Comment déterminer l’état de chiffrement d’un appareil géré par Dell Encryption

Le calcul de l’état protégé du chiffrement basé sur des règles de Dell est basé sur l’« état d’analyse » de l’appareil et de tous les utilisateurs de l’ordinateur. Pour plus d’informations sur le calcul de l’état protégé, consultez la page : Dépannage de l’état protégé de Shield (en anglais).

Les données relatives à l’état de chiffrement de l’appareil sont stockées localement sur le point de terminaison, principalement dans le registre. L’emplacement principal utilisé pour les données de chiffrement basé sur des règles est HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\CMGShield. Voici les clés principales pour identifier l’état :

• DCID (il s’agit également de l’ID de récupération) : clé indiquant que l’appareil a été activé.
• GKPort (8 000 par défaut) : clé pour contrôler le port utilisé pour les mises à jour des règles.
• GK : clé pour contrôler le serveur de vérification.
• Serveur : clé du serveur d’activation d’origine.

Pour valider l’état d’activation de l’appareil, nous pouvons interroger l’appareil pour vérifier le contenu de HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\CMGShield\RSST. Dans cette clé de registre, plusieurs clés détaillent l’état de l’appareil :

• _DEVICE_ : il s’agit de l’état d’activation de l’appareil. Tout nombre entier positif est un appareil activé.
• _INVALID_ : si elle est présente, l’utilisateur connecté n’est pas activé.
• <RandomCharacters> : l’identifiant UCID (User Credant Identifier) se trouve à cet emplacement. Si cette valeur est présente et définie sur 1, cet utilisateur spécifique est activé et se trouve dans la période de location de l’appareil. La période de location de l’appareil est une règle qui définit Dell Security Management Server, et la valeur par défaut est de 30 jours.

Les informations relatives à l’état actuel d’analyse du chiffrement de l’appareil se trouvent dans la clé de registre HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\CMGshield\SweepTimes. Les valeurs de cette clé peuvent varier, et un ID unique basé sur l’utilisateur est utilisé pour déterminer l’état de balayage pour chaque utilisateur. Vous trouverez ci-dessous un exemple d’appareil :

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\CMGShield\SweepTimes]
"_SDENCR_SweepStop"=dword:00000001
"9P18NZD1SweepStop"=dword:00000001
"AllSweepsCompleted"=dword:00000001
"AllSweepsCompletedInXDays"=dword:00000001
"LastUpdate"="20180409 162157"

Détail de ces clés, de leur signification et de leur utilisation :

• _SDENCR_SweepStop
  • La valeur 0 indique qu’une analyse de chiffrement affectant la clé System Data Encryption est en cours.
  • La valeur 1 indique que toutes les analyses de System Data Encryption sont terminées.
• 9P18NZD1SweepStop
  • Les huit caractères générés de manière aléatoire sont des ID pour des utilisateurs spécifiques.
  • Lorsque cette clé est définie sur 0, une analyse est en cours pour l’utilisateur auquel l’ID est corrélé.
  • Lorsqu’elle est définie sur 1, les analyses en corrélation avec les clés de chiffrement Common et User sont terminées sur ce point de terminaison.
• AllSweepsCompleted
  • Lorsqu’elle est définie sur 0, une analyse de chiffrement actif affecte les clés de chiffrement Common et User.
  • Lorsqu’elle est définie sur 1, les analyses en corrélation avec les clés de chiffrement Common et User sont terminées sur ce point de terminaison.
• AllSweepsCompletedinXDays
  • Lorsqu’elle est définie sur 0, les analyses de chiffrement ne sont pas terminées pour tous les utilisateurs qui se sont connectés au cours de la période de location de l’appareil définie par Dell Security Management Server (DSMS).
  • Lorsqu’il est défini sur 1, les balayages de chiffrement sont effectués pour tous les utilisateurs qui se sont connectés au cours de la période de location d’appareil définie.

• LastUpdate : il s’agit de la dernière fois que la base de données interne a été interrogée pour obtenir des mises à jour de l’état d’analyse de l’appareil dans cette entrée de registre.

La gestion de Dell Encryption Self-Encrypting Drive Manager et Dell Full Disk Encryption collecte des informations basées sur le pourcentage de chiffrement du disque et la validation de l’environnement d’authentification avant démarrage (PBA) présent sur le disque. Ces valeurs sont stockées dans le registre et se trouvent dans HKLM\SYSTEM\CurrentControlSet\Services\DellMgmtAgent\Parameters » et « HKLM\Software\Dell\Dell Data Protection ».

