Audit BitLocker

Fonctionnement de tis-audit-bitlocker

• Le paquet permet de remonter la clé de chiffrement bitlocker en audit sur le serveur Wapt.

• C'est un complément ou un remplacement à la fonctionnalité Microsoft de remontée de clé dans l'Active Directory. L'avantage de ce paquet Wapt est qu'il fonctionne aussi sur les postes hors domaine.

• La clé est chiffrée avec chaque certificat qui est déployé sur la machine. C'est à dire que chaque administrateur ayant la possibilité de faire l'administration de la machine pourra déchiffrer la clé.

• Les clés étant en audit sur les machines, si la machine est supprimée, les audits sont supprimés en même temps et il n'y a pas de "corbeille" pour restaurer la machine. Il faut donc être bien sûr que l'on n'a plus besoin des clés de chiffrements (ou tout autres données d'audit) avant de supprimer la machine. Sinon il faudra récupérer la clé depuis une sauvegarde.

• Les clés sont chiffrées et signées avec les certificats déployés sur la machine. Si l'administrateur perd sa clé ou bien si il part et que la clé est détruite, la clé bitlocker qui a été signée par cette clé ne pourra pas être récupérée. Il est donc important d'avoir plusieurs clés de signature sur le poste pour garantir la continuité.

• Lorsqu'un nouvel adminsys aura sa clé déployée sur la machine, l'audit fera à nouveau le chiffrement de la clé bitlocker avec ce nouveau certificat.

• Pour le recouvrement, il peut être pertinent de déployer une clé "de service" destinée à cet effet sur les postes, et qui n'est utilisé que dans ces cas de figure.

• Les clés bitlocker sont stockées sous forme chiffrée par les certificats administrateurs dans la base de données SQL. Seule une personne ayant la clée privée correspondant au certificat personnel ayant été utilisé pour le chiffrement pourra déchiffrer la clé.

• Les clés privées des administrateurs ne sont pas stockées sur le serveur Wapt.

• Pour la séquestre, il peut être pertinent de faire une extraction de la base de données SQL des clés sur un support externe au serveur Wapt dédié à la séquestre.