Enkripcija diskova, SED, TCG Opal, BitLocker, (ne)sigurnost podataka,...

[killuminati]

Autor geronimo_2

sve jasno i sve 5, ali nista od navedenoga nije moguce.
u biosu je samo jedan boot device "windows boot manager".
nove win bi stavio da mogu vidjet disk/particiju. ko sto rekoh ne vidim ih, pretpostavljam zato sto je zalockano.
kad probam boot-at sa usb-a bilo koji tool, pola ih ne radi (nema bios legacy), a ovi sto i rade isto ne vide disk.

Možeš probat s bitlocker password recovery alatima, ymmv.

Ako ne uspiješ i/ili odlučiš instalirat nove win, nemoj tražit disk u biosu, kao što vidiš vidi se samo wbm na disku na kojem je instaliran win.

Bootaj win instalaciju pa klikni shift + F10

diskpart
lis dis
sel disk * (* je broj diska kojim želiš manipulirati)
clean
con gpt
cre par efi size=xxx (željeni broj MB, svakako više od defaultnih 100)
exit

Zatvori cmd, F5 i dalje normalno instaliraš win.

Ako ponovno uključiš bitlocker, isprintaj key i pohrani ga na nekoliko lokacija.

[BinaryJesus]

Znači kći se vjerojatno ulogirala koristeći školski MS account koji je ili dobila od carneta ili je povezan na carnet kad pri logiranju preusmjerava na carnet.

Pošto je uređaj laptop aktivirao se Windows Device Encryption koji danas većina laptopa podržava po defaultu.

BitLocker encryption is available on supported devices running Windows 10 or 11 Pro, Enterprise, or Education.
On supported devices running Windows 10 or newer BitLocker will automatically be turned on the first time you sign into a personal Microsoft account (such as @outlook.com or @hotmail.com) or your work or school account.

Znači prvo bi se kći trebala ulogirati koristeći svoje edu podatke u ms account i tamo pronaći recovery key.


A što se tiče toga što se ne vidi disk, što piše kada otvoriš diskpart i upišeš "list disk" i "list volume". Windows konzolu moše otvoriti iz windows setupa tako da pritisneš Shift+F10.
Šta piše kada upišeš "manage-bde -status"?

[geronimo_2]

da, tako nekako i ja to vidim.
probao sam vec diskpart danas sa list disk i kaze da nema nista. nisam probao list volume. probam.
ono gore od nino-ta radi u bios-u.
pricekat cu da vidim dali ce se mala uspjet ulogirat u to i dal ce bit sta od toga, ako ne onda krecem u "razvaljivanje".


edit: nasli smo kome se treba obratiti za problem logiranja u AAI@edu.hr pa cemo to sutra rjesavati sa admin-om u skoli (hopefully)

ono sto mene zanima jest da mi netko potvrdi da tamo zaista postoji taj recovery key za bitlocker, da ne prolazimo sve to uzalud.

znaci jel netko ikad to vidio/prckao po tome?

pretpostavljam da bi trebalo biti nesto obzirom da ms preusmjeri tamo...

[udarnik60]

Autor geronimo_2

ono sto mene zanima jest da mi netko potvrdi da tamo zaista postoji taj recovery key za bitlocker, da ne prolazimo sve to uzalud.

znaci jel netko ikad to vidio/prckao po tome?

pretpostavljam da bi trebalo biti nesto obzirom da ms preusmjeri tamo...

Postoji.

Kad se ulogira ide na Uređaji>Upravljanje uređajima i onda tamo vidi laptop i onda se pojavi ovaj meni sa slike.

Sent from my SM-A715F using Tapatalk

[geronimo_2]

to govoris za login na AAI@edu.hr?
znaci provjereno je to tamo?
jer covjek je poslao jutros meil carnet-u i oni su mu odgovorili:


"Ključ za oporavak se kod uključivanja BitLocker opcije može se pohraniti na USB sticku, isprintati na papir ili pohraniti u oblaku (Microsoft račun ili Azure AD u slučaju da ste povezani na takav način). Domena o365.skole.hr ne pohranjuje takvu vrstu podataka."




ili je:
1. poslao upit na krivu adresu - probably

2. pitao na krivi nacin, odnosno nije ni trebao spominjati bitlocker vec traziti samo rjesavanje nemogucnosti logirana na AAI@edu.hr (izgubljen password) - probably



kakav prokleti runaround .




edit: uletio sam sad u taj AAI.edu od svog brata (ide na faks) i nisam nigdje nasao nista slicnoga. pretpostavljam da gore mislite na logiranje u MS?
nije mi jasno zasto onda MS preusmjerava na AAI@edu.hr kad se ukuca email adresa (ime.prezime@skole.hr)

[domy_os]

Odi pješke preko microsoft365.com ili linka:

https://myaccount.microsoft.com/device-list

Ali ako s tim accountom nikad nisi bio prijavljen u Windowse, onda se slikaj.

