Windows 7 BitLocker in Relation zu SafeGuard Enterprise Technisches Whitepaper

Transkript

1 , Windows 7 BitLocker in Relation zu SafeGuard Enterprise Technisches Whitepaper Dokument Version: 5.50 Dokument Datum: Page

2 Inhalt 1 FAQ Was ist BitLocker Drive Encryption (BDE)? Welche Voraussetzungen muss der Kunde mitbringen, um BitLocker einsetzen zu können? Will Microsoft damit Hersteller spezieller Sicherheitssoftware wie z.b. Sophos vom Markt verdrängen? Warum sollte ich als Windows 7 bzw. Vista Kunde mit BitLocker weiterhin SafeGuard Produkte einsetzen? Was sollten meine nächsten Schritte sein? Page

3 1 FAQ 1.1 Was ist BitLocker Drive Encryption (BDE)? Microsoft hat bereits in die Windows Vista Enterprise und Ultimate Edition eine Festplattenverschlüsselung namens BitLocker Drive Encryption (BDE) integriert. In Windows 7 können weiters auch erstmals Wechselmedien mittels BitLocker verschlüsselt werden. BitLocker stellt sicher, dass die Systempartition eines Rechners seit dem letzten Abschalten oder Hibernieren nicht durch externe Tools verändert wurde. Dies wird durch Prüfsummen, die während des Bootvorgangs über Systemkomponenten errechnet werden, sowie durch eine Verschlüsselung der Systempartition erreicht. Die Funktion wird ohne zentrale Steuerung lokal über das Security Center Menü des Betriebssystems bzw. über Scripts aktiviert bzw. deaktiviert. Um den Schutz während des Bootvorgangs sicher zu stellen muss eine speziell angepasste Hardware mit TPM 1.2 Chip oder ein USB Memory Token 1 verwendet werden, auf dem in einem nicht passwort-geschützten, hidden File der Schlüssel gespeichert wird. Multi-user Konzepte, wechselbare Passworte, Challenge/Response Helpdesk oder auch Unterstützung von Crypto-Token fehlen jedoch in BitLocker. SafeGuard Enterprise bietet diese und noch viel mehr Funktionalität ohne spezielle Hardware- oder Betriebssystemanforderungen und vor allem Enterprise-tauglich. Darüber hinaus wurden in SafeGuard Enterprise Microsoft Funktionen wie BitLocker in das eigene Sicherheitskonzept integriert um so dem Kunden eine weiche Migration in heterogenen Umgebungen, sowie eine effiziente zentrale Verwaltung zu ermöglichen. Davon abgesehen ist BitLocker nur ein Baustein eines umfassenden IT-Sicherheitskonzepts welches durch SafeGuard Produkte realisiert werden kann. Sophos begrüßt das Engagement von Microsoft, welches klar belegt, dass der professionelle Schutz von Firmendaten heute eine unverzichtbare Anforderung ist. Wir werden die neue Windows 7 Funktionalität wie auch in der Vergangenheit die Sicherheitsbasisfunktionen verschiedener Betriebssysteme in unsere, für den professionellen Kunden ausgelegte Lösungen integrieren. Somit stellen wir unseren Kunden eine zentral verwaltbare Sicherheitslösung zur Verfügung, die eine wirklich sichere Nutzung von Endgeräten (z.b. im Rahmen des Mobile Computings) ermöglicht. 1.2 Welche Voraussetzungen muss der Kunde mitbringen, um BitLocker einsetzen zu können? Um BitLocker nutzen zu können, sind folgende Voraussetzungen notwendig: Windows 7 oder Vista (Enterprise oder Ultimate Edition) 1 Die USB Memory Stick Logon Methode kann in der finalen Vista Release nur über Scripting aktiviert werden. 3 Page

