Szyfrowanie dysków to jedna z podstawowych metod ochrony danych w erze cyfrowej. Użytkownicy systemów Windows często korzystają z wbudowanego narzędzia BitLocker, aby zabezpieczyć swoje poufne informacje przed niepowołanym dostępem. Jednak ostatnie doniesienia z Chaos Communication Congress (CCC) w Niemczech wskazują na poważną lukę w zabezpieczeniach BitLockera w systemie Windows 11, która może narazić dane użytkowników na ryzyko2.
BitLocker – co to jest i jak działa?
BitLocker to narzędzie do pełnego szyfrowania dysków, wprowadzone przez Microsoft w systemie Windows Vista. Technologia ta ma na celu ochronę danych użytkowników poprzez szyfrowanie całego woluminu dysku za pomocą algorytmu AES i innych zaawansowanych metod kryptograficznych3. BitLocker jest dostępny w wersjach Pro, Enterprise i Education systemów Windows 10 i 11.
Funkcjonalność BitLockera można rozszerzyć za pomocą systemów takich jak eAuditor. eAuditor pozwala na masowe szyfrowanie dysków dzięki połączeniu z API Microsoft BitLocker. Administratorzy IT mogą za jego pomocą dokonać inwentaryzacji pamięci USB, a także szyfrować i deszyfrować dyski za pomocą jednego przycisku w konsoli. Dodatkowo, system informuje o statusie zabezpieczenia dysków twardych i USB6.
Aby skorzystać z BitLockera, użytkownik musi włączyć tę funkcję w ustawieniach systemu Windows.
Włączanie BitLockera i metody odblokowywania
Aby włączyć BitLockera:
- Otwórz „Szyfrowanie dysków funkcją BitLocker” w Panelu sterowania.
- Wybierz dysk, który chcesz zaszyfrować, i kliknij „Włącz funkcję BitLocker”.
- Wybierz metodę odblokowania dysku i wykonaj kopię zapasową klucza odzyskiwania.
Można wybrać jeden z poniższych sposobów odblokowania dysku:
- Hasło: Wymaga wpisania hasła przy każdym uruchomieniu komputera.
- PIN: Krótszy kod numeryczny, który jest łatwiejszy do zapamiętania niż hasło.
- Klucz sprzętowy: Fizyczne urządzenie, np. pendrive, które musi być podłączone do komputera w celu odblokowania dysku.
- Automatyczne odblokowanie za pomocą modułu TPM: Dysk jest automatycznie odblokowywany przy użyciu klucza przechowywanego w module TPM7.
Moduł TPM to układ scalony, który jest wbudowany w wiele nowoczesnych komputerów i służy do przechowywania kluczy kryptograficznych i innych danych bezpieczeństwa1.
Funkcje bezpieczeństwa BitLockera
Windows wykorzystuje rozwiązania sprzętowe i funkcje bezpieczeństwa, które chronią klucze szyfrowania BitLocker przed atakami. Technologie te obejmują Trusted Platform Module (TPM), Secure Boot i Measured Boot8.
Zabezpieczenia przed uruchomieniem:
- TPM: Układ scalony, który przechowuje klucze szyfrowania i zapewnia, że urządzenie nie zostało naruszone, gdy system był offline. BitLocker wiąże klucze szyfrowania z modułem TPM.
- Secure Boot: Funkcja UEFI, która blokuje uruchamianie niezaufanego oprogramowania układowego i programów rozruchowych. BitLocker domyślnie zapewnia ochronę integralności Secure Boot, wykorzystując pomiar TPM PCR1.
- Measured Boot: Rejestruje wszystkie komponenty ładowane podczas uruchamiania systemu i weryfikuje ich integralność.
Inne zabezpieczenia:
- MOR bit (Memory Overwrite Request): Chroni przed złośliwymi atakami resetowania, nadpisując pamięć przed wyodrębnieniem kluczy.
- Zasady bezpieczeństwa: Uwierzytelnianie przed uruchomieniem i zasady DMA zapewniają dodatkową ochronę.
