BitLocker To Go

En killer feature?

Af Ilja-Otis Godau, Atea

Windows 7 - det er faktisk ret svært ikke at blive bare lidt begejstret for den kommende version af Microsofts klient operativsystem.

Sidder her i solen, nyder en kop kaffe og glæder mig over de nyheder der findes i Windows 7 og som afgjort er brugbare i det daglige arbejde. Her tænker jeg fx på Aero Peek, Aero Snap, den nye taskbar og ikke at forglemme Screen Docking.

Alt sammen funktionalitet som den enkelte bruger kan glæde sig over i forbindelse med det daglige arbejde med pc'en. Men lad os prøve at kigge lidt nærmere på en af de fornyelser der ikke kun har med brugergrænsefladen at gøre, men er mere forretningsorienteret og som afgjort kan spare penge i en it-afdelings daglige drift. Jeg har i denne omgang valgt at fokusere på en sikkerhedsrelateret funktionalitet: BitLocker To Go.

BitLocker To Go
Jeg ved ikke med jer andre, men hvis I har det som mig, så flyder det med USB-nøgler af varierende størrelse i min taske, på mit skrivebord eller hvor jeg nu har efterladt dem. Alle sammen med mere eller mindre fortroligt indhold eller sagt mere korrekt, så kan jeg ikke huske hvad indholdet er og jeg ved faktisk ikke om det er fortroligt eller ej. Under alle omstændigheder vil det nok ikke være smart, hvis de bliver stjålet eller går tabt.

Hidtil har det kun været muligt via 3. parts software at beskytte disse USB-nøgler/-harddiske - ikke særligt hensigtsmæssigt, ret så besværligt til tider og det ekstra software skulle vedligeholdes. Med Windows Vista introducerede Microsoft BitLocker, hvormed jeg via mit operativsystem kunne kryptere harddisken på min bærbare computer - fint, så var vi da nået så langt, men mine eksterne USB-lagringsenheder var stadigvæk ikke beskyttet.

Og det er her, det bliver ret så cool med Windows 7 og BitLocker To Go. Jeg kan nemlig nu via mit operativsystem beskytte mine USB-lagringsenheder og dermed højne mit datasikkerhedsniveau markant. Det foregår let og elegant ved at højreklikke på min enhed, vælge 'Turn on Bitlocker...' og så er jeg i gang med at kryptere min USB-enhed. Jeg vælger selv mit password og om jeg vil printe eller gemme min recovery fil og det er det. Min USB-nøgle er nu krypteret og vil ikke kunne læses uden at det korrekte password indtastes.

Nu vil den opmærksomme læser løfte øjenbrynene og sige, at det er da fint, men brugerne glemmer da deres passwords og hvad så? Og hvad sker der, hvis jeg sætter USB-nøglen ind i fx en Windows XP maskine? Ingen problemer i det. Lad os tage det sidste først.

Der er naturligvis tænkt over netop det, at krypterede lagringsenheder skal kunne bruges på ældre versioner af Microsofts operativsystemer. Til formålet gør man brug af 'BitLocker To Go Readeren' der automatisk startes når man sætter en USB-lagringsenhed i en ikke Windows 7 PC. Jeg indtaster mit kodeord og jeg har read-only adgang til min enhed. Lettere kan det næsten ikke være.

Første indvending var, at brugerne nok på et tidspunkt glemmer deres password og hvad gør man så, når en USB-lagringsenhed er krypteret med BitLocker To Go og også recovery-filen er gået til de evige bitmarker? Her kommer mit Active Directory og GPO'er (Group Policy Objects) til min redning.

Det er efterhånden nærmest en selvfølge, at med hver ny generation af klient operativsystemer udvider Microsoft anvendelsen af GPO'er betragteligt og det gælder naturligvis også i forbindelse med Windows 7 og BitLocker To Go. Ikke overraskende kan jeg som administrator fuldt ud styre brugen af USB-lagringsenheder på mine klient pc'er. Ja, jeg kan faktisk gå så langt, at brugerne ikke kan anvende sådanne enheder med mindre de er krypteret med BitLocker To Go og naturligvis kan deres password blive gemt i ADS. De lagres altså ikke kun centralt - og der tages naturligvis backup af dem), men man kan også få adgang til dem, hvis brugeren skulle glemme deres password. Og når vi nu er ved emnet kodeord, så er det også muligt at bestemme kompleksiteten af disse via GPO'er.

Vælger jeg for eksempel indstillingen med at jeg kræver, at mine USB-lagringsenheder skal være krypteret med BitLocker To Go, så kommer følgende dialog frem, hvis jeg sætter en USB-lagringsenhed til maskinen som ikke er krypteret:

Som det ses, har jeg to valgmuligheder og det er helt op til mig som bruger hvilken vej jeg ønsker at gå - hele vejen ved at kryptere min USB-lagringsenhed eller kun read-only adgang.

Er alt så fryd og gammen hvad BitLocker To Go angår? Næsten da. Der er en lille hage ved teknologien og det er der nok ikke så meget at gøre ved: Det tager tid at kryptere sine USB-lagringsenheder!

Lad være med at sætte en kryptering i gang når du er på vej ud af døren til et vigtigt møde og skal have USB-stikket med. Det tager altså tid for BitLocker To Go at tygge sig gennem det 64 GB stik eller 500 GB USB-harddisk, du naturligvis har. Ved en absolut ikke videnskabelig udført tidsmåling på en af mine 8 GB USB-stiks var resultatet, at det tog ca. 15 minutter!

En hurtig opsummering på BitLocker To Go:

• Egenskaben er, at man får krypteret indholdet af sine USB-lagringsenheder og kan styre dem fra centralt hold via GPO'er.
• Fordelen er, at man får højnet datasikkerhedsniveauet i sin virksomhed, da tabte/stjålne USB-lagringsenheder ikke længere udgør en sikkerhedsrisiko, fordi data er krypteret og der ikke er adgang til dem for uvedkommende.
• Gevinsterne er, at man ikke længere skal investere i 3. parts software til formålet, rulle dette software ud, vedligeholde det og administrere det i dagligdagen. Altså, man sparer penge ved at en investering bortfalder og samtidig overgår administrationen til Active Directory, som langt de fleste virksomhederne har kørende i forvejen.

Brugbart? Ja.

PS: Hjemmet er en blevet erklæret Windows 7 zone. Ikke flere XP eller Vista - selv MacBook’en er med på vognen.