4 2 NTFS formatierte Partitionen, eine für das "normale" System und eine zweite für den BitLocker Startup Code (POA). Diese wird bei Windows 7 Neuinstallationen automatisch erstellt, nicht jedoch bei Upgrades. Rechner mit TPM 1.2 Security Chip oder alternativ USB Memory Token für die Verschlüsselung der Systempartition. Ein für Windows 7 oder Vista BitLocker speziell angepasstes BIOS zur Integritätsprüfung des Betriebssystems und Ansteuerung des USB Memory Tokens in der POA (Power-On Authentifizierung). Lokale Aktivierung des TPM Chips durch den Benutzer (Take Ownership), sowie Aktivierung von BitLocker im Security Center Dialog des Betriebssystems. Hardware mit TPM 1.2 Chip ist zwar mittlerweile erhältlich aber es hat sich gezeigt, dass immer noch wenige Notebooks damit ausgestattet sind. Das bedeutet, dass Untenehmen noch jahrelang Mischumgebungen aus BitLocker-fähiger und "normaler" PC Hardware betreiben werden müssen. Deshalb sind Lösungen wie SafeGuard Enterprise die bessere Wahl, denn durch sie können alle Systeme einheitlich gesichert werden unabhängig welche Hardware oder welches Betriebssystem eingesetzt wird. SafeGuard Enterprise wird weiterhin alle heute bekannten Funktionalitäten bereitstellen um Rechner zu sichern, die nicht BitLocker tauglich sind. Zusätzlich steht den Kunden offen, BitLocker taugliche Rechner auch mit diesem Verfahren zu sichern und dabei die einheitliche zentrale Sicherheitsadministration von SafeGuard zu benutzen. Auch wenn später einmal 100% BitLocker taugliche Rechner eingesetzt werden, so wird immer noch eine Lösung wie SafeGuard nötig sein, um ein umfassendes IT-Sicherheitskonzept umzusetzen. 1.3 Will Microsoft damit Hersteller spezieller Sicherheitssoftware wie z.b. Sophos vom Markt verdrängen? Nein. Microsoft besetzt ein Feld, welches Argumente zum Einsatz von TPM Chips und Windows 7 bzw. Vista liefert, bietet allerdings für den Enterprise Client Einsatz nur Grundfunktionen an. Lösungen zum professionellen Einsatz werden Drittherstellern überlassen, welche auf diesen Funktionen aufbauen können. Vergleichbar ist diese Situation mit den Personal Firewall Funktionen von Windows XP. Auch hier wurde Raum für Dritthersteller mit speziell auf heterogene Welten und Enterprise Bedürfnisse angepasste Produkte gelassen. 1.4 Warum sollte ich als Windows 7 bzw. Vista Kunde mit BitLocker weiterhin SafeGuard Produkte einsetzen? Für den Einsatz von SafeGuard Produkten unter Windows 7 bzw. Vista sprechen unter anderem folgende Argumente: SafeGuard bietet ein MultiUser Konzept in der POA Für das gemeinsame Nutzen von Notebooks und Workstations durch mehrere Benutzer sollte eine variable Anzahl von Benutzerkonten auf einem Gerät in der Power-On Authentifizierung möglich sein. SafeGuard unterstützt mehrere Benutzerkonten auf einem Gerät, wohingegen BitLocker nur einen Benutzer pro Gerät 4 Page

