Slik feilsøker du problemer med harddiskkryptering

Innholdsfortegnelse:

1. Hva er harddiskkryptering?
2. Maskinvarekryptering sammenlignet med programvarekryptering
3. Hva er TPM?
4. Fullstendig diskkryptering (FDE)
5. Hva er BitLocker?
6. Kryptering av Advanced Format 512e (4K) FDE-harddisker
7. Harddisken gjenkjennes ikke av krypteringsprogramvare
8. Problemer før oppstart
9. Systemet starter ikke opp etter at du har lagt til tredjeparts krypteringsprogramvare.
10. Kryptering og ny installasjon av operativsystemet
11. Mistet passord eller krypteringsnøkkel

1. Hva er harddiskkryptering?

Harddiskkryptering er en prosess der data på disken, eller hele harddisken, konverteres til uleselig kode ved hjelp av matematiske algoritmer, slik at de ikke kan åpnes av uautoriserte brukere. Brukeren må oppgi passord, fingeravtrykk eller smartkort for å få tilgang til en kryptert stasjon. Kryptering kan utføres ved hjelp av programvare- eller maskinvaremekanismer. I klientsammenheng håndterer vi programvarekryptering mesteparten av tiden. Kryptering kan være på filnivå, eller for hele harddisken.

Tilbake til toppen

2. Maskinvarekryptering sammenlignet med programvarekryptering

Hovedforskjellen mellom programvare- og maskinvarekryptering er at hovedoppstartssektoren (MBR) ikke kan krypteres ved hjelp av en programvarekrypteringsmekanisme. Dell-klientdatamaskiner bruker Wave Trusted Drive Manager som en del av Dell Data Protection eller Dell ControlPoint Security Manager-pakken med TPM-brikken for programvarebasert kryptering. Bedriftskunder kan bruke Dell Data Protection Encryption og en DDPE-akseleratormodul som brukes i et spor på hovedkortet ved hjelp av minikortet for bærbare PC-er, eller et PCIe-kort for stasjonære datamaskiner. Maskinvarekryptering er sikrere fordi det isolerer stasjonen fra CPU-en og operativsystemet, noe som gjør den langt mindre sårbar for angrep.

Tilbake til toppen

3. Hva er TPM?

En Trusted Platform Module (TPM) er en kryptografisk mikroprosessor på hovedkortet som lagrer og autentiserer krypteringsnøklene for stasjonen, som igjen knytter stasjonen til datamaskinen. Dette betyr at hvis den krypterte stasjonen blir stjålet fra datamaskinen og plassert i en annen datamaskin, kan ikke stasjonen være tilgjengelig. TPM-brikken fungerer som en "gateway" til disken. Den største ulempen med TPM-brikken som brukes i et krypteringsskjema, er at hvis hovedkortet må byttes ut, kan det hende at stasjonen potensielt ikke lenger er tilgjengelig for brukeren. Wave Trusted Drive Manager reduserer imidlertid dette problemet ved å holde krypteringsnøklene på harddisken også. (Dette tilsvarer situasjoner der RAID-matriser ikke går tapt når et hovedkort byttes ut. Matriseinformasjonen holdes på diskstripen og i RAID-kontrollerens EPROM.)

Mer informasjon: Feilsøke og løse vanlige problemer med TPM og BitLocker

Tilbake til toppen

4. Fullstendig diskkryptering (FDE)

Full diskkryptering betyr ganske enkelt at hele stasjonen (hver sektor) kan krypteres i stedet for filene, mappen eller fildatamaskinene. FDE-harddisker blir standarden i bærbare datamaskiner på grunn av økt sjanse for tyveri eller tap av datamaskiner. Begrepet "full disk encryption" er opprinnelig laget av Seagate, men er nå en bransjebetegnelse for alle harddisker som kan være fullstendig kryptert. Sikkerhetsfunksjoner for FDE-harddisker er alltid på og fungerer som en vanlig harddisk til sikkerhetsretningslinjene er implementert.

Et vanlig spørsmål som oppstår er om Wave Trusted Drive Manager krypteringsprogramvare kan brukes på en ikke-FDE-harddisk for å sikre hele disken. Svaret er nei: Wave Trusted Drive Manager krever en FDE-stasjon. Programvarekrypteringsmekanismer, for eksempel Windows BitLocker, kan brukes til å kryptere volumer på ikke-FDE-stasjoner ved hjelp av TPM-brikken eller en USB-stasjon, men ikke operativsystemets bootstrap (oppstartssektor) på harddisken.

For å få tilgang til innholdet i en fullstendig kryptert harddisk med Wave Trusted Drive Manager, brukes godkjenning før oppstart, slik at sektorene som inneholder operativsystemet og brukerdata, kan nås. På klientdatamaskiner som bruker DDPA, håndteres godkjenningsoppsettet før oppstart av programvaren i DDPA\DCPSM.