- Uwierzytelnianie przed uruchomieniem: Może wymagać wprowadzenia danych przez użytkownika (PIN, klucz startowy lub oba) przed udostępnieniem zawartości dysku systemowego. BitLocker uzyskuje dostęp do kluczy szyfrowania i przechowuje je w pamięci dopiero po zakończeniu uwierzytelniania przed uruchomieniem8.
Na czym polega luka w zabezpieczeniach?
Luka w zabezpieczeniach BitLockera, o której mowa, została odkryta przez hakera Thomasa Lambertza i zaprezentowana na konferencji CCC2. Lambertz, w swojej prezentacji „Windows BitLocker: Screwed without a Screwdriver”, pokazał, jak można ominąć szyfrowanie BitLockera i uzyskać dostęp do chronionych danych, wykorzystując lukę znaną jako „bitpixie” (CVE-2023-21563)3.
Atak „bitpixie” opiera się na wykorzystaniu Secure Boot do uruchomienia starszej, podatnej na ataki wersji programu rozruchowego systemu Windows. Ta starsza wersja programu rozruchowego niepoprawnie zarządza kluczem szyfrowania BitLocker w pamięci, co pozwala atakującemu na przechwycenie go i odszyfrowanie dysku. Aby przeprowadzić atak, haker musi mieć fizyczny dostęp do urządzenia i możliwość uruchomienia go z nośnika zewnętrznego, takiego jak pendrive z zmodyfikowanym systemem Linux9.
Warto zaznaczyć, że luka „bitpixie” była już wcześniej znana Microsoftowi i została załatana w 2023 roku4. Jednak, jak pokazał Lambertz, łatka nie jest w pełni skuteczna i atak nadal jest możliwy9.
Czy jestem narażony na atak?
Atak na BitLockera, o którym mowa, wymaga jednorazowego fizycznego dostępu do urządzenia3. Oznacza to, że atakujący musi mieć możliwość podłączenia do komputera np. pendrive’a z systemem Linux9. W praktyce oznacza to, że osoby, które dbają o fizyczne bezpieczeństwo swoich urządzeń, są mniej narażone na atak.
Jak się chronić?
Microsoft jest świadomy problemu i pracuje nad rozwiązaniem2. Jednak na razie jedynym sposobem na pełną ochronę przed atakiem jest zabezpieczenie BitLockera za pomocą PIN-u2. Ustawienie PIN-u jako dodatkowego zabezpieczenia uniemożliwi atakującemu dostęp do dysku, nawet jeśli uda mu się wyodrębnić klucz główny BitLockera z pamięci RAM.
Dodatkowo, warto rozważyć następujące środki ostrożności:
- Dbaj o fizyczne bezpieczeństwo swojego urządzenia: Nie zostawiaj komputera bez nadzoru w miejscach publicznych i zabezpiecz go przed dostępem osób niepowołanych.
- Używaj silnych haseł: Silne hasła do konta użytkownika utrudniają atakującemu uzyskanie dostępu do systemu. Silne hasło powinno składać się z co najmniej 12 znaków, w tym dużych i małych liter, cyfr i symboli specjalnych.
- Wyłącz funkcję Secure Boot w BIOS-ie: To uniemożliwi atakującemu uruchomienie starszej wersji bootloadera9. Należy jednak pamiętać, że wyłączenie Secure Boot może obniżyć ogólny poziom bezpieczeństwa systemu.
- Używaj dodatkowych narzędzi zabezpieczających: Oprócz BitLockera, warto rozważyć korzystanie z innych narzędzi zabezpieczających, takich jak programy antywirusowe i firewalle.
- Regularnie aktualizuj system Windows: Instalowanie najnowszych aktualizacji zabezpieczeń zmniejsza ryzyko ataku10.
