A ferramenta de criptografia de disco permite que volumes, diretórios e arquivos presentes em computadores, sites ou coleções sejam criptografados e descriptografados. Para garantir que os dados não sejam perdidos ou tornem-se inacessíveis, a ferramenta disponibiliza o procedimento de recuperação de acesso aos arquivos criptografados.
É importante verificar os requisitos dos computadores em que se deseja aplicar a criptografia antes de criar uma regra da ferramenta de Criptografia de Disco. Caso o Positivo Network Manager não identifique algum dos requisitos necessários, uma mensagem será exibida no arquivo de log do cliente.
Os requisitos mínimos para o funcionamento da ferramenta são:
Para criar uma regra de criptografia:
No painel da direita, será apresentada uma tela com opções para configuração da operação de criptografia conforme figura a seguir:
A seguir, serão descritos cada grupo de opções apresentadas na tela de configuração.
Geral: O grupo Geral possui as seguintes opções:
A primeira aba permite a seleção de computadores individualmente. A segunda aba permite a seleção de uma ou mais pesquisas. A terceira aba permite a escolha de uma ou mais coleções. Conforme descrito no guia de Boas Práticas, procure sempre que for possível utilizar uma coleção para selecionar os ativos.
Proteção: O grupo Proteção possui as configurações de restrição de acesso aos dados, disponíveis da seguinte forma:
Criptografia: O grupo Criptografia possui a definição dos itens incluídos no modo de operação escolhido.
IMPORTANTE: regras que possuam o mesmo caminho de volume, diretório ou arquivo adicionado são consideradas conflitantes e não são suportadas, podendo produzir um comportamento não esperado. Regras que possuam um caminho de diretório ou arquivo que esteja contido em um caminho de diretório adicionado em outra regra também são consideradas conflitantes e por isso não são suportadas.
Após editar todas as opções clique no botão Salvar no rodapé da janela para salvar sua configuração.
Após uma nova regra de criptografia de disco ter sido criada, ela pode ser alterada, removida ou apenas desabilitada. Para efetuar alguma dessas operações, expanda o item da árvore Ferramentas e, em seguida, o item Criptografia de Disco. Sob este item serão apresentadas todas as regras de criptografia que foram criadas. Para editar uma regra, clique sobre o mesmo. No painel da direita será exibida uma tela contendo todos os dados da ferramenta previamente criada e as informações que poderão ser modificadas.
Todos os itens podem ser alterados seguindo os mesmos passos da criação. Assim que as configurações forem alteradas elas começam a entrar em vigor. Após alterar qualquer propriedade da ferramenta, clique no botão Salvar no rodapé da janela para salvar sua nova configuração.
Algumas vezes é interessante apenas desabilitar uma regra ao invés de removê-la definitivamente. Para fazer isso, a opção Habilitar pode ser alterada para Desabilitado. Quando os computadores da rede sincronizarem informações com o servidor e encontrarem a regra desabilitado, a criptografia será pausada até que a regra seja habilitada novamente.
Quando não há mais necessidade de aplicar uma regra é possível removê-la.
IMPORTANTE:remover uma regra da ferramenta de criptografia de disco não desfaz a criptografia de volumes, diretórios e arquivos.
Antes de remover uma regra da ferramenta de Criptografia de Disco, recomenda-se descriptografar todos os volumes, diretórios e pastas configurados na ferramenta. Para isso, altere a opção de Operação para Descriptografar da regra em questão. Para consultar o estado do processo de decriptografia utilize a aba Relatório. Após todos os volumes, diretórios e arquivos terem sido decriptografados, é seguro remover a regra de criptografia de disco.
Para forçar a sincronização do servidor com os clientes e agilizar a ação da regra criada, expanda o item da árvore Ferramentas e em seguida o item Criptografia de Disco. Encontre o a regra desejada, clique com o botão direito do mouse sobre ela e selecione a opção Notificar Computadores Agora do menu.
A Ferramenta de Criptografia de Disco possui três formas de proteção disponíveis. A proteção por identidade do computador utiliza a tecnologia Trusted Platform Module (TPM) para permitir o acesso a volumes, diretórios e arquivos quando estiverem no computador em que foram criptografados. Enquanto isso, a proteção por usuários utiliza as sessões de usuários criadas sobre o Windows para gerenciar a permissão sobre os arquivos.
Ao criptografar um volume através da ferramenta de criptografia de disco, seu ícone apresentará um pequeno cadeado na parte superior. Caso todas as sessões de usuários abertas no computador tenham permissão ao volume e esteja compatível com a identidade do computador, ele exibirá um ícone de cadeado aberto sobre seu ícone original e estará acessível. Caso algum dos usuários não possua permissão ou a identidade do computador não seja válida, ele estará bloqueado, exibindo um ícone de cadeado fechado sobre seu ícone original. É possível ver esse resultado ao navegar por diretórios com o Windows Explorer do computador.
O processo de criptografia e descriptografia de um volume pode ter longa duração (superior a 24 horas). Porém, não é necessário acompanhar ou aguardar o processo ser finalizado. Caso o computador seja desligado, o processo será interrompido e retomado automaticamente quando o computador estiver em funcionamento novamente. Caso um usuário sem permissão entre com sua conta no computador, a operação de criptografia ou descriptografia do volume será automaticamente pausada para bloquear o volume. A operação será retomada automaticamente assim que todos os usuários atuais do computar tenham permissão. Não é necessário aguardar a criptografia completa de um volume para iniciar a operação de descriptografia sobre ele.
