Le TPM a dû être ré-initialisé: un nouveau mot de passe de récupération doit-il être téléchargé sur AD?

D'une manière ou d'une autre, la machine d'un utilisateur n'a pas pu lire le mot de passe bitlocker de la puce TPM, et j'ai dû entrer la clé de récupération (stockée dans AD) pour y entrer. Pas grand-chose, mais une fois dans la machine, je a essayé de suspendre bitlocker selon la documentation de récupération et a reçu un message d'erreur indiquant que le module de plateforme sécurisée n'était pas initialisé. Je savais que le TPM était activé et activé dans le BIOS, mais Windows m'a quand même fait réinitialiser la puce TPM, et dans le processus, il a créé un nouveau mot de passe propriétaire du TPM.

J'ai trouvé cela étrange parce qu'il m'a incité à enregistrer ce mot de passe ou à l'imprimer (il n'y avait pas d'option de ne pas le faire), mais il n'a fait aucune référence à un mot de passe de récupération, ni n'a sauvegardé ce mot de passe dans AD.

Après que l'utilisateur a pris son ordinateur portable et est parti, j'ai commencé à penser que si le mot de passe du TPM change, le mot de passe de récupération change-t-il également? Si tel est le cas, ce nouveau mot de passe de récupération devra être téléchargé vers AD, mais la documentation de MS ne le précise pas et ne sauvegarde pas automatiquement la nouvelle clé de récupération (si elle existe) dans AD lorsque la stratégie de groupe le dit. doit, et d'un point de vue réseau AD est accessible.

Lorsque BitLocker crypte un lecteur, il conserve la clé de cryptage principale sur le lecteur lui-même, mais pas en texte brut. Le mot de passe maître est lui-même chiffré par des "Protecteurs". Chacun d'eux conserve une copie distincte de la clé principale car seul le protecteur qui l'a chiffrée peut déchiffrer cette copie de la clé principale.

Lorsque Windows crypte un volume via l'interface graphique, il crée généralement deux protecteurs: un mot de passe de récupération (RP) et une clé TPM. Comme indiqué ci-dessus, ceux-ci sont stockés complètement séparément. Si le GPO est configuré chaque fois qu'un RP est créé, il est stocké dans AD. Ceci est complètement automatique et si le GPO est configuré, un RP ne peut pas être enregistré sur le disque sans téléchargement sur AD (c.-à-d., Aucune création de RP hors ligne car AD ne serait pas disponible).

Je suggère fortement d' abandonner l'interface graphique. Il passe trop de temps sur la fonction de BitLocker pour un administrateur système, et le fonctionnement réel de BitLocker n'est vraiment pas si compliqué. L'utilitaire CLI manage-bdeest fourni avec chaque version de Windows qui prend en charge BitLocker. C'est assez simple, bien que la syntaxe soit un peu verbeuse.

Pour voir ce que fait le lecteur de l'ordinateur portable en ce moment, lancez simplement manage-bde -status C:. En ce qui concerne les problèmes de TPM, après avoir déverrouillé le PC et démarré Windows, je lance toujours manage-bde -protectors -get C:, copiez l'ID du protecteur TPM (y compris les supports), puis exécutez manage-bde -protectors -delete C: -id {the_id_you_copied}et enfin manage-bde -protectors -add C: -tpm. C'est 30 secondes de travail de plus, mais vous savez exactement ce qu'il fait et où vous vous situez par la suite.

Je sais que c'est vieux, je suis arrivé ici à la recherche d'autre chose, mais d'après mon expérience, le téléchargement automatique vers AD après un changement comme celui-ci n'est pas toujours réussi. J'ai été mordu au travail plusieurs fois à cause de cela. Après la deuxième fois, j'ai décidé de scripter le processus de téléchargement pour s'assurer qu'il se produise au lieu de dépendre du processus de téléchargement automagique qui est censé se produire. Voici ce que j'ai écrit (BitLocker_UploadToAD.cmd):

@Echo Off
cls
SETLOCAL
for /F "tokens=*" %%a in ('c:\windows\system32\manage-bde -protectors -get c: -type recoverypassword ^| findstr "ID: " ') DO SET ID=%%a
ECHO ID FOR DRIVE C IS: %ID%
ECHO.
ECHO REMOVING COLON AND ADDING HYPHEN TO BEGINNING...
ECHO.
set ID=-%ID::=%
ECHO NEW VALUE:
ECHO %ID%
ECHO.
ECHO BACKING UP TO AD...
c:\windows\system32\manage-bde -protectors -adbackup c: %ID%
ECHO.
ECHO DONE  (PLEASE CHECK AD TO VERIFY IT WORKED)
PAUSE