- Zapoznaj się z scenariuszami odzyskiwania BitLockera: 11 Zrozumienie, w jakich sytuacjach może być wymagany klucz odzyskiwania BitLockera, pozwoli Ci na szybkie i skuteczne odzyskanie dostępu do danych w razie potrzeby. Poniższa tabela przedstawia typowe scenariusze odzyskiwania BitLockera:
| Scenariusz | Opis |
|---|---|
| Wielokrotne błędne wprowadzenie kodu PIN | Jeśli zbyt wiele razy wpiszesz nieprawidłowy PIN, BitLocker zablokuje dysk i będzie wymagał klucza odzyskiwania. |
| Wyłączenie obsługi odczytu urządzenia USB w środowisku przed uruchomieniem | Jeśli korzystasz z klucza USB do odblokowania BitLockera i wyłączysz obsługę odczytu urządzeń USB w BIOS-ie lub UEFI, BitLocker będzie wymagał klucza odzyskiwania. |
| Zmiana kolejności urządzeń rozruchowych w BIOS-ie | Jeśli zmienisz kolejność urządzeń rozruchowych w BIOS-ie, np. ustawiając napęd CD/DVD przed dyskiem twardym, BitLocker może zażądać klucza odzyskiwania. |
| Podłączanie lub odłączanie laptopa od stacji dokującej | Podłączenie lub odłączenie laptopa od stacji dokującej może spowodować, że BitLocker będzie wymagał klucza odzyskiwania. |
| Zmiany w tabeli partycji NTFS | Modyfikacja tabeli partycji NTFS na dysku może spowodować zablokowanie BitLockera. |
| Zmiany w menedżerze rozruchu | Zmiany w konfiguracji menedżera rozruchu mogą również wywołać żądanie klucza odzyskiwania. |
| Użycie rozruchu PXE | Uruchomienie komputera z sieci za pomocą PXE może spowodować, że BitLocker będzie wymagał klucza odzyskiwania. |
| Wyłączenie, dezaktywacja lub wyczyszczenie modułu TPM | Jeśli wyłączysz, dezaktywujesz lub wyczyścisz moduł TPM, BitLocker będzie wymagał klucza odzyskiwania. |
| Awaria autotestu TPM | Jeśli moduł TPM nie przejdzie autotestu, BitLocker może zażądać klucza odzyskiwania. |
| Aktualizacja płyty głównej | Wymiana płyty głównej na nową z nowym modułem TPM spowoduje, że BitLocker będzie wymagał klucza odzyskiwania. |
| Aktualizacja krytycznych komponentów uruchamiania | Aktualizacja BIOS-u, UEFI lub innych krytycznych komponentów uruchamiania może spowodować zablokowanie BitLockera. |
| Ukrycie modułu TPM przed systemem operacyjnym | Jeśli ukryjesz moduł TPM przed systemem operacyjnym, BitLocker będzie wymagał klucza odzyskiwania. |
| Modyfikacja rejestrów konfiguracji platformy (PCR) | Zmiana rejestrów PCR używanych przez profil walidacji TPM może spowodować zablokowanie BitLockera. |
| Przeniesienie dysku chronionego przez BitLocker do nowego komputera | Jeśli przeniesiesz dysk chroniony przez BitLocker do innego komputera, BitLocker będzie wymagał klucza odzyskiwania. |
| Zmiana kolejności urządzeń rozruchowych w BIOS-ie (TPM 1.2) | W przypadku urządzeń z modułem TPM 1.2 zmiana kolejności urządzeń rozruchowych w BIOS-ie może spowodować zablokowanie BitLockera. |
| Przekroczenie maksymalnej dozwolonej liczby nieudanych prób logowania | Jeśli przekroczysz maksymalną dozwoloną liczbę nieudanych prób logowania, BitLocker może zażądać klucza odzyskiwania. |
- Microsoft Defender Vulnerability Management: Organizacje mogą korzystać z Microsoft Defender Vulnerability Management do monitorowania i zarządzania swoim bezpieczeństwem, w tym lukami w zabezpieczeniach BitLockera12. Narzędzie to pomaga w identyfikowaniu i ocenie luk w zabezpieczeniach, a także w wdrażaniu odpowiednich środków zaradczych.
