BitLockerをいろいろ使ってみました

2024年10月15日 14:31

今回は、BitLockerでいろいろ試してみました。
使ったのはいわゆるメーカーリファビッシュ品で、BitLockerが使えるPCとしてはほぼ最低限だと思います。TPM2.0は、デバイスマネージャから見る限りは載っていません。ノートPCなので内蔵ストレージはひとつだけで、その他にUSB外付けSSDをひとつ使っています。

とりあえず、起動ドライブをBitLockerで暗号化

まずは起動ドライブを暗号化してみます。難しいことは何もなく、右クリックして「BitLockerを有効化する」という項目をクリックするだけです。
そうすると、パスワードを設定する画面になります。う～ん…。情報セキュリティの強化のためにはパスワードというものが一番簡易にしてそれでいてある程度突破が難しいものではあると思うんですが、いろいろなパスワードを使い分けるのが面倒くさいということでWindowsは4桁のPIN番号でログインできるようになったのではないかと思います。ここへ来てまたパスワード要求が出るということは、なんか先祖返りしてしまったような気分になりますねえ。
まあとりあえずパスワードを入力します。申し上げるほどのことでもないかも知れませんが、パスワードの初期設定に当たりますので同じものを2回入力することになります。
すると次に出てくるのが回復キーの保存場所です。Microsoftアカウント、ローカルのドライブ、紙に印刷の3つの選択肢の中から選ぶことになります。ここら辺でTPM2.0が絡んできて、載っているPC載っていないPCの差が出てくるのかなと思ったんですが、同じでした。以前にもちょっとお話ししましたが、暗号化をしようとしているドライブそれ自体にパスワード（および回復キー）を保存することはできません。私はここではUSBメモリを使用しました。
次が暗号化の範囲の問題です。使用済み領域だけを暗号化するか、ドライブ全体を暗号化するか。これからファイルが増えていくことを考えたら、やっぱり全体ですよね。
次が新しい暗号化方式か古いものからの互換モードかの選択です。なんだかんだやらなきゃいけないこと多いな。まあ、新しいものにしておきましょう。
設定としてはこれが最後になりますが、BitLockerによるシステムチェックなんだそうです。正直に言いまして、これが何なのかはわかりません。
そしてまた有効化には…結構時間がかかるもんですねえ。メーカーリファビッシュ品ということははっきり言って中古品なわけで、そんなご大層な容量のストレージを積んでいるわけではないんですけど。
終わると、ドライブのアイコンが変わって南京錠がデザインされたものになります。この南京錠、どう見ても開いている状態に見えるので一瞬何か失敗したかなと焦りました。
まあとりあえずBitLockerによる保護は確定したと考えて良さそうなので、ここで再起動をかけてみました。

再起動、遅っ！

というわけなのですが、再起動がえらく遅くなってしまいました。きちんと時間を計って検証したわけではないのですが、体感倍くらいの時間がかかったように思えました。また、OSの起動レベルではなく電源を入れた直後にパスワードを入力することを要求されます。
そしてまた起動したあとのファイル操作もいちいち重いです。ファイルサイズによってはハングアップした？と思えるぐらい重いです。
まあこれは当然な話で、ファイルを扱うたびに暗号化、復号化しているわけですからその分CPUがやるべきことは増えるわけです。理屈は納得できないわけではありませんが、なんかいやだな。
BitLockerが動く最低ラインのPCで検証しているわけですから、最新の機能を使うと動作が遅くなるのは致し方のないことだとは思うんですが、例えばシステムディスクとデータディスクを分けておいて、データだけに暗号化をかけるとか、そういう対策も…いやいや、意図的に動かすのはデータファイルの方が多いだけで、システムは裏でいろんなファイルを動かしてるよな…ならば逆にシステムを暗号化してデータはそのまま…って、他人から見て欲しいのはほとんどデータですし、そもそもノートPCなんだから勝手にパーティション切ったりしたら動作保証の外になってしまいますよね。これ、案外難しい問題なのでは？

これはもしかして穴を見つけてしまったか？

それで、弊社の業務的にちょっと気になっていたことを試したんですよ。
BitLockerで暗号化されたシステムディスクからクローンを作って、そのクローンから起動できるかなってことなんですが。
やってみました。ディスクのクローン作成ソフトは、一応伏せておきます。クローン・バックアップ作成ソフトで主に個人的用途に関しては定評のあるソフトウェアです。
で、クローンから起動した結果、なんの問題もなく起動してしまいました。しかも、BitLockerによる暗号化はされてないという状態で。
念のため申し上げておきますが、これは起動ドライブがBitLockerによって暗号化されたAというPCからクローンを作って、それをBという別のPCに接続したら正常動作するということを必ずしも意味しません。
これはなぜかと言いますと、普段PCを利用していて滅多に意識はしませんが、PCで一番重要な基盤であるマザーボードというものには、CPUの他にも「不可欠の脇役」ともいうべきチップセットという一連のLSI群が乗せられています。これらのチップセットはそれぞれにデバイスドライバを必要とします。ですので、Bという別のPCに乗せたらBの中に入っているチップセットに対応したデバイスドライバが存在せず、Windowsとして最低限の動きしかできない機械になってしまうことが十分に考えられます。
それでも、最低限の動きはできるわけです。ファイル操作ぐらいなら十分可能ですから、目的のファイルが何かわかっているならば、そのファイルを盗るにはBitLockerで設定した起動時に要求されるパスワードという薄い壁1枚ということになります。

