BitLockerの注意点

BitLockerの概要
BitLockerはWindowsの機能で、ドライブを暗号化します。
これによって、不正にドライブへアクセスする攻撃を防ぎます。
不正なアクセスとは、具体的にはドライブを筐体から外し、SATA→USBなどの変換ケーブルを用いて別の機器から内容を確認する方法などを指します。
このBitLockerはいくつかの機能や使い方のバリエーションがあります。
パスワードや、USBメモリに複号キーを記録させて使うこともできますが、今回は暗号化をあまり意識しないで自動的に複号化できる機能について説明します。

BitLockerは、TPMという外付けの暗号専用の部品が中心となって実行されます。
本当はTPM無しでも利用できますが、せっかくなので必須っぽく見せてTPMの復習もしておきます。
TPMは暗号鍵を作り出したり鍵を保護したりする部品です
グラフィックボードが映像に関わる機能一般を専門に対応するように、TPM《トラステッド・プラットフォーム・モジュール》は、PCの暗号一般の処理を専門に行います。
形状は、指の爪くらいの大きさで、マザーボードに張り付いています。
また、CPUなどの別の部品の中に機能として組み込まれていて、マザーボードのファームウェアと組み合わせて動作するファームウェアTPNという物理的な部品ではなく機能として組み込まれている場合もあります。

このTPMの二つの機能によってBitlockerが成り立ちます。
一つ目は、暗号と複号をする鍵の管理です。
BitLockerを有効化すると、WINDOWSが入ったストレージに暗号化がかけられますが、その暗号用の鍵と、暗号用の鍵の暗号化用の鍵がTPMによって作成され使用されます。
二つ鍵を用意することは事情が複雑になりますが、必要です。
ドライブ暗号化に利用する鍵は同じ鍵が使われ続けますが、その場所は暗号化するストレージの中にあります。
これを隠し、容易に使えなくするための処置です。
さて、暗号化をかけたのはシステムであるWindowsなので、復号化された後は何も問題なく使えます。
この状態を、透過されている状態と表現されます。
システムが稼働している間は透過状態ですが、BitLockerが本領を発揮するのは立ち上げ時です。
通常立ち上げる時は、ブートレコードと呼ばれるどのようにシステムを立ち上げるかを管理する領域が読み込まれます。
そして、ストレージ内のシステム立ち上げに必要なファイル順次読み込まれていきます。
Bitlockerが有効な場合、ブートレコード→ストレージ読み込みの手順の間に問題がないことを確認するさらなる手順が入ります。
問題なしの場合に、TPMは復号のために鍵を(煩雑になるため避けましたが、二回)用いて、立ち上げに先立ち暗号がかけられたストレージを復号します。
二つ目の機能は、上記の、立ち上げが問題がないことの保証です。
この手順の正確な順序もTPMに保存されています。
この順序が守られていない場合、復号を許しません。
この作用については後述します。

もう一つ、BitlLockerにおいてはあんまり必要ではないのですが、AES-NIという機能を紹介します。
これはCPUの機能で、共通暗号鍵方式の代表格であるAESを専門に暗号化・復号化をサポートする拡張機能です。
BitlLockerもAESという方式を使うため、効果的にこの機能を使うことができます。

さて、BitlLockerはWindows７位から搭載されたようで、令和のご時世、やや旧聞に属します。
なぜ、そんな古い話をするかと言うと、Windows11にまつわるあれこれから不穏な空気が存在するからです。
Windows10は2025年10月14日にサポートを終了します。
10年前くらいに10が最終系のOSと謳っていたことは絶対に忘れませんが、それはさておき、10→11のアップグレードは可能です。
この条件はいくつかありますが
・TPM2.0対応
が挙げられます。
2.0はバージョンですが、上記のようにTPMは暗号一般にかかわるものなのでその方面に重きを置いているように感じます。
まさかデフォルトでは有効にならないと思いますが、クライアント環境で何台か意図せずに有効になっていたので、アップデートなどでなるべく有効化するようになっている(誘導とは言いませんが)ものと思われます。
もちろんべき論に立つなら実施すべきです。
しかし、意図せず実施した場合、暗号化が思わぬ副作用を生みます。
そもそも、暗号化とは復号可能なもの以外には意味が伝わらない機密性をもたらします。
今回のBitlLockerはTPMによって自動処理されるため、鍵はTPM任せです。
少し冗長でしたが、以下のパターンのシナリオでは副作用を受けるものと思われます。
①Windows不調時に外部メディアからWindowsを読み込み復旧や復元を図る
②Windowsが立ち上がらず、直接ドライブからデータサルベージをする
これらは通常時ではなく、障害対応時のケースです。
しかし、この二つのパターンはBitlLocker判断では復号の許可はできない不正なアクセスを受けている状況です。
それが上記の、起動順序が守られていない状況です。
TPMに記された正しい順序ではない状況のため、①では復号用の鍵を求められ、②では暗号化の状態なので復旧不可となります。
①では復号用の鍵さえあれば実行可能ですが、意図しない暗号化の場合、鍵は所在不明です。
再度確認すると、このBitlLockerは不正にドライブへアクセスする攻撃を防ぎます。
情報漏洩の原因の中でも上位になる、不注意による情報漏洩、このうち置き忘れが多いノートパソコンはこの防御の特に効果が高いと思われます。
しかし、コントロールできない暗号化はランサムウェアと変わりがありません。
どの防御においても言えますが、しっかりとしたハンドリング、特に機能に対する理解は十分にあった方が良いと思われます。
最後にもう一つ、BitlLockerによる作用も利用者同様マルウェアからも透過的に見える点です。
これは、マルウェアも、利用者と同じように復号化後に動作をするためです。