Microsoft przekazuje służbom klucze deszyfrujące BitLockera… oczywiście, gdy będzie je posiadał i pojawi się odpowiednie żądanie

Kiedyś szyfrowanie dysku oznaczało, że nikt bez znajomości hasła nie był w stanie uzyskać dostępu do danych w rozsądnym czasie (no chyba, że ktoś miał szczęście i od razu trafił na dobre hasło). A często nadmierna liczba błędnych kombinacji, kończyła się czasową blokadą (przy wprowadzaniu haseł “na żywo”). Co prawda istniały sposoby na odzyskanie hasła, jednak bez kopii bezpieczeństwa (hasło zapisane na kartce lub dysk z zapasowym kluczem, ukryte w bezpiecznym miejscu) ich skuteczność była bliska zeru, przy odpowiednio złożonym i długim haśle. 

TLDR:

• Microsoft deklaruje wsparcie dla służb w zakresie odszyfrowania danych zabezpieczonych BitLockerem. Oczywiście musi być ważny powód – nakaz sądowy.
• BitLocker jest mechanizmem zapewniającym szyfrowanie dysku, domyślnie włączonym w Windowsie 11.
• Dostęp do danych jest możliwy za pomocą hasła lub klucza odzyskiwania, generowanego podczas (pierwszego) procesu zabezpieczania dysku. 
• Klucz może być zapisywany lokalnie lub przechowywany w chmurze Microsoftu (domyślnie ta opcja jest włączona).
• Microsoft deklaruje, że bez klucza odzyskiwania nie jest w stanie odszyfrować danych.

Problem jest szczególnie dotkliwy, kiedy zależy nam na szybkim dostępie do danych, a kopie zapasowe są niekompletne lub nie ma ich wcale. Microsoft wyszedł naprzeciw oczekiwaniom i zaproponował przechowywanie klucza zapasowego w swojej “bezpiecznej” infrastrukturze chmurowej.

Każdy, kto w przeszłości doświadczył problemów z odszyfrowaniem danych na dysku uzna to za dobry pomysł. Użytkownik nie musi pamiętać o zabezpieczeniu swojego klucza zapasowego, bo Microsoft zrobi to za nas. 

Z drugiej strony patrząc na wszechobecne IoT i ich komunikację z chmurą do sprawnego zarządzania, każdy jest już oswojony z tą technologią. Nie ma w tym nic dziwnego, że dane przesyłane są na serwery producenta. Ale czy wysyłanie klucza zapasowego do BitLockera na serwery Microsoftu jest dobrym pomysłem.. na pewno nie dla przestępców.

Słowem wstępu, BitLocker jest standardowym mechanizmem zapewniającym pełne szyfrowanie dysku w Windowsie. Domyślnie jest używany w Windowsie 11. Bez znajomości hasła lub klucza, odszyfrowanie dysku jest praktycznie nierealne.  

Klucz odzyskiwania funkcji BitLocker składa się z 8 grup po 6 cyfr każda, jego złamanie graniczy z cudem. Jeżeli zapomnimy hasła deszyfrującego dysk lub zmieni się wartość w rejestrach przechowujących skrót konfiguracji startowej (Platform Configuration Registers), BitLocker poprosi nas o wprowadzenie ciągu numerycznego.

Ciąg ten wygląda następująco.

Na początku ubiegłego roku funkcjonariusze FBI zwrócili się do Microsoftu z prośbą o pomoc w zakresie odblokowania trzech laptopów w związku z podejrzeń popełnienia przestępstwa finansowego. Zdaniem śledczych, urządzenia te zawierały dowody pozwalające potwierdzić, że osoby obsługujące program pomocy dla bezrobotnych w czasie pandemii Covid należały do grupy przestępczej, której celem była kradzież środków z funduszy przewidzianych na ten cel. 

FBI posiadało oficjalny nakaz wydany przez sąd. Z tego powodu Microsoft nie miał zbyt dużego pola manewru. Postanowił pomóc śledczym, przekazując klucze zapasowe do zaszyfrowanych dysków. W rozmowie z Forbes, rzecznik Microsoft – Charles Chamberlayne, potwierdził ten fakt, uzasadniając że firma respektuje nakazy prawne. 

Dodał również, że otrzymują około 20 zapytań o klucze BitLockera rocznie i w wielu przypadkach użytkownik nie zapisał swojego klucza w chmurze, co uniemożliwia Microsoftowi udzielenie pomocy.

“Odzyskiwanie danych w chmurze zapewnia wygodę, jednak niesie za sobą ryzyko. Użytkownicy muszą rozważyć, czy ta wygoda jest tego warta”. Celnie podsumowuje rzecznik Microsoftu.

Microsoft wielokrotnie otrzymywał prośby o zaprojektowanie mechanizmów, pozwalających na dostęp do danych podejrzanych (backdoory) w przypadku zaistnienia takiej konieczności. Trzymając się narracji przedstawicieli firmy, dostarczenie produktów przez gigantów technologicznych z możliwością skrytego wykradania kluczy szyfrujących jest skrajną nieodpowiedzialnością, która prowadzi do nadużyć. Z tego powodu Microsoft nie zamierza radyklanie modyfikować zastosowanych mechanizmów bezpieczeństwa, tylko pozostawić w kwestii użytkownika, udostępnianie danych do chmury. 

Oczywiście, zapomniano wskazać, że BitLocker domyślnie przesyła dane kluczy do serwery Microsoftu, jednak jest to mało znaczący fakt (da się wyłączyć tą opcję). Kto by się przejmował, że klucz deszyfrujący nasze prywatne dane jest bezpieczny w chmurze.

Tak jak to było wielokrotnie wspomniane, to użytkownik decyduje czy udostępnić swoje dane czy nie. BitLocker podczas zabezpieczania dysku uprzedza, że bez klucza Microsoft nie będzie w stanie pomóc w odszyfrowaniu danych. Co okazuje się prawdą, sugerując się wypowiedzią rzecznika, ale czy aby na pewno tak jest i w każdym przypadku?

Zachęcamy, kosztem wygody przechowywać dane klucza lokalnie, na zewnętrznym nośniku, ukrytym w bezpiecznej lokalizacji lub w kontenerze VeraCrypt.

Jeżeli chcesz sprawdzić, czy na Twoim koncie znajduje się zapisany klucz do BitLockera, zalecamy przejść na poniższy adres:

account[.]microsoft[.]com/devices/recoverykey

Źródło: forbes.com  

~_secmike