Apropos, pokud na tom stroji je secureboot, honem ho vypni. A nedej boze widli sifrovani disku, to se s tim co na tom disku je, rovnou rozluc.
Off-topic. Proč bys vypínal SB? Tím, že jsou ty loadery podepsány přímo klíčem od MS UEFI autority, co má certifikáty přímo v každém standardním počítači/desce, nikdy jsem s tím nezažil problémy. Chápu, že pokud má někdo komplikovanější multiboot s nějakým vícenásobným chainloadingem, MOK klíči atp., tak to může dávat smysl vypnout. Nebo dočasně vypnout v BIOSu, když člověk potřebuje nouzově nabootovat z nějakého nepodepsaného loaderu.
U toho device encryption (což je technicky BitLocker s ořezanými možnostmi) to chce, myslím, taky dovysvětlit.. Souhlas, že pokud má Windows Home s lokálním účtem, tak je lepší to vypnout, protože tam přesně může dojít k tomu, že ti třeba odejde deska/CPU (kde jsou v TPM klíče) a už se do toho nikdo nikdy nedostane.
Ale pokud má funkční přihlášení do Windows s MS účtem (jeden z důvodů jeho vynucování), tak se krom TPM uloží také záložní klíč automaticky na servery MS. Takže pokud k dojde k problému, dá se třeba z jiného počítače normálně stáhnout přes web a disk pak v pohodě otevřeš (třeba z jiných Windows nebo klidně z Linuxu LUKSem).
U Windows Pro nebo Enterprise je pak plný BitLocker, takže pokud někdo chce šifrování (notebook třeba) dohromady s lokálním účtem, je tam možnost předělat device encryption na normální variantu BL a uložit si záložní klíč třeba na flešku, vytisknout na papír atp.
Takže ty možnosti dávají smysl, a určitě jsou situace, kdy šifrování zapneš. Akorát to podle mě MS klasicky zvoral. Zaprvé tím, že to nevysvětluje v kontextu i s riziky. A hlavně tím, že to natvrdo, bez varování a explicitního souhlasu natlačil všem (co to neměli zakázané politikou nebo tam nevyhovovaly technické podmínky) a na pozadí zašifroval disky i s tím zmíněným rizikem, že lidé pak nemají žádné záložní klíče.
7 Odpovědí
1003 Zhlédnutí