Sophos Central Device Encryption Anleitung für Administratoren. Produktversion: 1

Transkript

1 Sophos Central Device Encryption Anleitung für Administratoren Produktversion: 1 Stand: September 2016

2 Inhalt 1 Über Device Encryption Device Encryption Schritt für Schritt Device Encryption vorbereiten Device Encryption Systemkompatibilität Device Encryption Authentisierungsmodi TPM+PIN Passphrase Nur TPM USBStick Entschlüsselung Einschränkungen BitLockerGruppenrichtlinien KennwortWiederherstellung über das Self Service Portal Weiterführende Informationen zu BitLocker und TPM Technischer Support

3 Anleitung für Administratoren 1 Über Device Encryption Sophos Central Device Encryption ermöglicht Ihnen, die BitLockerLaufwerkverschlüsselung auf Windows Endpoints über Sophos Central zu verwalten. Durch die Verschlüsselung von Festplatten sind Daten geschützt, auch wenn ein Gerät verloren geht oder gestohlen wird. Dieses Dokument beschreibt die Einrichtung und die initiale Anwendung der Verschlüsselung sowie die KennwortWiederherstellung über das Self Service Portal. Nähere Informationen zu Sophos Central Richtlinieneinstellungen, Warnhinweisen und KennwortWiederherstellung finden Sie in der Sophos Central Hilfe. 3

4 Sophos Central Device Encryption 2 Device Encryption Schritt für Schritt Voraussetzungen: Die Sophos Central Agent Software muss auf den Endpoints installiert sein. Eine Device Encryption Richtlinie muss in Sophos Central definiert sein. Benutzer müssen sich an ihren Endpoints anmelden um sich mit Sophos Central zu verbinden und zu synchronisieren. Das Betriebssystem muss BitLockerLaufwerkverschlüsselung unterstützen. Nähere Informationen finden Sie unter Device Encryption vorbereiten (Seite 6) und Device Encryption Systemkompatibilität (Seite 7). Im Folgenden erfahren Sie, was Benutzer sehen und wie sie vorgehen müssen. 1. Ist die TPMSicherheitshardware noch nicht aktiviert, wird eine BIOSAktion gestartet, um sie zu aktivieren. Dies erfordert einen Neustart. Benutzer können wählen, ob sie sofort oder später neu starten. Während des Neustarts werden Benutzer aufgefordert, das TPM zu aktivieren. Wenn das TPM nicht aktiviert werden kann oder der Benutzer nicht reagiert, wird eine Nachricht ausgegeben. 2. Ist das TPM aktiv, aber nicht im Besitz, so generiert die Sophos Central Agent Software automatisch neue TPMBesitzerinformationen. Schlägt dies fehl, wird ein Warnhinweis an Sophos Central gesendet. 3. Fehlen TPM Endorsement Keys, so werden diese automatisch von der Sophos Central Agent Software erzeugt. Schlägt dies fehl, wird ein Warnhinweis an Sophos Central gesendet. Hinweis: Nicht alle Hersteller liefern TPMSicherheitshardware mit vordefinierten Keys aus. 4. Benutzer sehen den Sophos Device Encryption Dialog. Der Dialog weist Benutzer darauf hin, dass für die Aktivierung der Verschlüsselung ein Neustart erforderlich ist. 4

