Sådan bruges en USB-nøgle til at låse en BitLocker-krypteret pc op
Aktivér BitLocker-kryptering, og Windows åbner automatisk dit drev hver gang du starter din computer ved hjælp af TPM'en, der er indbygget i de fleste moderne computere. Men du kan konfigurere ethvert USB-flashdrev som en "startnøgle", der skal være til stede ved opstart, før din computer kan dekryptere dens drev og starte Windows.
Dette tilføjer faktisk to-faktor-autentificering til BitLocker-kryptering. Når du starter din computer, skal du forsyne USB-nøglen, før den bliver dekrypteret. Dette ville være særligt nyttigt med et lille USB-drev, du bærer med dig på et nøglering.
Trin 1: Aktivér BitLocker (Hvis du ikke allerede har)
Dette kræver selvfølgelig BitLocker-drevkryptering, hvilket betyder, at det kun virker på Professional og Enterprise-udgaver af Windows. Før du kan følge et af nedenstående trin, skal du aktivere BitLocker-kryptering på dit systemdrev fra kontrolpanelet.
Hvis du går ud af din måde for at aktivere BitLocker på en pc uden en TPM, kan du vælge at oprette en USB-startnøgle som en del af installationsprocessen. Dette vil blive brugt i stedet for TPM. Nedenstående trin er kun nødvendige, når du aktiverer BitLocker på computere med TPM'er, som de nyeste computere har.
Hvis du har en hjemmeversion af Windows, kan du ikke bruge BitLocker. Du kan muligvis have funktionen Enhedskryptering i stedet, men det fungerer forskelligt fra BitLocker og tillader dig ikke at give en startnøgle.
Trin to: Aktivér startnøglen i Gruppepolicy Editor
Når du har aktiveret BitLocker, skal du aktivere startkravkravet i Windows gruppepolitik. For at åbne gruppepolicyeditoren skal du trykke på Windows + R på tastaturet, skrive "gpedit.msc" i dialogboksen Kør, og tryk på Enter.
Gå til Computer Configuration> Administrative Skabeloner> Windows Komponenter> BitLocker-drevkryptering> Operativsystemdrev i vinduet Gruppepolitik.
Dobbeltklik på "Kræv ekstra godkendelse ved opstart" i højre rude.
Vælg "Aktiveret" øverst i vinduet her. Klik derefter på boksen under "Konfigurer TPM Startup Key" og vælg "Require Startup Key With TPM". Klik på "OK" for at gemme dine ændringer.
Trin tre: Konfigurer en startnøgle til dit drev
Du kan nu bruge styre-BDE kommando til at konfigurere et USB-drev til dit BitLocker-krypterede drev.
Først skal du indsætte et USB-drev på din computer. Bemærk drevbogstavet til USB-drevet-D: i skærmbilledet nedenfor. Windows gemmer en lille .bek fil til drevet, og sådan bliver det din startnøgle.
Herefter skal du starte et kommandoprompt vindue som administrator. Højreklik på Start-knappen i Windows 10 eller 8 og vælg "Kommandoprompt (Admin)". I Windows 7 finder du genvejstasten "Kommandoprompt" i Start-menuen, højreklikker på den og vælger "Kør som administrator"
Kør følgende kommando. Kommandoen nedenfor fungerer på din C: -drev, så hvis du vil kræve en startnøgle til et andet drev, skal du indtaste drevbrevet i stedet for c: . Du skal også indtaste drevbogstavet for det tilsluttede USB-drev, du vil bruge som en startnøgle i stedet for x: .
manage-bde -protectors -add c: -TPMAndStartupKey x:
Nøglen vil blive gemt på USB-drevet som en skjult fil med .bek filtypenavnet. Du kan se det, hvis du viser skjulte filer.
Du bliver bedt om at indsætte USB-drevet næste gang du starter computeren. Pas på med nøglen. En person, der kopierer nøglen fra dit USB-drev, kan bruge den kopi til at låse dit BitLocker-krypterede drev op..
For at kontrollere, om TPMAndStartupKey-beskytteren blev tilføjet korrekt, kan du køre følgende kommando:
manage-bde-status
(Den "Numeriske adgangskode" nøglebeskytter, der vises her, er din genvejstast.)
Sådan fjerner du Startup Key Requirement
Hvis du skifter mening og vil stoppe med at kræve startnøglen senere, kan du fortryde denne ændring. Først skal du gå tilbage til gruppepolicy-editoren og ændre indstillingen tilbage til "Tillad startnøgle med TPM". Du kan ikke forlade indstillingen til "Require Startup Key With TPM" eller Windows vil ikke tillade dig at fjerne startnøglekravet fra drevet.
Derefter åbner du et kommandopromptvindue som administrator og kører følgende kommando (igen, erstatter c: hvis du bruger et andet drev):
manage-bde -protectors -add c: -TPM
Dette vil erstatte "TPMandStartupKey" kravet med et "TPM" krav, sletning af PIN-koden. Dit BitLocker-drev vil automatisk låse op via din computers TPM, når du starter.
For at kontrollere, at dette er gennemført, kør du statuskommandoen igen:
manage-bde-status c:
Prøv at genstarte computeren først. Hvis alt fungerer korrekt, og din computer ikke kræver, at USB-drevet skal starte, kan du formatere drevet eller bare slette BEK-filen. Du kan også bare forlade det på dit drev - den fil vil ikke rent faktisk gøre noget mere.
Hvis du mister startnøglen eller sletter .bek filen fra drevet, skal du give BitLocker recovery-koden til dit systemdrev. Du skulle have gemt et sikkert sted, når du aktiverede BitLocker til dit systemdrev.
Billedkredit: Tony Austin / Flickr
