Защита данных: Ubuntu предлагает пользователям Windows взять на заметку новую функцию шифрования

В 2024 году Microsoft незаметно смягчила требования к автоматическому шифрованию устройств Windows Auto DE в Windows 11 версии 24H2. Это означает, что теперь даже домашние компьютеры могут быть зашифрованы по умолчанию, если производитель (OEM) решит это сделать. Ранее такая функция была доступна только в версиях Pro и Enterprise.

Идея, конечно, благая — повысить безопасность пользовательских данных. Но возникает проблема: многие пользователи могут просто не знать, что их система зашифрована, и не понимать, как важно надежно сохранить ключ восстановления BitLocker. Если этого не сделать, потеря данных становится весьма вероятной, и, судя по сообщениям, такие случаи уже происходят.

Именно поэтому Microsoft так настойчиво предлагает входить в систему, используя учетную запись Microsoft. В этом случае ключ восстановления Auto DE автоматически сохраняется в облаке. Для большинства начинающих пользователей это, вероятно, лучший вариант, если только вы не хотите быть привязанным к учетной записи Microsoft.

Тем временем Canonical (компания, разрабатывающая Ubuntu) добавляет полнодисковое шифрование (FDE) на основе TPM в Ubuntu 25.10. Эта функция разрабатывалась довольно долго, и в прошлом году уже были достигнуты определенные успехи в рамках выпуска 24.10. Однако она все еще находится в стадии тестирования и предлагается как "экспериментальная" опция, доступная только пользователям, чьи системы "готовы к ее запуску".

Что это значит на практике? Если пользователь решит выбрать "аппаратное шифрование", а Ubuntu обнаружит какую-либо проблему, в диалоговом окне будет четко указано, в чем именно дело. На примерах изображений, предоставленных Canonical, можно увидеть сообщения об ошибках PCR7 и PC4.

Подход Ubuntu выглядит дружелюбным и простым в использовании. В отличие от Windows 11, пользователь получает четкий выбор: использовать аппаратное TPM-шифрование или нет.

Кроме того, предусмотрена возможность восстановления ключа для администраторов, подобно функции "забыли пароль" на различных сайтах. Canonical отмечает, что "центр безопасности предлагает вам сгенерировать новый ключ, если вы являетесь администратором вашей системы".

Но и это еще не все. Новая система также предупреждает пользователей о необходимости создать резервную копию ключа восстановления перед обновлением прошивки (микропрограммного обеспечения). Canonical пишет:

...мы хотим защитить наших пользователей от ситуации, когда они обновляют прошивку, не зная своего ключа восстановления. В противном случае они не смогут перезагрузить компьютер, так как система запросит ключ восстановления, которого у них нет под рукой. Поэтому мы перепроверяем наличие ключа, запрашивая его перед применением любого обновления в программе обновления прошивки!

Справедливости ради стоит отметить, что Windows тоже предупреждает пользователей о необходимости резервного копирования ключа восстановления BitLocker в подобных ситуациях, а иногда и приостанавливает BitLocker во время обновления прошивки. Хотя это также зависит от производителя компьютера и от того, как он решил реализовать эту функцию.

Canonical также добавляет, что Ubuntu будет предупреждать пользователей о других зашифрованных установках, например, Windows, даже если их установка Ubuntu не зашифрована.

Другой вариант использования - обновление прошивки, влияющее на другие установки, связанные с TPM, даже если ваша установка Ubuntu не поддерживает TPM/FDE. Например, если у вас установлена другая операционная система, такая как Windows с BitLocker, и вы обновляете прошивку или DBX из своей системы Ubuntu, Windows запросит у вас ключ восстановления BitLocker при следующей загрузке. Мы отображаем предупреждение перед тем, как позволить пользователю обновить свою прошивку, если мы обнаруживаем такую ситуацию.

Похоже, Canonical действительно пытается позаботиться о пользователях, чтобы шифрование данных и потерянный ключ не привели к потере важной информации.

Мнение редакции MSReview:

Предлагаемый Canonical подход к шифрованию диска с использованием TPM выглядит гораздо более дружелюбным к пользователю, чем принудительное шифрование в Windows 11. Предоставление пользователям четкого выбора и предупреждений о потенциальных проблемах с восстановлением ключей – это важный шаг к тому, чтобы сделать шифрование более доступным и менее пугающим для обычных пользователей. Возможно, Microsoft стоит взять на вооружение некоторые из этих идей.