Eine vollständige Pre-Boot Authentication für Bitlocker
Viele Unternehmen wollen bzw. müssen künftig Microsoft Bitlocker nutzen und sehen sich mit mehreren Dingen konfrontiert, die eine Nutzung im professionellen Umfeld erschweren.
 

Bitlocker Vorteile

• Kostenloser Bestandteil von Windows
• Zukunftssicher durch ständige Weiterentwicklung
• Keine Probleme mit neuen Service Packs etc.
• Standard AES 128 oder 256 Verschlüsselung
• Höchste Kompatibilität zum Betriebssystem

Bitlocker Einschränkungen

• Kein Multi-User Support
• Kein Windows XP Support
• Kein Smartcard Support
• TPM kaum realisierbar bei Unternehmen
• Angreifbar durch Firewire und Thunderbolt Hack
• Probleme bei vergessenen Login Daten
• Kein sicheres Wake on Lan
• Keine Passwort bzw. Pin Richtlinien
• Kein Single Sign On an Windows
• Keine zentrale Administration

Notwendige Bitlocker Erweiterungen

• Pre-Boot Authentisierung mit Multi-User Fähigkeit
• Smartcard und Smartcard Reader Support in der Pre-Boot Phase
• Help-Desk in der PBA (vergessene Passworte und PINs)
• Recovery Mechanismen in der PBA für AdHoc-Hilfe
• PIN und Passwort Policy
• Änderungszwang für Passworte und PINs
• Wake-on-LAN Support für gesicherte Softwareverteilung

 
Die Lösung - Pre-Boot Authentication für Microsoft Bitlocker

Funktionen

Windows Credential Mode

• Variable und skalierbare Pre-Boot Authentisierung im Linux
• Schlüssel wird mit den Windows Credentials verschlüsselt
• Single SignOn an Windows
• Smartcard und Smartcardreader Support
• Multi-User Support

Smartcard Mode (PKCS#11)

• Pre-Boot Authentisierung im Linux
• Schlüssel wird mit dem Benutzer-Zertifikat verschlüsselt
• Single Sign-On
• Multi-User Support
• Maximaler Level an Sicherheit

HelpDesk in PBA

• Online/Offline-Challenge/Response
• Schlüssel wird von einem zentralen „Helpdesk-Server“ entschlüsselt
• Benutzer vergibt ein Passwort und wird dann auch in Windows angemeldet
• Verschlüsselte Übertragung des Schlüsselmaterials

 
Weitere Funktionen

Zentrale Admin-Komponenten

• Online und Offline Helpdesk
• Wake-on-LAN
• DR2 (Disaster Recovery & Data Retrieval)
• Zentrale Administration
   

Zentrale Administration

• Basierend auf Active Directory (LDAP)
• Benutzer werden über Active Directory authentifiziert und automatisch initialisiert
• Hohe Kostenersparnis, da keine weitere Administration notwendig
• Support von Multi-Domain´s
   

Umfangreiches DR2 (Desaster Recovery & Data Retrieval)

Basierend auf BartPE – Plugin
Bereits in der PBA verfügbar
Zum Wiederanlauf von C:\ muss D:\ nicht entschlüsselt werden

Installation

• msi-Setup
• unattended Installation
• Skript-basierend
• interaktiv 

 
Alleinstellungsmerkmale

Systemarchitektur erlaubt die Integration von externen Crypto-Engines

• Microsoft Bitlocker
• TrueCrypt u.a.

 
Netzwerkfähige “online” PBA (O-PBA) erlaubt

• Sicheres WAKE-on-LAN
• ZERO User Administration
• Direkte Authentisierung gegen das MS AD (LDAP)
• Laden des Schlüsselmaterial von externen “sicheren” Servern oder HSM
• Keine lokale Schlüsselspeicherung – hoher Schutz -
• Kostenersparnis bei Supportfällen (vergessen Passworte und PINs)
• Recovery Mechanismen bereits in der PBA verfügbar