5 Anleitung für Administratoren Wenn in der Sophos Central Richtlinie die Option Authentifizierung bei Start erforderlich aktiviert ist, müssen Benutzer eine PIN/Passphrase oder einen USBStick zum Schutz des Systemlaufwerks definieren. Von nun an müssen Benutzer diese bei jeder Anmeldung verwenden. Der Schlüssel für die Verschlüsselung des Systemlaufwerks wird im TPM gespeichert. Hinweis: Beim Definieren einer Passphrase müssen Benutzer Folgendes beachten: In der PreBootUmgebung wird nur das USTastaturlayout (Englisch) unterstützt. Wird in Windows eine PIN/Passphrase mit Sonderzeichen definiert, müssen unter Umständen bei der Anmeldung andere Tasten für diese Zeichen verwendet werden. Hinweis: Benutzer können Später durchführen auswählen, um den Dialog zu schließen. Der Dialog wird wieder angezeigt, wenn sich Benutzer das nächste Mal anmelden oder wenn Sie die Verschlüsselungsrichtlinie ändern. Hinweis: Sie können sehen, welche Benutzer die Verschlüsselung noch nicht aktiviert haben. Sehen Sie dazu im Abschnitt Berichte in der Sophos Central Admin Konsole nach. 5. Klickt der Benutzer auf Neu starten und verschlüsseln, startet der Computer neu und stellt sicher, dass Device Encryption funktioniert. Hinweis: Ist der Benutzer nicht in der Lage, die PIN/Passphrase einzugeben, kann er die EscTaste drücken. Das System startet normal, da noch keine Verschlüsselung durchführt wurde. Bei der nächsten Anmeldung wird der Benutzer erneut aufgefordert, die PIN einzugeben. 6. War der PreBootTest erfolgreich, beginnt die Sophos Central Agent Software mit der Festplattenverschlüsselung. Die Verschlüsselung passiert im Hintergrund, daher können Benutzer wie gewohnt mit dem Computer weiterarbeiten. Hinweis: Schlägt der HardwareTest fehl, startet das System neu, es wird keine Verschlüsselung durchgeführt und eine Ereignismeldung wird an Sophos Central gesendet, um Sie zu informieren. Nachdem der Sophos Central Agent das Systemlaufwerk verschlüsselt hat, werden weitere Volumes auf eingebauten Datenträgern verschlüsselt. Datenvolumes werden mit AutoUnlock geschützt. Dass bedeutet, dass Benutzer nach der Anmeldung an ihrem Computer keine weiteren Schritte vornehmen müssen. Der Schutz für diese Volumes ist auf dem Systemlaufwerk gespeichert, so dass Datenvolumes automatisch nach dem Hochfahren verfügbar sind. Wechseldatenträger wie zum Beispiel USBSticks werden nicht verschlüsselt. 5

6 Sophos Central Device Encryption 3 Device Encryption vorbereiten Bevor Device Encryption gestartet werden kann erfordert BitLocker, dass das Systemlaufwerk vorbereitet wird. Das bedeutet, dass eine separate BitLockerPartition auf dem Systemlaufwerk erzeugt wird. Diese Partition ist üblicherweise für den Benutzer nicht sichtbar. Die meisten Systeme sind standardmäßig für BitLocker vorbereitet. Ist dies nicht der Fall, führt Sophos Central Device Encryption automatisch den erforderlichen Microsoft Befehl aus (BdeHdCfg.exe), um das Laufwerk vorzubereiten. Während der Einrichtung von Device Encryption werden Benutzer darüber informiert, dass ein Neustart erforderlich ist, um das Systemlaufwerk vorzubereiten. Benutzer können auswählen, ob sie den Computer sofort oder später neu starten möchten. Device Encryption kann nur gestartet werden, wenn der Computer neu gestartet wurde und die Vorbereitung des Systemlaufwerks erfolgreich war. 6

7 Anleitung für Administratoren 4 Device Encryption Systemkompatibilität Die folgende Tabelle bietet eine Übersicht, welche Authentisierungsmodi auf welchen Plattformen unterstützt werden. Welcher Authentisierungsmodus zur Anwendung kommt hängt davon ab, welche WindowsVersion verwendet wird und ob eine TPMSicherheitshardware verfügbar ist. Die Ziffer in Klammern gibt die Priorität an, mit der ein bestimmter Modus angewendet wird. (*) Wenn Authentifizierung bei Start erforderlich aktiviert ist, kann der Modus "Nur TPM" nicht installiert werden und daher fällt die oberste Priorität an "TPM+PIN". Win 7 Win 7 Win 8 Win 8 >= Win 8.1 >= Win 8.1 ohne TPM mit TPM ohne TPM mit TPM ohne TPM mit TPM Nur TPM ok (1*) ok (1*) ok (1*) TPM+PIN ok (2) ok (2) ok (2) Passphrasen ok (1) ok (3) ok (1) ok (3) USBStick ok (1) ok (3) ok (2) ok (4) ok (2) ok (4) Numerisches Kennwort ok ok ok ok ok ok 7

