Metodo ProtectKeyWithTPMAndPIN della classe Win32_EncryptableVolume

Il metodo ProtectKeyWithTPMAndPIN della classe Win32_EncryptableVolume protegge la chiave di crittografia del volume usando l'hardware di sicurezza TPM (Trusted Platform Module) nel computer, se disponibile, migliorato da un numero di identificazione personale specificato dall'utente (PIN) che deve essere fornito al computer all'avvio.

Sia la convalida da parte del TPM che l'input della stringa di identificazione personale sono necessari per accedere alla chiave di crittografia del volume e sbloccare il contenuto del volume.

Questo metodo è applicabile solo per il volume che contiene il sistema operativo attualmente in esecuzione.

Viene creata una protezione chiave di tipo "TPM E PIN" per il volume, se non esiste già.

Sintassi

uint32 ProtectKeyWithTPMAndPIN(
  [in, optional] string FriendlyName,
  [in, optional] uint8  PlatformValidationProfile[],
  [in]           string PIN,
  [out]          string VolumeKeyProtectorID
);

Parametri

FriendlyName [in, facoltativo]

Tipo: stringa

Identificatore di stringa assegnato dall'utente per questa protezione delle chiavi. Se questo parametro non è specificato, viene usato un valore vuoto.

PlatformValidationProfile [in, facoltativo]

Tipo: uint8[]

Matrice di interi che specifica come l'hardware TPM (Trusted Platform Module) del computer protegge la chiave di crittografia del volume del disco.

Un profilo di convalida della piattaforma è costituito da un set di indici PCR (Platform Configuration Register) compresi tra 0 e 23. I valori di ripetizione nel parametro vengono ignorati. Ogni indice PCR è associato ai servizi eseguiti all'avvio del sistema operativo. Ogni volta che il computer viene avviato, il TPM verificherà che i servizi specificati nel profilo di convalida della piattaforma non siano stati modificati. Se una di queste funzionalità cambia mentre la protezione BDE (BitLocker Drive Encryption) rimane attiva, il TPM non rilascia la chiave di crittografia per sbloccare il volume del disco e il computer entrerà in modalità di ripristino.

Se questo parametro viene specificato mentre l'impostazione di Criteri di gruppo corrispondente è stata abilitata, deve corrispondere all'impostazione Criteri di gruppo.

Se questo parametro non è specificato, viene usato il valore predefinito 0, 2, 4, 5, 8, 9, 10 e 11. Il profilo di convalida della piattaforma predefinito protegge la chiave di crittografia rispetto alle modifiche apportate agli elementi seguenti:

• Radice principale della misura (CRTM)
• BIOS
• Estensioni della piattaforma (PCR 0)
• Codice ROM opzione (PCR 2)
• Codice record di avvio master (MBR) (PCR 4)
• Tabella di partizione master boot record (MBR) (PCR 5)
• Settore di avvio NTFS (PCR 8)
• Blocco di avvio NTFS (PCR 9)
• Gestione avvio (PCR 10)
• BitLocker Controllo di accesso (PCR 11)

Per la sicurezza del computer, è consigliabile il profilo predefinito. Per una protezione aggiuntiva rispetto alle modifiche iniziali della configurazione di avvio, usare un profilo di pcr 0, 1, 2, 3, 4, 5, 8, 9, 10, 11. I computer basati su UEFI (Extensible Firmware Interface) unificati non usano PCR 5 per impostazione predefinita.

La modifica dal profilo predefinito influisce sulla sicurezza e la gestibilità del computer. La sensibilità di BitLocker alle modifiche della piattaforma (dannose o autorizzate) è aumentata o ridotta a seconda dell'inclusione o dell'esclusione, rispettivamente, delle pcr. Per abilitare la protezione bitLocker, il profilo di convalida della piattaforma deve includere PCR 11.