Volumes que contenham o sistema operacional sendo executado não são suportados na proteção por usuário, apenas por identidade de computador. Quando um computador que possui um volume criptografado contendo o sistema operacional for iniciado sem a identidade correta do computador, um aviso será exibido e o sistema operacional não será carregado.
Ao criptografar um diretório ou um arquivo através da ferramenta de criptografia de disco, seu nome irá mudar para a cor verde ou seu ícone apresentará um pequeno cadeado na parte superior, dependendo da versão do sistema operacional do computador. É possível ver esse resultado ao navegar por diretórios com o Windows Explorer do computador.
Ao copiar diretórios e pastas criptografados para outras localidades, os novos diretórios e arquivos estarão descriptografados. A criptografia permanece apenas na cópia original.
Arquivos e pastas do sistema operacional sendo utilizados por programas ou em locais sem permissão de acesso não são suportados pela ferramenta de criptografia. Os arquivos não suportados serão automaticamente ignorados na operação de criptografia.
A interface de Relatório da ferramenta de Criptografia de Disco apresenta o resultado das operações de criptografia e decriptografia em cada computador. Para acessá-la, expanda o item da árvore chamado Ferramentas e então o item Criptografia de Disco. Em seguida clique na regra específica desejada e, nas abas superiores de navegação, selecione Relatório. Será exibida a interface mostrada na figura abaixo.
Existem três filtros diponíveis para selecionar os dados exibidos
A ferramenta de Criptografia de Disco possui a funcionalidade de recuperação de volumes, diretórios e arquivos em caso de perda de acesso a eles. Situações em que o usuário do Active Directory tenha sido removido, o usuário local tenha alterado seu login, a placa-mãe do computador necessite ser trocada ou a letra de um volume tenha sido alterada são exemplos de casos que precisam de processo de recuperação de dados. Para acessá-la, expanda o item da árvore chamado Ferramentas e então o item Criptografia de Disco. Em seguida clique na regra específica desejada e, nas abas superiores de navegação, selecione Recuperação. Será exibida a interface mostrada na figura abaixo.
Para recuperação de volumes que estejam criptografados utilize o primeiro grupo de campos, dispostos da seguinte maneira:
Ao digitar informações válidas relativas à recuperação de volume e clicar “Recuperar” na parte inferior da interface, o download de um arquivo de texto contendo as informações da recuperação será iniciado. Confira os valores presentes no arquivo e copie a chave de recuperação presente nele. No computador em que o volume está bloqueado, abra o Windows Explorer e localize o volume específico. Clique com o botão direito sobre o volume e selecione a opção de desbloquear. Na janela aberta cole a chave gerada no arquivo. A partir desse momento o volume estará desbloqueado. Porém, ainda criptografado.
Caso o volume seja de sistema operacional e a criptografia esteja utilizando a tecnologia de TPM, inicie o computador com o volume específico e aguarde a tela azul de bloqueio de inicilização da BIOS. Nela, será solicitado a chave de recuperação. Digite a chave gerada no arquivo e clique sobre o botão de continuar. A partir desse momento o volume estrá desbloqueado e o sistema operacional será carregado. Porém, o volume continuará criptografado, exigindo a chave novamente na próxima inicialização.
Para recuperação de diretórios ou arquivos que estejam criptografados utilize o segundo grupo de campos, dispostos da seguinte maneira:
Ao digitar informações válidas relativas à recuperação de diretório ou arquivo e clicar “Recuperar” na parte inferior da interface, o download de um certificado contendo as informações da recuperação será iniciado. Mova o certificado baixado para o computador onde o diretório ou arquivo encontra-se e faça a sua instalação utilizando a sessão de algum usuário. Recomenda-se criar um usuário local no computador para fazer esse procedimento, com objetivo de não compremeter a segurança de arquivos criptografados para o usuário utilizado na interface de recuperação. Faça a instalação do certificado na conta local do usuário da sessão, selecionando “Usuário Local” na opção de Local do Repositório durante a instalação. Caso uma senha seja solicitada durante o processo, utilize a senha padrão “EFSRECOVERYKEY10”. Selecione o local denominado “Pessoal” para a instalação do certificado.
A partir do momento da instalação do certificado, os arquivos que possuem o usuário escolhido estarão acessíveis no computador. Faça uma cópia e delete o arquivo original ou desabilite a criptografia no diretório ou arquivo específico caso deseje recuperar o arquivo da criptografia. Para desabilitar a criptografia, em seguida clque com o botão direito sobre o diretório ou arquivo desejado e selecione a opção “Propriedades”. Na aba “Geral” da janela aberta, clique sobre o botão “Avançados...”. e em seguida desabilite a opção “Criptografar o conteúdo”. Após salvar as alterações, o arquivo estará decriptografado. Ao finalizar, remova o certificado instalado através do painel de certificados do Windows.
IMPORTANTE: ao fazer a recuperação de diretórios e arquivos, remova qualquer certificado instalado durante o procedimento no computador. Em caso de dúvida, delete o usuário local criado. Isso é fundamental para garantir a segurança dos diretórios e arquivos criptografados.