BitLocker ドライブ暗号化の概要
Windows BitLocker ドライブ暗号化は、Windows オペレーティング システム ボリューム上に格納されているデータすべてを暗号化することでコンピュータのデータを保護する、新しいセキュリティ機能です。このバージョンの Windows では、ボリュームは、1 つまたは複数のハード ディスク上の 1 つまたは複数のパーティションで構成されています。BitLocker は、1 つのパーティション上に 1 つのボリュームだけが存在するシンプル ボリュームで機能します。ボリュームには通常、C などのドライブ文字が割り当てられています。
トラステッド プラットフォーム モジュール (TPM) は、コンピュータに組み込まれているマイクロチップです。これは、暗号化キーなどの暗号化に関する情報を格納するために使用されます。TPM に格納された情報は、外部からのソフトウェア攻撃や物理的な盗難に対して強力に保護されます。
BitLocker は、Windows オペレーティング システムおよびユーザー データを保護するために TPM を使用します。また、TPM を使用することで、無人の場合であっても改ざんされることがないように、また、紛失、盗難に遭わないようにします。
BitLocker は、TPM なしでも使用できます。TPM が搭載されていないコンピュータで BitLocker を使用するには、グループ ポリシーを使用するか、またはスクリプトによって BitLocker を構成して、BitLocker セットアップ ウィザードの既定の動作を変更する必要があります。BitLocker を TPM なしで使用する場合、必要な暗号化キーは USB フラッシュ ドライブに格納されます。ボリュームに格納されているデータのロックを解除するには、USB フラッシュ ドライブが必要です。
BitLocker ドライブ暗号化のしくみ
データは、Windows オペレーティング システム ボリューム全体を暗号化することで保護されます。
互換性のある TPM がコンピュータに装備されている場合は、BitLocker は TPM を使用してデータを保護する暗号化キーをロックします。この結果、TPM がコンピュータの状態を検証するまで、キーにアクセスできません。ボリューム全体を暗号化すると、オペレーティング システム、Windows レジストリ、一時ファイル、および休止状態ファイルなど、すべてのデータを保護できます。TPM でロックされているデータの暗号化を解除するためにはキーが必要なため、ハード ディスクを取り外して別のコンピュータにインストールしただけではデータを読み込むことはできません。
起動プロセスの間に、TPM は、重要なオペレーティング システム構成値のハッシュを、事前に取得したスナップショットと比較してから、暗号化された部分のみロックを解除するキーをリリースします。これにより、Windows の起動プロセスの整合性が検証されます。TPM によって Windows インストールの改ざんが検出された場合は、キーはリリースされません。
既定で、BitLocker セットアップ ウィザードは TPM とシームレスに動作するように構成されています。管理者はグループ ポリシーまたはスクリプトを使用して、追加の機能およびオプションを有効にできます。
より高度なセキュリティを実現するために、TPM をユーザーが入力する PIN または USB フラッシュ ドライブに格納されている起動キーと組み合わせて使用することもできます。
互換性のある TPM が装備されていないコンピュータでは、BitLocker は暗号化機能は提供できますが、TPM でキーをロックする追加のセキュリティ機能は提供できません。この場合、ユーザーは起動キーを作成して、それを USB フラッシュ ドライブに格納する必要があります。
TPM とは
TPM は、主に暗号化キーに関する基本的なセキュリティ関連機能を提供するよう設計されたマイクロチップです。TPM は、通常、デスクトップまたはポータブル コンピュータのマザーボード上に取り付けられ、ハードウェア バスを使用してシステムの他の部分と通信します。
TPM が組み込まれたコンピュータは、TPM だけが暗号化を解除できるように、暗号化キーを作成して、キーを暗号化することができます。このプロセスは、一般に "ラッピング" または "バインディング" と呼ばれるもので、キーの漏洩を防ぐのに役立ちます。各 TPM には、ストレージ ルート キー (SRK) と呼ばれるマスタ ラッピング キーがあります。これは TPM 自身に格納されます。TPM で作成されるキーのプライベート部分が、他のコンポーネント、ソフトウェア、プロセス、またはユーザーに公開されることはありません。
TPM が搭載されているコンピュータでは、ラップされているだけでなく、特定のハードウェアまたはソフトウェアの条件に関連付けられたキーを作成することもできます。これは、キーの "封印" と呼ばれます。封印済みのキーを初めて作成するときに、TPM は構成の値とファイルのハッシュのスナップショットを記録します。封印済みのキーは、最新のシステム値がスナップショットの値と一致した場合にのみ、"開封" またはリリースされます。BitLocker は、封印済みのキーを使用して Windows オペレーティング システムの整合性に対する攻撃を検出します。
TPM を使用すると、キーの組のプライベート部分は、オペレーティング システムで制御されるメモリから分離されます。TPM は命令の処理に独自の内部ファームウェアおよび論理回路を使用するため、オペレーティング システムに依存せず、外部ソフトウェアの脆弱性にさらされることがありません。
その他の参考資料
