Affronteremo un problema di vitale importanza nel nostro ruolo di amministratori, ed è un problema che è legato alla sicurezza delle informazioni nella nostra rete, sappiamo tutti che le organizzazioni devono garantire la sicurezza e la disponibilità delle informazioni poiché non c'è dati che sono estremamente delicati e se vengono rubati, violati o qualsiasi altro tipo di situazione possono incorrere in problemi non solo per l'organizzazione ma anche per il responsabile dell'area dei sistemi.
Prima di iniziare, esaminiamo cosa Termine di crittografia e quali vantaggi può offrirci; La crittografia sta semplicemente trasformando i dati che abbiamo in un file che è impossibile leggere per un altro utente che non è autorizzato ad avere accesso a tali dati. C'è anche il processo di decrittazione, che non è altro che convertire i dati crittografati nel loro stato originale.
esistere 3 tipi di algoritmi da crittografare:
SimmetricoÈ uno che utilizza una semplice chiave per crittografare o decrittografare un file.
AsimmetricoÈ quello che utilizza due chiavi matematicamente correlate, con una il file viene crittografato e con l'altra viene decrittografato.
tipo di hashQuesto tipo di crittografia funziona in un solo modo, ovvero dopo la crittografia non può essere decifrato.
Oggi Windows Server 2012 incorpora due (2) tecnologie di crittografia
- Sistema di crittografia dei file - Crittografia del file system (EFS)
- Crittografia dispositivo BitlLocker - Crittografia unità BitLocker
Iniziamo con la parte pratica, andiamo al capitolo successivo cliccando su avanti.
1. Cripta o decrittografa i file usando EFS
Maggio crittografare i file su volumi NTFS e per il suo utilizzo l'utente deve avere i codici di accesso, quando apriamo (con la password valida) un file con EFS verrà automaticamente decifrato e se lo salviamo verrà decifrato.
Cripta file con EFS
Il processo per crittografare un file con EFS è il seguente:
Dobbiamo fare clic con il pulsante destro del mouse sulla cartella o sul file che vogliamo crittografare e scegliere l'opzione Proprietà (modifica):
Nella scheda generale scegliamo l'opzione Opzioni avanzate.
L'opzione verrà visualizzata Attributi avanzati.
Scegliamo l'opzione Cripta i contenuti per proteggere i dati, clicchiamo su Accettare.
Vedremo che la nostra cartella crittografata è evidenziata.
NotaSe ci sono sottocartelle all'interno della cartella che abbiamo, quando applichiamo le modifiche il sistema ci chiederà se vogliamo applicare queste modifiche a tutte le cartelle (comprese le sottocartelle) o solo alla cartella principale
Selezioniamo l'opzione più appropriata e clicchiamo su Accettare.
Decifra file o cartelle con EFS
Per decifrare un file o una cartella eseguiamo il seguente processo:
Facciamo clic con il tasto destro e scegliamo proprietà:
Nella scheda generale noi scegliamo Opzioni avanzate:
La finestra di Attributi avanzati e dovremmo deselezionare l'opzione Cripta i contenuti per proteggere i dati:
Clicchiamo su Accettare sì Applicare per salvare le modifiche.
Ricordiamo questi aspetti importanti quando si lavora con Crittografia EFS:
- Possiamo crittografare solo le cartelle utilizzando il volume NTFS.
- La cartella verrà decifrata automaticamente quando la spostiamo o la copiamo su un altro volume NTFS.
- I file che sono root di sistema non possono essere crittografati.
- L'utilizzo di EFS non è una garanzia che i nostri file possano essere eliminati, per evitare ciò dobbiamo utilizzare i permessi NTFS.
2. Condividi file protetti da EFS con altri utenti
Come condividere file protetti da EFS con altri utenti? Questa è una domanda molto richiesta in questo campo, ma non preoccuparti, ha una soluzione. Quando crittografiamo un file con EFS, solo l'utente che lo ha crittografato può avere accesso a tale file, ma nelle ultime versioni di NTFS possiamo aggiungere un certificato al nostro file o cartella crittografata per condividerlo con altre persone.
Per eseguire questo processo dobbiamo eseguire i seguenti passaggi:
Facciamo clic con il tasto destro sulla cartella o sul file da condividere e scegliamo Proprietà.