Tilbake til toppen

5. Hva er BitLocker?

BitLocker er en funksjon for fullstendig diskkryptering som er tilgjengelig i Windows 7, og som bare er tilgjengelig i utgavene Ultimate og Enterprise. Du kan bruke BitLocker To Go for å beskytte alle filer som er lagret på flyttbare datadisker (for eksempel eksterne harddisker eller USB-minnepinner).

I motsetning til Trusted Drive Manager trenger ikke disse diskene å være FDE-disker, men BitLocker kan bare kryptere volumer, men ikke oppstartsvolumet. Stasjoner som er kryptert med BitLocker, kan låses opp før oppstart ved hjelp av et passord eller smartkort med TPM. For at BitLocker skal få tilgang til en mekanisme før oppstart, må BIOS kunne lese en USB-stasjon ved oppstart, og to partisjoner må være til stede, der datamaskinstasjonspartisjonen er minst 100 MB og angitt som aktiv partisjon. Operativsystempartisjonen er kryptert, og datamaskinpartisjonen forblir ukryptert, slik at datamaskinen kan starte.

TPM er ikke nødvendig for bruk av BitLocker, men anbefales på det sterkeste før oppstart for bedre sikkerhet. Windows-oppdateringer krever ikke deaktivering av BitLocker, men andre oppdateringer kan kreve deaktivering. I likhet med andre krypteringsprogrammer anbefales det at gjenopprettingsnøkler (PIN-koder) lagres på flyttbare medier eller andre sikre steder. Hvis brukeren ikke har PIN-koden for gjenoppretting, er det ikke mulig å låse opp disken. Hvis datamaskinen ikke kan starte opp for å få tilgang til BitLocker-gjenopprettingskonsollen, eller hvis harddisken har sviktet, kan reparasjonsverktøyet for BitLocker lastes ned og pakkes ut til en oppstartbar nøkkel eller CD for å gjenopprette data fra stasjonen. Du må ha PIN-koden for å få tilgang til dataene.

Hvis brukeren er på et domene som bruker Active Directory , og administratoroppsettet BitLocker, er det mulig at stiften ble lagret i Active Directory, så få dem til å sjekke med IT-avdelingen.

Mer informasjon: Feilsøke og løse vanlige problemer med TPM og BitLocker

Tilbake til toppen

6. Kryptering av FDE-harddisker med avansert format 512e (4K).

En 512e (4 K), eller avansert format, harddisk betyr ganske enkelt at de enkelte sektorene på stasjonen har endret seg fra 512 til 4,096 byte. Den første generasjonen av harddisker med avansert format oppnår dette ved å ta sektorer på 8–512 byte og kombinere dem i én enkelt sektor på 4096 byte. I Dell-datamaskiner kommer begrepet 512e (emulering) fra bruk av konverteringsmekanismer i harddiskfastvaren for å simulere 4096 sektorutseende for eldre komponenter og programvare som forventer sektorer på 512 byte. Alle lese\skrive til en avansert 512e-harddisk gjøres i trinn på 512 byte, men i en lesesyklus lastes hele 4096 inn i minnet. 512e-harddisker må justeres på grunn av dette. Hvis diskjustering ikke utføres, kan ytelsen til disken bli svært påvirket. Gjeldende harddisker som er kjøpt sammen med en Dell-datamaskin, er allerede justert.

Hvis du vil finne ut om datamaskinen har en Advanced Format-stasjon (512e), laster du ned verktøyet Avansert format-harddiskgjenkjenning. 

Partisjonsjustering er nødvendig for eldre operativsystemer, og anbefales for nye operativsystemer for å sikre riktig harddiskytelse og avbildning mellom HDD-er med ulike sektorstørrelser.

Stasjonsjustering kan utføres ved hjelp av flere verktøy, som kan lastes ned fra Dells nettsted for kundestøtte : Drivere og nedlastinger for datamaskinen under delen SATA-stasjoner.

Tilbake til toppen

7. Harddisken gjenkjennes ikke av krypteringsprogramvare.

For Wave Trusted Drive Manager må harddisken være en FDE-disk (Full Drive Encryption), og SATA-operasjonen må angis for ATA\AHCI\IRRT og ikke RAID On\RAID. Dette kan være tilfelle med tredjeparts krypteringsprogrammer.

Sjekk med leverandøren for eventuelle BIOS-innstillingskrav.

Sjekk for diskjustering om det brukes et operativsystemimage, spesielt Windows XP. Kontroller at alle oppdateringer er brukt på imaget før kryptering.

Hvis du bruker krypteringsprogramvare fra en tredjepart, må du kontakte leverandøren for å forsikre deg om at programvaren fungerer med maskinvaren i datamaskinen og BIOS for Unified Extensible Firmware Interface (UEFI).