8 Sophos Central Device Encryption 5 Device Encryption Authentisierungsmodi Als Administrator können Sie mit der Option Authentifizierung bei Start erforderlich in den Einstellungen unter Geräteverschlüsselung steuern, ob sich Benutzer bei jeder Anmeldung an ihrem Computer authentisieren müssen. Welcher Authentisierungsmodus auf einem Computer installiert wird ist abhängig vom System, den BitLockerGruppenrichtlinien (Seite 13) und der konfigurierten Device Encryption Richtlinie. Abhängig von der Device Encryption Systemkompatibilität (Seite 7) wird einer der folgenden Authentisierungsmodi auf den Endpoints installiert: TPM+PIN (Seite 8) Passphrase (Seite 9) Nur TPM (Seite 9) USBStick (Seite 10) Auf Endpoints, die bereits mit BitLocker verschlüsselt sind, werden Benutzer mittels einer Nachricht über die erforderlichen Schritte informiert. Wenn Sie die Option Authentifizierung bei Start erforderlich aktivieren, werden Benutzer aufgefordert, eine PIN zu definieren und auf Anwenden zu klicken. Diese PIN muss dann bei jedem Start des Computers eingegeben werden. Wenn Sie die Option deaktivieren, wird automatisch der Modus Nur TPM angewandt und es ist keine zusätzliche Authentisierung erforderlich. Benutzer werden informiert, dass ihr Laufwerk automatisch beim Start des Computers entsperrt wird. Sophos Device Encryption kann das Gruppenrichtlinienobjekt (GPO) automatisch so konfigurieren, dass alle Authentisierungsmodi erlaubt sind, sofern die entsprechende Einstellung auf Nicht konfiguriert gesetzt ist. Wenn Sie die Einstellung manuell konfiguriert haben, werden diese Definitionen nicht überschrieben. Weitere Informationen finden Sie unter BitLockerGruppenrichtlinien (Seite 13). Benutzer können die Installation der Authentisierungsmodi aufschieben. In diesem Fall findet keine Verschlüsselung statt. Sobald sich ein Benutzer wieder an Windows anmeldet oder wenn Sie eine neue Verschlüsselungsrichtlinie bereitstellen, wird der Benutzer aufgefordert, den Computer neu zu starten. Nach diesem Neustart ist der Authentisierungsmodus installiert und Device Encryption startet. Danach können Benutzer ihre Geräte nicht wieder entschlüsseln. 5.1 TPM+PIN Dieser Modus verwendet die TPMSicherheitshardware des Computers sowie eine PIN für die Authentisierung. Benutzer müssen diese PIN bei jedem Start des Computers in der Windows PreBootUmgebung eingeben. "TPM+PIN" erfordert eine vorbereitete TPM und die GPOEinstellungen des Systems müssen "TPM+PIN" zulassen. Sind alle Bedingungen erfüllt, wird der Installationsdialog für den "TPM+PIN"Modus angezeigt und Benutzer werden aufgefordert, eine PIN zu definieren. Der Benutzer kann auf Neu starten und verschlüsseln klicken, um den Computer sofort neu zu starten und die Verschlüsselung zu starten. Ist die GPOEinstellung Erweiterte PINs für Systemstart zulassen aktiviert, darf die PIN Ziffern, Buchstaben und Sonderzeichen enthalten. Andernfalls sind nur Ziffern erlaubt. 8

