Насколько безопасен BitLocker без доверенного платформенного модуля с использованием SED?

Question

Я пытаюсь найти источник некоторой базовой информации о BitLocker. Скажем, у меня есть диск с самошифрованием (SED), как у Samsung EVO, но нет TPM. Я включаю BitLocker. Есть два варианта:

1. Только пароль
2. Пароль и ключ на USB-накопителе

Мои, казалось бы, довольно основные вопросы:

1. При использовании опции "только пароль" ключ является хэшем пароля или он хранится где-то в среде предварительной загрузки? Если он сохранен, зашифрован ли он паролем?

2. Как пароль защищен паролем и ключом на USB-накопителе? Это зашифровано паролем?

3. Как ключ защищен во время работы машины? С помощью SED ключ нужен только для привода, но когда вы спите, машина забывает об этом, и компьютер должен предоставить его снова. Windows снова запрашивает пароль /USB-накопитель или хранит ключ в оперативной памяти?

Не совсем понятно, как защищен ключ, если у вас нет доверенного платформенного модуля. Пароль действительно безопасен? Что делать, если USB-ключ украден вместе с ПК?

Answer 1

1. (Пропустив этот вопрос сейчас.)
2. Файл внешнего ключа (* .bek) на USB-накопителе не защищен. Не требует пароля. Файл * .bek разблокирует ключ, который фактически использовался для шифрования. Таким образом, вы можете удалить этот файл внешнего ключа из списка защит накопителя и сгенерировать новый файл внешнего ключа, если он будет потерян. (Повторное шифрование не требуется.) Пароль - это дополнительная защита / ключ диска для разблокировки диска. Вы можете использовать пароль для разблокировки диска или USB-накопителя. Вам не нужны оба.
3. Операционная система больше не будет запрашивать ключ после его выхода из режима ожидания. Для выхода из спящего режима требуется USB-накопитель или пароль. (Извините, опущены какие-либо утверждения о том, где ключ действительно сохранен; не удается найти правильный источник для проверки.)

Примечание: Шифрование USB-накопителя (удерживая внешний ключ StartUp * .bek) не будет работать для системно-зашифрованных накопителей, так как USB-накопитель должен быть доступен во время загрузки. Это будет работать для несистемных зашифрованных дисков. Затем сначала разблокируйте USB-накопитель с помощью пароля, затем нажмите, чтобы разблокировать зашифрованный накопитель, и нажмите [Загрузить ключ с USB-станции]. Таким образом, вы фактически создали двухэтапную разблокировку, требующую пароль и файл ключа (читай USB-накопитель). RecoveryPassword (числа) обходит это все кстати.