Tilbake til toppen

8. Problemer før oppstart.

• Hvis brukeren opplever problemer med godkjenning før oppstart, kan du kontrollere hvilken godkjenningsmekanisme de bruker: Passord, fingeravtrykk eller smartkort
• For passord, sørg for at de bruker riktig passord og sjekk at Cap Lock og Num Lock er riktig innstilt.
• Hvis du bruker fingeravtrykk, må du sørge for at de bruker riktig finger, og at de ikke sveiper for fort. Tre ugyldige sveip skal utløse ledeteksten om passord.
• For smartkort, kontroller at riktig kort blir brukt, satt inn riktig, og se etter eventuelle skader. Prøv om mulig med et annet kort.
• Hvis du er på et domene, må du sørge for at de ikke har byttet til lokal pålogging. De må bruke samme legitimasjon som da kryptering ble innført.
• Hvis brukeren sier at godkjenning før oppstart ikke fungerer ved en omstart, kontrollerer du BIOS for å sikre at forbikobling av passord ikke er aktivert. Denne funksjonen fungerte ikke i tidligere BIOS-versjoner, men har siden blitt løst. Kontroller at kunden bruker nyeste BIOS.
• Hvis brukeren har mistet passordet eller ikke lenger er ansatt, er ikke Dell i stand til å gjenopprette passordet for Trusted Drive Manager-kryptering. For tredjepartsprogrammer kontakter du leverandøren for støtte.

Tilbake til toppen

9. Systemet starter ikke opp etter at du har lagt til tredjeparts krypteringsprogramvare.

Slå på datamaskinen, og trykk deretter på F12-tasten under oppstartsprosessen for å gå til BIOS-oppstartsmenyen. Det kan være nødvendig å trykke på tasten gjentatte ganger under oppstartsprosessen for å få BIOS til å gjenkjenne nøkkelen på riktig tidspunkt. Bruk pil opp og pil ned for å velge <Diagnostikk> på menyen, og trykk på Enter-tasten.

ePSA (Enhanced Preboot System Assessment)-diagnostikk kjøres for å sikre at disken ikke er i en feiltilstand og ikke har rapportert noen feil. Hvis du har en Advanced Format-stasjon (512e), må du kontrollere at stasjonen er riktig justert før kryptering utføres.

Kontakt tredjepartsleverandøren for gjenopprettingsalternativer. De fleste selskaper har et gjenopprettingsverktøy som brukeren kan laste til en oppstartbar minnepinne eller CD. Sjekk også leverandørens nettsted for problemer med datamaskinplattformen i tilfelle det er noen problemer med denne programvaren på denne datamaskinmodellen.

Tilbake til toppen

10 Kryptering og ny installasjon av operativsystemet

Hvis operativsystemet blir skadet på en kryptert harddisk og krever ominstallasjon, er det mulig at Windows-installasjonsdisken ikke gjenkjenner harddisken fordi harddisken er i en låst tilstand. For Wave Trusted Drive Manager-krypterte disker må disken være låst opp før operativsystemet kan installeres på nytt.

Se støttedokumentene på Wave-nettstedet som forklarer hvordan du låser opp stasjonen før en ny installasjon her.

For tredjeparts krypteringsprogramvare må du kontakte leverandøren for riktig fremgangsmåte før du prøver å installere på nytt.

Tilbake til toppen

11 Tapte passord eller krypteringsnøkkel

Hvis en bruker har mistet passordet før oppstart, krypteringsnøkkelen eller en sluttbruker har forlatt selskapet, tilbyr de fleste leverandører av krypteringsapplikasjoner en feilsikker mekanisme for gjenoppretting. På grunn av bransjestandard datapolicyer må gjenopprettingsmekanismen startes av kunden. Dette gjøres ved å lagre password\key til flyttbar lagring eller nettverksplassering. Hvis fullstendig diskkryptering ble implementert og brukeren mistet passordet\nøkkelen, kan ikke Dell hjelpe dem med å gjenopprette passordet\nøkkelen for stasjonen. Brukeren må bytte ut harddisken i dette tilfellet. Dette problemet faller utenfor omfanget av garantien ettersom krypteringen fungerer som den skal og beskytter dataene mot inntrenging. Utskifting av stasjonen finner sted på brukerens bekostning. Wave kan hjelpe deg med brukernavnproblemer. Brukeren må ha passordet sitt for at Wave skal kunne hjelpe med et glemt brukernavn. Hvis brukeren har glemt, mistet eller ikke har passordet sitt, kan dessverre ikke Wave hjelpe.

Hvis de ovennevnte trinnene ikke løser problemet, kan du kontakte Dells tekniske støtte for å få hjelp.

Tilbake til toppen

Anbefalte artikler

Her er noen anbefalte artikler relatert til dette emnet som kan være av interesse for deg.

• Systemkrav for Dell Full Disk Encryption
• BIOS-alternativ for å angi et harddiskpassord på M.2 SSD
• Automatisk enhetskryptering i Windows/BitLocker på Dell-datamaskiner