, фотографии и другие личные данные, которые не должны оказаться в руках постороннего.
Текстуры от игор?
интимные фото, например ... хотя их же сейчас все в телефоне хранят )))
А зачем оно на домашнем, стационарном ПК?
1) Квартиры, внезапно, обкрадывают. Ваш стационарный ПК может по стомости превышать всю прочую технику в квартире вместе взятую, особенно, если в нём какая-нибудь RTX 4090.
2) Чрезмерно любопытные и технически подкованные члены семьи с LiveCD в ручонках. Отсутствие шифрование гарантирует лёгкий обход авторизации и доступ к вашим данным.
3) Чрезмерно любопытные товарищи в погонах, которые вам совсем не товарищи. Например, у вас провели обыск, как у свидетеля, изъяли технику, а на жестком диске у вас лежало... да пусть даже не что-то противозаконное. У меня, например, там лежит доступ к репозиторию с кодом и серверу, который этот код собирает и раздаёт на миллионную аудиторию. При отсутствии шифрования эти доступы можно сразу считать скомпрометированными.
1. И что? Кто-то будет рассматривать ваши фотки из отпуска в 2018?
2. Возможно, но очень редко
3. Это вообще мимо. У меня огромные вопросы к вашей СБ.
Вот ваш комп после кражи быстренько реализуют по запчастям, совершенно не интересуясь его содержимым.
Стандартный домушник не вдаётся в подробности вашей личной жизни в сети, ему нужна материальная выгода.
От любопытных членов семьи с LiveCD в BIOS есть запрет на загрузку с внешних устройств и пароль на BIOS. И, в конце концов, если вы так боитесь, что ваше палево на диске кто-то обнаружит, так не храните на нём это палево! Возьмите, чёрт побери, внешний диск. Арендуйте хранилище в облаке. Замуруйте в стену NAS.
Блин, ну, никакой фантазии у людей. Аж скучно.
Не очень понятно как цена комплектующих влияет на защищенность, ну да ладно. В целом да, такой кейс возможен, и можно было бы написать что статистически это маловероятно т.к.:
В январе - декабре 2023 года зарегистрировано 20,5 тыс. квартирных краж пруф
всего квартир в РФ 70.2 млн. на 2021 г. Дальше росстат чет забил на обновление данных: ссыль > 3.4. ХАРАКТЕРИСТИКА ЖИЛЫХ КВАРТИР ПО ЧИСЛУ КОМНАТ
но, у каждого свои страхи. В любом случае это не повод вкорячивать фичу всем без разбора
Второе. Ни что так не отбивает желеание лезть куда не надо как свободный доступ. Заведите криптоконтейнер (с каким-нибудь 4к ключем), положите на рабочий стол, скажите что вот там все самое ценное и пусть е*ся расшифровывает ваш любимый рецепт пирогов (ну или что вы там любите). Плюс опять таки это очень редкий кейс
Третье. Отвечал чуть выше, но у ключи в отделе К от битлокера давно лежат (см. историю с TrueCrypt). Плюс все логины и пароли вы сами расскажите во время следственных действий да и при обычном грабеже (либо из-за природной честности, либо из-за паяльника в каком-нибудь интересном месте). Любая информация на изъятой технике априори должна считаться скомпрометированной.
как шифровка системного раздела защитит от форматирования всего и относа в ломбард?
каким данным? фоточкам? ну не хранит порнуху на компе, тоже мне проблема. переписка в мессенджерах? аналогично, если у тебя там что-то есть компроментирующее, ты или мудло которому так и надо, или не храни его на общедоступном компе.
если у вас хранится что-то специфичное, то вы в состоянии и сами битлокер включить. ВСЕМ пользвоателям это не нужно, 99% использует комп для работы с базовыми не секретными документами, доступу к почте и интернетику.
Не добавят. Шифрование устройства хоть и работает на базе BitLocker, но позиционируется как отдельная фича.
https://www.outsidethebox.ms/19600/
Хотите управлять BitLocker - придётся приобрести издание Pro.
Нафига вообще шифрование системного раздела для простых людей? Чтобы гарантировано просрать все данные и настройки в случае поломки? Чтобы усложнить работу тех, кто будет чинит комп? Или просто поднасрать пользователям, а то что это, распоясались, диски слишком быстрыми стали?..
