Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

422 Kapitel 15: Schützen von Zweigstellen
während dieses Vorgangs bricht die Leistung deutlich ein). Stattdessen ist der FVEK ein sehr
streng gehütetes Geheimnis, und das System arbeitet mit einem anderen Schlüssel, dem
sogenannten VMK (Volume Master Key). Der VMK wird benutzt, um den FVEK zu verschlüsseln.
Die verschlüsselte Kopie des FVEK wird in die Volumemetadaten geschrieben.
(Sie kann auch als Element eines Binärschlüsselpakets in AD DS gesichert werden.) Das
bedeutet nicht, dass der Schlüssel unter die Türmatte gelegt wird. Es ist eher, als ob Sie
Schlüssel in einem Tresor lassen, der in einem Zwei-Tonnen-Block verankert und dann unter
der Türmatte versteckt wird. Selbst wenn der VMK irgendwie kompromittiert wird, können
Sie den FVEK sehr schnell mit einem neuen VMK verschlüsseln.
Abbildung 15.7 Vereinfachte Darstellung des BitLocker-Verschlüsselungsalgorithmus
Um Sektoren zu entschlüsseln, muss das System an den FVEK kommen. Und dazu muss das
System erst einmal an den VMK kommen. Der VMK ist ebenfalls in den Volumemetadaten
gespeichert und auch er wird niemals auf die Festplatte geschrieben, ohne vorher selbst stark
verschlüsselt zu werden.
Der VMK kann mit einer beliebigen Zahl von Schlüsselschutzmechanismen oder -authentifizierern
verschlüsselt werden. Der Standardschutz für den Schlüssel ist das TPM (Trusted
Platform Module) des Computers, was in den folgenden Abschnitten genauer beschrieben
wird. Sie können das TPM mit einem PIN-Code oder einem partiellen Schlüssel kombinieren,
der auf einem USB-Stick gespeichert ist. Und Sie können diese beiden Mechanismen
ebenfalls kombinieren. Weil eine PIN oder ein USB-Stick benötigt werden, haben Sie hier
eine Zwei-Komponenten-Authentifizierung.
Falls der Computer kein kompatibles TPM hat, können Sie BitLocker so konfigurieren, dass
es einen Schlüsselschutz vollständig auf einem USB-Flashlaufwerk speichert. (Dabei ist
allerdings keine Systemstartintegritätsprüfung möglich, mehr dazu weiter unten.) Der VMK
wird außerdem mit einem 48-stelligen Wiederherstellungskennwort verschlüsselt, das in
AD DS gesichert, in einer Datenbank gespeichert oder für eine Notfallwiederherstellung
ausgedruckt werden kann.