「ハード ドライブ暗号化の問題をトラブルシューティングする方法」

目次:

1. ハードディスク暗号化とは
2. ハードウェア暗号化とソフトウェア暗号化の比較
3. TPMとは
4. ［Full Disk Encryption (FDE)］
5. BitLockerとは
6. Advanced Format 512e (4K) FDEハードドライブの暗号化
7. 暗号化ソフトウェアによって認識されないハード ドライブ
8. 起動前の問題
9. サードパーティー製暗号化ソフトウェアの追加後にシステムが起動しない
10. 暗号化とオペレーティング システムの再インストール
11. パスワードまたは暗号化キーの紛失

1.ハードディスク暗号化とは

ハードディスク暗号化とは、ディスク上のデータまたはドライブ全体を、数学的アルゴリズムを使用して解読不可能なコードに変換して、不正なユーザーがアクセスできないようにすることです。暗号化されたドライブにアクセスするには、ユーザーはパスワード、指紋、またはスマート カードを使用する必要があります。暗号化は、ソフトウェアまたはハードウェアのメカニズムを使用して実行できます。クライアントの環境では、ほとんどの場合ソフトウェア暗号化を使用します。暗号化は、ファイル レベルで行うことも、ハードディスク全体に対して行うこともできます。

トップに戻る

2.ハードウェア暗号化とソフトウェア暗号化の比較

ソフトウェア暗号化とハードウェア暗号化の主な違いは、ソフトウェア暗号化メカニズムではマスターブートレコード（MBR）を暗号化できないことです。Dellクライアント コンピューターは、Dell Data ProtectionまたはDell ControlPoint Security Managerスイートの一環として、Wave Trusted Drive ManagerをTPMチップと組み合わせて使用し、ソフトウェアベースの暗号化を実現しています。エンタープライズ環境のお客様は、Dell Data Protection Encryptionと、マザーボードのスロットで使用されるDDPEアクセラレーター モジュールを使用できます。このモジュールは、ノートパソコンのミニ カードまたはデスクトップ コンピューターのPCIeカードを使用して使用できます。ハードウェア暗号化では、ドライブをCPUやオペレーティング システムから分離できるため、セキュリティが強化され、攻撃に対する脆弱性が低くなります。

トップに戻る

3.TPMとは

Trusted Platform Module (TPM)とは、マザーボード上の暗号化マイクロプロセッサーであり、ドライブの暗号化キーを保存し、認証し、そしてドライブをコンピューターに接続する役目を果たします。これはつまり、暗号化されたドライブがコンピューターから盗まれて別のコンピューターに接続されても、そのドライブはアクセス不可であるということです。TPMチップは、ドライブへの「ゲートウェイ」として機能します。暗号化方式にTPMチップを使用する上で主なマイナス点は、マザーボードを交換する必要が生じた場合に、そのドライブにユーザーがアクセスできなくなる可能性があることです。ただしWave Trusted Drive Managerは、暗号化キーをハードドライブにも保存することにより、この問題を緩和します（これは、マザーボードが交換されてもRAIDアレイが失われないことに類似しています。アレイ情報はドライブストライプとRAIDコントローラEPROMに保存されます）。

その他の情報：「TPMおよびBitLockerに関する一般的な問題をトラブルシューティングして解決する方法」

トップに戻る

4.［Full Disk Encryption (FDE)］

フル ディスク暗号化とは、ファイル、フォルダー、またはファイル システム内だけではなく、ドライブ全体（すべてのセクター）を暗号化できるということです。コンピューターの盗難や紛失の可能性が高まる中、ノートパソコンではFDEハードドライブが標準となりつつあります。「フル ディスク暗号化」は、元はSeagateによって作り出された用語ですが、現在では完全に暗号化できるすべてのハードドライブ用の業界用語となっています。FDEハードドライブセキュリティ機能は常時稼働しており、セキュリティポリシーが実装されるまでは通常のハードドライブとして機能します。

一般的な疑問として上がってくるのは、Wave Trusted Drive Manager暗号化ソフトウェアを非FDEハードドライブで使用してディスク全体を保護できるかどうかということです。答えは「いいえ」です。Wave Trusted Drive ManagerはFDEドライブを必要とします。Windows BitLockerのようなソフトウェア暗号化メカニズムでは、ハードドライブのオペレーティング システム ブートストラップ（ブート セクター）ではなく、TMPチップやUSBドライブを使用して非FDEドライブのボリュームを暗号化できます。

Wave Trusted Drive Managerによって完全に暗号化されたハードドライブのコンテンツにアクセスするには、オペレーティングシステムやユーザーデータを含むセクターにアクセスできるようにするために、プリブート認証が使用されます。DDPAを使用するクライアント コンピューターでは、プリブート認証のセットアップはDDPA\DCPSM内でWaveソフトウェアによって処理されます。

