- הבדל ברור בין EFS, BitLocker והצפנת מכשירים, ומתי להשתמש בכל אחד מהם.
- בדיקות מפתח: TPM, אתחול מאובטח, WinRE ותאימות חומרה לפני הצפנה.
- ניהול מאובטח של מפתחות שחזור ומגיני BitLocker בכוננים וב-USB.
- התאם את הגדרות האלגוריתם/עוצמה והאפשרויות אם אתה מבחין בהשפעה על הביצועים של כונן ה-SSD.
הגנה על מה שאתה מאחסן במחשב שלך אינה אופציונלית: היא חיונית. Windows מציע שכבות אבטחה מרובות כדי למנוע גישה לא מורשית לנתונים שלך, בין אם המחשב שלך נגנב או שמישהו מנסה לגשת אליו ממערכת אחרת. בעזרת כלים מובנים (לדוגמה, ניתן להצפין תיקייה באמצעות BitLocker), ניתן... הצפנת קבצים, תיקיות, כוננים שלמים והתקנים חיצוניים עם כמה לחיצות בלבד.
במדריך זה תמצאו את כל מה שאתם צריכים כדי להצפין תיקייה באמצעות BitLocker וחלופות אחרות. תראו איזו גרסה של Windows אתם צריכים, כיצד לבדוק אם למחשב שלכם יש TPM, כיצד להשתמש ב-EFS עבור פריטים בודדים, ו... כיצד ליצור ולשמור כראוי את מפתח השחזוראני גם מסביר מה לעשות אם אין לכם TPM, איזה אלגוריתם ואורך מפתח לבחור, ההשפעות האפשריות על הביצועים, ואילו אפשרויות זמינות אם אתם מחפשים משהו כמו מיכל/ISO מוגן בסיסמה.
אילו אפשרויות הצפנה מציע Windows וכיצד הן שונות?
ב-Windows, קיימות שלוש גישות במקביל:
- Cifrado de dispositivoהוא מפעיל אוטומטית את ההגנה אם החומרה שלך עומדת בדרישות מסוימות ומקשר את מפתח השחזור לחשבון Microsoft שלך לאחר הכניסה הראשונה שלך. בדרך כלל הוא זמין גם ב-Windows Home, אך לא בכל המחשבים.
- ביטלוקר, זמין במהדורות Pro, Enterprise ו-Education, זוהי הצפנת דיסק מלאה עבור כונן המערכת וכוננים פנימיים או חיצוניים אחרים (BitLocker To Go). היתרון העיקרי שלה הוא שהיא מגנה על כל אמצעי האחסון מקצה לקצה.
- EFS (מערכת קבצים מצפינה), הוא מיועד לקבצים ותיקיות בודדים, ומקושר לחשבון המשתמש שלך, כך שרק האדם שמצפין אותם יכול לפתוח אותם מאותו פרופיל. הוא אידיאלי עבור קומץ מסמכים רגישים, אך אינו מחליף את BitLocker להגנה מקיפה.
כיצד לדעת אם המכשיר שלך תומך בהצפנת מכשירים וב-TPM
כדי לבדוק תאימות של 'הצפנת התקן', עבור אל התחל, חפש 'מידע מערכת', לחץ לחיצה ימנית ופתח את 'הפעל כמנהל'. ב'סיכום מערכת', אתר את הערך 'תמיכה בהצפנת התקן'. אם אתה רואה 'עומד בדרישות המוקדמות', אתה מוכן; אם אתה רואה הודעות כמו 'אין אפשרות להשתמש ב-TPM', 'WinRE אינו מוגדר' או 'קישור PCR7 אינו נתמך'תצטרך לתקן את הנקודות הללו (להפעיל את TPM/Secure Boot, להגדיר את WinRE, לנתק עגינה חיצונית או כרטיסי מסך בעת האתחול וכו').
כדי לאשר אם קיים TPM: לחצו על Windows + X, גשו ל'מנהל ההתקנים', ותחת 'התקני אבטחה' חפשו את 'מודול פלטפורמה מהימנה (TPM)' עם גרסה 1.2 ואילך. ניתן גם להפעיל את 'tpm.msc' באמצעות Windows + R. BitLocker עובד בצורה הטובה ביותר עם TPMאבל בהמשך תראו איך להפעיל אותו בלי השבב הזה.