[geronimo_2]

taj link, kad ukucam email od male me automatski baci na login stranicu:





i tu je problem sto sad radimo na tome da mala dobije pristup ovome jer kolko sam skuzio to je studentima vazno dosta a ona je ocito izgubila to.


iza tog logina je studomat.


cudno mi je u cjeloj prici zasto gore spomenuta MS stranica redirektira na ovo, ako tu nema nicega vezano za bitlocker recovery .
ludilo.


nadam se samo da cu moc iskoristit ovaj disk sto je nutra, da to nije neki lock zesci zbog tog TPM chipa. neznam dovoljno o tome, a iskreno osobno nikad nebi to koristio. trucrypt/veracrypt. drugo me ne zanima.

[udarnik60]

Ako dobro kužim, mala je izgubila login od AAI@EduHr?

Tata je poslao mail na help desk? To neće oni riješiti. Tamo su studenti koji ne mogu puno pomoći.

Mala mora otići na fakultet(studira ako sam dobro skužio) i od administratora na faksu zatražiti nove login podatke. Ali ako je na faksu ne bi više trebala imati skole.hr nego domenu faksa npr. foi.hr za FOI.

A MS baca na CARNet jer je, vrlo vjerojatno, uključen Office 365 preko CARNeta.

Kada mala dobije nove podatke i kada se ulogira na onaj link što je bio prije u postu može doći do one moje slike. Slika je s mog logina u sustavu AAI@EduHr.

A kod brata si uletio gdje? Jel na HUSO ili mu je prebačeno na Office 365?

I potvrđujem da ako ode na ovaj link što je postao domy i logira se sa *AAI@EduHr će doći do istog menija kao što sam postao ranije.

Sent from my SM-A715F using Tapatalk

[geronimo_2]

ok da pojasnim.
mala je kcer od mog kolege. ide u srednju skolu, zato ima @skole.hr.
iskopao sam na carnet stranicama kome se moraju obratiti za reset pass-a i oni su se i obratili toj osobi (profesor u skoli, pretpostavljam IT dept.) medutim isli su spominjat bitlocker pa je ovaj odma odrezo da on nema nista stime. to je krivi pristup, trebali su samo trazit reset pass-a za uletit u AAI@EduHr. nekim ljudima moras sve nacrtat i skicirat, 5 puta najmanje .



moj brat ide na faks i zato ima isto taj AAI@EduHr. ja tamo nisam nasao nista vezano za bitlocker kad me pustio unutra. valjda cemo iskopat, ako ovi uspiju odradit taj pass reset. javim.


office 365 mala ima sigurno da, to su mi potvrdili.

[udarnik60]

Reset passa doslovno traje tri sekunde...

Očito je liku i to bilo preteško.

Kada dobije novi pass bez problema će doći do tog menija.

GL HF :-)

Sent from my SM-A715F using Tapatalk

[geronimo_2]

ovo je totalno ludilo taj prokleti MS.
znaci reset pass smo odradili. uletim u AAI@EduHr.


odem na:

https://myaccount.microsoft.com/device-list



ukucavanje emaila, verifikacija preko moba. uletim unutra i nadem opciju za bitlocker. kliknem na prikaz kljuceva za bitlocker i dobijem loading u nedogled


jizus f krajst.

idem probat sad instalirat chrome da nije do toga. koristio sam Firefox, sa cistim profilom bez add-onova. hosts cist bez blokada.


edit: preko chrome-a isto ne radi. samo loading u nedogled. ideje?

[udarnik60]

Kod mene je isto. Stalno vrti.

Ali nisam nikada uključio bitlocker.

Možda ključ nije tamo i zato samo vrti?

Sent from my SM-A715F using Tapatalk

[geronimo_2]

tamo je def nesto jer vidis da ima 2 kompa navedena. koja nocna mora.

[udarnik60]

Autor geronimo_2

tamo je def nesto jer vidis da ima 2 kompa navedena. koja nocna mora.

Ma to su uređaji na kojima se prijavila s računom. To ne znači da je ključ za bitlocker spremljen.

Vidi ovo
https://answers.microsoft.com/en-us/...4-5fb771447e71

Ne zvuči dobro

Sent from my SM-A715F using Tapatalk

[geronimo_2]

ma koma. odustajem. iskljucio u biosu vmd controller (hvala nino), i sad tool-ovi (neki) / instalacije win-a vide disk.


samo sto pola tool-ova nemos pokrenut jer lap nema legacy a napravljen stick sa rufusom/ventoy-em ne dela cesto. probao sam sve opcije (MBR/GPT; NTFS; FAT32,...).

