traller
Jul 20, 2016
view19195
view12
0
Goto Top

BitLocker mit Smartcard??

GermansolvedQuestionWindows 10Microsoft
Hallo,
ist folgendes unter Windows 10 mit BitLocker möglich?
  • Entsperren einer BitLocker Systemlaufwerksverschlüsselung mit SmartCard
  • Wenn SmartCard drin, soll einfach starten
  • Wenn keine SmartCard > PIN-Abfrage
Funktioniert das mit einem USB SmartCard Reader? Welchen benötigt man dafür und wo kommt man günstig an eine Smartcard dafür dran?
comment-contentCommentShareShare
Share on Facebook Share on Twitter Share on Reddit Share on Linkedin

Content-Key: 310394

Url: https://administrator.de/contentid/310394

Printed on: April 19, 2024 at 09:04 o'clock

12 Comments
Latest comment
Goto Top
Member: DerWoWusste
DerWoWusste Jul 21, 2016 at 07:58:09 (UTC)
Goto Top
Hi.

Ja, BL funktioniert mit Smartcards als Schlüssel. Wenn Du aber eh einen USB-Smartcardreader bräuchtest und auch eine Smartcard anschaffen müsstest, warum legst Du den Schlüssel nicht auf einen USB-Stick?
Und ja, es funktioniert wie erhofft: Schlüssel nicht angeschlossen bringt die PIN-Abfrage.

Natürlich nur mit win10 Pro.
Member: traller
traller Jul 21, 2016 updated at 09:17:18 (UTC)
Goto Top
Zitat von @DerWoWusste:

Hi.

Ja, BL funktioniert mit Smartcards als Schlüssel. Wenn Du aber eh einen USB-Smartcardreader bräuchtest und auch eine Smartcard anschaffen müsstest, warum legst Du den Schlüssel nicht auf einen USB-Stick?
Und ja, es funktioniert wie erhofft: Schlüssel nicht angeschlossen bringt die PIN-Abfrage.

Natürlich nur mit win10 Pro.
das funktioniert wohl. Nur wie bekomme ich hin, dass wenn kein Schlüssel da, die PIN abgefragt wird. Da wird mir in diesem Fall nur der Wiederherstellungsschlüssel angeboten. Muss da noch was in den Gruppenrichtlinienkonfiguriert werden?? TPM ist vorhanden
unbenannt
Member: DerWoWusste
Solution DerWoWusste Jul 21, 2016 at 09:29:37 (UTC)
Goto Top
Zeig mal bitte die Ausgabe von
manage-bde -protectors -get c:
Member: traller
traller Jul 21, 2016 at 09:37:02 (UTC)
Goto Top
Zitat von @DerWoWusste:

Zeig mal bitte die Ausgabe von
manage-bde -protectors -get c:
das geht natürlich nur als Administrator und die Ausgabe hab ich mal etwas gekürzt:
BitLocker-Laufwerkverschlüsselung: Konfigurationstool, Version 10.0.10011
Copyright (C) 2013 Microsoft Corporation. Alle Rechte vorbehalten.

Volume "C:"   
Alle Schlüsselschutzvorrichtungen

    Numerisches Kennwort:
      ID: {abcd}
      Kennwort:
        000000-000000-000000-000000-000000-000000-000000-000000

    TPM und Startschlüssel:
      ID: {defg}
      PCR-Validierungsprofil:
        0, 2, 4, 8, 9, 10, 11
      Name der externen Schlüsseldatei:
        defg.BEK
Member: DerWoWusste
DerWoWusste Jul 21, 2016 at 09:53:08 (UTC)
Goto Top
Du hast also gar keinen PIN-Protektor eingerichtet. So kann er natürlich nicht kommen.
Führe folgende Befehle aus:
manage-bde -protectors -delete C: -Type TPMAndStartupKey
Danach:
manage-bde -protectors -add c: -TPMAndPIN
Member: traller
traller Jul 21, 2016 updated at 10:02:40 (UTC)
Goto Top
richtig. Nun ist wohl Recovery Key und TPM + PIN konfiguriert. Wie geht nun TPM+PIN+USB?