トップに戻る

5.BitLockerとは

BitLockerとは、Windows 7で使用できるフルディスク暗号化機能であり、Ultimate EditionおよびEnterprise Editionでのみ使用できます。BitLocker To Goを使用すると、リムーバブルデータドライブ（外付けハードドライブやUSBフラッシュドライブなど）に保存されたあらゆるファイルの保護に役立ちます。

Trusted Drive Managerの場合とは異なり、これらのドライブはFDEドライブである必要はありません。ただし、Bitlockerが暗号化できるのはボリュームのみであり、ブート ボリュームは暗号化できません。BitLockerで暗号化されたドライブは、TPMと併せてパスワードまたはスマートカードを使用してプリブートでアンロックできます。プリブート メカニズムでBitLockerにアクセスするには、起動時にBIOSでUSBドライブを読み込むことができ、2つのパーティションが存在し、そしてコンピューターのドライブ パーティションが最低でも100 MBでアクティブ パーティションとして設定されている必要があります。オペレーティング システム パーティションは暗号化されますが、コンピューターのパーティションは暗号化されないままなので、コンピューターを起動できます。

TPMはBitLockerの使用には必要ありませんが、プリブートにはセキュリティを強化するためにTPMを強くお勧めします。Windows UpdateではBitLockerの無効化は必要ありませんが、その他の更新プログラムでは無効化が必要になることがあります。他の暗号化アプリケーションのように、リカバリー キー(PIN)をリムーバブル メディアやその他の安全な場所に保存することをお勧めします。リカバリPINを紛失してしまうと、ドライブをアンロックすることはできなくなります。コンピューターが起動できずBitLocker回復コンソールにアクセスできない場合、またはハードドライブに障害が発生した場合は、BitLocker修復ツール をダウンロードしてブータブル キーまたはCDに抽出し、ドライブからデータを回復できます。データにアクセスするには、PINが必要です。

ユーザーのドメインがActive Directoryを使用したドメインであり、管理者がBitLockerを設定した場合は、PINがActive Directoryに保存されている可能性があるため、ユーザーにIT部門に問い合わせてもらいます。

その他の情報：「TPMおよびBitLockerに関する一般的な問題をトラブルシューティングして解決する方法」

トップに戻る

6.Advanced Format 512e (4K) FDEハードドライブの暗号化。

Advanced Format 512e (4K)ハードドライブとは、個々のセクターが512バイトから4,096バイトに変更されたハードドライブを意味します。第一世代のAdvanced Formatハードドライブは、8つの512バイトのセクターを1つの4,096バイトのセクターにまとめることによってこれを実現しています。Dellコンピューターでは、512e（エミュレーション）という用語は、ハードドライブのファームウェア内で変換メカニズムを使用し、レガシー コンポーネントおよび512バイトのセクターを必要とするソフトウェアに対して、4,096バイトのセクターの様相をシミュレートすることにその起源を発しています。Advanced Format 512eハードドライブへのあらゆる読み取り/書き込みは、512バイト単位で増加しますが、読み取りサイクルでは4,096バイト全体がメモリーにロードされます。このため、512eハードドライブはアラインの必要があります。ドライブのアラインが実行されないと、ドライブのパフォーマンスが深刻な影響を受けることがあります。Dellコンピューターに付属の現在のハードドライブはすでにアラインされています。

お使いのコンピューターのハードドライブがAdvanced Format (512e)であるかどうかを検出するには、Advanced Format HDD Detection Toolをダウンロードしてください。 

ハードドライブの最適なパフォーマンスを維持し、セクター サイズが異なるHDDの間でイメージングの互換性を確保するため、以前のOSではパーティションのアラインが必要であり、新しいOSでもこの手順が推奨されています。

ドライブのアラインは、多数のツールで実行できます。このツールは、Dellサポート サイトの「ドライバーおよびダウンロード」のSATAドライブ セクションからお使いのコンピューターに対応するものをダウンロードできます。

トップに戻る

7.暗号化ソフトウェアによって認識されないハードディスク。

Wave Trusted Drive Managerでは、ドライブはフルドライブ暗号化（FDE）ドライブである必要があり、SATA動作設定が「RAID On\RAID」ではなく、「ATA\AHCI\IRRT」に設定されている必要があります。サードパーティー製の暗号化プログラムはこのケースに該当する可能性があります。

BIOS設定要件についてベンダーに確認してください。

オペレーティングシステムイメージが使用されている場合は、特にWindows XPでは、ドライブのアラインを確認してください。暗号化の前に、すべての更新内容がイメージに適用されていることを確認してください。

サードパーティー製の暗号化ソフトウェアが使用されている場合は、そのソフトウェアがコンピューター内のハードウェアやUnified Extensible Firmware Interface (UEFI) BIOSで機能するかどうかをベンダーに確認してください。

