Versleutelingsproblemen met een harde schijf oplossen

Inhoudsopgave:

1. Wat is versleuteling van de harde schijf?
2. Hardwareversleuteling is vergelijkbaar met softwareversleuteling
3. Wat is TPM?
4. Full Disk Encryption (FDE)
5. Wat is BitLocker?
6. Versleuteling van Advanced Format 512e (4K) FDE harde schijven
7. Harde schijf wordt niet herkend door versleutelingssoftware
8. Problemen voorafgaand aan het opstarten
9. Het systeem start niet op na het toevoegen van versleutelingssoftware van derden.
10. Versleuteling en herinstallatie van het besturingssysteem
11. Verloren wachtwoorden of encryptiesleutel

1. Wat is versleuteling van de harde schijf?

Versleuteling van de harde schijf is een proces waarbij data op de schijf of de gehele schijf wordt omgezet in onleesbare code met behulp van wiskundige algoritmen zodat deze kan niet worden geopend door onbevoegde gebruikers. De gebruiker moet een wachtwoord, vingerafdruk of smartcard opgeven om toegang te krijgen tot een versleutelde schijf. Versleuteling kan worden uitgevoerd via software- of hardwaretechnieken. In de clientomgeving hebben we meestal te maken met softwareversleuteling. Versleuteling kan op bestandsniveau zijn, of voor de hele harde schijf.

Terug naar boven

2. Hardwareversleuteling vergelijken met softwareversleuteling

Het belangrijkste verschil tussen software- en hardwareversleuteling is dat het master boot record (MBR) niet kan worden versleuteld met behulp van een mechanisme voor softwareversleuteling. Dell clientcomputers gebruiken Wave Trusted Drive Manager als onderdeel van de Dell Data Protection of Dell ControlPoint Security Manager suite met de TPM-chip voor softwarematige versleuteling. Enterprise-klanten kunnen Dell Data Protection Encryption en een DDPE Accelerator-module gebruiken die wordt gebruikt in een slot op het moederbord met behulp van de minikaart voor laptops of een PCIe-kaart voor desktopcomputers. Hardwareversleuteling is veiliger omdat het de schijf isoleert van de CPU en het besturingssysteem, waardoor deze veel minder kwetsbaar is voor aanvallen.

Terug naar boven

3. Wat is TPM?

Een Trusted Platform Module (TPM) is een cryptografische microprocessor op het moederbord die de versleutelingssleutels voor de schijf opslaat en verifieert, die op zijn beurt de schijf aan de computer koppelt. Dit betekent dat als de versleutelde schijf van de computer wordt gestolen en in een andere computer wordt geplaatst, de schijf niet toegankelijk is. De TPM-chip fungeert als een 'hek' in het station. Het grootste nadeel van de TPM-chip die in een versleutelingsschema wordt gebruikt, is dat als het moederbord moet worden vervangen, de schijf mogelijk niet langer toegankelijk is voor de gebruiker. Wave Trusted Drive Manager verhelpt dit probleem echter doordat de versleutelingssleutels ook op de harde schijf worden opgeslagen. (Dit is vergelijkbaar met RAID-arrays die niet verloren gaan als een moederbord wordt vervangen. De array-informatie wordt bewaard op de schijfstrip en in de RAID-controller EPROM.)

Meer informatie: Veelvoorkomende problemen met TPM en BitLocker vaststellen en oplossen

Terug naar boven

4. Full Disk Encryption (FDE)

Volledige schijfversleuteling betekent simpelweg dat de hele schijf (elke sector) kan worden versleuteld in plaats van de bestanden, mappen of bestandscomputers. FDE harde schijven worden de standaard in laptops vanwege de verhoogde kans op diefstal of verlies van computers. De term "volledige schijfversleuteling" is oorspronkelijk bedacht door Seagate, maar is nu een industrieterm voor alle harde schijven die volledig kunnen worden versleuteld. Beveiligingsfuncties voor FDE-harde schijf zijn altijd ingeschakeld en werken als een normale harde schijf totdat de beveiligingspolicy is geïmplementeerd.