Nella finestra Proprietà (modifica) noi scegliamo Opzioni avanzate.
Là la finestra di Attributi avanzati, dobbiamo scegliere l'opzione Dettagli.
E nella finestra visualizzata aggiungiamo semplicemente gli utenti con cui verrà condiviso e facciamo clic su Accettare.
Nel caso in cui qualcuno che ha gestito i SAI abbia lasciato l'organizzazione o abbia dimenticato la password di crittografia, possiamo utilizzare il DRA (Agente di recupero dati-Agente di recupero dati).
Per questo eseguiremo il seguente processo:
- Apriamo il nostro Amministratore criteri di gruppo (Nel nostro Server manager o Server Administrator, menu Strumenti).
- Distribuiamo la foresta e il dominio.
- Facciamo clic con il tasto destro su Criterio predefinito o Criterio del dominio predefinito, selezioniamo Modificare:
Una volta aperta la finestra di modifica, andiamo al seguente percorso:
- Configurazione del computer
- Politiche
- Opzioni di Windows
- Impostazioni di sicurezza
- Criteri chiave pubblica
Noi scegliamo Sistema di crittografia dei file (Crittografia del file system) e lì facciamo clic con il tasto destro e scegliamo Crea agente di recupero dati (Crea agente di recupero dati).
Clicchiamo su Sistema di crittografia dei file (Encrypting File Systems), scegliamo i certificati e chiudiamo l'editor dei gruppi.
3. Gestione dei certificati
Quando creiamo un file per la prima volta, il sistema creerà automaticamente il certificato di crittografia. Possiamo fare un backup di detto certificato, per questo andiamo al comando o ai tasti Esegui:
Finestre + R
E inseriamo quanto segue:
certmgr.msc
Nella finestra visualizzata scegliamo Personale / Certificati, nel certificato visualizzato facciamo clic con il tasto destro e scegliamo Esportare.
Si aprirà la procedura guidata di esportazione, fare clic su Prossimo.
Scegliamo se vogliamo inviare la chiave privata:
Clicchiamo su Prossimo, scegliamo il tipo di formato e clicchiamo nuovamente su Prossimo.
Clicchiamo su Prossimo, cerchiamo il nostro certificato e clicchiamo su finalizzare
4. Crittografia dei file con Bitlocker
Insieme a BitLocker (crittografia unità BDE-BitLocker) È possibile crittografare interi volumi, quindi se perdiamo il nostro dispositivo, i dati rimarranno crittografati anche se è installato da qualche altra parte.
BDE utilizza una nuova funzionalità chiamata Modulo piattaforma affidabile TPM - Modulo piattaforma affidabile, e questo permette di avere una maggiore sicurezza in caso di attacco esterno.BitLocker utilizza TPM per validare l'avvio e l'avvio del server, e garantisce che l'hard disk sia in condizioni ottimali di sicurezza e funzionamento.
Ci sono alcuni Requisiti che dobbiamo tenere in considerazione per implementare la crittografia con BitLocker, questi sono:
- Un computer con TPM.
- Un dispositivo di archiviazione rimovibile, ad esempio un USB, quindi nel caso in cui il computer non disponga di un TPM, TPM archivia la chiave su quel dispositivo.
- Minimo 2 partizioni sul disco rigido.
- BIOS compatibile con TPM, se non è possibile, dobbiamo aggiornare il nostro BIOS utilizzando BitLocker.
TPM è disponibile nelle seguenti versioni di Windows per personal computer:
- Windows 7 Ultimate
- Windows 7 Enterprise
- Windows 8 Pro
- Windows 8 Enterprise
BitLocker non è comunemente usato sui server, ma può aumentare la sicurezza combinandolo con Cluster Failover.
