BitLocker To Go mittels Virtual Smart Card aktivieren – Schritte:

• Gruppenrichtlinien für BitLocker auf Wechseldatenträgern konfigurieren
• Zertifikatsvorlage für virtuelle Smart Card für BitLocker konfigurieren
• Auf CLIENT004 Zertifikat für die virtuelle Smart Card anfordern
• USB-Wechseldatenträger mit BitLocker To Go verschlüsseln

 Gruppenrichtlinien für BitLocker auf Wechseldatenträgern (BitLocker To Go) konfigurieren

Mit den folgenden Einstellungen kann ein Kennwort und/oder eine Smart Card für die Entsperrung eines USB-Laufwerks verwendet werden. Dass es zum Thema passt, werde ich auf meine virtuelle Smart Card auf CLIENT004 (Teil 21) ein weiteres Zertifikat für die BitLocker-Laufwerksverschlüsselung installieren und diese zum Entsperren verwenden. In der Praxis macht das wenig Sinn, weil der USB-Stick nur noch auf genau diesem Rechner entsperrt werden kann (VSC am TPM).

Um Kompatibilität zu erreichen, können die Benutzer firmeneigene und fremde USB-Laufwerke lesen, aber nur auf die eigenen schreiben und auch nur dann, wenn diese mit BitLocker verschlüsselt sind (Provide the unique identifiers for your organization, Teil 6h und Teil 20). Da kann man mit den Einstellungen etwas experimentieren.

Als Grundlage für die Einstellungen verwende ich Best Practices for BitLocker in Windows 7.

1. Als Administrator an SERVER01 anmelden
2. Server Manager > Local Server > Tools > Group Policy Management
3. haimann.local\Group Policy Objects erweitern
4. Computer Standard Settings rechts anklicken und im Kontextmenü Edit… anklicken
   
5. Computer Configuration\Policies\Administrative Templates\Windows Components\BitLocker Drive Encryption erweitern
6. Removable Data Drives anklicken
7. Folgende Gruppenrichtlinieneinstellungen konfigurieren
   1. Choose how BitLocker-protected removeable drives can be recovered
      
   2. Configure use of passwords for removable data drives
      
   3. Configure use of smart cards on removable data drives
      
   4. Control use of BitLocker on removable drives
      
   5. Deny write access to removable drives not protected by BitLocker
      
8. Group Policy Management Editor schließen
   
9. Group Policy Management schließen

 Zertifikatsvorlage für virtuelle Smart Card für BitLocker konfigurieren

1. Auf SERVER01 > Server Manager > Local Server > Tools > Certification Authority
2. Haimann Root CA erweitern
3. Certificate Templates rechts anklicken und im Kontextmenü Manage anklicken
   
4. Im Detailbereich die Zertifikatsvorlage Smartcard User rechts anklicken und im Kontextmenü Duplicate Template anklicken
   
5. Properties of New Template
   1. Reiter General
      1. Template display name: Haimann Virtual Smart Card for BitLocker
      2. Validity Period: 5 years
         
   2. Reiter Request Handling
      1. Purpose: Encryption
         
   3. Reiter Cryptography
      1. Minimum key size: 2048
      2. Requests must use one of the following providers
         1. Microsoft Base Smart Card Crypto Provider
            
   4. Reiter Extensions
      1. Application Policies > Edit…
      2. Edit Application Policies Extensions
         1. Alle Einträge markieren > Remove
            
         2. Add…
         3. Add Application Policy
            1. BitLocker Drive Encryption > OK
               
         4. OK
            
      3. Key Usage > Edit…
      4. Edit Key Usage Extension
         1. Allow key exchange only with key encryption (key encipherment)
         2. Make this extension critical > OK
            
   5. Reiter Subject Name
      1. Subject name format: Fully distinguished name
      2. Include this information in alternate subject name:
         1. User principal name
            
   6. Reiter Security
      1. Authenticated Users
      2. Allow > Read, Enroll > OK
         
6. Certificate Templates Console schließen
   
7. In der Certification Authority-Konsole Certificate Templates rechts anklicken und im Kontextmenü New > Certificate Template to Issue anklicken
   
8. Enable Certificate Template
   1. Haimann Virtual Smart Card for BitLocker > OK
      
9. Alle Fenster schließen
   
10. Administrator von SERVER01 abmelden

Auf CLIENT004 Zertifikat für die virtuelle Smart Card anfordern

1. Als Markus an CLIENT004 anmelden
2. Start > Suche: MMC
3. Das Zertifikate-Snap-In für Aktueller Benutzer hinzufügen
   
4. Zertifikate – Aktueller Benutzer erweitern
5. Eigene Zertifikate rechts anklicken und im Kontextmenü Alle Aufgaben > Neues Zertifikat anfordern… anklicken
   
6. Zertifikatsregistrierung
   1. Vorbereitung > Weiter
      
   2. Zertifikatregistrierungsrichtlinie auswählen > Weiter
      
   3. Zertifikate anfordern: Haimann Virtual Smart Card for BitLocker > Registrieren
      
   4. Windows-Sicherheit
      1. PIN: 11223344 > OK
         
   5. Zertifikatsinstallationsergebnisse > Fertig stellen
      
7. MMC schließen
   

USB-Wechseldatenträger mit BitLocker To Go verschlüsseln

1. Windows Explorer starten
2. USB-Wechseldatenträger anschließen
3. Laufwerk rechts anklicken und im Kontextmenü BitLocker aktivieren anklicken
   
4. BitLocker-Laufwerkverschlüsselung
   1. Methode zum Entsperren des Laufwerks auswählen
      1. Smartcard zum Entsperren des Laufwerks verwenden > Weiter
         
   2. Auswählen, wieviel Speicherplatz des Laufwerks verschlüsselt werden soll
      1. Nur verwendeten Speicherplatz verschlüsseln > Weiter
         
   3. Möchten Sie das Laufwerk jetzt verschlüsseln? > Verschlüsselung starten
      
   4. Verschlüsselung…
      
5. Nach nur wenigen Augenblicken…
   
6. Laufwerk trennen und wieder anschließen
7. BitLocker (D:)
   1. Smartcard verwenden
      
8. Smartcard
   1. PIN: 11223344 > OK
      
9. Das Laufwerk wurde entsperrt
   
10. Alle Fenster schließen
11. Eingabeaufforderung (Administrator) starten
12. Mit folgendem Befehl den Status der BitLocker-Verschlüsselung ermitteln

    manage-bde -status d:

13. Status der BitLocker-Verschlüsselung (Schlüsselschutzvorrichtung Smartcard im Vergleich zu TPM und PIN beachten)
    
14. Mit folgendem Befehl Details zu den Schlüsselschutzvorrichtungen von Laufwerk D: ermitteln

    manage-bde -protectors -get d:

15. Details zu den Schlüsselschutzvorrichtungen
    
16. Das BitLocker-Wiederherstellungskennwort in Active Directory (Teil 20a), sollte jemand seine PIN vergessen
    

Genauso funktioniert BitLocker To Go bei Verwendung eines Passworts für die Entsperrung (bis auf die Zertifikatsvorlage und das Anfordern des Zertifikats, das fällt zur Gänze weg). Wenn keine Smart Card zum Entsperren verwendet werden darf,  kann in den Gruppenrichtlinieneinstellungen Configure use of passwords for removable data drives das Häkchen Require password for removable data drive aktiviert werden und Configure use of smart cards on removable data drives wird Disabled.