Administrace komentářů

• VMK (Volume Master Key)
• FVEK (Full Volume Encryption Key)
• KDF (Key Derivation Function)

• umožňuje generovat zabezpečené klíče (růčí za jedinečnost a bezpečnost algoritmu pro generování klíče)
• každé zařízení má v sobě od výroby unikátní a tajný RSA klíč, který by měl jít přegenerovat, ale už né přečíst
• od roku 2006 je většina ntb prodávána s TPM čipem
• verze TPM 2.0 je povinná pro PC, které chtějí mít certifikaci Windows
• TPM slouží k ukládání šifrovacího klíče BitLockeru, otisku prstů a dalších věcí
• jedná se vlastně o takový lepší Token, který je přímo součástí hardware

• některé TPM generují slabé klíče a celkově je bezpečnost TPM nedůvěryhodná
• je otázkou, jak silný a unikátní je klíč, který je generován v TPM a slouží ke generování dalších klíčů aj. věcí
• objevuje se spousta bezpečnostních děr kolem, např. nedávno v Intel AMT MEBx, kdy pokud nemá do MEBx nastavený uživatel heslo, tak lze lokálně obejít heslo do biosu i pin do TPM (v tomto případě je to sw implementace Intelu pomocí ME)

• Jedná se o 8x6 čísel oddělených pomlčkou.
• klíč lze automaticky zálohovat do Active Directory (pokud máme firemní síť a je toto nastaveno v rámci firemních politik)
• klíč lze automaticky zálohovat na onedrive / microsoft live účet
• Recovery Key jde do KDF, jehož výstup je použit pro decryptování VMK a to je následně použito pro decryptování FVEK

Pokud na PC používáš online účet (= propojený s MS), tak je možné, že recovery key budeš mít k dispozici na OneDrive/Microsoft účtu.
Ještě je možné, že k PC byl připojen jiný disk a tam bude recovery key v txt podobě.
Zasílání ntb do servisu vidím jako zbytečnost, kde jednak nevidím možnost, že by ti to odemkli a navíc riskuješ, že ti ty data smáznou (to člověk riskuje vždy, když něco posílá do servisu, protože jeden z jejich prvních kroků je totální tovární nastavení).