Bit Locker può supportare i seguenti formati:
- FAT16
- FAT32
- NTFS
- SATA
- ATA, ecc
BitLocker non supporta:
- File di sistema CD o DVD
- iSCI
- Fibra
- Bluetooth
BitLocker utilizza 5 modalità operative nel suo funzionamento:
TPM + PIN (numero di identificazione personale) + passwordIl sistema crittografa le informazioni con TPM, inoltre l'amministratore deve inserire il proprio PIN e password per accedere
TPM + chiaveIl sistema crittografa le informazioni con TPM e l'amministratore deve fornire una chiave di accesso
TPM + PINIl sistema crittografa le informazioni con TPM e l'amministratore deve fornire la sua identificazione di accesso
Solo chiaveL'amministratore deve fornire la password di accesso per gestire
Solo TPMNessuna azione richiesta dall'amministratore
5. Come installare Bitlocker
Il processo per installare questa funzione è il seguente:
Andiamo su Server Administrator o Server Manager e scegliamo Aggiungi ruoli e funzionalità situato nell'avvio rapido o nel menu Maneggio:
INGRANDIRE
Nella finestra visualizzata facciamo clic su Prossimo, noi scegliamo Installazione basata su ruoli o funzionalità, clicchiamo nuovamente su Prossimo:
Nella finestra successiva selezioniamo il nostro server e clicchiamo su Prossimo, nella finestra del ruolo clicchiamo su Prossimo perché aggiungeremo una funzionalità, non un ruolo. Nella finestra di Seleziona le caratteristiche scegliamo l'opzione Crittografia unità BitLocker.
Come vediamo nel pannello di destra abbiamo un breve riassunto delle funzionalità di questa caratteristica, clicchiamo su Prossimo. Verrà visualizzata una finestra con un riepilogo di ciò che andremo a fare:
Clicchiamo su Installare per avviare il processo:
una volta che il nostro Funzionalità BitLocker dobbiamo riavviare il server.
6. Determina se il nostro computer ha il TPM
Modulo piattaforma affidabile è il noto? (TPM). In BitLocker il chip TPM viene utilizzato per proteggere le chiavi di crittografia e autenticazione garantendo l'integrità con sicurezza.
Per determinare se abbiamo l'opzione TPM dobbiamo andare su Pannello di controllo e scegliamo l'opzione Sicurezza:
Una volta che la finestra di Sicurezza noi scegliamo Crittografia unità BitLocker.
Vedremo che nel pannello in basso a sinistra abbiamo la possibilità di Gestione del TPM.
Clicchiamo su questa opzione, Gestione TPM e vedremo se il nostro team ha questa funzione installata:
7. Attivazione di BitLocker
a abilitare BitLocker dobbiamo andare a:
- Pannello di controllo
- Sicurezza
- Crittografia unità BitLocker
Scegliamo l'opzione Abilita BitLocker, inizierà il processo di abilitazione:
Il sistema indicherà alcune delle seguenti opzioni:
In questo esempio scegliamo Inserisci una password
Il sistema ci dirà cosa fare con la nostra password:
Nel nostro caso scegliamo Salva su file:
Salviamo la nostra password e clicchiamo su Prossimo, lì il sistema ci dice che tipo di crittografia vogliamo eseguire, intera unità o solo spazio su disco, scegliamo in base alla nostra configurazione.
Scegliamo e clicchiamo su Prossimo e infine procediamo a crittografare la nostra unità.
AttenzioneSe per qualche motivo hardware il nostro computer non supera il test TPM, possiamo eseguire il seguente processo per abilitare l'attivazione di BitLocker:
- Eseguiamo il comando gpedit.msc in Correre
- Entriamo nel seguente percorso: Configurazione computer/Modelli amministrativi/Componenti di Windows/Crittografia unità Bitlocker/Unità del sistema operativo.
- Facciamo doppio clic su quest'ultima opzione.
- Abilitiamo la policy cliccando su Abilitare.
- Salviamo e possiamo eseguire la nostra attivazione senza problemi.
Che cos'è BitLocker To Go?Bitlocker To Go è una funzionalità che ci consente di crittografare le nostre unità flash, per questo dobbiamo seguire il passaggio precedente scegliendo l'unità flash.
Pre-provisioning di BitLockerQuesta opzione ti consente di configurare Bitlocker da prima dell'installazione del sistema operativo, per questo dobbiamo configurare l'opzione Windows Preinstallation Environment Win PE con il comando Manage-bde -on x:
In sintesi, possiamo dire che disponiamo di strumenti che ci forniscono una maggiore sicurezza per i nostri file e cartelle, il tutto con lo scopo di preservarne l'integrità.
Se desideri maggiori informazioni su DFS, non dimenticare di visitare il sito Web ufficiale di Microsoft.
Cripta i dischi di Windows 10 con BitLocker
