
Beachten Sie, dass über eine derartige WinPE-Umgebung nur auf verschlüsselte Laufwerke
zugegriffen werden kann, die mit dem BOOTKEY verschlüsselt sind. Auf Laufwerke, die mit
einem Benutzerschlüssel verschlüsselt sind, kann nicht zugegriffen werden, da die Schlüssel
in dieser Umgebung nicht verfügbar sind.
28.7 „Slaven“ einer Festplatte
SafeGuard Enterprise erlaubt das Slaven von verschlüsselten Volumes oder Festplatten. Es
gestattet dem Endbenutzer, dem Windows-Administrator, dem SafeGuard Enterprise
Sicherheitsbeauftragten trotz sektorbasierter Verschlüsselung neue Volumes oder Festplatten
anzuschließen oder zu entfernen.
Die Key Storage Area (KSA) eines Volumes enthält selbst alle notwendigen Informationen:
■
Den zufallsgenerierten DEK (Data Encryption Key)
■
Eine Identifikation für den Verschlüsselungsalgorithmus, mit dem das Volume verschlüsselt
ist.
■
Die Liste von GUIDs der KEKs (Key Encryption Keys), die den DEK verschlüsseln und
entschlüsseln können.
■
Das Volume selbst enthält seine Größe.
Auf ein mit SafeGuard Enterprise verschlüsseltes Volume kann von allen SafeGuard Enterprise
Endpoint-Computern zugegriffen werden, vorausgesetzt der Benutzer oder der Computer
besitzt einen KEK des KSA des Volumes im Schlüsselring.
Benutzer oder Computer müssen den durch den KEK verschlüsselten DEK entschlüsseln
können.
Auf ein Volume, das mit einem verteilbaren KEK, wie einem OU-, Gruppen- oder
Domänenschlüssel verschlüsselt ist, kann von vielen Benutzern und Computern zugegriffen
werden, da viele Benutzer/Computer einer Domäne diesen Schlüssel in ihrem Schlüsselring
haben.
Jedoch kann auf ein Volume, das nur mit dem individuellen Bootschlüssel
(“Boot_machinename”) des durch SafeGuard Enterprise geschützten Computers verschlüsselt
wird, nur von diesem Computer selbst zugegriffen werden.
Soll ein Volume nicht in seinem originalen Computer booten, kann es in einem anderen durch
SafeGuard Enterprise geschützten Computer „geslaved“ werden. Dann kann aber auf den
korrekten Bootschlüssel nicht zugegriffen werden. Der Zugriff darauf muss möglich gemacht
werden.
Immer wenn der Benutzer versucht, von einem anderen Computer auf das Volume zuzugreifen,
ist dies möglich, weil jetzt erneut Übereinstimmung zwischen den KEKs im KSA und den
Schlüsselringen der anderen Benutzer oder Computer besteht.
28.7.1 Beispiel
Alice besitzt ihren individuellen Benutzerschlüssel. Immer, wenn sie sich an ihrem anderen
Computer anmeldet (“Laptop_Alice”), hat sie keinen Zugriff auf das Volume, das mit dem
Bootschlüssel des Computers “SGNCLT” verschlüsselt ist.
257
Administratorhilfe
Comentarios a estos manuales