+49 (0) 8171/405-0 info@proSoft.de

BitLocker Single Sign-on

11.
Mrz
2021
Authenticator App, BitLocker, BitLocker 2FA, BitLocker PBA, BitLocker SSO, BitLocker-Verwaltung, UEFI BitLocker, YubiKey

Bei der nativen Nutzung der Festplattenverschlüsselung Microsoft BitLocker haben Organisationen die Wahl zwischen «Umständlich aber sicher» oder «benutzerfreundlich aber unsicher». Mit BitLocker Single Sign-on Funktionen in Kombination mit Lösungen zur BitLocker-Verwaltung, erreichen Unternehmen das Optimum «benutzerfreundlich und sicher».

Microsoft BitLocker ist in Verbindung mit einer TPM-PIN zwar sicher, aber umständlich in der Administration und aufwändig beim User-Helpdesk. Das Trusted Platform Module (TPM) ist ein, in Computern integrierter Chip, der in diesem Fall die sichere Speicherung des BitLocker-Schlüssels übernimmt. Geschützt wird der BitLocker Schlüssel durch eine PIN, die der Anwender beim booten eingeben muss. Das ist auch der Grund, warum Anwender diese Methode nicht unbedingt schätzen, Sie müssen sich doppelt anmelden – zuerst bei der Festplattenverschlüsselung und danach bei Windows bzw. am Netzwerk. Trotzdem empfiehlt Microsoft die Nutzung von TPM plus PIN. Wird die PIN vom Anwender vergessen, ergibt sich dadurch aber ein großes Problem, besonders wenn der Anwender unterwegs ist. Der Recovery Key zur Wiederherstellung von BitLocker, kann laut Microsoft im Microsoft Konto, auf einen USB-Stick, im Azure AD oder auf einem Ausdruck gefunden werden. Für Organisationen nicht ideal haben sie doch keine Chance mehr, ihren Anwendern bei entsprechenden «Wissenslücken» zu helfen.

Benutzerfreundlich aber unsicher

Wird die PIN dagegen im TPM-Chip gespeichert, kann sie beispielsweise durch «TPM-Sniffing» bei der Übertragung vom TPM in den Arbeitsspeicher mitgelesen werden. Dieser Angriff dauert in der Regel nur 20 Minuten. Links zu weiteren Angriffsmethoden finden Sie unten. Ist die TPM-PIN bekannt, können auch die Daten auf der eigentlich verschlüsselten Festplatte entschlüsselt werden. Einziger Vorteil ist hierbei, dass sich der Nutzer die PIN nicht merken muss.

BitLocker Single Sign-on oder Pre-Boot Authentifizierung

Microsoft empfiehlt deshalb nicht die Standardkonfiguration einzurichten, sondern BitLocker ausschließlich in Kombination mit einem TPM/BIOS-Passwort oder PIN und Single Sign-on bzw. Pre-Boot Authentifizierung (PBA) zu nutzen. Dadurch wird verhindert, dass der BitLocker-Schlüssel vor Eingabe eines Passworts das Trusted Platform Module erreichen und dort mithilfe einer Attacke ausgespäht werden kann. Die BitLocker Single Sign-on Funktionsweise wollen wir am Beispiel der BitLocker-Verwaltung Secure Disk for BitLocker des deutschen Herstellers Cryptware IT-Security GmbH erläutern. Bei dieser Lösung erfolgt die Pre-Boot Authentifizierung über Name/Passwort, (Virtual-) Smartcard, Zertifikat oder biometrisch. Neu hinzugekommen sind die sichere Authentifizierung über YubiKey OTP Hardware-Token und Authentifizierungs-Apps wie Google Authenticator, FreeOTP, LinOTP oder Sophos Authenticator.

Trotz BitLocker Single Sign-on konnte hier eine Zwei-Faktor Authentifizierung realisiert werden. Denn Anwender müssen sowohl das Notebook als auch Smartphone plus OTP-App, PIN oder biometrische Eigenschaften zur Anwenderidentifizierung am Smartphone oder den YubiKey Token parat haben. Eine einmalige Authentifizierung reicht aus, um sich sowohl bei BitLocker als auch bei Windows sicher anzumelden. Diese Verfahren sind durch den TPM-Chip am Notebook vor Brute-Force Attacken geschützt. Die OTP-Token wiederum sind durch das Trusted Platform Module kryptografisch mit der Hardware (Notebook) verbunden. Erwähnenswert ist noch, dass die Anmeldung über App vollständig offline funktioniert. In der eigenen Domäne sorgt der Friendly Network Mode für die Anmeldung am Netzwerk und nicht nur an Windows.

BitLocker Single Sign-on mit YubiKey

Volle Flexibilität mithilfe der YubiKey Produktfamilie

 

BitLocker Pre-Boot Authentifizierung mit YubiKey

Der YubiKey USB-Token ist eine echte Alternative und ein weiteres sicheres Single Sign-on Authentifizierungsverfahren. Anwender müssen zusätzlich zu den Anmeldedaten nur noch ihren YubiKey besitzen, um Zugang zum Betriebssystem zu erhalten. Nach der Anmeldung an der Secure Disk Pre-Boot Authentifizierung, wird der User auch automatisch am Microsoft Betriebssystem angemeldet (siehe Video). Die Lösung Secure Disk for BitLocker ist von Yubico in das Programm «Works with YubiKey» aufgenommen worden. Auch diese Methode entspricht den strengen Vorgaben einer Zwei-Faktor Authentifizierung.