L’état protégé du périphérique est déterminé par le pourcentage de chiffrement du disque. Ce processus est effectué localement et est livré au serveur à intervalles d’interrogation réguliers.

Pour déterminer l’état d’activation de l’agent, vérifiez la clé de registre de l’ID d’agent. Si la clé est renseignée, l’appareil est enregistré :

HKLM\Software\Dell\Dell Data Protection\
REG_SZ: AgentID
Value: <populated>

Pour déterminer si l’environnement d’authentification avant démarrage (PBA) est activé sur le point de terminaison, vérifiez la clé de registre IsPBAActive :

HKLM\SYSTEM\CurrentControlSet\Services\DellMgmtAgent\Parameters
DWORD: IsPBAActive
Value: 1 (1 is enabled, 0 or not present means no PBA)

Pour déterminer la version du produit installé, vérifiez la clé de registre :

HKLM\Software\Dell\Dell Data Protection\Branding
REG_SZ: EE
Value: <version #>

Les informations sur la version de l’agent peuvent également être collectées via wmic appelle à l’aide de la commande :

Wmic path win32_product where (caption like '%%Dell Encryption%%') get version

Les résultats doivent s’afficher comme suit :

Figure 1 : (En anglais uniquement) Type Wmic path win32_product where (caption like '%%Dell Encryption%%') get version

Les informations de pourcentage de chiffrement pour Dell Full Disk Encryption ne peuvent pas être interrogées via le registre. Ces informations sont renseignées dans le fichier DellAgent.log (stocké dans C:\ProgramData\Dell\Dell Data Protection\ si la journalisation de débogage est activée. Pour activer la journalisation de débogage pour Dell Full Disk Encryption, consultez l’article sur l’augmentation de la journalisation dans Dell Encryption Enterprise et Dell Encryption Personal (en anglais).

Exemple de ligne du journal :

YYYY.MM.DD HH:MM:SS.MMM [ProcessID] (ThreadID) T FDE : SetEncryptionInfo - Set EncryptionPercentage to <Percentage>

Dell BitLocker Manager collecte des informations basées sur le pourcentage de chiffrement du disque et la validation des protecteurs de clés présents pour chaque volume géré. Les données collectées par la ligne de commande à l’aide de la commande manage-bde ou la commande PowerShell get-bitlockervolume.

L’état protégé du périphérique est déterminé par le pourcentage de chiffrement du disque. Ce processus est effectué localement sur le point de terminaison et est livré au serveur à intervalles d’interrogation réguliers.

Disk volumes that can be protected with
BitLocker Drive Encryption:
Volume C: []
[OS Volume]

Size: 59.40 GB
BitLocker Version: None
Conversion Status: Fully Decrypted
Percentage Encrypted: 0.0%
Encryption Method: None
Protection Status: Protection Off
Lock Status: Unlocked
Identification Field: None
Key Protectors: None Found

Disk volumes that can be protected with
BitLocker Drive Encryption:
Volume C: []
[OS Volume]

Size: 59.40 GB
BitLocker Version: 2.0
Conversion Status: Used Space Only Encrypted
Percentage Encrypted: 100.0%
Encryption Method: XTS-AES 256
Protection Status: Protection On
Lock Status: Unlocked
Identification Field: Unknown
Key Protectors: TPM, Numerical Password

ComputerName: DESKTOP-T46E07P
MountPoint: C:
EncryptionMethod: None
AutoUnlockEnabled:
AutoUnlockKeyStored:
MetadataVersion: 0
VolumeStatus: FullyDecrypted
ProtectionStatus: Off
LockStatus: Unlocked
EncryptionPercentage: 0
WipePercentage: 0
VolumeType: OperatingSystem
CapacityGB: 59.39843
KeyProtector: {}

ComputerName: DESKTOP-T46E07P
MountPoint: C:
EncryptionMethod: XtsAes256
AutoUnlockEnabled:
AutoUnlockKeyStored: False
MetadataVersion: 2
VolumeStatus: FullyEncrypted
ProtectionStatus: On
LockStatus: Unlocked
EncryptionPercentage: 100
WipePercentage: 0
VolumeType: OperatingSystem
CapacityGB: 59.39843
KeyProtector: {Tpm, RecoveryPassword}