Warto również pamiętać, że Microsoft stoi przed wyzwaniem w zakresie równoważenia aktualizacji zabezpieczeń z kompatybilnością dla starszych urządzeń9. Każda aktualizacja oprogramowania układowego, której Microsoft nie przewidzi poprawnie, może spowodować problemy z BitLockerem, dlatego firma jest ostrożna w wydawaniu łatek.
Historia BitLockera i wcześniejsze luki
BitLocker został pierwotnie opracowany jako część architektury Next-Generation Secure Computing Base firmy Microsoft w 2004 roku5. Od momentu wprowadzenia BitLocker przeszedł wiele zmian i ulepszeń, ale nie jest wolny od luk w zabezpieczeniach. W przeszłości pojawiały się już doniesienia o innych atakach na BitLockera, np. o możliwości wyodrębnienia klucza szyfrującego z pamięci operacyjnej13.
Co ciekawe, Microsoft musiał wyłączyć poprzednią łatkę dla luki w zabezpieczeniach BitLockera z powodu problemów ze zgodnością14. Ten incydent pokazuje, jak złożone jest łatanie oprogramowania i jak może prowadzić do niezamierzonych konsekwencji.
W kontekście historii szyfrowania dysków warto wspomnieć o TrueCrypt, alternatywnym oprogramowaniu do szyfrowania dysków15. TrueCrypt oferował silne szyfrowanie i był popularnym wyborem wśród użytkowników dbających o prywatność. Jednak rozwój TrueCrypta został zakończony w 2014 roku z niejasnych przyczyn.
Inne problemy z bezpieczeństwem w systemie Windows
Oprócz luki w BitLockerze, w systemach Windows 10 i 11 występują również inne problemy z bezpieczeństwem. Na przykład, w 2024 roku odkryto krytyczną lukę w zabezpieczeniach Wi-Fi, która umożliwiała atakującym przejęcie kontroli nad urządzeniem16. Chociaż ta luka nie jest bezpośrednio związana z BitLockerem, podkreśla ona znaczenie bycia na bieżąco z aktualizacjami zabezpieczeń systemu Windows i informowania się o potencjalnych zagrożeniach.
BitLocker a bezpieczeństwo danych i prywatność
Luka w zabezpieczeniach BitLockera pokazuje, że żadne narzędzie szyfrujące nie jest idealne i zawsze istnieje ryzyko ataku1. Podobnie jak w przypadku TrueCrypta, który również miał swoje luki, bezpieczeństwo oprogramowania jest ciągłym wyścigiem zbrojeń między twórcami a hakerami13. W dzisiejszym świecie, gdzie coraz więcej danych jest przechowywanych cyfrowo, ochrona prywatności i bezpieczeństwo informacji są niezwykle ważne. Użytkownicy powinni być świadomi zagrożeń i podejmować odpowiednie środki ostrożności, aby chronić swoje dane. Szyfrowanie dysków, takie jak BitLocker, jest ważnym elementem strategii bezpieczeństwa, ale nie powinno być jedynym.
Podsumowanie
Odkryta luka w zabezpieczeniach BitLockera w Windows 11 jest poważnym problemem, który może narazić dane użytkowników na ryzyko. Chociaż Microsoft pracuje nad rozwiązaniem, na razie jedynym sposobem na pełną ochronę jest zabezpieczenie BitLockera za pomocą PIN-u. Użytkownicy powinni również dbać o fizyczne bezpieczeństwo swoich urządzeń, regularnie aktualizować system Windows i korzystać z dodatkowych narzędzi zabezpieczających, takich jak Microsoft Defender Vulnerability Management. Ważne jest, aby pamiętać, że żadne narzędzie szyfrujące nie jest idealne i zawsze istnieje ryzyko ataku. Dlatego należy stosować wielowarstwowe podejście do bezpieczeństwa i być świadomym potencjalnych zagrożeń.
Wnioski
Luka w zabezpieczeniach BitLockera jest przypomnieniem o tym, że bezpieczeństwo danych to ciągły proces. Nawet pozornie bezpieczne narzędzia, takie jak BitLocker, mogą mieć luki, które mogą zostać wykorzystane przez hakerów. Dlatego ważne jest, aby być na bieżąco z aktualizacjami zabezpieczeń, stosować silne hasła, dbać o fizyczne bezpieczeństwo urządzeń i korzystać z dodatkowych narzędzi zabezpieczających. Tylko poprzez połączenie tych działań możemy skutecznie chronić nasze dane przed niepowołanym dostępem.