Volume "C:"   
Alle Schlüsselschutzvorrichtungen

    Numerisches Kennwort:
      ID: {abcd}
      Kennwort:
        000000-000000-000000-000000-000000-000000-000000-000000 

    TPM und PIN:
      ID: {defg}
      PCR-Validierungsprofil:
        0, 2, 4, 8, 9, 10, 11
Member: DerWoWusste
DerWoWusste Jul 21, 2016 at 10:44:36 (UTC)
Goto Top
Ok, Du musst nun noch einen Schritt machen:
manage-bde -protectors -add c: -sk x:\
(x: ist Dein USB-Laufwerk)
Danach läuft es wie gewünscht.
Member: traller
traller Jul 21, 2016 at 12:36:55 (UTC)
Goto Top
Danke, das funktioniert so sehr gut.
Mich würde nur noch interessieren, wie man es hin bekommt, dass wenn man den Stick abzieht, der Rechner gesperrt wird und auch solange der nicht dran ist nach 5 Minuten Inaktivität gesperrt wird. Die Anmeldung sollte natürlich noch über das Benutzerpasswort erfolgen können.
Folgendes ist bisher eingestellt und sollte so auch mit vorhandenem USB-Stick so bleiben:
  • Automatische Anmeldung des Nutzers, trotz Passwort (über netplwiz)
  • kein Sperren bei Inaktivität, kein Standby nach x Minuten, kein Bildschirm"schoner"

Vermutlich brauch ich ein Zusatzprogramm zum definieren der Regeln? Welches kann so etwas?
Member: DerWoWusste
Solution DerWoWusste Jul 21, 2016 at 15:21:29 (UTC)
Goto Top
Du kannst mit dem Taskplaner arbeiten, der kennt Auslöser (so genannte Trigger), die auf Sperrung oder auf Inaktivität reagieren können. Ebenso könnte man einen Trigger erstellen, der an ein Event gebunden ist. Device Removal (Stick abziehen) wird ja in der Ereignisanzeige vermerkt.
Der Task würde dann den Befehl rundll... absetzen, welcher den Rechner sperrt. Die Laufwerke würde ich nicht sperren, wozu? Oder können sich noch andere an dem PC anmelden?
Wenn ja, dann sperre mit

manage-bde -lock d:
zum Beispiel. Ausführendes Konto: system.
Member: traller
traller Jul 21, 2016 updated at 17:06:15 (UTC)
Goto Top
das scheint der richtige Weg zu sein. Aber irgendwie harkt das gerade. Device Removal oder Connected wird wohl in DriverFrameworks-Usermod protokolliert. Beim Anschluss des Sticks bspw. über die Ereignis-ID 2003 und
Der UMDF-Hostprozess ({xxxx}) wurde zum Laden von Treibern für Gerät "SWD\WPDBUSENUM\_??_USBSTOR...{XYZ}" aufgefordert.

Jetzt könnte ich einen Trigger mit dieser Quelle und Ereignis-ID 2003 hinterlegen, dass dann was passiert. Das hilft mir ja nicht weiter, wenn ich irgendeinen anderen Stick anschließe. Dann passiert ja das selbe. Kann man das irgendwie über die Identifikation XYZ weiter spezifizieren?

Die IDs basieren auf http://dfstream.blogspot.de/2014/01/the-windows-7-event-log-and-usb-dev ...
Member: DerWoWusste
DerWoWusste Jul 21, 2016 at 17:32:56 (UTC)
Goto Top
Ich kann Dir mal meinen Artikel zu Bad-USB verlinken, da arbeite ich mit Aktionen, die in Abhängigkeit von der Device-ID gestartet werden: Bad-USB geskriptet abwehren (ab Windows 8)
Member: traller
traller Jul 21, 2016 at 18:15:21 (UTC)
Goto Top
hab mich nun gegen das Wuseln entschieden und einfach USBLogon genommen: http://quadsoft.org/downloads
GermansolvedQuestionWindows 10Microsoft
Hotly discussed
AlexWishaHow to set up and configure a Linux GRE tunnelAlexWisha - 3 CommentsjstrickerWIREGUARD VPN ON UDM PRO BEHIND FRITZBOX - HANDSHAKE DID NOT COMPLETEjstricker - 3 CommentsgleixnerdCheck of ZFW Firewallgleixnerd - 1 CommentDaniEnd of Support dates for Office 2016, 2019 Apps und Productivity ServersDani - 1 Comment