Как настроить пароль для защиты ключа битлокера с помощью tpm?

Question

Мой компьютер - ноутбук dell xps12 (2013), работающий под управлением Windows 8.1 Pro, с поддержкой uefi и безопасной загрузки.

Я успешно включил tpm и зашифрованный системный раздел с помощью bitlocker. Я был немного удивлен, что по умолчанию он не запрашивал у меня пароль или какой-либо метод разблокировки и действительно считает, что это сложный способ настройки (в прошлом я без проблем зашифровал системные разделы с помощью truecrypt ...)

Поэтому сейчас я хочу зашифровать ключ, который, по моему мнению, теперь хранится в TPM, с надежным паролем. Я предполагаю, что мне нужно «управлять bitlocker-> Изменить, как диск разблокирован при запуске» для этого диска, но у меня появляется сообщение об ошибке при этом: «Параметры запуска параметров групповой политики конфликтуют и не могут быть применены».

Я предполагаю, что ключ моей проблемы находится в "редакторе локальной групповой политики", так что вот моя конфигурация: конфигурация компьютера> Административные шаблоны> Система> Службы TPM:

• все 8 предметов: не настроено

Конфигурация компьютера> Административные шаблоны> Компоненты Windows> Шифрование диска BL

• все 8 предметов: не настроено

Конфигурация компьютера> Административные шаблоны> Компоненты Windows> Шифрование дисков BL> Диски операционных систем:

• Разрешить безопасную загрузку для проверки безопасности: включено
• Требовать дополнительную аутентификацию при запуске: включено
• Требовать дополнительную аутентификацию при запуске (Windows Server): отключено
• Разрешить расширенный пин при запуске: включено
• Настроить минимальную длину вывода при запуске: включено
• Настроить использование аппаратного шифрования для ОС: включено
• Настройка использования паролей для дисков операционной системы: отключено
• Все остальные: не настроены

Я надеюсь, что мой вопрос достаточно ясен. Спасибо заранее.

Answer 1

Это в доменной среде (если это так, у вас могут быть применены другие политики, и это может вызвать конфликт)?

Для конфигурации компьютера> Административные шаблоны> Компоненты Windows> Шифрование диска BitLocker> Диски операционной системы:

• Требовать дополнительную аутентификацию при запуске: Включено (вы не указали другие параметры в этой конфигурации, которую выбрали).
  • При этом значении вы можете требовать только ОДИН дополнительный элемент автозагрузки, в противном случае вы увидите указанную вами ошибку. Исходя из вашего вопроса, я рекомендую следующие настройки:
    • Разрешить BitLocker без совместимого доверенного платформенного модуля: не отмечено (для обеспечения максимальной безопасности, если включен модуль доверенного платформенного модуля)
    • Настройка запуска TPM: не разрешать TPM
    • Настроить ПИН-код запуска TPM: Требуется ПИН-код запуска с TPM
    • Настройка ключа запуска TPM: не разрешать ключ запуска с TPM
    • Настройте ключ запуска и PIN-код TPM: не разрешайте ключ запуска и PIN-код с TPM

Я не уверен, может ли быть проблема «Настроить использование паролей для дисков операционной системы: отключено», но я поиграюсь с некоторыми машинами и обновлю, если что-нибудь узнаю.