5 unterstützt, da BitLocker immer den Maschinenschlüssel benötigt (in Form des TPM Chips, eines Files auf einem USB FlashDrive oder als konstante 48-Stellige PIN, die sich wohl die wenigsten Benutzer merken können werden). Des Weiteren gibt es keine Funktionen wie verschiedene Benutzer-IDs, wechselbare PINs, Challenge / Response Mechanismen oder Passwortsynchronisation mit Windows Konten in BitLocker. Kein Smartcard / Biometric Logon mit Zwei-Faktor Authentifizierung SafeGuard Produkte bieten eine echte Zwei-Faktor Authentifizierung an, wo der Benutzer sich mittels kryptographischer Smartcard oder e-token und einem eindeutigem Passwort authentifiziert. Im Gegensatz dazu kann man sich bei BitLocker nur mittels TPM 1.2 oder USB-Flash Drive anmelden, welcher eine ungeschützte Datei mit dem Schlüssel enthält und der Benutzer kein Passwort zur Aktivierung mehr eingibt. Das bedeutet, dass jeder der in den Besitz des USB- Sticks kommt auch Zugang zum Gerät erhält. Ebenso kann der BitLocker Keyfile problemlos auf andere Sticks kopiert werden. USB Port Control In Windows gibt es zwar die Möglichkeit den Gebrauch von PnP Geräten einzuschränken (unabhängig von BitLocker), jedoch bietet diese nur eingeschränkte Funktionalität. Grundsätzlich gibt es eine Reihe von GPO Einstellungen mit denen man PnP Geräte sperren kann, wenn der Administrator jedoch eine Liste mit mehreren Geräten zulassen oder sperren will dann muss für jedes Gerät einzeln die GUID (ein zufällig erzeugter langer String) eingegeben werden. Dadurch wird er spätestens nach einigen Geräten den Überblick verlieren, da er anhand der GUID nicht weiß welche Geräte er genau verwaltet. Sophos bietet hierfür das Produkt SafeGuard Enterprise Configuration Protection, welches nicht nur übersichtlicher zu verwalten ist, sondern auch bereits für Betriebssysteme wie Windows XP kostengünstig mehr Funktionalitäten bietet. Administratoren, die an einer ausgereiften PnP Kontrolle interessiert sind werden also nicht an einem Produkt eines Drittherstellers vorbei kommen. Heterogene PC Umgebungen: SafeGuard Produkte bieten äquivalente Funktionen des Bootschutzes auch auf TPM 1.1 oder TPM-loser Hardware. SafeGuard Produkte nutzen bereits heute TPM Chips für Sicherheitsfunktionen wie z.b. Maschinenbindung oder Schlüsselerzeugung. Mischumgebungen verschiedener Betriebssystemversionen und Hardware wie sie typischerweise in Unternehmen auftreten, werden durch SafeGuard einheitlich zentral verwaltet und professionell geschützt. Sicherheit für Wechseldatenträger: Zwar können mit Windows 7 Wechselmedien nun auch von BitLocker verschlüsselt werden, allerdings gibt es dafür kein flexibles Keymanagement zum Austausch von verschlüsselten Daten innerhalb von Gruppen etc. Zusätzlich wird es in Windows 7 ein Tool names BitLockerToGo geben, um auf Wechselmedien verschlüsselte Dateien auch auf PCs zu öffnen wo kein Windows 7 installiert ist. Dies funktioniert allerdings nur auf FAT formatierten Wechselmedien und bietet nur lesenden Zugriff auf die Dateien. Es können im Gegensatz zu SafeGuard Enterprise also keine Dateien auf Drittrechnern bearbeitet und danach wieder gesichert abgespeichert oder NTFS Format verschlüsselte Wechselmedien für ältere Systeme als Windows 7 verwendet werden. Umgekehrt bietet SafeGuard Enterprise transparenten, verschlüsselnden Zugriff auf Wechselmedien konsistent über alle unterstützten Plattformen hinweg von Windows XP bis Windows 7. 5 Page

