Microsoft stochează cheia de criptare a dispozitivelor Windows 10 la OneDrive

Microsoft criptează automat noul dvs. dispozitiv Windows și stochează cheia de criptare a dispozitivelor Windows 10 pe OneDrive, când vă conectați utilizând contul Microsoft. Acest post vorbește de ce Microsoft face acest lucru. De asemenea, vom vedea cum să ștergeți această cheie de criptare și să generați cheia proprie, fără a fi nevoie să o partajați cu Microsoft.

Cheia de criptare a dispozitivului Windows 10

Dacă ați cumpărat un nou computer Windows 10 și v-ați conectat utilizând contul Microsoft, dispozitivul dvs. va fi criptat de către Windows, iar cheia de criptare va fi stocată automat în OneDrive. Nu este nimic nou de fapt și a fost aroud de la Windows 8, dar anumite întrebări legate de securitatea acestuia au fost ridicate recent.

Pentru ca această caracteristică să fie disponibilă, hardware-ul dvs. trebuie să accepte standby conectat care se potrivește cu Kitul de certificare hardware Windows HCK) pentru TPM și SecureBoot pe sisteme ConnectedStandby. Dacă dispozitivul dvs. acceptă această funcție, veți vedea setarea din Setări> Sistem> Despre. Aici puteți dezactiva sau activa Criptarea dispozitivului.

Criptarea dispozitivului sau a discului în Windows 10 este o caracteristică foarte bună, care este activată în mod implicit pe Windows 10. Ceea ce face această caracteristică este faptul că încorporează dispozitivul și apoi stocați cheia de criptare în OneDrive, în contul dvs. Microsoft.

Criptarea dispozitivului este activată automat, astfel încât dispozitivul să fie întotdeauna protejat, spune TechNet. Următoarea listă prezintă modul în care se realizează acest lucru:

1. Când este finalizată o instalare curată a Windows 8.1 / 10, computerul este pregătit pentru prima utilizare. Ca parte a acestei pregătiri, criptarea dispozitivului este inițializată pe unitatea sistemului de operare și unitățile de date fixe pe computer cu o tastă clară.
2. Dacă dispozitivul nu este asociat unui domeniu la un cont Microsoft la care au fost acordate privilegii administrative pe dispozitiv este necesară. Când administratorul utilizează un cont Microsoft pentru a vă conecta, tasta clară este eliminată, o cheie de recuperare este încărcată în contul Microsoft online și este creat un protector TPM. În cazul în care un dispozitiv necesită cheia de recuperare, utilizatorul va fi ghidat să utilizeze un dispozitiv alternativ și să navigheze către o adresă URL de acces pentru cheia de recuperare pentru a prelua cheia de recuperare utilizând acreditările contului Microsoft.
3. Dacă utilizatorul se conectează utilizând un cont de domeniu, cheia clară nu va fi eliminată până când utilizatorul nu va conecta dispozitivul la un domeniu, iar cheia de recuperare va fi salvată cu succes în Active Directory Domain Services.

Prin urmare, acesta este diferit de BitLocker, de unde trebuie să porniți Bitlocker și să urmați o procedură, în timp ce toate acestea se fac automat fără cunoștințele sau interferențele utilizatorilor de computere. Când porniți BitLocker, sunteți obligat să faceți o copie de rezervă a cheii de recuperare, dar veți obține trei opțiuni: Salvați-l în contul dvs. Microsoft, salvați-l pe un stick USB sau imprimați-l.

Spune un cercetător:

De îndată ce cheia de recuperare părăsește calculatorul, nu ai cum să-ți cunoști soarta. Un hacker ar fi putut deja să vă spargă contul Microsoft și să facă o copie a cheii de recuperare înainte de a avea timp să îl ștergeți. Sau chiar Microsoft ar putea fi hacked sau ar fi putut angaja un angajat necinstit cu acces la datele utilizatorului. Sau o agenție de aplicare a legii sau de spion ar putea trimite companiei Microsoft o cerere pentru toate datele din contul dvs., ceea ce ar obliga în mod legal să transmită cheia de recuperare, ceea ce ar putea face chiar dacă primul lucru pe care îl faceți după instalarea computerului este ștergerea.

În răspuns, Microsoft are de spus:

Când un dispozitiv intră în modul de recuperare și utilizatorul nu are acces la cheia de recuperare, datele de pe unitate vor deveni permanent inaccesibile. Pe baza posibilității acestui rezultat și a unui sondaj larg al feedback-ului clientului, am ales să copiem automat cheia de recuperare a utilizatorului. Cheia de recuperare necesită acces fizic la dispozitivul utilizatorului și nu este utilă fără el.

Astfel, Microsoft a decis să acopere automat cheile de criptare pe serverele lor pentru a se asigura că utilizatorii nu își pierd datele dacă dispozitivul intră în modul de recuperare și nu au acces la cheia de recuperare.

Deci, vedeți că pentru aceasta pentru a fi exploatat, un atacator trebuie să poată obține atât acces la cheia de criptare, cât și la accesul fizic la dispozitivul computerului. Deoarece acest lucru pare a fi o posibilitate foarte rară, aș crede că nu este nevoie să fii paranoic în privința asta. Doar asigurați-vă că ați protejat pe deplin contul dvs. Microsoft și lăsați setările de criptare ale dispozitivului la valorile implicite.

Totuși, dacă doriți să eliminați această cheie de criptare de la serverele Microsoft, iată cum puteți face acest lucru. > Cum să eliminați cheia de criptare

Nu există nicio modalitate de a împiedica un nou dispozitiv Windows să vă încarce cheia de recuperare la prima conectare la contul dvs. Microsoft, dar puteți șterge cheia încărcată. nu doriți ca Microsoft să stocheze cheia de criptare în cloud, va trebui să vizitați această pagină OneDrive și să ștergeți

tasta

. Apoi va trebui să dezactivați funcția Encryption Disk . Dacă nu faceți acest lucru, nu veți putea utiliza această funcție de protecție a datelor încorporate în cazul pierderii sau furtului calculatorului dvs. Când ștergeți cheia de recuperare din contul dvs. pe acest site, acesta va fi șters imediat, iar copiile stocate pe unitățile de rezervă vor fi șterse și în scurt timp după aceea. Parola de cheie de recuperare este șters imediat de profilul online al clientului. Deoarece unitățile utilizate pentru eroare și backup sunt sincronizate cu cele mai recente date, cheile sunt eliminate, spune Microsoft.

Cum puteți genera propria cheie de criptare

Utilizatorii Windows 10 Pro și Enterprise pot genera criptare nouă chei care nu sunt trimise niciodată la Microsoft. Pentru aceasta, va trebui mai întâi să dezactivați BitLocker pentru a decripta discul și apoi să îl porniți din nou pe BitLocker. Când faceți acest lucru, veți fi întrebat în cazul în care doriți să faceți o copie de rezervă a cheii de recuperare pentru criptarea unității BitLocker. Această cheie nu va fi împărtășită cu Microsoft, dar asigurați-vă că o păstrați în siguranță, deoarece dacă îl pierdeți, puteți pierde accesul la toate datele criptate.