Alle oben beschriebenen neuen Authentifizierungsmethoden sind Multi-User-fähig,

Durch BitLocker-Verwaltung die Kontrolle behalten

Die Hauptaufgaben einer BitLocker-Verwaltung sind aber Funktionen wie die zentrale, sichere Speicherung der BitLocker Recovery-Schlüssel in einer Datenbank, entsprechende Challenge-Response-Helpdesk-Mechanismen bei vergessenen Passwörtern/PINs, sowie ein Reporting über den Status der Festplattenverschlüsselung. Dies ist besonders wichtig, wenn Notebooks gestohlen werden oder abhandenkommen.

Links zum Thema

Fazit: BitLocker ist inzwischen der Standard bei Festplattenverschlüsselungen. Die Verschlüsselung ist optimal in das Betriebssystem integriert, maximal performant und kann auch mit Windows 10 Funktionen, wie Inplace-Upgrades umgehen. Die von Microsoft empfohlene Konfiguration ist sicher, aber nativ wenig benutzerfreundlich. Mit zusätzlicher BitLocker-Verwaltung sind PIN und Recovery-Schlüssel zentral gespeichert. Damit können Organisationen ihren Anwendern auch unterwegs helfen. Ob BitLocker aktiv war oder nicht, ist bei Verlust oder Diebstahl der Hardware entscheidend dafür verantwortlich, ob ein Datenschutzvorfall meldepflichtig ist oder nicht. Im Dashboard oder über Reports ist der Nachweis mit den entsprechenden Lösungen möglich.

ProSoft präsentiert das mobile Kiosksystem MetaDefender K2100 für kritische Infrastrukturen https://t.co/4gdmDM8bgw
Sicherheitslücke in #Moxa MXsecurity Series gefährdet kritische Infrastrukturen. Eine kritische #Sicherheitslücke in der Netzwerküberwachungslösung MXsecurity bringt Industrieanlagen in Gefahr. https://t.co/m3r4xGmzh1 https://t.co/MkLqc0Nrhr
8 Tipps für die IT-Sicherheit in Ihrem Unternehmen | IHK München https://t.co/8pPcHS0pIh
Webbrowser: Google Chrome 114 schließt 16 Lücken und verbessert Sicherheit | Security https://t.co/5E3z0aiTZo #Google
Hallo Herr Doktor, wieso haben Sie meine Diagnose an Fremde geschickt? https://t.co/6CO4ehbYsi via @zeitonline
WithSecure startet neue Incident-Response-Services https://t.co/2zWriqDAlD
LibreOffice-Lücken: Risiko von Codeschmuggel mit präparierten Dokumenten | heise online #Libreoffice https://t.co/6NOeMggioB
Kritische Lücken in Netzwerkverwaltungssoftware D-Link D-View 8 geschlossen | heise online https://t.co/ZX9u7HRR5e
So bewerten Datenschützer die #DSGVO https://t.co/ORFloLtpum
OT-Security: Wie Security Gateways und Datendioden Datenströme absichern https://t.co/Xf6Md4L6l0 #otsecurity https://t.co/dpOeM9Y6Tw
Sicherheitsupdates: Zyxel-Firewalls anfällig für Schadcode-Attacken | Security https://t.co/mZ2VFd2CUF #zyxel #Sicherheitslücke #patch
Betrüger nutzen ChatGPT und verdienen Geld mit Fleeceware-Apps https://t.co/cEzNRrEt7P via @zdnet_de
Hacker nutzen Dropbox für betrügerische E-Mails https://t.co/TYwNZfrfnV via @zdnet_de
@NetSupportNSM: NetSupport Manager offers a unique range of supporting tools to maximize efficiency and minimise system downtime, ensuring uninterrupted productivity. Try it free for 30 days. https://t.co/KH8QEfRavD 

#RemoteControl #Efficiency #Downtime https://t.co/QDDsrgFmsG
bdc5c
KeePass: Angreifer können auf Master-Passwort zugreifen | Security https://t.co/h7eXDHmwl2
Kritische Lücken in Canon-Druckern ermöglichen Codeschmuggel | Security https://t.co/dBbIqoRsqQ
@heisec: Attacken könnten bevorstehen: Kritische Root-Lücken bedrohen Cisco-Switches https://t.co/W03ScEMl90 #Cisco #Patches
Datenleck in der Cloud: Standortdaten von Toyota-Fahrzeugen jahrelang einsehbar https://t.co/t2mjLxvckn #Sicherheitslücke #Toyota
#synology VPN Plus Server aufgrund von Schwachstelle angreifbar | Security https://t.co/LhBmYUu7D2

Der ProBlog Newsletter

Bleiben Sie auf dem Laufenden mit unseren interessanten News, Updates und Insights
zu modernen IT-Security & IT-Infrastruktur-Lösungen.

Members Only:
Alle Newsletter-Empfänger erhalten jetzt Zugriff auf exklusive Inhalte!

Bitte füllen Sie kurz das Formular aus.
Anschließend erhalten Sie eine E-Mail, mit der Sie Ihre Anmeldung bestätigen können.

 

 
Mit der Anmeldung akzeptiere ich die Datenschutzbestimmungen der ProSoft GmbH.

 

Share This