Правильно, гражданин, оно вам нахрен не нужно шифрование это, вам же нечего скрывать от государства.
А если серьёзно, то причин много.
и ни одна из этих "причин" не является поводом для включения крайне ресурсоёмкого шифрования для ВСЕХ пользвоателей
крайне ресурсоёмкого
Да откуда вы все это берёте? Шифрование микроконтроллерами на гигабит в секунду делается, никакой "крайней" ресурсоёмкости там нет уже лет 20.
Ну то есть про просадку производительности в 2 раза на ссд - это вы решили глазки закрыть?
Битлокер какое вообще отношение имеет к "шифрованию микроконтроллерами"?
С тех пор как научился задействовать аппаратное шифрование, на определенных SSD - самое прямое, там не будет дополнительного оверхеда от него. А там где нет аппаратного шифрования на SSD - так аппаратное ускорение AES есть во всех современных CPU, но вот тут действительно будет медленнее чем на незашифрованный накопитель
Просто для аналогии. Шифрование сто лет уже аппаратно ускорено, отдельными чипами или специализированными инструкциями. Обычный ноутбучный процессор даёт 20Гбайт/сек AES -- какая просадка 2х на ссд? Это половина скорости памяти, не то что ссд. Да и "простые люди" на ссд гигабайты в секунду не пишут массово.
Диск шифрованный битлокером, где там 2х ещё добыть?
Процессор тоже не особо загружен в процессе теста: 12-14%
Ну то есть про просадку производительности в 2 раза на ссд - это вы решили глазки закрыть?
А где реальные цифры с тестами, доказывающими это?
Я понимаю, что в глазки долбитесь, но статью, под которой мы общаемся, читать пробовали?
Это не статья с тестами. На заборе тоже можно много разных слов из 3-ех букв написать.
В статье есть ссылка, по ссылке есть ещё ссылка и вот там статья, в которой в одном синтетическом тесте из двух десятков показано замедление "до 45%", в частности запись 4кб блоками в один поток проседает с 73000 операций в секунду до 41000 операций в секунду. Конечно это "просадка производительности в два раза для простых людей, на которую невозможно закрыть глаза", а не изменение, которое никто никогда в реальной жизни не заметит.
"Ой, я нажал сохранить в ворде и он записал последние два абзаца текста за 0.024мс, а не за 0.01408мс, как могло бы быть без шифрования, беда"
Да, неудобная штука, приходится сначала расшифровывать диск перед шифрованием нормальным VeraCrypt.
Ну знающих людей все эти выкрутасы майков не затронут. А как это затронет остальных, будет интересно. Ждем прохладных историй о том, как пара секторов на харде навернулась и он стал не расшифровываемым в принципе.
Но если бы они купили место в облаке и синкались такой бы проблемы не возникло. (с) ms
пара секторов на харде навернулась и он стал не расшифровываемым в принципе
Но, ведь, это не возможно в принципе. Если повреждён сектор с записанными туда данными, эти данные не будут доступны что с шифрованием, что без...
из этих конкретных секторов - да, а вот из остальных легко. Если они не зашифрованы, конечно.
Я правильно понимаю же, что это мой дуалбут поломает?
Зачем шифровать мой дисочек с эмпэтришками и кино )`:
Все кто спрашивает "а нафига шифрование простым людям" видимо просто не представляют разнообразие сценариев использования ПК "простыми людьми", а особенно простыми людьми за пределами родной страны (для Майкрософт и виндоус -- "отечественный рынок" совсем другая страна). А главное -- это те же самые люди, которые говорят "ой, в облака злобным корпорациям ничего отправлять нельзя" тут отбрасывают многочисленные риски от нешифрованного компьютера "простых людей".
Да, простые люди на компьютере не только в игрушки играют, а ещё работают иногда. И работают с чужими данными зачастую. И это бывают не только простые и прокачанные программисты и безопасники, а ещё например адвокаты, бухгалтера, фрилансеры, да даже строители и сантехники.
Хотел бы я, чтобы жесткий диск мастера, который мне условную кухню устанавливает, был открыт случайным людям после того, как он его на запчасти отдаст (или если его украдут)? А бухгалтера или психотерапевта?