הצפנת קבצים ותיקיות באמצעות EFS (Windows Pro/Enterprise/Education)
אם ברצונך להגן רק על תיקייה ספציפית או על מספר קבצים, EFS הוא מהיר וקל. לחץ לחיצה ימנית על הפריט, עבור אל 'מאפיינים' ולחץ על 'מתקדם'. סמן את 'הצפן תוכן כדי לאבטח נתונים' ואשר. אם תצפין תיקייה, המערכת תשאל אם ברצונך להחיל את השינוי רק על התיקייה או גם על תיקיות המשנה והקבצים שלה. בחר את האפשרות המתאימה ביותר לצרכים שלך..
לאחר ההפעלה, תראו מנעול קטן על הסמל. EFS מצפין עבור המשתמש הנוכחי; אם תעתיקו קובץ זה למחשב אחר או תנסו לפתוח אותו מחשבון אחר, הוא לא יהיה קריא. היזהרו עם קבצים זמניים (לדוגמה, מאפליקציות כמו Word או Photoshop): אם תיקיית השורש אינה מוצפנת, פירורים יכולים להישאר ללא הגנהלכן מומלץ להצפין את כל התיקייה שמכילה את המסמכים שלך.
מומלץ מאוד: גבה את אישור ההצפנה שלך. Windows יבקש ממך 'גבה את המפתח שלך כעת'. פעל לפי אשף ייצוא האישור, שמור את המפתח בכונן USB והגן עליו באמצעות סיסמה חזקה. אם תתקין מחדש את Windows או תחליף משתמשים ולא ייצאת את המפתח, ייתכן שתאבד גישה..
כדי לפענח, חזרו על התהליך: מאפיינים, מתקדם, בטל את הסימון של 'הצפן תוכן כדי להגן על נתונים' וזה נכון. ההתנהגות ב-Windows 11 זהה, כך שהתהליך שלב אחר שלב זהה.
הצפנת תיקייה באמצעות BitLocker (Windows Pro/Enterprise/Education)
BitLocker מצפין אמצעי אחסון שלמים, פנימיים או חיצוניים. בסייר הקבצים, לחץ לחיצה ימנית על הכונן שברצונך להגן עליו ובחר 'הפעל את BitLocker'. אם האפשרות אינה מופיעה, גרסת Windows שלך אינה כוללת אותה. אם אתה מקבל אזהרה לגבי TPM חסר, אל דאגה, ניתן להשתמש בו ללא TPMזה רק דורש התאמת מדיניות שאסביר מיד לאחר מכן.
העוזר ישאל אותך כיצד לפתוח את נעילת הכונן: באמצעות סיסמה או כרטיס חכם. עדיף להשתמש בסיסמה עם אנטרופיה טובה (אותיות גדולות, אותיות קטנות, מספרים וסמלים). לאחר מכן, בחר היכן לשמור את מפתח השחזור: בחשבון Microsoft שלך, בכונן USB, בקובץ או להדפיס אותו. שמור בחשבון מיקרוסופט זה מאוד פרקטי (גישה דרך onedrive.live.com/recoverykey), אבל לוו את זה עם עותק לא מקוון נוסף.
בשלב הבא, החליטו אם להצפין רק את השטח המשומש או את כל הכונן. האפשרות הראשונה מהירה יותר עבור כוננים חדשים; עבור מחשבים שהיו בשימוש בעבר, עדיף להצפין את כל הכונן כדי להגן על נתונים שנמחקו שעדיין ניתן לשחזר. יותר אבטחה פירושה יותר זמן התחלתי..
לבסוף, בחרו את מצב ההצפנה: 'חדש' עבור מערכות מודרניות או 'תואם' אם אתם מעבירים את הכונן בין מחשבים עם גרסאות ישנות יותר של Windows. הפעל אימות מערכת של BitLocker וזה ממשיך. אם זה כונן המערכת, המחשב יופעל מחדש ויבקש את סיסמת BitLocker שלך בעת האתחול; אם זה כונן נתונים, ההצפנה תתחיל ברקע ותוכל להמשיך לעבוד.