[BinaryJesus]

Nikakvi toolovi ti neće pomoći ako nemaš Bitlocker recovery key.
Meni jedino Sergei Strelec winpe radi sa secure bootom i to kad ga prebaciš na MS bootloader. Formatiraš stick na FAT32 i kopiraš sve fajlove na stick. Onda tamo u EFI folderu imaš bat da ga prebaci na MS bootloader. Nikakav rufus i ostalo ne treba.
Ali to ti ne treba kad nemaš bitlocker recovery key ionako.

[geronimo_2]

nisam mislio na tool-ove za otkljucat bl. to je uzaludno.
mislim na klasiku, za ostalo sve (disk doctor, thru image, mem test,........).

strelec mi radi.
thx za info

[medo]

Super je kada neka institucija ima recovery key za tvoj enkriptirani laptop. I tko zna tko još…

Čemu onda enkripcija?

[geronimo_2]

bas.

znam da firme to koriste na veliko jer eto oni nikad nebi isli koristiti nesto kao truecrypt/veracrypt.
za privatnu upotrebu nebih nikad preporucio BL.
sad na novoj instalaciji ide blokada i disable tog s*anja.

[medo]

Bitlocker recovery key je na domeni pohranjen u Active Directoryju. U kombinaciji sa Secure Bootom i passwordom na BIOSu ima itekako smisla u korporativnom okruženju. Tko ukrade taj lap neće s njim moći ništa pa niti reinstall, a kada djelatnik vrati laptop uvijek možemo do podataka.

[Mario92]

Jel je možda koristila privatni MSA? U tom slučaju BL se nalazi spremljen tam.

Ali nevjerojatno da ovi iz AAI nemaju to podešeno, il da se nisu sreli s BitLockerom, pa to je bar osnova bilo kakvog centralno menađiranog sustava.

[geronimo_2]

ma pusti. pociscena particija i instaliran ponovo win. sve iz 0. bitlocker zablokan.

[radi.neradi]

Autor domy_os

Na isti način radi i VeraCrypt i zbog toga ga ne želim za system encryption jer u 5 godina razvoja nisu ništa napravili po pitanju performansi na SSD-u. Prije par mjeseci su ubacili opciju za uključiti/isključiti TRIM, ali performanse su ostale iste.

sa kojim cipherima si radio testove?

veracrypt koristi svoje implementacije algoritama koje ne zahtjevaju kernel buildan sa supportom istih.

nakon kernel rebuilda cryptsetup moze dekriptirati veracrypt containere, IO operacije su nesto brze i mislim da bi brzine mogle parirati bitlockeru kada je u pitanju AES. davno sam radio benchmark pa se ne sjecam tocnih rezultata.

kada se veracrypt container sa triple cipherom dekriptira cryptsetupom, device mapper napravi tri block device-a, svaki sacinjava jedan layer enkripcije.

prvih 512 byte standardnog veracrypt containera je hashirani kljuc. kod hidden veracrypt containera, kljuc je iste duzine ali pocinje na 1537 byte-u od kraja containera. nisam pokusao mountat hidden volume sa cryptsetupom.

ovisno o podacima koji se stite (i potencijalnom mucenju), treba odlucit koje algoritme koristit i ukoliko je sigurnije ici na varijantu koja pruza plausible deniability.

- /usr/pkg/bin/veracrypt --verbose /dev/sdd4 /mnt/veracrypt
=
- /usr/sbin/cryptsetup open --type tcrypt --veracrypt --debug --veracrypt-query-pim /dev/sdd4 csdd4

brzina hashiranja whirlpoola sa 2x rtx3070 hashcat v6.2.1.

# Progress.........: 2871521/3198429 (89.77%)
# Speed.#1.........: 5 H/s (0.37ms) @ Accel:32 Loops:15 Thr:1024 Vec:1
# Speed.#2.........: 6 H/s (0.46ms) @ Accel:32 Loops:15 Thr:1024 Vec:1
# Recovered........: 1/1 (100.00%) Digests

ovih dana mi treba stici nesto noviji hardware pa ako mi se dadne odradim benchmarke veracrypt vs cryptsetup i javim kako je proslo.

[BinaryJesus]

Veracrypt nije spor na SSD-u zbog tipa chiphera koji koristi već zbog loše napisanog kernel drivera koji vuče korijene još iz doba kad nije bilo SSDa.
Problem je šta se driver ne može nositi s velikim brojem IOPSa koje su današnji SSD-ovi sposobni.
Govorim o Windows driveru.