Cytowane prace
1. Exploit w BitLockerze – Ochrona szyfrowania przed “węszeniem” w funkcji BitLocker • Baza Wiedzy – Arkanet, otwierano: stycznia 6, 2025, https://arkanet.pl/baza-wiedzy/exploit-w-bitlockerze-ochrona-szyfrowania-przed-weszeniem-w-funkcji-bitlocker/
2. Luka bezpieczeństwa w Windows 11. Szyfrowanie BitLocker nadal …, otwierano: stycznia 6, 2025, https://www.dobreprogramy.pl/luka-bezpieczenstwa-w-windows-11-szyfrowanie-bitlocker-nadal-mozna-zlamac,7110273308670688a
3. BitLocker ma lukę, dzięki której można dobrać się do Windows 11 – Chip.pl, otwierano: stycznia 6, 2025, https://www.chip.pl/2025/01/bitlocker-pozwala-dobrac-sie-do-windows-11
4. Hacker demonstrates the supposedly-patched Windows 11 BitLocker is still vulnerable to hackers — default encryption can be overcome with network access | Tom’s Hardware, otwierano: stycznia 6, 2025, https://www.tomshardware.com/software/windows/hacker-demonstrates-the-supposedly-patched-windows-11-bitlocker-is-still-vulnerable-to-hackers-default-encryption-can-be-overcome-with-network-access
5. BitLocker – Wikipedia, otwierano: stycznia 6, 2025, https://en.wikipedia.org/wiki/BitLocker
6. Masowe szyfrowanie dysków – BitLocker – eAuditor, otwierano: stycznia 6, 2025, https://www.eauditor.eu/blog/masowe-szyfrowanie-dyskow-bitlocker
7. What is BitLocker and BitLocker recovery? – YouTube, otwierano: stycznia 6, 2025, https://www.youtube.com/watch?v=iX8QC2pRuYM
8. BitLocker countermeasures | Microsoft Learn, otwierano: stycznia 6, 2025, https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/countermeasures
9. Patched BitLocker Flaw Still Susceptible to Hack – BankInfoSecurity, otwierano: stycznia 6, 2025, https://www.bankinfosecurity.com/patched-bitlocker-flaw-still-susceptible-to-hack-a-27195
10. Poważna luka w Windowsach. Konieczna aktualizacja – CyberDefence24, otwierano: stycznia 6, 2025, https://cyberdefence24.pl/cyberbezpieczenstwo/powazna-luka-w-windowsach-konieczna-aktualizacja
11. BitLocker recovery overview – Microsoft Learn, otwierano: stycznia 6, 2025, https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/recovery-overview
12. Zarządzanie lukami w zabezpieczeniach w usłudze Microsoft Defender, otwierano: stycznia 6, 2025, https://www.microsoft.com/pl-pl/security/business/threat-protection/microsoft-defender-vulnerability-management
13. Odkryto nowe poważne luki w „sprawdzonym” TrueCrypcie – Sekurak, otwierano: stycznia 6, 2025, https://sekurak.pl/odkryto-nowe-powazne-luki-w-sprawdzonym-truecrypcie/
14. BitLocker zablokował dysk po uruchomieniu Linuxa – jak odzyskać dane? – Elektroda, otwierano: stycznia 6, 2025, https://www.elektroda.pl/rtvforum/topic4073611.html
15. TrueCrypt – Wikipedia, la enciclopedia libre, otwierano: stycznia 6, 2025, https://es.wikipedia.org/wiki/TrueCrypt
16. Twój Windows wymaga aktualizacji. Włamują się przez Wi-Fi – Telepolis.pl, otwierano: stycznia 6, 2025, https://www.telepolis.pl/tech/windows/windows-10-11-krytyczna-luka-wifi-atak