Een veel voorkomende vraag die opkomt, is of de versleutelingssoftware van Wave Trusted Drive Manager kan worden gebruikt op een niet-FDE harde schijf om de hele schijf te beveiligen. Het antwoord is dat Wave Trusted Drive Manager geen FDE-schijf vereist. Softwareversleutelingsmechanismen, zoals Windows BitLocker, kunnen worden gebruikt om volumes op niet-FDE-schijven te versleutelen met behulp van de TPM-chip of een USB-station, maar niet via de opstartsector van het besturingssysteem (opstartsector) van de harde schijf.

Om toegang te krijgen tot de inhoud van een volledig versleutelde harde schijf met Wave Trusted Drive Manager, wordt authenticatie vóór opstarten gebruikt zodat de sectoren met het besturingssysteem en gebruikersdata kunnen worden gebruikt. Op clientcomputers die DDPA gebruiken, wordt het instellen van verificatie vóór het opstarten afgehandeld door de Wave-software in DDPA\DCPSM.

Terug naar boven

5. Wat is BitLocker?

BitLocker is een functie voor full disk encryption die beschikbaar is in Windows 7 en die alleen beschikbaar is in de Ultimate en Enterprise-versie. U kunt BitLocker To Go gebruiken om alle bestanden die zijn opgeslagen op verwisselbare harde schijven (zoals een externe harde schijf of USB-flashstations) te beschermen.

In tegenstelling tot Trusted Drive Manager hoeven deze schijven geen FDE-schijven te zijn, maar BitLocker kan alleen volumes versleutelen, maar niet het opstartvolume. Schijven die zijn versleuteld met BitLocker kunnen vóór het opstarten worden ontgrendeld met behulp van een wachtwoord of smartcard met TPM. Om toegang te krijgen tot BitLocker via een preboot-mechanisme moet het BIOS een USB-station kunnen lezen bij het opstarten en moeten er twee partities aanwezig zijn, waarbij de partitie van het computerstation minimaal 100 MB groot moet zijn en als de actieve partitie is ingesteld. De besturingssysteempartitie is versleuteld en de computerpartitie blijft niet versleuteld zodat uw computer kan opstarten.

TPM is niet vereist voor gebruik van BitLocker, maar wordt voor een betere beveiliging sterk aanbevolen voor preboot. Voor Windows Updates hoeft BitLocker niet te worden uitgeschakeld, maar voor andere updates moet deze mogelijk wel worden uitgeschakeld. Net als andere versleutelingstoepassingen wordt aanbevolen om de herstelsleutels (PIN) op verwisselbare media of andere veilige locaties op te slaan. Als de gebruiker de herstel-PIN niet heeft, is er geen manier om de schijf te ontgrendelen. Als de computer niet kan opstarten om bij de BitLocker-herstelconsole te komen of als de harde schijf defect is, kan de BitLocker-reparatietool worden gedownload en uitgepakt naar een opstartbare sleutel of cd om gegevens van de schijf te herstellen. U moet de PIN hebben voor toegang tot de data.

Als de gebruiker zich in een domein bevindt dat Active Directory gebruikt en de beheerder BitLocker heeft ingesteld, is het mogelijk dat de pincode is opgeslagen in Active Directory, dus laat deze dit navragen bij de IT-afdeling.