さらに危ない穴じゃないか？

もうひとつ試してみたいことがあったんです。
外付けのデバイスをBitLockerによる暗号化がされた状態にして、それをLinuxから見たらどうなるか。弊社で普段から使っているLinux Mintで軽く見てみてみました。
・・・あっさり中が見え、ファイル操作も可能でした。
皆様もWindowsに飽きたらLinux Mint使ってみて下さい。Windowsほど何でもかんでもGuiでできるわけではありませんが、ちょっと感覚さえつかんでしまえばなんて言うほどのこともなく使えるOSです。Windowsに比べればPC本体に要求される性能はかなり低いので、かなり型落ちのOSなし中古PCでも快適に動きます。私個人として試してみた経験があるわけではないんですが、ラズベリーパイの標準OSみたいなものだと聞きますし。
これ、セキュリティとしては極めて心許ないですよ。Windowsだけで操作することを前提にしても、壁は起動時のパスワードだけですよ。めっちゃくちゃ薄いじゃないですか。レオ●レス並ですよ。
Linuxマシンを用意できるなら、その壁すらもなくなります。こんなものを出してきて「セキュリティを強化しました！」って言われても…って感じです。

BitLockerの動作検証・その結論

結論としてまとめますと

個人ユーザーの皆様…BitLockerは、不便になるだけで使う価値なし
ビジネスユーザーの皆様…BitLockerは鳴り物入りで登場した割に極めて頼りない

というのが、私の結論です。外出時にノートPC持ち歩くサラリーマンの方々が念のために利用してればそれでいいものという感じがします。オフィスで大々的に利用するのならば、もっと高性能で使いやすい暗号化ソフトがたくさんあります。もちろん有料にはなってしまいますが、情報セキュリティの強化・向上のためであれば必要な出費であると考えられます。
個人の方にも、個人ユースに適した暗号化ソフトというのはフリーソフトも含めてたくさんあります。
ステマっぽくなっちゃいますのでなるべく具体的な商品名は出さないようにして今日まで来たのですが、フリーソフトなのでいいかっていう考えで出します。私は個人PCでは「アタッシェケース」というフリーソフトを使っています。暗号化したいファイルだけを、ドラッグ・アンド・ドロップだけで暗号化・復号できる便利なソフトです。他にも個人向けの暗号化ソフトはフリーソフトも含めていろいろありますので、ご自身に合ったものを見つけてみて下さい。

そもそもMicrosoftはWindowsの立ち位置をわかっているのか？

以前にもチラッと書きましたが、Macは「1台のコンピュータ」としてMacを使っている人を想定して作られていると思います。なので、自分のMacが古くなってきたなと思ったら最新鋭でオシャンティーな機械を改めて買い、あらかじめ用意してあるシステム移行ソフト（書き出したシステムは自動的に暗号化済）を使って乗り換えている人たちが大半だと思います。
一方でWindowsが走るPC、一般的にDOS/V機なんて言われますのでこの言葉を使いますが、こういう人たち（私を含みます）はDOS/V機を1台の機械とは考えていません。パーツの集合体です。カスタマイズ自在です。そこに一律にセキュリティの網をかぶせようとする発想自体がそもそも違うと思うんですよね。
DOS/V機のヘビーユーザーは最新鋭・ハイエンドを有り難がる一方、古い機材をしばき倒してなんとか使うことに面白みを見出す人たちでもあります。私の知人にもDOS時代のPCでWindowsXPを使っていた人もいました。
だからOSオフィシャルのセキュリティではなく、他のいろんなアプリがそうであるように、サードパーティーがそれぞれに開発して市場に提供して、ユーザーが選ぶ、というあり方の方がいいように思います。

小括

というわけで、あくまでも私自身の検証ではありますがBitLockerはあんまり使えないということになってしまいました。そして以前にも述べましたが現在のWindowsユーザーなら大概無意識のうちに満たしてしまう条件を満たせば自動的にBitLockerは有効になってしまいます。
あくまでも私は、という話ではありますが、BitLockerは意図的に外しておいた方がいいのじゃないのかな…と思います。
今日もありがとうございました。