9 Anleitung für Administratoren PINs für BitLocker sind zwischen 4 und 20 Zeichen lang. Administratoren können per Gruppenrichtlinie eine höhere Mindestlänge definieren. Die Sophos Central Agent Software definiert die Gruppenrichtlinie so, dass erweiterte PINs zugelassen sind und Benutzer alphanumerische PINs verwenden können. Der Dialog zeigt Hinweise für den Benutzer an, welche Zeichen verwendet werden dürfen und welche Mindest bzw. MaximalLänge erlaubt ist. Es wird außerdem angezeigt, ob die PIN schwach oder in Ordnung ist. Benutzer können auch PINs verwenden, die als schwach gelten. Eine numerische PIN gilt als schwach, wenn eine Ziffer öfter als drei Mal hintereinander verwendet wird, sie aus weniger als vier verschiedenen Ziffern besteht, sie kürzer als 12 Zeichen ist, oder wenn sie drei aufsteigende/absteigende Ziffern hintereinander enthält (0, 1,..., 9). Eine alphanumerische PIN gilt als schwach, wenn ein Zeichen öfter als drei Mal hintereinander verwendet wird, sie aus weniger als vier verschiedenen Zeichen besteht, sie kürzer als 12 Zeichen ist, oder wenn sie drei aufsteigende/absteigende Zeichen hintereinander enthält (0, 1,..., 9 oder a, b,..., z). Hinweis: Sie müssen die definierte PIN allen Benutzern eines Windows Computers mitteilen. Benutzer benötigen die PIN zum Entsperren der Festplatte und müssen sich danach mit ihrem individuellen Kennwort am Betriebssystem anmelden. Single Sign On wird auf Windows Computern nicht unterstützt. 5.2 Passphrase Für die Authentisierung an Endpoints ohne TPMSicherheitshardware kann eine Passphrase verwendet werden. Benutzer müssen diese Passphrase bei jedem Start des Computers in der Windows PreBootUmgebung eingeben. Der Schutz mit Passphrase erfordert Windows 8.0 oder höher und die GPOEinstellungen des Systems müssen den Modus Passphrase erlauben. Sind alle Bedingungen erfüllt, wird der Installationsdialog für den "Passphrase"Modus angezeigt und Benutzer werden aufgefordert, eine Passphrase mit 8100 Zeichen zu definieren. Der Benutzer kann auf Neu starten und verschlüsseln klicken, um den Computer sofort neu zu starten und die Verschlüsselung zu starten. 5.3 Nur TPM Dieser Modus verwendet die TPMSicherheitshardware des Computers ohne Authentisierung mit PIN. Benutzer können den Computer starten ohne in der Windows PreBootUmgebung eine PIN eingeben zu müssen. "Nur TPM" erfordert eine vorbereitete TPM und die Device Encryption Richtlinieneinstellung Authentifizierung bei Start erforderlich muss deaktiviert sein. Außerdem müssen die GPOEinstellungen des Systems "Nur TPM" zulassen. Sind alle Bedingungen erfüllt, wird der Installationsdialog für den "Nur TPM"Modus angezeigt. Der Benutzer kann auf Neu starten und verschlüsseln klicken, um den Computer sofort neu zu starten und die Verschlüsselung zu starten. 9

10 Sophos Central Device Encryption 5.4 USBStick Dieser Modus verwendet für die Authentisierung einen Schlüssel, der auf einem USBStick gespeichert ist. Der USBStick muss bei jedem Systemstart mit dem Computer verbunden werden. Der USBStickModus wird auf Computern mit Windows 7 verwendet, wenn kein TPM vorhanden ist oder es per GPO deaktiviert ist. Sind alle Bedingungen erfüllt, wird der Installationsdialog für den USBStickModus angezeigt und der Benutzer muss einen USBStick auswählen, auf dem der Schlüssel gespeichert werden soll. Der USBStick muss mit NTFS, FAT oder FAT32 formatiert sein. Das Format exfat wird nicht unterstützt. Außerdem muss der USBStick beschreibbar sein. Der Benutzer kann auf Neu starten und verschlüsseln klicken, um den Computer sofort neu zu starten und die Verschlüsselung zu starten. 10