6 Enterprise taugliche zentrale Verwaltung und Recovery-Szenarien: Die Windows BitLocker Funktion ist ab Windows 7 relativ einfach aktivierbar. Es fehlen allerdings Enterprise-taugliche Mechanismen für zentrale Aktivierung (z.b. Take Ownership des TPM Chips) und nützliche Recovery Tools (z.b. wenn Chip defekt oder Platte gewechselt werden muss). Es gibt auch nur genau einen konstanten 48-stelligen numerischen Recovery Key für BitLocker. Falls ein Benutzer also sein USB token verliert, ist die einzige Recovery Möglichkeit ihm diesen konstanten Key mitzuteilen, oder ein neues Token zu schicken. SafeGuard Enterprise hingegen bietet bereits heute ausgereifte und millionenfach bewährte Recovery Mechanismen, welche rasche Hilfe bei vergessenen Passworten, verlorenen Token oder korrupten Bootpartitionen realisiert. Plattformübergreifende Security Policy: Der Einsatz von SafeGuard erlaubt plattformübergreifend einheitliche Sicherheitsstandards durchzusetzen, wohingegen die BitLocker Funktion auf die Windows Vista / Windows 7 Enterprise/Ultimate Plattform beschränkt bleibt und nur eine bedingte zentrale Verwaltung dieser Funktion vorsieht. Ein Mischbetrieb von mehreren Betriebssystemversionen ist bei Großkunden die Regel, die zentrale Verwaltung solcher heterogener Umgebungen ein Muss. SafeGuard kann hier helfen. Sicherheitsfunktionen jenseits der traditionellen "Festplattenverschlüsselung": Neben der Verschlüsselung von Festplatten zum Schutz der darauf gespeicherten Daten und des Betriebssystems bei ausgeschaltetem Rechner gibt es noch viele weitere sicherheitsrelevante IT-Bereiche, welche durch das Betriebssystem nur unzureichend abgedeckt werden. Neben Virenschutz und VPN sind dies z.b. die folgenden Bereiche, welche SafeGuard ebenso bereits heute abdeckt: o Schutz gegen unbefugte Benutzung von Peripheriegeräten (PnP Management von Schnittstellen wie Infrarot, Bluetooth etc.) o Schutz gegen unbefugte Installation oder Ausführen von Programmen (vor allem auf PDA Plattformen) o Gesicherter Datenaustausch auf File- oder Datenträgerebene mit internen oder externen Partnern bzw. Personen. o Datei- / Verzeichnisbasierte Verschlüsselung zu Sicherung der Daten von Arbeitsgruppen auf lokalen Festplatten, Netzwerk- oder Terminal-Servern. o Trennung der Sicherheitsadministration (Key-Management) von der Windowsbzw. Netzwerkadministration um ein vier-augen Prinzip für vertrauliche Daten zu gewährleisten oder z.b. einfacher Netzwerkadministration an externe Firmen auslagern zu können ohne Kompromisse in der Datenvertraulichkeit eingehen zu müssen. o Mail Gateway Verschlüsselung, Hardware Security Module (HSM), sowie Viren und Spamschutz (Sophos). 1.5 Was sollten meine nächsten Schritte sein? Microsoft hat mit dieser Initiative bewiesen, wie wichtig der Schutz des Betriebssystems vor externen Angriffen ist. Dies sollte nicht auf den Schutz der Systempartition unter einigen Windows Varianten und spezieller Hardware begrenzt bleiben. Die eingeschränkte Funktionalität, die BitLocker derzeit ohne TPM 1.2 Chip bietet, würde der Markt von anderen professionellen Sicherheitslösungen nicht akzeptieren. SafeGuard Produkte bieten bereits 6 Page

7 heute einen professionellen Schutz von Firmendaten. So können Sie heute und in Zukunft verschiedenste Plattformen mit einem einheitlichen umfangreichen Sicherheitskonzept verwalten. Sind Sie bereits SafeGuard Kunde, so denken Sie darüber nach, Ihre Lösung falls nötig durch weitere SafeGuard Module oder auf weitere Plattformen zu erweitern und lassen Sie sich von Ihrem Betreuer beraten. 7 Page

8 Boston, USA Oxford, UK Copyright 2010, Sophos Plc All registered trademarks and copyrights are understood and recognized by Sophos. No part of this publication may be reproduced, stored in a retrieval system, or transmitted by any form or by any means without the prior written permission of the publishers. 8