Bitlocker mit TPM-Chip aktivieren

[Garack]

Hallo,

Ich versuche auf einem Panasonic FZ-G1 Tablet (TPM 1.2) mit Win 8.1 Pro die Bitlocker Verschlüsselung zu aktivieren.

Mein Problem ist, dass kein Kennwort abgefragt wird.

Unter dem Bitlocker Menü kann ich die Verschlüsselung aktivieren. Windows fragt dann ob ich das gesamte Laufwerk verschlüsseln will (ja), danach ob ich einen Test des Wiederherstellungsschlüssels machen will (ja).

Diesen Schlüssel konnte ich vorher ausdrucken oder in einer Datei speichern. Die Option dass eine .tpm Datei auf einem angeschlossenen USB 3.0 Stick angelegt wird kam leider nicht. (Jemand einen Tipp dazu?)

So habe ich ihn nun ausgedruckt und zusätzlich eine .txt Datei gespeichert auf dem Stick.

Dann hat Windows verschlüsselt. Bisher kam aber keine einzige Passwort abfrage. Ich habe dies mal ohne TPM Chip auf einem anderen Rechner probiert. Dort kam eine Passwort abfrage.

Nach der Verschlüsselung habe ich diese wieder deaktiviert, da ich noch nicht neugestartet hatte. Die Sache war mir doch schon merkwürdig vorgekommen, da ich kein Passwort eingeben konnte.

Ich habe dann neugestartet und alles war gut, keine Verschlüsselung aktiv und das Tablet benutzbar.

Ich habe dann im TPM Snap-In mal mit den Optionen gespielt. TPM löschen, abschalten, Kennwort ändern usw. Immer wird ein Benutzerkennwort verlangt, welches ich aber nicht habe. Testweise habe ich mal die Nummer des ausgedruckten Wiederherstellungsschlüssels eingegeben. War falsch. Auch die Benutzernummer die mit auf der Seite stand ist falsch.

Welches ist nun das TPM-Kennwort? Es wurde auf dem Tablet nie eines vergeben.. Und wie kann ich die ganze Platte verschlüsseln wenn nirgendwo eine Passwortabfrage kommt? Habe Angst nicht wieder an das System zu kommen.

 

[KainerM]

Wenn das über TPM läuft, dann gibt es auch kein Kennwort. In dem Fall vergibst du einen PIN-code (im Bitlocker- Verwaltungsdialog sollte es die Option dazu geben).

Mfg

 

[Garack]

Es gibt leider keine Option zur PIN Vergabe. Allerdings habe ich aus Angst auch nicht neugestartet. Ohne Kennwort ist Bitlocker doch nutzlos oder?

 

[Nafi]

änder mal bei aktiviertem Bitlocker und TPM die Boot Reihenfolge auf 1. DVD/BD Laufwerk oder USB Stick und 2. HDD


Dann sollte Windows in den Wiederherstellungsmodus gehen und du musst den Schlüssel eingeben.
Wenn nicht, testweise ein linux live booten. Beim nächsten Windows Start sollte dann spätestens der schlüssel gefragt werden.

Ohne Kennwort ist Bitlocker doch nutzlos oder?

Du solltest natürlich ein Windows Kennwort eingerichtet haben.
Wenn ein Angreifer nicht in dein Windows Konto reinkommt, kann er auch nichts lesen/manipulieren. Und wenn ein Linux gebootet wird, bzw die Bootreihenfolge geändert wird, springt das TPM an.

 

[Garack]

Achso verstehe, der PIN den man wohl zusätzlich aktivieren muss ist also nochmals zusätzliche Sicherheit. Windows Kennwort reicht dann aus weil man es nicht mehr mit WinPE oder MSDart oder anderen Tools ändern kann.

Bleibt nur die Frage warum ich die ganzen TPM Sachen(Also TPM Verwaltung unter Bitlocker) nicht verstellen kann, denn ich muss nen Key eingeben den ich nicht habe...

Muss ich dann um TPM sicher zu machen die Bootreihenfolge vorher ändern um USB Boot zu verbieten oder macht das TPM dies?

