Sử dụng BitLocker để mã hóa ổ lưu trữ ngoài – Phần 2

Quản trị mạng – Trong phần hai của loạt bài này chúng tôi sẽ giới thiệu cho các bạn cách thực thi bảo mật BitLocker theo một cách thống nhất hơn qua sử dụng các thiết lập chính sách nhóm.

>> Sử dụng BitLocker để mã hóa ổ lưu trữ ngoài – Phần 1

Các thiết lập mặc định trong Windows 7 cho phép người dùng có thể quyết định có nên mã hóa và khi nào mã hóa dữ liệu trên các ổ lưu trữ ngoài. Trong phần hai của loạt bài này chúng tôi sẽ giới thiệu cho các bạn cách thực thi bảo mật BitLocker theo một cách thống nhất hơn qua sử dụng các thiết lập chính sách nhóm.

Trong phần một, chúng tôi đã giới thiệu cho các bạn cách sử dụng BitLocker một cách thủ công để mã hóa nội dung của ổ USB. Mặc dù thủ tục mà chúng tôi đã giới thiệu cho các bạn trong phần trước làm việc khá tốt, nhưng vẫn còn đó rất nhiều lựa chọn khác. Hãy hình dung trong trường hợp công ty của bạn có rất nhiều thông tin nhạy cảm trên các file dữ liệu. Lý tưởng mà nói, bạn chắc chắn sẽ muốn bảo vệ tất cả dữ liệu đó một cách an toàn. Tuy nhiên trong thực tế, có nhiều nhân viên trong công ty bạn mà ở đó công việc của họ yêu cầu phải truy cập vào một số dữ liệu nhất định, thậm chí khi họ không thể kết nối với mạng công ty.

Một thứ nữa cần mang ra giả định cho tình huống ở đây là nhân viên của bạn có thể để quên USB của họ ở một nơi nào đó và bên trong USB đó chứa rất nhiều dữ liệu khách hàng, khi đó sự mã hóa là bắt buộc phải có. BitLocker to Go có thể cung cấp kiểu mã hóa bạn cần thiết lúc này, tuy nhiên phương pháp mã hóa mà chúng tôi đã giới thiệu cho bạn trong phần 1 của loạt bài lại yêu cầu người dùng tự mã hóa các ổ lưu trữ USB của họ.

Rõ ràng chúng ta không thể đặt công việc mã hóa này vào tay người dùng và tin tưởng họ sẽ thực hiện tốt việc này. Để có tính khả thi hơn, chúng ta cần phải đi tìm một phương pháp khác. Windows 7 và Windows Server 2008 R2 có các thiết lập chính sách nhóm mà chúng ta có thể sử dụng để kiểm soát cách và thời điểm sử dụng mã hóa BitLocker.

Group Policy Object Editor có chứa khá nhiều thiết lập Group Policy có liên quan đến mã hóa BitLocker, tuy nhiên có một thư mục có chứa thiết lập mã hóa BitLocker cho các thiết bị lưu trữ ngoài. Bạn có thể truy cập vào thư mục này tại Computer Configuration \ Administrative Templates \ Windows Components \ BitLocker Drive Encryption \ Removable Data Drives. Có thể thấy các thiết lập chính sách nhóm bên trong thư mục này trong hình A.

Hình A: Tất cả các thiết lập liên quan đến mã hóa thiết bị lưu trữ ngoài đều được lưu trong thư mục Removable Data Drives

Kiểm soát sử dụng BitLocker trên các ổ lưu trữ ngoài

Thiết lập Group Policy đầu tiên mà chúng tôi muốn giới thiệu là thiết lập “Control Use of BitLocker on Removable Drives”. Như tên ngụ ý của nó, thiết lập này cho phép bạn kiểm soát người dùng có được phép mã hóa thiết bị lưu trữ ngoài bằng BitLocker hay không.

Đơn giản nhất, vô hiệu hóa thiết lập này sẽ ngăn chặn được người dùng mã hóa thiết bị lưu trữ ngoài, trong khi đó họ sẽ có thể sử dụng BitLocker để mã hóa chúng nếu bạn không thực hiện gì cả.

Nếu chọn vô hiệu hóa thiết lập chính sách nhóm, có hai tùy chọn khác để có thể thiết lập. Tùy chọn đầu tiên trong số hai tùy chọn này là cho phép người dùng sử dụng sự bảo vệ của BitLocker trên các thiết bị lưu trữ ngoài hay không. Rõ ràng tùy chọn này có đôi chút rườm rà nhưng lý do tại sao Microsoft đưa ra như vậy là vì nó cho phép bạn kiểm soát thiết lập này và thiết lập kế tiếp mà chúng tôi sẽ giới thiệu khi thiết lập chính sách nhóm được kích hoạt.

Thiết lập thứ hai cho phép người dùng hoãn và giải mã bảo vệ BitLocker trên các thiết bị lưu trữ ngoài. Nói theo cách khác, bạn có thể kiểm soát việc cho phép người dùng tắt BitLocker cho thiết bị lưu trữ ngoài.

