Czy BitLocker działa z dyskami SSD?

Tak, BitLocker w pełni obsługuje dyski SSD, w tym korzysta z funkcji sprzętowego szyfrowania, jeśli dysk ją oferuje.

BitLocker a dysk SSD — zgodność mechanizmu szyfrowania

BitLocker działa z dyskami SSD tak samo jak z innymi nośnikami przeznaczonymi do przechowywania systemu Windows i danych. Mechanizm szyfruje zawartość woluminu, czyli logicznej części dysku widocznej w systemie jako określona partycja lub napęd. Po odblokowaniu woluminu pliki są udostępniane systemowi w zwykły sposób, natomiast bez odpowiedniego klucza odzyskiwania albo prawidłowego mechanizmu uwierzytelnienia dane zapisane na SSD pozostają nieczytelne.

Na współczesnych komputerach BitLocker może stosować szyfrowanie programowe wykonywane przez system Windows. W przypadku woluminów systemowych mechanizm korzysta z technologii TPM, jeśli komputer ją posiada i jest prawidłowo skonfigurowana. TPM, czyli Trusted Platform Module, przechowuje informacje potrzebne do sprawdzenia stanu uruchamianego środowiska i może udostępnić materiał kluczowy dopiero wtedy, gdy parametry rozruchu odpowiadają oczekiwanej konfiguracji. Sam fakt zastosowania dysku SSD nie zmienia tej zasady.

Szyfrowanie programowe i sprzętowe w SSD

Niektóre dyski SSD są samoszyfrujące, czyli posiadają kontroler wykonujący szyfrowanie danych wewnątrz nośnika. Taki mechanizm bywa określany jako hardware-based encryption albo self-encrypting drive. BitLocker może współpracować z obsługiwanym sprzętowym szyfrowaniem, ale możliwość ta zależy od modelu SSD, jego oprogramowania układowego, konfiguracji komputera oraz ustawień systemu Windows. Nie każdy SSD reklamowany jako szyfrowany sprzętowo spełnia wymagania niezbędne do użycia go w tej roli.

W praktyce trzeba odróżnić obsługę dysku SSD od wyboru konkretnego trybu szyfrowania. BitLocker nie musi automatycznie używać funkcji sprzętowej tylko dlatego, że nośnik ją deklaruje. W wielu konfiguracjach stosowane jest szyfrowanie programowe, ponieważ pozwala systemowi Windows kontrolować proces w sposób bardziej przewidywalny i ogranicza zależność od implementacji producenta dysku. Ustawienie zasad grupy dotyczących szyfrowania sprzętowego może wpływać na to, czy system zezwoli na użycie tej funkcji, czy wymusi szyfrowanie programowe.

W przypadku szyfrowania programowego wydajność zależy między innymi od procesora, obsługi instrukcji kryptograficznych oraz obciążenia systemu. Nowoczesne procesory często wykonują operacje AES z niewielkim narzutem, dlatego w typowej pracy różnica między działaniem zaszyfrowanego i niezaszyfrowanego SSD może być mało zauważalna. Szyfrowanie sprzętowe nie jest jednak automatycznie bezpieczniejsze ani lepsze; jego rzeczywiste właściwości zależą od konkretnej konstrukcji kontrolera i firmware’u.

Co dzieje się z danymi na zaszyfrowanym SSD

BitLocker szyfruje dane podczas zapisu i odszyfrowuje je podczas odczytu po prawidłowym odblokowaniu woluminu. Ochrona dotyczy przede wszystkim danych zapisanych na nośniku, gdy komputer jest wyłączony albo dysk zostanie odłączony i odczytany z użyciem innego systemu. Jeżeli użytkownik jest już zalogowany, a wolumin został odblokowany, aplikacje działające w tym środowisku mogą korzystać z plików zgodnie z przyznanymi uprawnieniami systemu Windows. BitLocker nie zastępuje więc kontroli dostępu, haseł kont ani ochrony przed złośliwym oprogramowaniem.

Na dysku systemowym sposób odblokowania może obejmować TPM, kod PIN, klucz startowy zapisany na nośniku USB albo kombinację tych metod, zależnie od konfiguracji. Przy zmianie płyty głównej, ustawień UEFI, kolejności rozruchu lub innych elementów wpływających na zaufany proces startowy system może zażądać klucza odzyskiwania. Klucz odzyskiwania jest odrębnym sekretem i powinien być dostępny przed rozpoczęciem szyfrowania. Bez niego odzyskanie danych po awarii konfiguracji może być niemożliwe.

BitLocker nie eliminuje także problemów wynikających z awarii SSD. Uszkodzenie komórek pamięci, kontrolera, firmware’u albo tablicy partycji może uniemożliwić odczyt danych niezależnie od tego, czy nośnik był zaszyfrowany. Próby odzyskiwania muszą uwzględniać fakt, że skopiowanie surowej zawartości dysku nie daje dostępu do plików bez właściwych kluczy. Przed włączeniem ochrony należy sprawdzić stan kopii zapasowych, poprawność rozruchu oraz możliwość odtworzenia klucza odzyskiwania.

Sprawdzenie konfiguracji przed użyciem BitLockera

Przed włączeniem BitLockera warto potwierdzić, który wolumin ma zostać zabezpieczony, czy komputer uruchamia system w trybie UEFI oraz czy moduł TPM jest dostępny i gotowy do użycia. W systemie Windows podstawowe informacje można sprawdzić w panelu zarządzania BitLockerem, w informacjach o systemie oraz za pomocą narzędzia wiersza polecenia manage-bde. Polecenie manage-bde -status pokazuje między innymi stan ochrony, procent zaszyfrowanego woluminu i używany typ szyfrowania.

Jeżeli komputer ma SSD z deklarowanym szyfrowaniem sprzętowym, należy zweryfikować jego dokumentację i zgodność konkretnego modelu z wymaganiami Windows. Samo oznaczenie „self-encrypting drive” nie potwierdza jeszcze, że BitLocker wykorzystuje tę funkcję w danej instalacji. Warto również sprawdzić aktualność firmware’u, ponieważ błędy oprogramowania układowego mogą wpływać na dostęp do danych i obsługę mechanizmu szyfrowania. Zmiana trybu szyfrowania może wymagać odszyfrowania woluminu i ponownego włączenia ochrony.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką problemów z dyskami SSD, rozruchem systemu oraz konfiguracją BitLockera. W takiej diagnostyce istotne jest zachowanie klucza odzyskiwania i ustalenie, czy problem dotyczy samego nośnika, konfiguracji TPM, ustawień UEFI, konta użytkownika czy uszkodzenia systemu Windows.