Konfiguracja BitLockera z TPM i PIN w Windows 11: Różnice między Zezwalaj a Wymagaj

Cześć,
Proszę o poradę jak poprawnie skonfigurować Bitlockera z modułem TPM na Windows 11.

W edytorze lokalnych zasad grupy na ten moment mam ustawione to tak:


Czy jest to poprawna konfiguracja dla TPM + PIN? Jaka jest różnica w zastosowaniu w polach wyboru zamiast "Zezwalaj ....." słowo "Wymagaj....."

Po co to zmieniasz ?
Domyślne ustawienia w zupełności Ci wystarczą zwłaszcza, że pytasz, a to oznacza że ich nie potrzebujesz zmieniać, pin nie jest Ci potrzebny po stronie bitlockera, wystarczy hasło na profilu bądź pin w profilu użytkownika, a nie na bitlockerze

To jak wygląda sytuacja w momencie kradzieży sprzętu (laptopa). Jeśli się mylę proszę mnie poprawić.

1. Hasło do logownia windowsa jest jednocześnie hasłem do rozszyfrowania dysku
2. Jeśli ktoś ukradnie laptopa to ma dwie możliwości uzyskania dostępu;
a) próba dostania się do dysku przez botowalny pendrive powoduje zażądanie przez Bitlockera klucza odzyskiwania
b) próba podpięcia samego dysku do innej jednostki powoduje zażądanie przez Bitlockera klucza odzyskiwania.

W takim razie rzeczywiście niepotrzebnie ustawiałem ten kod PIN wystarczy silne hasło logowania.

Jeśli mam to tak ustawione

to wszystko jest poprawnie szyfrowane i nie ma możliwości dostępu do danych bez znajomości hasła logowania do windowsa?


Jednak znalazłem pewien problem bez ustawienia dodatkowego kodu PIN. Podczas logowania do windowsa można zalogować się nie znając hasła ale znając hasło do konta microsoftu. Także jeśli ktoś zna nasze hasło do konta MS może się zalogować.

TAGBA napisał:

Hasło do logownia windowsa jest jednocześnie hasłem do rozszyfrowania dysku

Nie jest

TAGBA napisał:

2. Jeśli ktoś ukradnie laptopa to ma dwie możliwości uzyskania dostępu;
a) próba dostania się do dysku przez botowalny pendrive powoduje zażądanie przez Bitlockera klucza odzyskiwania
b) próba podpięcia samego dysku do innej jednostki powoduje zażądanie przez Bitlockera klucza odzyskiwania.

Bez klucza deszyfrującego nic nie zrobi

TAGBA napisał:

Jednak znalazłem pewien problem bez ustawienia dodatkowego kodu PIN. Podczas logowania do windowsa można zalogować się nie znając hasła ale znając hasło do konta microsoftu. Także jeśli ktoś zna nasze hasło do konta MS może się zalogować.

No tak, tylko co to za różnica gdy zna pin bezpośrednio w bitlockerze ?
Należy mieć skomplikowane hasło, a od strony konta co najmniej dwuskładnikowe uwierzytelnianie

TAGBA napisał:

Jeśli mam to tak ustawione

Tak jak Ci pisałem, nic nie ustawiasz tylko musisz mieć kopie klucza w bezpiecznym miejscu

[quote="Bródka]No tak, tylko co to za różnica gdy zna pin bezpośrednio w bitlockerze ?[/quote]
Czy Pin w bitlockerze nie jest dodatkowym zabezpieczeniem?

TAGBA napisał:

Czy Pin w bitlockerze nie jest dodatkowym zabezpieczeniem?

W mojej ocenie nie. Wyłączanie Secureboot, zmiana płyty głownej czy uruchomienie dysku na innym sprzęcie i tak wymusi wpisanie pełnego klucza bitlockera.
Choć znam firmy które dają PIN na Bitlockerze jak i na windowsie. Ale myślę, że ich polityka prywatności/zabezpieczeń mówi "im więcej tym lepiej"