Cấu hình sử dụng thẻ thông minh trên các ổ đĩa lưu trữ ngoài

Thiết lập chính sách nhóm này cho phép bạn có thể kiểm soát việc sử dụng thẻ thông minh như một cơ chế cho việc thẩm định người dùng trong việc truy cập vào nội dung được mã hóa bởi BitLocker. Nếu quyết định kích hoạt thiết lập Group Policy này, sẽ có một tùy chọn con mà bạn có thể sử dụng để yêu cầu việc sử dụng thẻ thông minh. Nếu chọn tùy chọn này, người dùng sẽ chỉ có thể truy cập các nội dung được mã hóa bởi BitLocker bằng cách sử dụng quá trình thẩm định bằng thẻ thông minh.

Từ chối truy cập “Write” lên các ổ lưu trữ ngoài không được bảo vệ bởi BitLocker

Thiết lập “Deny Write Access to Removable Drives Not Protected By BitLocker” là một trong những thiết lập Group Policy quan trọng có liên quan tới việc mã hóa thiết bị lưu trữ ngoài. Khi kích hoạt thiết lập này, Windows sẽ kiểm tra các thiết bị lưu trữ ngoài được kết nối với máy tính để xem mã hóa BitLocker đã được kích hoạt hay chưa. Nếu BitLocker chưa được kích hoạt trên thiết bị, khi đó nó sẽ được xử lý ở trạng thái “read only”. Người dùng chỉ được nhận mức truy cập “write” nếu BitLocker được kích hoạt trên thiết bị. Bằng cách này, bạn có thể ngăn chặn người dùng ghi dữ liệu và các thiết bị lưu trữ ngoài không được mã hóa.

Khi kích hoạt thiết lập chính sách nhóm này, bạn cũng được trao tùy chọn khóa truy cập mức “write” cho thiết bị đã được cấu hình trong tổ chức khác. Tùy chọn này cũng có thể giúp bạn ngăn chặn được việc sử dụng các thiết bị lưu trữ ngoài không thẩm định.

Hình dung trường hợp bạn muốn bảo đảm rằng chỉ có người dùng xác thực (đã được thẩm định) mới có thể ghi dữ liệu vào các thiết bị lưu trữ ngoài, và bất cứ dữ liệu nào được ghi vào các thiết bị đó đều được mã hóa. Lúc này giả định rằng một nhân viên nào đó trong công ty bạn muốn copy danh sách khách hàng của bạn vào USB. Nếu một trong những mục tiêu đã được tuyên bố của bạn là ngăn chặn ghi dữ liệu vào các thiết bị lưu trữ ngoài dưới định dạng không được mã hóa thì bạn lúc này bạn cũng đã kích hoạt thiết lập “Deny Write Access to Removable Drives Not Protected By BitLocker”.

Điều đó sẽ cho phép bạn có một số mức bảo vệ, nhưng nó cũng có thể cho phép người dùng kích hoạt BitLocker trên máy tính ở nhà của họ, mã hóa USB, sau đó mang ổ đĩa được mã hóa đó đến văn phòng và ghi dữ liệu lên. Kích hoạt tùy chọn “Do Not Allow Write Access to Devices Configured in Another Organization” sẽ cho phép Windows tìm ra thiết bị lưu trữ ngoài đến từ đâu. Nếu thiết bị được mã hóa bởi một tổ chức khác, BitLocker sẽ từ chối mức truy cập “write” đối với chúng.

Cho phép truy cập đến các thiết bị lưu trữ ngoài được bảo vệ bởi BitLocker từ các phiên bản Windows trước đó

Một số người nhận định rằng tùy chọn này được đặt tên chưa thật thỏa đáng. Sự thật là Windows không thực sự quan tâm đến phiên bản Windows nào được sử dụng để định dạng một thiết bị lưu trữ ngoài. Mà thay vào đó, tùy chọn này cho phép bạn kiểm soát việc có cho phép người dùng mở khóa các thiết bị lưu trữ mã hóa BitLocker đã được định dạng với hệ thống file FAT.

Nếu kích hoạt thiết lập này, sẽ có một tùy chọn khác mà bạn có thể kích hoạt nhằm ngăn chặn việc BitLocker to Go Reader cài đặt vào các ổ lưu trữ đã được định dạng hệ thống file FAT.

Cấu hình sử dụng mật khẩu cho thiết bị lưu trữ ngoài

Đây là một trong những thiết lập dễ hiểu nhất. Nó cho phép bạn có thể kiểm soát việc có cần yêu cầu sử dụng mật khẩu để mở khóa nội dung bên trong của các thiết bị lưu trữ ngoài hay không. Giả định rằng muốn bảo vệ mật khẩu cho các thiết bị lưu trữ ngoài này, khi đó bạn sẽ có thêm tùy chọn cho việc kiểm soát độ dài và các yêu cầu về tính mức tạp của mật khẩu.

Kết luận

Các thiết lập chính sách nhóm mà chúng tôi giới thiệu cho các bạn trong bài đều nhằm mục đích điều khiển cách BitLocker sẽ được sử dụng như thế nào với các thiết bị lưu trữ ngoài. Mặc dù vật một trong những vấn đề phát sinh với việc mã hóa dữ liệu là nếu các khóa mã hóa bị mất, khi đó dữ liệu của bạn sẽ không thể giải mã. Chính vì vậy trong phần ba của loạt bài này, chúng tôi sẽ giới thiệu cho các bạn một kỹ thuật có thể tránh được vấn đề này bằng cách lưu các khóa mã hóa trong Active Directory.