Wikibooks

BitLocker

BitLockerの概要

編集

BitLockerの機能と目的、データ保護におけるBitLockerの役割、TPM(Trusted Platform Module)との関係について解説します。

BitLockerは、Windows搭載デバイスのデータを守るためのディスク暗号化機能です。デバイスが盗難や紛失した場合でも、ドライブ上のデータにアクセスできないよう全ボリュームを透過的に暗号化することで、機密データの漏洩を防ぎます。

BitLockerが提供する主な機能は以下の通りです。

  • ドライブの完全暗号化: OSドライブ、固定データドライブ、リムーバブルドライブを透過的に暗号化
  • 多要素認証: TPMチップ、スタートアップキー、PIN、パスワードなどを組み合わせた認証
  • プレブート環境の保護: チェックポイントを経て安全な状態でOSを起動
  • オフライン時の改竄検知: システムが改竄されていないかTPMで検証

BitLockerは単なるディスク暗号化機能ではなく、デバイスの起動プロセス全体をセキュアにするためのソリューションです。TPMチップと連携してプレブート環境とOSロード前の状態の整合性をチェックし、改竄がない場合にのみ起動を許可します。

TPM(Trusted Platform Module)は、暗号化キーの保護や安全な認証に必須のセキュリティハードウェアです。BitLockerは最大限のセキュリティを得るためにTPMの存在を前提としていますが、TPMがない環境でも一部機能を制限して利用可能です。

以上のように、BitLockerはデバイスのデータ保護とセキュアな起動を実現する重要な機能です。次章からさらに詳しい要件やセットアップ手順について説明します。

システム要件

編集

BitLockerを利用するためには、いくつかのハードウェアとソフトウェア要件を満たす必要があります。この章では、それらの要件について詳しく解説します。

TPMの要件
  • TPM 1.2以降が必須(TPM 2.0が望ましい)
  • BIOS/UEFIでTPMをサポートしている必要がある
BIOS/UEFIファームウェアの要件
  • Trusted Computing Group (TCG) 規格に準拠している必要がある
  • Static Root of Trust for Measurement (SRTM)をサポートしている
  • USBマスストレージデバイスクラスをサポートし、プレブート環境でUSB読み取り可能
  • UEFI環境ではSecure Bootが有効になっている(推奨)
ディスクパーティション要件
少なくとも2つのパーティションが必要
  • OSドライブ(NTFSフォーマット)
  • システムドライブ(約350MB, FAT32またはNTFSフォーマット)
Windows エディションとライセンス要件
  • BitLockerを有効化できるのはPro/Enterprise/Educationエディション
  • ライセンスはWindows Pro/Enterprise E3/E5が必要

これらの要件を満たせばBitLockerを利用できますが、最大のセキュリティ保護を得るにはTPMチップの存在が不可欠です。TPMがない場合、BitLockerのセキュリティ機能は一部制限されます。

また、デバイスがModern Standbyまたは HSTI規格に準拠していれば、デバイス暗号化機能を利用できます。デバイス暗号化ではBitLockerが自動で有効になり、キーのバックアップなども自動で行われます。

次章では、BitLockerを手動で有効化する方法について説明します。

BitLockerの有効化

編集

BitLockerを手動で有効化するには、主に以下の3つの方法があります。

TPMを使った有効化

編集

最も安全な方法です。TPMチップとの連携により、プレブート環境とOSの整合性が保証されます。

有効化手順:

  1. TPMをBIOS/UEFIで有効化する
  2. BitLockerの初期化ウィザードを起動
  3. TPMプロテクターの作成を選択し、PIN/パスワードを設定
  4. 回復キーをファイル/Active Directoryにバックアップ
  5. 再起動後、フロッピー/USB等からスタートアップ

スタートアップキーを使った有効化

編集

TPMがない環境で利用できる方法です。USB等の外部媒体にスタートアップキーを保存する必要があります。

有効化手順:

  1. BitLockerの初期化ウィザードを起動
  2. スタートアップキーの作成を選択
  3. 作成したスタートアップキーをUSBに保存
  4. 回復キーをファイル/Active Directoryにバックアップ
  5. 再起動後、スタートアップキーを提示

