Шифрование данных

для Windows и macOS

Шифрование диска BitLocker для Windows

BitLocker – встроенная в операционную систему Windows технология шифрования. Kaspersky Endpoint Security позволяет контролировать и управлять Bitlocker с помощью инфраструктуры Kaspersky Next. BitLocker шифрует логический том. Шифрование съемных дисков с помощью BitLocker невозможно. Подробнее о BitLocker см. в документации Microsoft.

При шифровании диска BitLocker помещает загрузчик и другие служебные файлы в системный раздел (англ. system partition). Этот раздел не зашифрован. Операционная система создает системный раздел автоматически при установке Windows. Если перед установкой Windows диск полностью размечен, операционная система не сможет создать системный раздел. В этом случае при запуске шифрования диска BitLocker операционная система предложит пользователю разметить диск снова и создать системный раздел. После создания системного раздела операционная система запустит шифрование диска BitLocker.

Алгоритм шифрования BitLocker не зависит от версии установленной библиотеки AES, входящей в состав дистрибутива (AES256 или AES56). Для шифрования используется встроенная в операционную систему библиотека шифрования.

По умолчанию приложение использует алгоритм шифрования BitLocker с длиной ключа 256 бит для шифрования устройств, которые ранее не были зашифрованы. Если устройство было зашифровано до установки приложения, используемый алгоритм шифрования может отличаться. Подробнее о выборе алгоритма шифрования см. на сайте Службы технической поддержки Microsoft. Начиная с версии 12.9 Kaspersky Next передает оригинальный ключ восстановления для устройств, ранее зашифрованных сторонним ПО, в Kaspersky Security Center.

BitLocker обеспечивает безопасность хранения ключей доступа с помощью доверенного платформенного модуля. Доверенный платформенный модуль (англ. Trusted Platform Module, TPM) – микрочип, разработанный для предоставления основных функций, связанных с безопасностью (например, для хранения ключей шифрования). Доверенный платформенный модуль обычно устанавливается на материнской плате компьютера и взаимодействует с остальными компонентами системы при помощи аппаратной шины. Использование TPM является самым безопасным способом хранения ключей доступа BitLocker, так как TPM позволяет проверять целостность операционной системы. На компьютерах без TPM вы также можете зашифровать диски. При этом ключ доступа будет зашифрован паролем. Таким образом, BitLocker использует следующие способы аутентификации:

• TPM.
• TPM и PIN-код.
• Пароль.

После шифрования системного жесткого диска для загрузки операционной системы пользователю нужно пройти процедуру аутентификации BitLocker. После прохождения процедуры аутентификации BitLocker будет доступен вход в систему. BitLocker не поддерживает технологию единого входа (SSO).

После шифрования диска BitLocker создает ключ восстановления. Kaspersky Endpoint Security отправляет ключ восстановления в инфраструктуру Kaspersky Next, чтобы вы имели возможность восстановить доступ к диску, если пользователь, например, забыл пароль.

Если пользователь самостоятельно зашифровал диск с помощью BitLocker, Kaspersky Endpoint Security отправит ключ восстановления и информацию о шифровании диска в консоль Kaspersky Next.

Если вы используете групповые политики для Windows, выключите управление BitLocker в параметрах политики. Параметры политики для Windows могут противоречить параметрам политики Kaspersky Endpoint Security. При шифровании диска могут возникнуть ошибки.

Шифрование диска FileVault для macOS

Kaspersky Endpoint Security позволяет удаленно управлять шифрованием диска FileVault. Шифрование загрузочного диска на компьютере пользователя предотвращает доступ других пользователей к важной информации, которая хранится на диске.

Когда администратор запускает шифрование диска FileVault из консоли Kaspersky Security Center, Kaspersky Endpoint Security запрашивает у пользователя компьютера его учетные данные. Шифрование диска запускается только после того, как пользователь предоставит учетные данные, перезагрузит компьютер и по прошествии 30 минут с момента получения параметров политики на компьютер. Минимальный интервал между запросами учетных данных также составляет 30 минут.

Чтобы пользователь не мог расшифровать загрузочный диск компьютера при включенном шифровании диска FileVault, администратору необходимо с помощью JAMF развернуть MDM-профиль, запрещающий расшифровку диска. Чтобы расшифровать загрузочный диск компьютера с MDM-профилем, запрещающим расшифровку диска, администратору сначала необходимо удалить профиль.

Если управление шифрованием диска FileVault не включено Kaspersky Security Center, пользователи с правами администратора могут зашифровать и расшифровать загрузочный диск компьютера из Системных настроек. Вы можете найти дополнительную информацию о FileVault в документации Apple.

Если на компьютере пользователя создано несколько учетных записей, шифрование диска FileVault сделает недоступной информацию на диске для всех пользователей компьютера, кроме пользователя, который ввел свои учетные данные.

Настройки шифрования данных для Pro View