אם תשנו את דעתכם, ב-Explorer, לחצו לחיצה ימנית על הכונן המוצפן ועברו אל 'נהל את BitLocker' כדי להשבית, לשנות את הסיסמה, ליצור מחדש את מפתח השחזור או לאפשר ביטול נעילה אוטומטי במחשב זה. BitLocker לא עובד ללא לפחות שיטת אימות אחת.
שימוש ב-BitLocker ללא TPM: מדיניות קבוצתית ואפשרויות הפעלה
אם אין לך TPM, פתח את עורך המדיניות הקבוצתית המקומית באמצעות 'gpedit.msc' (Windows + R) ונווט אל 'תצורת מחשב' > 'תבניות ניהול' > 'רכיבי Windows' > 'הצפנת כונן BitLocker' > 'כונני מערכת הפעלה'. פתח את 'דרוש אימות נוסף בעת אתחול' והגדר אותו ל'מופעל'. סמן את התיבה שליד 'אפשר BitLocker ללא TPM תואם'. החל את השינויים והפעל את 'gpupdate /target:Computer /force' כדי לאלץ את יישומה.
כאשר תפעילו את אשף BitLocker בכונן המערכת, הוא יציע שתי שיטות: 'הכנס כונן הבזק מסוג USB' (פעולה זו תשמור מפתח אתחול מסוג .BEK שיש לחבר בכל אתחול) או 'הזן סיסמה' (קוד PIN/סיסמה לפני אתחול). אם אתם משתמשים ב-USB, שנו את סדר האתחול בהגדרות ה-BIOS/UEFI כך שהמחשב יוכל לאתחל מדיסק ה-USB. אל תנסה לאתחל מכונן USB זה.במהלך התהליך, אל תסיר את כונן ה-USB עד לסיום כל התהליך.
לפני ההצפנה, BitLocker יכול לבצע בדיקת מערכת כדי לאשר שתוכל לגשת למפתח במהלך האתחול. אם הפעולה נכשלת ומופיעה הודעת אתחול, בדוק את סדר האתחול ואפשרויות האבטחה (אתחול מאובטח וכו') ונסה שוב.
BitLocker To Go: הגנה על כונני USB וכוננים קשיחים חיצוניים
חברו את ההתקן החיצוני, לחצו לחיצה ימנית על הכונן בסייר הקבצים ובחרו באפשרות 'הפעל את BitLocker'. הגדירו סיסמה ושמרו את מפתח השחזור. ניתן לסמן את האפשרות 'אל תשאל שוב במחשב זה' כדי לאפשר ביטול נעילה אוטומטי. במחשבים אחרים, הסיסמה תתבקש לאחר החיבור לפני שניתן יהיה לקרוא את תוכנו.
במערכות ישנות מאוד (Windows XP/Vista), אין תמיכה מובנית בביטול נעילה, אך מיקרוסופט הוציאה את 'BitLocker To Go Reader' לגישה לקריאה בלבד בכוננים בפורמט FAT. אם אתם מתכננים תאימות לאחור, שקלו להשתמש ב- מצב הצפנה 'תואם' במכשף.
אלגוריתם הצפנה וחוזק, והשפעתם על הביצועים
כברירת מחדל, BitLocker משתמש ב-XTS-AES עם מפתח 128 סיביות בכוננים פנימיים וב-AES-CBC 128 בכוננים חיצוניים. ניתן להגדיל את ההצפנה ל-256 סיביות או להתאים את האלגוריתם בהגדרות: 'הצפנת כונן BitLocker' > 'בחר שיטת הצפנה וחוזק...'. בהתאם לגרסת Windows, זה מחולק לפי סוג כונן (אתחול, נתונים, נשלף). XTS-AES הוא המומלץ מבחינת חוזק וביצועים.
עם מעבדים מודרניים (AES-NI), ההשפעה בדרך כלל מינימלית, אך ישנם מקרים בהם הביצועים יורדים, במיוחד בכונני SSD מסוימים עם Windows 11 Pro כאשר BitLocker נאכף באמצעות תוכנה בכוננים עם הצפנת חומרה. נמדדה עד 45% פחות ביצועים בקריאות אקראיות בדגמים ספציפיים (לדוגמה, Samsung 990 Pro 4TB). אם אתם מבחינים בירידה חמורה, תוכלו: 1) השבת את BitLocker באמצעי אחסון זה (תוך פגיעה באבטחה) או 2) להתקין מחדש ולאלץ הצפנת חומרה של ה-SSD עצמו אם היא אמינה (תהליך מורכב יותר ותלוי ביצרן).