"а нафига шифрование простым людям"
А ещё, у большей части этих «простых людей» относительно современный смартфон от apple или под управлением варианта android. Которые уже не один год имеют «шифрование накопителя по умолчанию»
И не особо страдают от этого
Которые уже не один год имеют «шифрование накопителя по умолчанию»
Которое в принципе не отключается.
А вот нафига эта фича? Сколько не пытался все понять не мог... типа чтобы кто-то по быстрому не разобрал телефон, снял чипы памяти, сделал дамп, и вернул на место?
Выглядит как какой-то дичайший оверхеад и фича ради фичи
Какой дичайший оверхед? Современные процессоры шифруют со скоростью работы памяти практически.
Фича нужна для того, чтобы никто не мог прочитать данные, которые ему не положено (телефон-то мобильный и теряется, и воруется и просто оставляется без присмотра). А также, для того, чтобы не мог и записать данные (включая программы) без ведома владельца. Чтобы невозможно было по-быстрому записать трояна в систему, а потом годами сливать данные.
Если вы искренне уверены, что на телефоне у вас ничего интересного нет, то давайте вы мне пришлёте дамп своего телефона, а я обещаю только вам что-нибудь интересное продемонстрировать, даже на весь интернет распространять не буду.
Я немного про другое.
Ключ хранится в телефоне, на соседнем чипе - так? Т.е. при краже\утери он (ключ) точно так же оказывается у злоумышленника. Ну понятно дело не сам ключ, а условный хэш. И этот хэш закрыт чем? PIN-ом\граф.ключем или отпечатком или вообще не закрыт если владелец не включил фичу. Ну и как бы...такое себе PIN\Граф-ключ через АС подобрать не должно быть проблемой на горизонте в пару недель. С отпечатком сложнее, но можно поиграться.
оставляется без присмотра ... не мог и записать данные (включая программы) без ведома владельца.
Без физического разбора снятия флех это невозможно, а это уже действие не на 5 минут.
Вспомним, как китайским СБ строго по*уй на шифрование флешей т.к. они просят разлочить телефон и уносят в неизвестном направлении (не могу найти ссыль, кто-то из известных IT-шных блогеров тоже попадал на эту штуку).
---
Давайте рассмотрим: телефон, ОС закрыта паролем, доступ к ПЗУ только через ОС ПЗУ распаяна. Считаем что пасс к телефону неподбираем т.к. этот вектор выходит за рамки обсуждения. ОС разделяет права приложений как сейчас в Андройде (для примера, не более)
Ситуация А: Флеш шифрована
Ситуация Б: Флеш не шифрована
Вопрос, если не разбирать телефон, от каких векторов атаки защищает шифрование?
Ну и как бы...такое себе PIN\Граф-ключ через АС подобрать не должно быть проблемой на горизонте в пару недель.
Только ключ хранится в процессоре и кол-во попыток ограничивается аппаратно.
Да это всё в комплексе действует: и то, что на телефоне всё зашифровано, и то что бутлоадеры залочены и то, что телефон заклеен так, что без видимых повреждений не разберёшь. Всё это вместе даёт возможность быть намного более доверенной железкой, на чём дальше строится уже множество сервисов -- и банковские приложения можно запускать не опасаясь, что будет дырявый девайс и passkey внедрять и госуслуги и кучу ещё всего.
А что касается "китайской сб", то это не особо технический вопрос, если вы знаете, что будете в такой ситуации, то тут только бёрнер спасёт. Но это не повод ослаблять защиту для миллиардов остальных пользователей в их миллиардах ситуаций не связанных с китайскими полицейскими.
Всё это вместе даёт возможность быть намного более доверенной железкой, на чём дальше строится уже множество сервисов -- и банковские приложения можно запускать не опасаясь, что будет дырявый девайс и passkey внедрять и госуслуги и кучу ещё всего.
Это все абстрактное бла-бла-бла. ИБ начинается с бумаг "политики ИБ" и прочих "Компенсирующих мероприятий" которые рассматривают каждый вектор отдельно.
Так вот, есть такой парадокс - чем больше компонентов в системе, тем менее она надежна.
По этому я и задаю вполне себе конкретный вопрос - от каких векторов защищает шифрование флеша? Если ни от каких (или вероятность такого события 0.000(1)), то оно не нужно и является оверхеадом.
Верно, и такие документы принимают на уровне стратегии бизнеса триллионные корпорации (Гугл, Эпл, Майкрософт в частности) + кучки всяких индустриальных ассоциаций и советов и академических ребят.
