Encryptie van C drive op bedrijf pc

[maubaan]

Goedemiddag mede tweakers,

Voor het beveiligen van de C drive ben ik op zoek naar een goede encryptie waarbij een eind gebruiker niet hoeft in te loggen. De eind user mag niet eens merken dat er een encryptie op staat, werk gerelateerde documenten worden namelijk opgeslagen op een centrale storage.

De pc moet gewoon met windows booten en de gebruiker moet direct kunnen inloggen/werken.

Ook is het geen optie om overal een TMP in te plaatsen.

wanneer de pc het gebouw eventueel zou verlaten zou deze beveiliging wel weer moeten starten (start met encryptie wachtwoord voor windows inlog scherm)

mocht dit niet duidelijk zijn dan hoor ik het graag, en anders hoor ik graag jullie mening wat de beste oplossing hier voor is

[WCA]

Wat heeft het voor zin om een schijf te versleutelen, als vervolgens alle bestanden alsnog bereikbaar zijn wanneer de PC in handen is van iemand anders?

[tweakict]

Dus er staat geen data op de PC, maar je wil wel encryptie... waarom? Dat heeft weinig nut imho.

Microsoft biedt standaard BitLocker. Werkt enkel met Windows Enterprise en heeft TPM nodig. Het werkt met en zonder hardware matige encryptie versnelling.

[burnedhardware]

je kan bitlocker aanzetten, en dat samen doen met een bios en een boot wachtwoord.
door bitlocker is de HD niet vanaf een andere machine of vanuit een alternative boot uit te lezen,
zonder het bioswachtwoord kan het bootwachtwoord niet uitgezet worden
zonder het bootwachtwoord start de pc niet op

[tweakict]

Hier hebben wij 't volgende:

Admin wachtwoord op BIOS (instellingen aanpassen niet mogelijk)
(boot) User wachtwoord op BIOS c.q. SATA SSD (NVME ssd;s doen geen harddisk wachtwoord bij Dell)
Bitlocker pincode bij geen domein connectie (buitendienst) anders auto unlock via PKI.

[burnedhardware]

tweakict schreef op vrijdag 26 oktober 2018 @ 13:39:
Hier hebben wij 't volgende:
(...)
Bitlocker pincode bij geen domein connectie (buitendienst) anders auto unlock via PKI.

werkt dat met win10 pro of is daar enterprise voor nodig?

[sinasappel]

burnedhardware schreef op vrijdag 26 oktober 2018 @ 13:33:
je kan bitlocker aanzetten, en dat samen doen met een bios en een boot wachtwoord.
door bitlocker is de HD niet vanaf een andere machine of vanuit een alternative boot uit te lezen,
zonder het bioswachtwoord kan het bootwachtwoord niet uitgezet worden
zonder het bootwachtwoord start de pc niet op

Precies dit! Zo werkt het bij ons ook op het werk (4000FTE)

[tweakict]

burnedhardware schreef op vrijdag 26 oktober 2018 @ 13:43:
[...]

werkt dat met win10 pro of is daar enterprise voor nodig?

Pro zou ook moeten kunnen, maar heb enkel ervaring met Enterprise.

[burnedhardware]

google is my friend bedankt voor de tip!
https://docs.microsoft.co...-to-enable-network-unlock

[maubaan]

Wat ik nu heb kunnen vinden is dat bij Win 12 r2 een optie beschikbaar is voor unlock over domain.
Ik hoop hier in de loop van de week meer vooruitgang mee te boeken.

[YaYo86]

GreNade schreef op vrijdag 26 oktober 2018 @ 13:29:
Wat heeft het voor zin om een schijf te versleutelen, als vervolgens alle bestanden alsnog bereikbaar zijn wanneer de PC in handen is van iemand anders?

De TS bedoeld denk ik dat er geen PIN oid nodig is om de drive te unlocken.

[maubaan]

YaYo86 schreef op dinsdag 30 oktober 2018 @ 12:28:
[...]

De TS bedoeld denk ik dat er geen PIN oid nodig is om de drive te unlocken.

Inderdaad, het idee is dat de schijf beveiligd is. wanneer persoon X de pc opstart en inlogt mag deze persoon geen scherm met bitlocker krijgen. maar wanneer de pc uit het domein getrokken wordt moet deze dit wel krijgen.

zover heb ik ontdekt dat met win12 r2 redelijk wat te fixen is maar het is nog steeds een beetje onduidelijk.