זכרו שהצפנה חזקה יותר (256 סיביות) משמעותה עומס מעט גבוה יותר, אך בציוד הנוכחי ההבדל בדרך כלל ניתן לניהול. תנו עדיפות לבטיחות אם אתם מטפלים במידע רגיש או מוסדר.
מפתחות שחזור: היכן לאחסן אותם וכיצד להשתמש בהם
תמיד צור ושמור מפתח שחזור בעת הפעלת BitLocker. האפשרויות הזמינות: 'שמור בחשבון Microsoft שלך' (גישה מרכזית), 'שמור בכונן הבזק מסוג USB', 'שמור בקובץ' או 'הדפס את המפתח'. המפתח הוא קוד בן 48 ספרות המאפשר לך לפתוח את נעילת החשבון שלך אם תשכח את הסיסמה שלך או אם BitLocker מזהה אנומליה באתחול על יחידת המערכת.
אם תצפין מספר כוננים, לכל מפתח יהיה מזהה ייחודי. שם קובץ המפתח כולל בדרך כלל GUID ש-BitLocker יבקש במהלך השחזור. כדי להציג את המפתחות שנשמרו בחשבון Microsoft שלך, בקר באתר onedrive.live.com/recoverykey כשאתה מחובר. הימנעו מאחסון מפתחות באותו כונן מוצפן ולשמור עותקים לא מקוונים.
BitLocker משלב א קונסולת ניהול היכן שתוכלו: לשנות את הסיסמה, להוסיף או להסיר אמצעי אבטחה (סיסמה, PIN+TPM, כרטיס חכם), ליצור מחדש את מפתח השחזור ולהשבית הצפנה כאשר אינכם זקוקים לה עוד.
קבצי ISO המוגנים בסיסמה: חלופות אמינות ב-Windows 11
Windows אינו מציע קובץ ISO מוגן בסיסמה מקורי. חלק מהתוכנות ממירות לפורמטים משלהן (כמו '.DAA' ב-PowerISO), וזה לא אידיאלי אם אתם צריכים לשמור את קובץ ה-'.ISO'. במקום זאת, צרו מיכל מוצפן עם VeraCrypt ולהתקין אותו לפי דרישה: הוא פועל כ"כונן וירטואלי" המוגן בסיסמה והוא נייד.
אם אתם רוצים משהו קליל לשיתוף, ארכיונים מודרניים מאפשרים הצפנה עם AES: צרו ארכיון '.zip' או '.7z' המוגן בסיסמה באמצעות כלים כמו 7-Zip או WinRAR ובחרו באפשרות להצפין שמות קבצים. עבור כוננים חיצוניים, BitLocker To Go היא השיטה המומלצת ב-Windows Pro; ב-Home, VeraCrypt ממלאת את ייעודה בצורה מושלמת..
עם כל האמור לעיל, תוכלו להחליט אם להצפין תיקייה באמצעות EFS, כונן שלם באמצעות BitLocker, או ליצור מכולה באמצעות VeraCryptהמפתח הוא לבחור את השיטה שמתאימה למהדורת Windows ולחומרה שלך, לשמור על מפתח השחזור במקום בטוח ולהתאים את האלגוריתם/אורך בהתאם לסדרי העדיפויות שלך. אם תדאגו לשלוש הנקודות הללו, הנתונים שלכם יהיו מוגנים מבלי לסבך את חייכם..
עורך מתמחה בנושאי טכנולוגיה ואינטרנט עם יותר מעשר שנות ניסיון במדיה דיגיטלית שונים. עבדתי כעורכת ויוצרת תוכן בחברות מסחר אלקטרוני, תקשורת, שיווק מקוון ופרסום. כתבתי גם באתרי כלכלה, פיננסים ומגזרים אחרים. העבודה שלי היא גם התשוקה שלי. עכשיו, דרך המאמרים שלי ב Tecnobits, אני מנסה לחקור את כל החדשות וההזדמנויות החדשות שעולם הטכנולוגיה מציע לנו מדי יום כדי לשפר את חיינו.