103 2007 april

EFS In Windows 2000 introduceerde Microsoft het EFS (Encrypted File System, versleuteld data systeem), een sub-systeem van het NTFS (New Technology File System, de manier waarop Win2000 de bestanden opslaat), dat de voorkeur geniet boven het ooit gebruikelijke FAT-bestandssysteem. EFS is een vorm van Filesystem Level Encryption, wat betekend dat de beveiliging per bestand of map is in te stellen. Het bestandssysteem zorgt daarna voor de versleuteling en ontcijfering. De tegenhanger van Filesystem Level Encryption is Full Disk Encryption, dat in sommige versies van Vista is verwerkt.

Een voordeel van EFS is dat de sleutel alleen in het werkgeheugen zit zolang een versleuteld bestand geopend is. Versleuteling via EFS wordt geheel door Windows geregeld. Een file encryption key (FEK) wordt gebruikt om een bestand te versleutelen. Een andere sleutel, die bij een bepaalde gebruiker hoort, wordt vervolgens gebruikt om de FEK te versleutelen. Daarna wordt de versleutelde FEK in het versleutelde bestand geplaatst en het geheel wordt weggeschreven op de harde schijf. (Bent u er nog?) Om het versleutelde bestand weer te ontcijferen, haalt Windows eerst de versleutelde FEK uit het versleutelde bestand. De FEK wordt ontcijferd met behulp van de gebruikerssleutel en daarna kan met de ontcijferde FEK het versleutelde bestand worden ontcijferd.

In Windows XP zijn twee belangrijke tekortkomingen bij de implementatie van EFS verholpen, die in de eerste versie onder Windows 2000 voor gevaarlijke beveiligingsgaten zorgden. In Windows 2000 kan een gebruiker namelijk als 'recovery agent' de versleuteling van bestanden van alle andere gebruikers ongedaan maken. Standaard is de administrator de recovery agent. In XP is het mogelijk om geen recovery agent in te stellen, maar dit is standaard niet het geval. Daarnaast werd onder Windows 2000 de gebruikerssleutel niet goed beschermd. Na het veranderen van een gebruikerswachtwoord (met bijvoorbeeld ERD commander) kon een hacker dan ook gewoon alle bestanden inzien die door de gebruiker waren versleuteld. In XP werkt deze aanval niet meer. Het probleem blijft echter dat ook in XP iedereen met admin-rechten zichzelf rechten van de recovery agent kan aanmeten. En een recovery agent heeft een kopie van de sleutels van alle gebruikers.

Bitlocker Een tijdje geleden ging het nieuws rond dat in Windows Vista digital rights management zou worden opgedrongen. Het zou bijna onmogelijk worden om nog illegale software te draaien (die wij natuurlijk niet hebben). Inmiddels is dat duidelijk dat dat niet zo is, en dat slechts enkele delen van het zogeheten Palladiumsysteem zijn geĂŻmplementeerd. Een van die delen is Bitlocker, een hardwarematige encryptiemethode.

U hebt daarvoor in principe een pc nodig die een trusted platform module (TPM) chip op het moederbord heeft en een trusted computing group (TCG) geschikt bios. Als u daarover niet beschikt, kunt u overigens een usb-stick gebruiken. Bitlocker zit alleen in de Enterprise- en Ultimate- versies van Vista. Het versleuteld het hele Windows volume, en is dus een voorbeeld van full disk encryption. Na versleuteling wordt de sleuel van de harde schijf gehaald en opgeslagen in de TPM-chip, of op een USB-stick. Als de pc wordt opgestart geeft de TPM-chip de sleutel kort vrij, maar alleen als de integriteit van het volu7