Bitlocker configuratie probleem

[Noppie1991]

Beste Tweakers,

Ik weet niet of dit in de juiste categorie is maar wij lopen bij het testen van Bitlocker een beetje vast.

Dit zijn de system specificaties van het systeem wat we willen encrypten:

OS - Windows 10 Pro 64 bit
systeem - Acer TravelMate 8573
Systeem schijf - Plextor SSD
Data schijf - Western Digital 500 GB

We willen namelijk de laptops gaan beveiligen met Bitlocker, gezien Windows alleen met Bitlocker goed overweg gaat als je een Windows build upgrade gaat uitvoeren (als er een alternatief is hoor ik het graag ).

Bij het configuren van Bitlocker moet er een pin worden opgegeven. Om ook andere karakters toe te laten hebben we "Allow enhanced PINs for startup" aangezet in de GPO. Echter blijft Bitlocker aangeven dat alleen cijfers zijn toegestaan, ook na een herstart.

Een wachtwoord kan alleen worden opgegeven wanneer er geen TPM aanwezig, dus TPM uitgezet en in de GPO "Allow Bitlocker without a compatible TPM" aangezet. Echter als we dan de Bitlocker configuratie starten zegt Bitlocker dat TPM moet worden aangezet en dat hiervoor het systeem herstart moet worden...
Ook het uitzetten van TPM in de bios helpt niet want Windows schakelt deze weer in

Hebben jullie enige ervaring hiermee? We hebben eerder altijd gewerkt met Truecrypt dus Bitlocker is nieuw voor ons en ik kan helaas niks vinden over dit probleem op het forum en google levert ook geen resultaten hierover op.

Mvg,

Christiaan

EDIT:

Mijn collega heeft het probleem opgelost. De setting "Allow Bitlocker without a compatible TPM" in Policy "Require additional authentication at startup" moet uitstaan wanneer TPM aanstaat. Anders werkt de o.a. de policy "Allow enhanced PINs for startup" niet.

Een ander interessant punt is is dat Bitlocker standaard niet meer dan 3 opties toont voor unlocken. Dus heb je 4 opties aanstaan in de GPO, mis je de 4e optie .

Hopelijk heeft iemand wat aan deze informatie

[ Voor 14% gewijzigd door Noppie1991 op 26-01-2016 16:41 ]

[CMD-Snake]

Waarom niet enkel de TPM gebruiken? Zo doen veel bedrijven het. De laptop start dan normaal op en je moet pas je wachtwoord gebruiken als je in Windows wil komen.

Voor de gebruikers is het eenvoudiger en de veiligheid van je laptops wordt er niet direct minder om. Het scheelt je waarschijnlijk veel meer gevallen waar je recovery moet doen op Bitlocker. Dat laatste is een vervelend klusje kan ik je vertellen.

Overigens, bedenk ook hoe je de recovery keys wil bewaren.

[n0fragger]

Recovery keys kun je ook in het AD laten opslaan, voldoende artikels te vinden hoe dit in te stellen.

Ook wij gebruiken de TPM en slaan de keys op in het AD, gebruikers starten de laptop op en authenticeren aan het inlogscherm van Windows.

[ Voor 20% gewijzigd door n0fragger op 26-01-2016 20:07 ]

[Noppie1991]

Bedankt voor jullie reacties

Met enkel de TPM wordt de schijf geunlocked zonder wachtwoord en wordt de data alleen nog maar beschermd door Windows authenticatie, dit laat onze policy (momenteel) helaas niet toe.

De recovery keys gaan we bewaren op een centrale locatie, deze gaat uiteraard in de backup mee (die met encryptie is beveiligd).

[ Voor 5% gewijzigd door Noppie1991 op 28-01-2016 16:33 ]