Шифрование данных по умолчанию -- это не "дополнительный компонент, снижающий надёжность", это базовый элемент безопасности. Настолько базовый, что так сходу даже и не найти документы "почему мы решили так делать", такой же как замки на дверях -- тоже не находится детальная "политика безопасности", с рассмотрение каждого вектора отдельно на тему того, нужно ли квартиру закрывать на ключ.
Компании не делают "оверхед" просто так, особенно не строят сложные схемы с безопасными анклавами и зашитыми в железо ключами и аутентификацией даже отдельных запчастей, просто потому что им хочется потратить денег на ненужный оверхед. Они отвечают на запросы пользователей, причём даже на запросы пользователей, которые те явным образом не высказывают. Пользователи хотят работающих и безопасных устройств, чтобы их голые фотки и переписка и пароли от банковских приложений и смски любовнице и все остальное были защищены и от случайных любопытных и от довольно настойчивых любопытных. Чтобы получить такой доступ было исключением и небесплатно даже для условных разведок. И чтобы потерянный телефон надёжно превращался в кирпич, а не перепродавался.
Да, простые люди на компьютере не только в игрушки играют, а ещё работают иногда.
Простые люди отправляют и данные иную корреспонденцию через вообще любые виды связи, включая обычные мессенджеры, мессенджеры, где эти сообщения и файлы будут бесконечно хранится на серверах (закрепленные за чатом-аккаунтом), через личные почтовые ящики (допустим, вы во входящих удалите скан паспорта, а собеседник в исходящих?), загружают на буквально открытые и бесплатные файловые помойки с листингом/поиском. А защищенный бэкап в облаке под паролем karinA197503.
Серьезно относиться к инфобезу и соблюдать правила, по-хорошему -- отдельная дисциплина.
За то теперь можно быть спокойным за историю просмотра чёрнорыжего хаба :sarcasm:
Потестировал на предварительной версии, как это происходит.
1) Шифрование происходит, только если доступен предохранитель TPM. И это правильно. Если TPM отсутствует, то прозрачная для пользователя расшифровка невозможна и смысла шифровать нет вовсе, потому что иначе пришлось бы озадачивать пользователя дополнительным паролем, а такое раскатывать на всю пользовательскую базу не стоит.
Если пользователю нужно шифрование без TPM, к его услугам Pro-редакция, где доступно управление битлокером.
2) До входа в учётку Microsoft накопитель зашифрован (зашифровано используемое пространство), но шифрование фактически не работает, поскольку отсутствуют предохранители. Защита приостановлена.
Накопитель при этом висит в проводнике с восклицательным значком, свидетельствующим о том, что защита отключена.
Вход в учётную запись Microsoft приводит к добавлению двух предохранителей (TPM и код восстановления, сохраняемый в OneDrive) и включению защиты. Накопитель прозрачно расшифровывается при загрузке.
3) Если у вас редакция Pro и вы хотите, скажем, использовать AES-256 вместо AES-128, то после настройки стойкости шифрования групповыми политиками нужно сначала полностью расшифровать накопитель (т.к. он при установке зашифровался AES-128) и затем зашифровать его заново (уже будет использоваться AES-256 в соответствии с политикой).
Накопитель при этом висит в проводнике с восклицательным значком, свидетельствующим о том, что защита отключена.
Это был мой косяк, такого нет.
Итого:
если TPM отсутствует, то ничего не происходит вообще, как и в предыдущих версиях Windows
если TPM есть И пользователь входит в учётку Microsoft, то при отключении TPM / замене материнской платы (если TPM встроенный) / сбросе TPM пользоветелю придётся ввести резервный код, сохранённый в OneDrive. Если этот код утрачен, данные превращаются в тыкву.
если TPM есть, но пользователь ни разу не входил в учётку Microsoft, то он не заметит изменений (за исключением экзотических случаев типа использования линуксового dislocker, который, похоже, пока не умеет работать с дисками, где данные зашифрованы, но защита не включена, а также всяких старых версий Acronis и подобного ПО, которые тоже могут не умет работать с таким сетапом)
в любой момент пользователь может расшифровать данные полностью командой
manage-bde -off C:
В тестовой версии Windows 11 24H2 шифрование BitLocker включается по умолчанию при установке обновления ОС