Meer informatie: Veelvoorkomende problemen met TPM en BitLocker vaststellen en oplossen

Terug naar boven

6. Versleuteling van Advanced Format 512e (4K) FDE harde schijven.

Een 512e (4K) of geavanceerde harde schijf betekent simpelweg dat de afzonderlijke sectoren van de schijf zijn gewijzigd van 512 naar 4096 bytes. De eerste generatie geavanceerde harde schijven bereikt dit door sectoren van 8 tot 512 bytes te combineren tot één sector van 4096 bytes. In Dell computers is de term 512e (emulatie) afkomstig van het gebruik van conversiemechanismen in de firmware van de harde schijf om het uiterlijk van de 4096-sector te simuleren voor oudere componenten en software die sectoren van 512 bytes verwacht. Alle leesbewerkingen naar een 512e harde schijf met geavanceerd formaat worden uitgevoerd in stappen van 512 bytes, maar bij een leescyclus wordt de volledige 4096 in het geheugen geladen. 512e harde schijven moeten daarom hierop worden uitgelijnd. Als de schijf niet wordt uitgelijnd, kunnen de prestaties van de schijf hier ernstig onder lijden. De huidige harde schijven die samen met een Dell computer zijn aangeschaft, zijn al uitgelijnd.

Om te detecteren of uw computer een Advanced Format-schijf (512e) heeft, downloadt u de Advanced Format-tool voor de detectie van harde schijven. 

Partitie-uitlijning is vereist voor oudere besturingssystemen en wordt aanbevolen voor nieuwe besturingssystemen om de juiste prestaties van de harde schijf en imaging tussen HDD's van verschillende sectorgroottes te garanderen.

Schijven kunnen worden uitgelijnd met behulp van verschillende tools, die kunnen worden gedownload van de Dell Support website : Drivers en downloads voor uw computer onder het gedeelte SATA-schijven.

Terug naar boven

7. Harde schijf wordt niet herkend door versleutelingssoftware.

Voor Wave Trusted Drive Manager moet de schijf een volledige Drive Encryption (FDE) schijf zijn en de SATA-werking moet zijn ingesteld op ATA/AHCI/IRRT en niet op RAID On/RAID. Dit kan het geval zijn bij versleutelingsprogramma's van derden.

Neem contact op met de leverancier voor de vereiste BIOS-instellingen.

Controleer de uitlijning van de schijf als een image van het besturingssysteem wordt gebruikt, met name bij Windows XP. Zorg ervoor dat alle updates zijn toegepast op de image voordat de versleuteling wordt uitgevoerd.

Als versleutelingssoftware van derden wordt gebruikt, neem dan contact op met de leverancier om te controleren of de software werkt met de hardware in de computer en het BIOS van Unified Extensible Firmware Interface (UEFI).

Terug naar boven

8. Preboot-problemen.

• Als de gebruiker problemen ondervindt met verificatie vóór het opstarten, controleert u welk verificatiemechanisme hij of zij gebruikt: Wachtwoord, vingerafdruk of smartcard
• Voor wachtwoorden geldt: zorg ervoor dat ze het juiste wachtwoord gebruiken en controleer of de Cap Lock en Num Lock correct zijn ingesteld.
• Als u vingerafdrukken gebruikt, zorg er dan voor dat ze de juiste vinger gebruiken en dat ze niet te snel vegen. Drie ongeldige veegbewegingen zouden de wachtwoordprompt moeten activeren.
• Controleer bij smartcards of de juiste kaart wordt gebruikt en correct is geplaatst en controleer op eventuele schade. Probeer indien mogelijk een andere kaart.
• Als u zich op een domein bevindt, zorg er dan voor dat ze niet zijn overgeschakeld naar lokale aanmelding. Ze moeten dezelfde inloggegevens gebruiken als toen de versleuteling werd ingesteld.
• Als de gebruiker aangeeft dat preboot-verificatie niet werkt bij een herstart, controleert u het BIOS om er zeker van te zijn dat het overslaan van het wachtwoord niet is ingeschakeld. Deze functie werkte niet in vroege BIOS-releases, maar is sindsdien opgelost. Ervoor zorgen dat de klant het meest recente BIOS gebruikt.
• Als de gebruiker zijn wachtwoord is vergeten of als hij niet langer in dienst is, kan Dell op geen enkele manier het wachtwoord voor Trusted Drive Manager-versleuteling herstellen. Voor applicaties van derden raadpleegt u die leverancier voor support.