トップに戻る

8.プリブートの問題。

• ユーザーのプリブート認証の確認に問題がある場合は、次のうちどの認証メカニズムを使用しているかを確認します。パスワード、指紋、またはスマートカード
• パスワードの場合は、正しいパスワードが使用されていることと、Caps LockおよびNum Lockが正しく設定されていることを確認します。
• 指紋の場合は、正しい指を使用していることと、指をスライドさせるスピードが速すぎないことを確認します。指紋の読み込みに3回失敗すると、パスワードを入力する画面が表示されます。
• スマートカードの場合は、正しいカードを使用しているか、正しく挿入しているか、そしてカードに破損などがないかを確認します。可能な場合は別のカードを試します。
• ドメイン上の場合は、ローカル ログインに切り替えていないことを確認します。暗号化が実行されたときと同じ認証情報を使用する必要があります。
• ユーザーが、再起動時にプリブート認証が機能しないと報告している場合は、BIOSを確認して、パスワードのバイパスが有効になっていないことを確認します。この機能は初期のBIOSリリースでは機能していませんでしたが、以降修正されました。お客様が最新のBIOSを使用していることを確認します。
• ユーザーがパスワードを紛失した場合、またはすでに在職していない場合は、デルではTrusted Drive Manager暗号化のパスワードを復旧する方法はありません。サードパーティー製のアプリケーションの場合は、ベンダーにサポートについて問い合わせてください。

トップに戻る

9.サードパーティー製暗号化ソフトウェアの追加後にシステムが起動しない

コンピューターの電源を入れ、起動プロセス中にF12キーを押してBIOS起動メニューを表示します。キーを適時に認識させるために、起動プロセス中にキーを何度も押してBIOSを表示する必要があることがあります。上矢印/下矢印キーを使用してメニューの［Diagnostics］を選択し、Enterキーを押します。

ドライブがエラー状態でないことや、エラーが報告されていないことを確認するために、Enhanced Preboot System Assessment (ePSA) Diagnosticsが実行されます。Advanced Format (512e)ドライブを使用している場合は、暗号化を実行する前に、ドライブが正しくアラインされていることを確認します。

リカバリー オプションについては、サードパーティー ベンダーにお問い合わせください。ほとんどの会社ではリカバリユーティリティを用意しており、ユーザーはそれをブータブルキーまたはCDにロードできます。また、このモデルのコンピューターで特定のソフトウェアに何か問題がある場合は、ベンダーのサイトでコンピューターのプラットフォームの問題についても確認します。

トップに戻る

10 暗号化とオペレーティング システムの再インストール

暗号化されたハードディスクでオペレーティングシステムが破損し再インストールの必要がある場合は、ハードドライブがロックされた状態であることが原因で、Windowsインストールディスクでドライブが認識されない可能性があります。Wave Trusted Drive Managerで暗号化されたドライブの場合は、オペレーティングシステムの再インストールを行う前にドライブをアンロックする必要があります。

再インストールの前にドライブをアンロックする方法については、こちらをクリックして、Waveサイトのサポート文書を参照してください。

サードパーティー製の暗号化ソフトウェアについては、再インストールを行う前に、正しい手順についてベンダーにお問い合わせください。

トップに戻る

11 パスワードまたは暗号化キーの紛失

ユーザーがプリブート パスワードや暗号化キーを紛失した場合、またはエンドユーザーが離職した場合は、暗号化アプリケーション ベンダーのほとんどが、リカバリーのための防衛策を提供しています。業界標準のデータ ポリシーに従って、リカバリー メカニズムはお客様によって開始される必要があります。これは、パスワード/キーをリムーバブル ストレージやネットワーク上に保存することなどです。フル ディスク暗号化が実装されており、ユーザーがパスワード/キーを紛失した場合は、Dellではドライブのパスワード/キーの回復をお手伝いすることはできません。この場合、ユーザーは交換用のハードドライブが必要になります。この問題は、暗号化が設計どおりに機能し、データへの不正アクセスから保護しているため、保証の範囲外になります。ドライブの交換はユーザーの負担となります。Waveは、ユーザー名の問題について支援することができます。ユーザー名を忘れてしまった場合にWaveからサポートを受けるには、ユーザーがパスワードを所有している必要があります。ユーザーがパスワードを忘れた場合、紛失した場合、またはパスワードを持っていない場合は、残念ながらWaveのサポートをご利用いただけません。

上記の手順で問題が解決しない場合は、デルテクニカルサポートにお問い合わせください。

トップに戻る

推奨記事

ここでは、このトピックに関連した役立つ可能性のある推奨記事をいくつか紹介します。

• Dellフル ディスク暗号化のシステム要件
• M.2 SSDにハード ドライブのパスワードを設定するためのBIOSオプション
• Dell製コンピューターにおけるWindowsデバイスの自動暗号化/BitLocker