11 Anleitung für Administratoren 6 Entschlüsselung Normalerweise ist keine Entschlüsselung notwendig. Wenn Sie allerdings später einen Endpoint von der Verschlüsselung ausnehmen möchten, der bereits verschlüsselt ist, so müssen Sie zuerst alle Benutzer des Endpoints aus der Richtlinie entfernen und dann die Verschlüsselung deaktivieren. Klicken Sie am Endpoint im Windows Explorer mit der rechten Maustaste auf das Systemlaufwerk und wählen Sie BitLocker verwalten. Klicken Sie im Dialog BitLockerLaufwerkverschlüsselung auf BitLocker deaktivieren. Nur ein Windows Administrator kann diese Aktion durchführen. Unautorisierte Entschlüsselung Benutzer mit Administratorrechten könnten versuchen, ihren Endpoint manuell zu entschlüsseln während eine Verschlüsselungsrichtlinie aktiv ist, doch dieser Befehl wir nur wenige Sekunden ausgeführt. Sophos Central überstimmt den Befehl des Benutzers und das Laufwerk bleibt verschlüsselt. 11

12 Sophos Central Device Encryption 7 Einschränkungen Dynamische Datenträger BitLocker unterstützt keine dynamischen Datenträger. Endpoints senden ein Ereignis an Sophos Central um Sie als Administrator darüber zu informieren, dass eine Verschlüsselung fehlgeschlagen ist, da dynamische Datenträger nicht verschlüsselt werden können. Datenvolumes auf dynamischen Datenträgern werden ignoriert. Remotedesktop Wenn Sie über Remotedesktop einen WindowsEndpoint verwenden, auf dem die Sophos Central Agent Software installiert ist, werden keine Dialoge angezeigt und Device Encryption wird NICHT ausgeführt wenn eine Richtlinie zugewiesen wird. Die Aktivierung der Verschlüsselung würde zu mehrmaligem Neustart zur Verifizierung der Kompatibilität der Hardware führen, wobei die Eingabe von PIN/Kennwort in der PreBootUmgebung seitens der Benutzer erforderlich wäre, was über Remotedesktop nicht möglich ist. 12

13 Anleitung für Administratoren 8 BitLockerGruppenrichtlinien Sophos Central definiert einige Richtlinieneinstellungen automatisch, so dass Administratoren keine Vorbereitungen mehr für die Device Encryption auf den Computern vornehmen müssen. Einstellungen, die bereits von Administratoren getroffen wurden, werden dabei nicht überschrieben. Im Editor für lokale Gruppenrichtlinien unter Computerkonfiguration > Administrative Vorlagen > WindowsKomponenten > BitLockerLaufwerkverschlüsselung > Betriebssystemlaufwerke finden Sie folgende Richtlinien: Richtlinie Einstellung Wert (von Sophos Central gesetzt) Anmerkung Zusätzliche Authentifizierung beim Start anfordern BitLocker ohne kompatibles TPM zulassen Aktiviert Erlaubt unter Windows 8 beim Systemstart die Verwendung eines Kennworts zum Entsperren des Systemlaufwerks wenn kein TPM verfügbar ist. Zusätzliche Authentifizierung beim Start anfordern TPMSystemstartPIN konfigurieren SystemstartPIN bei TPM zulassen Wenn die Device Encryption Richtlinieneinstellung Authentifizierung bei Start erforderlich aktiviert ist und das System über ein TPM verfügt, dann wird diese Richtlinieneinstellung so definiert, dass das System mit TPM geschützt wird und der Benutzer zusätzlich nach einer PIN gefragt wird. Erweiterte PINs für Systemstart zulassen Aktiviert Diese Einstellung erlaubt die Verwendung von alphanumerischen PINs, um das Systemlaufwerk mit TPM zu schützen. Kann diese Einstellung nicht definiert werden, sind nur Ziffern erlaubt. Verschlüsselungsalgorithmus: Sophos Central Device Encryption verwendet standardmäßig AES256. Über eine Gruppenrichtlinie kann auch AES128 ausgewählt werden. PIN/Kennwortanforderungen: Gruppenrichtlinien können dazu verwendet werden, um die Mindestlänge von PIN/Kennwort zu definieren und die Verwendung von komplexen Kennwörtern zu verlangen. 13

