Comment Bitlocker + TPM m'empêche-t-il de voir le contenu du disque dur avec un autre système d'exploitation?
J'ai cherché sur Google, et j'ai lu plusieurs questions connexes sur ce site, mais il me manque encore une pièce cruciale du puzzle.
J'ai un ordinateur portable (de travail) avec Win10 Pro qui est crypté avec Bitlocker. Pendant un bon moment, je n'ai même pas réalisé qu'il était crypté car il ne demandait pas de mot de passe lors d'un démarrage à froid. (Nous avions l'habitude d'utiliser TrueCrypt sur tous nos ordinateurs portables, donc j'étais habitué à utiliser un mot de passe.) J'ai alors décidé de vérifier le système et de le démarrer avec un live CD Linux. J'ai pu voir les partitions sur le disque mais je n'ai pas pu monter la partition principale - un rapide vidage hexadécimal m'a montré que la partition NTFS principale était bien cryptée.
Maintenant, le système d'exploitation démarrera à froid jusqu'à l'écran de connexion Windows sans aucune entrée de l'utilisateur (c.-à-d. Pas de code PIN/mot de passe), ce qui, d'après ma recherche sur Google, j'ai appris que cela se produit à force que le système d'exploitation extrait automatiquement la clé de cryptage de le TPM.
Ce qui me dérange, c'est ceci: qu'est-ce qui empêche un autre morceau de code (par exemple Linux) de demander au TPM la clé de cryptage du disque dur? Même en supposant qu'une clé MS secrète est requise, cette clé doit sûrement être présente quelque part dans la partition de démarrage, et mon idée simpliste de la façon dont cela pourrait être réalisé serait pour un VM (sur une clé USB) ?) pour exécuter le chargeur de démarrage jusqu'à ce que la séquence de démarrage interagisse avec le module de plateforme sécurisée et le bingo, la clé de cryptage n'est plus secrète ... Ce n'est cependant pas sorcier, et il ne peut clairement pas être aussi simple ou Bitlocker + TPM serait une perte de temps totale. Donc - je ne peux pas avoir une image correcte de ce qui se passe, mais j'ai essayé et échoué à savoir comment cela vraiment fonctionne ...
Quelqu'un peut-il fournir les informations qui me manquent? Merci d'avance!
[Edit: pour plus de clarté, je pense principalement au cas où l'ordinateur portable est volé. Comme beaucoup de gens, mon ordinateur portable passe beaucoup de temps dans mon sac en mode veille, alors supposons qu'il dort lorsqu'il est volé - cela a des implications sur la façon dont un passage au TPM + PIN aiderait, mais je ne le pense pas directement modifie les principes fondamentaux du réel question.]
Je pense que beaucoup de commentaires manquent un point clé. Si vous utilisez Windows 10 avec un démarrage sécurisé et un microprogramme protégé par mot de passe, vous ne pouvez pas simplement démarrer sous Linux et voir le disque. Le module de plateforme sécurisée ne libérera pas les clés de déchiffrement vers un système d'exploitation modifié. Je vous suggère de lire ce post:
n attaquant physique peut-il compromettre une machine Windows avec UEFI, démarrage sécurisé et bitlocker? car il contient de bonnes informations.
Rien n'arrête cela. Ce que fait le TPM, c'est de vérifier l'intégrité de divers composants au démarrage et de ne desceller un mot de passe interne que si ces composants n'ont pas été falsifiés. Il peut en outre être configuré pour nécessiter un code PIN, mais ce n'est pas strictement nécessaire. La raison pour laquelle le lecteur ne déchiffre pas automatiquement sur un système Linux est simplement parce que Windows communique avec le TPM, demandant pour attester de l'état du système.
La clé est conservée scellée à l'intérieur du TPM lui-même. Le but n'est pas de vous empêcher de déchiffrer le disque si vous avez à la fois l'ordinateur et le lecteur, mais de le rendre impossible à déchiffrer le disque si vous ne disposez que du lecteur de stockage mais pas de l'ordinateur lui-même. Si vous avez un accès physique à l'ensemble de l'appareil, y compris le lecteur et le module de plateforme sécurisée, vous pourrez décrypter le lecteur.
Lorsqu'un TPM est initialisé, le système d'exploitation en prend possession et utilise un mot de passe propriétaire du TPM pour protéger son accès. Sous Linux, ce mot de passe est entré manuellement (voir tpm_takeownership). Sous Windows, il est généré automatiquement et stocké en interne, bien qu'il existe certaines méthodes pour le récupérer. Cette réponse ( https://stackoverflow.com/questions/48762602/tpm-owner-password-and-lockout-password-with-windows-10-linux ) a quelques détails sur la façon de le faire .