Valore	Significato
0	Radice principale di attendibilità della misura (CRTM), BIOS e estensioni della piattaforma
1	Configurazione della piattaforma e della scheda madre e dati
2	Codice ROM opzione
3	Configurazione e dati dell'opzione ROM
4	Codice MBR (Master Boot Record)
5	Tabella di partizione master boot record (MBR)
6	Eventi di transizione e riattivazione dello stato
7	Manufacturer-Specific computer
8	Settore di avvio NTFS
9	Blocco di avvio NTFS
10	Gestione avvio
11	BitLocker Controllo di accesso
12	Definito per l'uso dal sistema operativo statico
13	Definito per l'uso dal sistema operativo statico
14	Definito per l'uso dal sistema operativo statico
15	Definito per l'uso dal sistema operativo statico
16	Usato per il debug
17	CRTM dinamico
18	Piattaforma definita
19	Usato da un sistema operativo attendibile
20	Usato da un sistema operativo attendibile
21	Usato da un sistema operativo attendibile
22	Usato da un sistema operativo attendibile
23	Supporto delle applicazioni

 

PIN [in]

Tipo: stringa

Stringa di identificazione personale specificata dall'utente. Questa stringa deve essere costituita da una sequenza di 6 a 20 cifre o, se i criteri di gruppo "Consenti PIN avanzati per l'avvio" sono abilitati, da 6 a 20 lettere, simboli, spazi o numeri.

VolumeKeyProtectorID [out]

Tipo: stringa

Identificatore di stringa univoco aggiornato usato per gestire una protezione chiave del volume crittografata.

Se l'unità supporta la crittografia hardware e BitLocker non ha acquisito la proprietà della banda, la stringa ID è impostata su "BitLocker" e la protezione delle chiavi viene scritta in base ai metadati band.

Valore restituito

Tipo: uint32

Questo metodo restituisce uno dei codici seguenti o un altro codice di errore in caso di errore.

Considerazioni relative alla sicurezza

Per la sicurezza del computer, è consigliabile usare il profilo predefinito. Per una maggiore protezione dalle modifiche iniziali del codice di avvio, usare un profilo di pcr 0, 2, 4, 5, 8, 9, 10 e 11. Per una protezione aggiuntiva dalle modifiche alla configurazione di avvio anticipato, usare un profilo di richieste pull 0, 1, 2, 3, 4, 5, 8, 9, 10, 11.

La modifica dal profilo predefinito influisce sulla sicurezza o sull'usabilità del computer.

Commenti

Al massimo una protezione con chiave di tipo "TPM e PIN" può esistere per un volume in qualsiasi momento. Se si desidera modificare il nome visualizzato o il profilo di convalida della piattaforma usato da una protezione con chiave "TPM e PIN" esistente, è prima necessario rimuovere la protezione con chiave esistente e quindi chiamare ProtectKeyWithTPMAndPIN per crearne uno nuovo.

È necessario specificare protezioni con chiave aggiuntive per sbloccare il volume negli scenari di ripristino in cui non è possibile ottenere l'accesso alla chiave di crittografia del volume; Ad esempio, quando il TPM non può convalidare correttamente il profilo di convalida della piattaforma o quando il PIN viene perso.

Usare ProtectKeyWithExternalKey o ProtectKeyWithNumericalPassword per creare una o più protezioni con chiave per il ripristino di un volume altrimenti bloccato.

Anche se è possibile avere sia una protezione con chiave del tipo "TPM" che un altro del tipo "TPM e PIN", la presenza del tipo di protezione con chiave "TPM" nega gli effetti di altre protezioni con chiave basate su TPM.

I file MOF (Managed Object Format) contengono le definizioni per le classi WMI (Windows Management Instrumentation). I file MOF non vengono installati come parte di Windows SDK. Vengono installati nel server quando si aggiunge il ruolo associato usando il Server Manager. Per altre informazioni sui file MOF, vedere Managed Object Format (MOF).

Requisiti

Vedi anche

Win32_EncryptableVolume

Win32_Tpm