14 Sophos Central Device Encryption Nur genutzte Festplattenbereiche verschlüsseln: Ist die Gruppenrichtlinie für Startvolumes und/oder Datenvolumes so definiert, dass alle Daten verschlüsselt werden, verhält sich die Sophos Central Richtlinie entsprechend, auch wenn dort nur die Verschlüsselung der genutzten Festplattenbereiche vorgesehen ist. Manche Gruppenrichtlinien können im Widerspruch zu Sophos Central stehen, so dass die Verschlüsselung nicht durchgeführt werden kann. In diesem Fall wird eine Ereignismeldung an Sophos Central gesendet. Smartcard erforderlich: Sieht eine Gruppenrichtlinie die Verwendung von BitLocker mit Smartcard vor, wird eine Fehlermeldung ausgegeben, da dies nicht unterstützt wird. Nur genutzte Festplattenbereiche verschlüsseln: Ist die Gruppenrichtlinie für Startvolumes und/oder Datenvolumes so definiert, dass nur genutzte Festplattenbereiche verschlüsselt werden, aber die Sophos Central Richtlinie erfordert die Verschlüsselung aller Daten, wird eine Fehlermeldung ausgegeben. Weitere Informationen zu BitLocker und TPMGruppenrichtlinien finden Sie unter technet.microsoft.com/dede/library/jj aspx und technet.microsoft.com/dede/library/jj aspx 14

15 Anleitung für Administratoren 9 KennwortWiederherstellung über das Self Service Portal Benutzer, die PIN, Passwort oder USBSchlüssel vergessen haben, können mithilfe des Sophos Self Service Portals wieder Zugriff auf das Startvolume ihres Computers erlangen. Die Wiederherstellung anderer Laufwerke als des Startvolumes wird nicht unterstützt. Für die Wiederherstellung des Startvolumes gehen Benutzer wie folgt vor: 1. Verwenden Sie einen anderen Computer und melden Sie sich am Sophos Self Service Portal an. 2. Öffnen Sie die Seite Device Encryption. Eine Liste aller Computer, an denen Sie angemeldet waren, wird angezeigt. Hinweis: Wenn sich in der Zwischenzeit jemand an Ihrem Computer angemeldet hat, ist die Wiederherstellung über das Self Service Portal nicht möglich. 3. Wählen Sie aus der Liste den Computer aus, den Sie wiederherstellen möchten, und klicken Sie auf Recover. Das RecoveryKennwort wird in einem Dialog angezeigt. 4. Starten Sie Ihren eigenen Computer und drücken Sie die EscTaste, um zur BitLocker RecoverySeite zu wechseln. 5. Geben Sie das RecoveryKennwort ein. Sie können jetzt wieder auf Ihr Startvolume zugreifen. 15

16 Sophos Central Device Encryption 10 Weiterführende Informationen zu BitLocker und TPM BitLocker: Häufig gestellte Fragen (FAQ) technet.microsoft.com/dede/library/hh aspx BitLockerGruppenrichtlinien technet.microsoft.com/dede/library/jj aspx TPMGrundlagen technet.microsoft.com/dede/library/jj aspx TPM Group Policy Settings:technet.microsoft.com/dede/library/jj aspx Trusted Platform Module Administration Technical Overview: technet.microsoft.com/dede/library/cc766159(v=ws.10).aspx 16

17 Anleitung für Administratoren 11 Technischer Support Technischen Support zu Sophos Produkten können Sie wie folgt abrufen: Rufen Sie die SophosTalkCommunity unter community.sophos.com/ auf und suchen Sie nach Benutzern mit dem gleichen Problem. Durchsuchen Sie die Sophos SupportKnowledgebase unter Laden Sie die Produktdokumentation unter herunter. Senden Sie eine an und geben Sie die Versionsnummer(n), Betriebssystem(e) und Patch Level Ihrer Sophos Software sowie ggf. den genauen Wortlaut von Fehlermeldungen an. 17