パスワードを使った有効化

編集

最も簡易な方法ですが、セキュリティ上推奨されません。ブルートフォース攻撃に対する保護がないためです。

有効化手順:

  1. BitLockerの初期化ウィザードを起動
  2. パスワード付与オプションを選択し、パスワードを設定
  3. 回復キーをファイル/Active Directoryにバックアップ

TPMまたはスタートアップキーの使用が望ましく、パスワード方式は避けるべきです。有効化後はプレブート画面でPIN/キー/パスワードの入力を求められます。

回復キーのバックアップは、緊急時の復旧で欠かせません。ファイルまたはActive Directoryにバックアップすることをお勧めします。

以上の手順でBitLockerを適切に有効化することが重要です。次章では、有効化後のBitLockerの管理方法を説明します。

BitLockerの管理

編集

BitLockerを適切に管理することは、デバイスのセキュリティを維持する上で非常に重要です。この章では、BitLocker保護デバイスの運用方法と、BitLockerポリシーの設定について説明します。

BitLockerの回復手順 何らかの理由で、BitLocker保護デバイスが起動しなくなった場合の対処手順は以下の通りです。

回復キーの入力
プレブート画面で回復キーを要求されたら、バックアップした回復キーを入力する
BitLockerの一時的な中断(サスペンド)
回復オプションで「BitLockerの一時的な中断」を選択する
これでBitLocker保護を一時的に解除し、通常の起動が可能になる
問題の特定と修正
OSで原因を特定し、適切な対処を行う(交換部品の入手、OSの再インストールなど)
BitLockerの再有効化
BitLockerコントロールパネルユーティリティで再度有効化する

回復キーをバックアップしておけば、上記の手順で一時的にBitLockerを解除できます。

BitLockerポリシーの設定
BitLockerの動作は、グループポリシーやMDMでさまざまな設定を行えます。主な設定は以下の通りです。
  • 暗号化の種類と強度の指定
  • PINの長さやストライク制限の指定
  • 回復キーの保存場所の指定
  • 組織のセキュリティ要件に合わせたカスタマイズ

エンタープライズ環境では、これらのポリシー設定を一元管理することで、組織全体のBitLocker運用を最適化できます。

BitLocker保護デバイスの運用時は、適切な回復手順とポリシー設定によってセキュリティリスクを最小限に抑える必要があります。次章では、より強固なBitLocker対策について解説します。

デバイス暗号化

編集

デバイス暗号化は、BitLockerを自動的に有効化する機能です。この章では、デバイス暗号化の概要と要件、有効化と無効化の方法について説明します。

デバイス暗号化の概要 一定の要件を満たすデバイスでは、Windowsのクリーンインストール後にデバイス暗号化がBitLockerを自動的に有効化します。この機能により、手動による複雑な設定を行うことなく簡単にBitLockerを適用できます。

デバイス暗号化ではOSドライブと内蔵ドライブのみが暗号化の対象となり、リムーバブルドライブは暗号化されません。暗号化中は一時的に警告アイコンが表示されますが、TPMプロテクターの作成と回復キーのバックアップが完了すれば安全な状態になります。

デバイス暗号化の要件

  • Modern Standbyまたは HSTI規格に準拠したデバイス
  • DMAアクセスが可能な外付けポートがない
  • TPMチップが搭載されている

上記要件を満たせば、デバイス暗号化によりBitLockerが自動で適用されます。

デバイス暗号化の有効化
通常、デバイス要件を満たす環境ではデバイス暗号化は自動的に有効になります。手動で有効化する場合は、設定アプリからオンにできます。
デバイス暗号化の無効化
万が一無効化したい場合は、レジストリ設定で無効化できます。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\BitLocker "PreventDeviceEncryption"=dword:00000001

ただし、セキュリティ上の理由から無効化は推奨されません。可能な限りデバイス暗号化を有効のままにしておくことをお勧めします。

デバイス暗号化はBitLockerの恩恵を手軽に受けられる機能です。要件を満たすデバイスでは、積極的にデバイス暗号化を利用するとよいでしょう。次章では、BitLockerのセキュリティ対策について解説します。