Terug naar boven

9. Het systeem start niet op na het toevoegen van versleutelingssoftware van derden.

Start de computer op en druk tijdens het opstartproces op F12 om naar het BIOS-opstartmenu te gaan. Het kan nodig zijn om tijdens het opstarten meerdere keren op de toets te drukken voordat het BIOS de sleutel op het juiste moment herkent. Gebruik de pijltoetsen omhoog en omlaag om Diagnostics> in het menu te selecteren <en druk op de Enter-toets.

De Enhanced Preboot System Assessment Diagnostics (ePSA) wordt uitgevoerd om ervoor te zorgen dat de schijf niet defect is en geen fouten heeft gemeld. Als u een schijf voor Geavanceerd formatteren (512e) hebt, moet u ervoor zorgen dat de schijf correct is uitgelijnd voordat u de versleuteling uitvoert.

Neem contact op met de externe leverancier voor herstelopties. De meeste bedrijven hebben een herstelhulpprogramma dat de gebruiker kan laden op een opstartbare sleutel of een cd. Controleer ook de site van de leverancier op problemen met het computerplatform voor het geval er problemen zijn met deze specifieke software op dit computermodel.

Terug naar boven

10 Versleuteling en herinstallatie van het besturingssysteem

Als het besturingssysteem op een versleutelde harde schijf beschadigd raakt en opnieuw moet worden geïnstalleerd, is er de mogelijkheid dat de Windows-installatieschijf het station niet herkent omdat de harde schijf vergrendeld is. In het geval van met Wave Trusted Drive Manager versleutelde harde schijven moet de schijf eerst worden ontgrendeld voordat het besturingssysteem opnieuw kan worden geïnstalleerd.

Zie hier de supportdocumenten op de Wave-site waarin wordt uitgelegd hoe u de schijf kunt ontgrendelen voordat u deze opnieuw installeert.

Neem voor versleutelingssoftware van derden contact op met de leverancier voor de juiste procedure voordat u de herinstallatie probeert uit te voeren.

Terug naar boven

11 Verloren wachtwoorden of coderingssleutel

Als een gebruiker zijn preboot-wachtwoord of zijn coderingssleutel is kwijtgeraakt, of als een eindgebruiker het bedrijf heeft verlaten, bieden bijna alle leveranciers van versleutelingsapplicaties een failsafe-mechanisme voor herstel. Vanwege het standaard databeleid moet het herstelmechanisme door de klant worden geïnitieerd. Dit wordt gedaan door het wachtwoord\sleutel op te slaan in verwisselbare opslag of netwerklocatie. Als volledige schijfversleuteling is geïmplementeerd en de gebruiker zijn wachtwoord\sleutel is kwijtgeraakt, kan Dell hem niet helpen de wachtwoord\sleutel voor de schijf te herstellen. De gebruiker heeft in dit geval een vervangende harde schijf nodig. Dit probleem valt buiten het bereik van de garantie, omdat de versleuteling naar behoren werkt en de data beschermt tegen indringing. Vervanging van de schijf is op kosten van de gebruiker. Wave kan helpen bij problemen met de gebruikersnaam. Degebruiker moet zijn wachtwoord hebben voor Wave om te helpen met een vergeten gebruikersnaam. Als de gebruiker zijn wachtwoord is vergeten, verloren of niet heeft, kan Wave helaas niet helpen.

Als het probleem met bovenstaande stappen niet wordt opgelost, neem dan contact op met Dell Technische Support voor ondersteuning.

Terug naar boven

Aanbevolen artikelen

Hier zijn enkele aanbevolen artikelen met betrekking tot dit onderwerp die voor u interessant kunnen zijn.

• Systeemvereisten voor Dell Full Disk Encryption
• BIOS-optie om een wachtwoord voor de harde schijf in te stellen op M.2 SSD
• Automatische Windows-apparaatversleuteling of BitLocker op Dell computers