Und noch eines ist offen: Ich habe kein TPM Besitzerpasswort.. Wozu ist dies gut? Es ist ja nicht das Wiederherstellungskennwort..Um TPM zu konfigurieren brauche ich ja das Besitzerpasswort. Kann ich das einfach löschen?

 

[Autokiller677]

In den Gruppenrichtlinien kannst du aktivieren, dass es zusätzlich zum TPM auch noch eine Pin abgefragt wird.

Ist in meinen Augen aber alles ziemlich nutzlos, da die PIN eben rein numerisch sein muss und auf 20 Zeichen begrenzt ist. Hat wohl irgendein Idiot bei MS programmiert. Ich wollte auch mal Bitlocker benutzen, als ich das gemerkt hab hab ichs gleich wieder gelassen. Eine Verschlüsselung mit so einem schwach Passwort kann man sich mMn. auch gleich sparen.

Wie das Windows Passwort hier schützen soll ist mir nicht ganz klar. Sobald Windows bootet ist die Platte ja entschlüsselt und der Key im Hauptspeicher, d.h. ich komme an die Daten. Zwar nicht direkt über Windows, aber die Sicherheit ist dahin.

Das TPM konfiguriert Bitlocker von selbst, da musst du nix dran machen.

 

[Nafi]

Dem Ram kann man aber meines Wissens nach nicht mal eben so auslesen. Wahrscheinlich meinst du, man könnte den Ram ausbauen, einfrieren, in einen anderen Rechner einbauen und dann auslesen. Dafür bräuchte man schon fortgeschrittene Hilfswerkzeuge bzw ist relativ aufwändig.
Es gilt ja immer kosten und Nutzen abzuwägen oder in diesem Fall eben Sicherheit und Bequemlichkeit. Sollte man wirklich so extrem wichtige Daten auf dem Rechner haben, muss man eben USB + Pin nutzen.

 

[Pulsar]

Ich hab auch mal paar Fragen zu TPM und da sich hier ja grade paar fachkundige Leute unterhalten, häng ich mich hier mal dran:

1. wenn ich bitlocker auf einem SSD aktiviere das Hardwareverschlüsselung unterstützt (Samsung 840 Pro SSD) hab ich dann trotzdem einen Geschwindigkeitsverlust bei dem Laufwerk?
2. kann ich Bitlocker mal zum Testen aktivieren und dann auch wieder deaktivieren? oder ist es nicht möglich ein einmal verschlüsseltes Laufwerk wieder nromal zu bekommen?
3. wenn ich ein BIOS Update mache, beeinflusst das irgednwie die Daten bzw die Verschlüsselung der Daten oder kann ich nach nem BIOS Update evtl nicht mehr auf mein PC zugreifen?
4. wenn ich mit Acronis True Image zB ein Backup/Image von meinem mit Bitlocker verschlüsselten Laufwerk mache, kann ich das Backup dann auf ein anderes Laufwerk zurückspielen und dann wieder damit arbeiten? wenn es zB zu einem Crash der Hardware kommt (SSD geht platt) und ich muss das Backup auf ein anderes Laufwerk zurückspielen, geht das problemlos?

wäre klasse wenn Ihr mir helfen könntet.

 

[Nafi]

@ Pulsar

1. Ja, Geschwindigkeitsverlust hast du natürlich. Wieviel verloren geh, musst du selber testen. Allerdings wirst du in der Praxis den Unterschied nicht oder kaum merken
2. Ja. Dauert aber je nach Größe einige Zeit, bis das Laufwerk ver und wieder entschlüsselt ist. Recovery Key unbedingt aufschreiben!
3. Nach einem Bios Update wird der TPM Chip zurückgesetzt sein. Beim nächsten Windows Start musst du dann den Recovery Key eintippen.
4. Bei dem Punkt bin ich mir nicht sicher. Wenn du Acronis aus Windows heraus startest, müsste dies gehen. Wie es sich allerdings per Boot CD verhält, kann ich dir nicht sagen.

 

[Pulsar]

Top!
Danke schon mal!