BitLockerのセキュリティ対策

編集

BitLockerはデータを強力に保護しますが、暗号化キーそのものを攻撃から守る対策も重要です。この章では、暗号化キーを保護するための技術や、セキュリティ監査、コンプライアンスについて説明します。

暗号化キーの保護対策
BitLockerでは、以下の3つの主要な技術によって暗号化キーを保護しています。
高度な認証
TPMチップやスタートアップキー、PINなどの多要素認証で不正アクセスを防ぐ
FVEK/VMK階層
キーの階層構造によりフルボリューム暗号化キー(FVEK)を隔離/分離
EVFG
キーをメモリ上に一時的に読み込み、不正な永続化を防止

これらの技術を組み合わせることで、オフラインでのブルートフォース攻撃や、キーの物理的な奪取といった脅威から暗号化キーを保護します。

セキュリティ監査とコンプライアンス
BitLockerはセキュリティ監査やコンプライアンスの観点からも重要な機能です。
  • イベントログによるセキュリティ監視
  • BitLockerリカバリ情報の集中管理
  • グループポリシーでの一元管理
  • FIPS 140-2の暗号化ツールとしての認定

上記の機能を利用することで、組織全体のBitLockerの運用状況を把握し、適切な是正措置を行うことができます。

BitLockerを最大限に活用するためには、暗号化キーの保護対策を講じること、そして監査・コンプライアンスの仕組みを構築することが不可欠です。次章では、BitLockerのトラブルシューティングについて説明します。

トラブルシューティング

編集

BitLockerを運用する上で、さまざまな問題が発生する可能性があります。この章では、一般的な問題とその対処方法、ログの確認方法について説明します。

一般的な問題と対処方法

編集
プレブート環境で回復キー/PIN/パスワードを求められる
正しい認証情報を入力する
認証情報を失くした場合は、バックアップした回復キーを使用する
起動時にOSが読み込めない
最終確認メッセージで「BitLockerの一時中断」を選択し、OSを起動
OSで問題の原因を特定(メモリ、ストレージ、ドライバーなど)
原因を解決し、BitLockerを再度有効化
ストレージデバイスまたはOS交換後の問題
OSインストール時に、BitLocker対応パーティションを適切に作成
回復キーでBitLockerを解除し、再セットアップが必要
BitLocker有効化/無効化のエラー
TPM、BIOS設定、ポリシーなどの要件を確認
システム要件を満たしているか確認する
ログの確認
BitLockerの操作ログは、Windowsのイベントビューアで確認できます。
BitLockerログ
マイクロソフト/Windows/BitLockerイベントログ
有効化、キーのバックアップ、回復など
BitLocker Driverログ
マイクロソフト/Windows/BitLocker Driver
ドライバーレベルの問題

これらのログから、問題の原因や解決方法の手掛かりが得られる場合があります。

トラブルシューティングでは、問題の状況を正確に把握し、適切な対処を行うことが重要です。上記の一般的な問題と対処方法、およびログを確認することで、BitLockerの問題を効率的に解決できるでしょう。

ベストプラクティスとリソース

編集

BitLockerを最大限に活用し、セキュアな環境を維持するためには、ベストプラクティスを実践することが重要です。この章では、BitLocker運用のベストプラクティスと、役立つリソースや参考文献を紹介します。

BitLocker運用のベストプラクティス

編集
  • TPMを利用した完全なBitLocker機能を適用する
  • 物理的なセキュリティ対策(施錠、アクセス制限など)と組み合わせる
  • 定期的にBitLockerの動作ログを監視し、問題を早期に発見する
  • テスト環境で新ツール/機能の動作を検証してから本番に展開する
  • 回復キーのバックアップを適切に管理し、安全に保管する
  • データ消去時のBitLocker無効化を徹底する
  • 最新のOSやBitLockerに常にアップデートする

これらのベストプラクティスを実践することで、BitLockerを安全かつ確実に運用できます。

役立つリソースと参考文献

編集

上記のMicrosoftの公式ドキュメントでは、BitLockerに関する詳細な情報を確認できます。最新の情報を参照し、ベストプラクティスを実践することをお勧めします。

"https://ja.wikibooks.org/w/index.php?title=BitLocker&oldid=249979" より作成