Как зашифровать SD-карту без Bitlocker или TPM

Question

Я настраиваю ноутбук с Windows 10 для кого-то другого.

У них есть SDCard, и мы хотим убедиться, что она доступна только на этой машине.

На карте будут храниться синхронизированные файлы Google Диска, поэтому в случае ее потери проблема потери данных не возникает. Наиболее важным результатом является то, что кто-то не может вынуть карту, положить ее в свой компьютер и прочитать файлы.

К сожалению, на ноутбуке нет чипа TPM, поэтому Bitlocker будет работать только тогда, когда пользователь вводит другой пароль (для Bitlocker) каждый раз, когда он хочет использовать свой ноутбук. Это не идеально, и я хочу обойти это, если это возможно.

Есть ли сторонние приложения, которые будут делать то, что нам нужно? Или я могу использовать другой метод?

Я нашел этот старый вопрос, где в качестве решения предлагается TrueCrypt: шифровать файлы на SD-карте.

Однако TrueCrypt больше не поддерживается и рекомендует использовать Bitlocker.

Любые предлагаемые решения приветствуются.

Answer 1

У @grawity есть, как мне кажется, лучший ответ, при условии, что вы используете Профессиональную (или более позднюю) версию Windows. EFS (Шифрованная файловая система) - это функция NTFS, которая выполняет прозрачное шифрование и дешифрование файлов с помощью ключей, которые хранятся в ОС и (прозрачно) защищены паролем вашей учетной записи. Обратите внимание, что вы можете смело менять свой пароль (где вы сначала вводите старый, а затем новый), но сброс пароля с помощью администратора или инструмента из-под Windows сделает файлы невосстановимыми. Также обратите внимание, что если вы используете учетную запись домена, ключ расшифровки будет храниться на контроллере домена, и любой администратор домена сможет восстановить его (но для учетной записи, не относящейся к домену, даже локальному администратору будет трудно восстановить ключ ). Кроме того, просто знание вашего пароля недостаточно для восстановления ключа; сам главный ключ шифрования является случайным, а пароль используется только для шифрования и дешифрования главного ключа.

Для этих инструкций я предполагаю, что ваша SD-карта установлена на диске F:

1. Отформатируйте карту, используя NTFS.

   • Если он в настоящее время отформатирован в FAT32 (или, возможно, EXFAT; я никогда не пробовал с этим), вы можете преобразовать его в NTFS вместо переформатирования с помощью встроенного в Windows инструмента convert.exe (может потребоваться Admin).

   convert F: /FS:NTFS

2. Когда карта NTFS и подключена как таковая, щелкните правой кнопкой мыши диск (или папку внутри него) и откройте Свойства.
3. Если это компьютер с общим доступом, перейдите на вкладку "Безопасность" и удалите всех пользователей, кроме вас, предоставляя себе право доступа и полный доступ. (Это не остановит злоумышленника, который удалит карту; он предназначен только для защиты от локальных пользователей, не являющихся администраторами.)
4. Теперь, чтобы фактически зашифровать данные.
   • Если у вас есть каталог (кроме корневого), в котором находятся все файлы, вы можете использовать Проводник.
     1. Откройте Свойства каталога (если у вас их еще нет на шаге 2).
     2. На вкладке Общие в разделе Атрибуты нажмите Дополнительно.
     3. Установите флажок "Шифровать содержимое для защиты данных".
     4. Нажмите "ОК", затем нажмите "Применить" или "ОК" в окне "Свойства".
     5. Вы получите окно "Подтверждение изменений атрибутов"; выберите «Применить изменения к этой папке, подпапкам и файлам» и нажмите "ОК".
   • Если вы хотите зашифровать корневой каталог диска, вы по какой-то причине не можете сделать это из Проводника, поэтому вам нужно будет использовать утилиту командной строки cipher.exe .
     1. Откройте окно командной строки или Powershell (не обязательно должны быть администратором, поскольку у вас есть корневой каталог на диске).
     2. Запустите команду cipher /E /S:F:\ /H F:\ (не уверен, что указание пути в /S и вообще необходимо, но это не должно повредить).
     3. Подождите, пока работа не завершится.
5. В любом случае, файлы на томе теперь будут зашифрованы, никто не сможет расшифровать их, кроме вас (или администратора, который может украсть ваш ключ и ваш пароль), они автоматически зашифруют / расшифруют любую программу, запущенную под вашей учетной записью, прошедшей проверку подлинности по паролю. и любые новые файлы или каталоги, созданные на томе, также будут зашифрованы.
6. Чтобы расшифровать, повторите шаг 4. за исключением того, что снимите флажок "Зашифровать содержимое для защиты данных" или используйте флаг / D вместо / E (cipher /D /S:F:\ /H F:\)