2012 - bitlocker + домен

[nanervax]

Здравствуйте.

Есть домен уровня 2008 R2

Поступила задача от руководства - шифровать данные на некоторых компьютерах пользователей

На ум сразу пришел bitlocker

Что мне нужно:

1) Шифровать раздел

2) Аутентификация без дополнительных сложностей (типа пин кодов, токенов)

3) Самое главное, чтобы без домена невозможно было расшифровать том, даже используя токены/пинкоды/TPM



Теперь по пунктам

Первый пункт достижим сам собой

Второй пункт, судя по информации из интернетов, достигается только с использованием модуля TPM - так ли это? или без этой платы можно это реализовать?

Третий пункт, если я выдерну локалку с компа, смогу ли я расшифровать том с TPM/USB носителем/Пин кодом???

Вобщем как сделать так, чтобы без домена информацию невозможно было расшифровать?

[Esevroff]

Цитата nanervax:



Вобщем как сделать так, чтобы без домена информацию невозможно было расшифровать?

2012 - bitlocker + домен

А если заберут вместе с КД?




Цитата nanervax:



Поступила задача от руководства - шифровать данные на некоторых компьютерах пользователей

2012 - bitlocker + домен

Бюджет?

Исходя из этого будет актуальность пункта 2


Цитата nanervax:



2) Аутентификация без дополнительных сложностей (типа пин кодов, токенов)

2012 - bitlocker + домен

Цитата nanervax:



3) Самое главное, чтобы без домена невозможно было расшифровать том, даже используя токены/пинкоды/TPM

2012 - bitlocker + домен

терморектальный криптоанализ слышали?

[nanervax]

Бюджет пока не будем трогать, нужно хотя бы узнать, без TPM это реализовывается?

[James Marsh]

Цитата nanervax:



Бюджет пока не будем трогать

2012 - bitlocker + домен

Цитата nanervax:



Аутентификация без дополнительных сложностей (типа пин кодов, токенов)

2012 - bitlocker + домен

Когда-то читал про

SOPHOS

.

Может то, что Вам нужно.

[James Marsh]

Спасибо.

Получается с помощью битлокера только с TPM модулем, все ли подходят, или есть нюансы? есть ли грабли? есть ли вероятность взлома самого TPM?

[nanervax]

А Вы не пробовали подойти к проблеме с другой стороны:


Цитата nanervax:



шифровать данные на некоторых компьютерах пользователей

2012 - bitlocker + домен

убрать информацию с этих ПК? Взять железяку, установить вне досягаемости, туда site-to-site ipsec туннель с офисом, и хай там инфо лежит. Ну и вариации...

[James Marsh]

Да я могу так сделать, но нужно защищать информацию, которую юзер генерирует сегодня же, т. е. создал он документик, и нужно сразу его шифровать, принудить все перемещать по туннелю на удаленное хранилище конечно можно, я даже могу это делать logoff скриптом, но если он создаст множество файликов, это загрузит канал и будет долгий logoff, а теперь представить что таких будет 10-20 человек...

[nanervax]

Да я могу так сделать, но нужно защищать информацию, которую юзер генерирует сегодня же, т. е. создал он документик, и нужно сразу его шифровать, принудить все перемещать по туннелю на удаленное хранилище конечно можно, я даже могу это делать logoff скриптом, но если он создаст множество файликов, это загрузит канал и будет долгий logoff, а теперь представить что таких будет 10-20 человек...

[nanervax]

nanervax,


Цитата nanervax:



BitLocker Recovery в объекте-компьютер не обнаружил

2012 - bitlocker + домен

Компонент BitLocker Recovery Password Viewer на КД установлен?

[Telepuzik]

Спасибо, поставил нужные роли/фичи, ковыряю, еще планирую запустить network unlock, это позволит, как я понимаю, делать анлок только при соединении с контроллером домена..