第16回　データを保護するBitLocker暗号化：Windows 8レボリューション（1/2 ページ）

連載目次

　今回は、Windows 8に統合されているディスクの暗号化機能「BitLocker」の概要と設定手順について見ていく。Windows 8 Pro／Enterpriseであれば追加費用は不要である。

BitLockerとは

　BitLockerは、Windows Vista／Windows Server 2008から導入された、ハードディスクやリムーバブル・メディア（USBメモリなど）の内容を暗号化してセキュリティを確保する機能である。データを暗号化しているため、例えば紛失や盗難などでディスクだけが盗まれたとしてもデータを読み出すことができなくなる。実際にはデータが読めないわけではなく、暗号化されているだけなので、時間をかければ解読されてしまう可能性があるが、現状では十分安全な方式といえる（ただしパスワードが短すぎると安全性が低くなるので、なるべく複雑で長いものにするなどの対策が必須である）。

BitLockerで暗号化されたディスクの例
BitLockerでディスクを暗号化しておくと、ユーザーが正しいパスワードを入力したり、登録されたUSBメモリなどをシステムに挿入しない限り、システムを起動したり、データを読み出したりできない。ディスクが盗難にあったり、紛失したりしても、内容が暗号化されているので、簡単には読み出せなくなる。
　 （1）起動ドライブ（C:）をBitLockerで暗号化している。開いている鍵（錠）の絵は、暗号化が解除されていることを表す。
　 （2）暗号化されたリムーバブル・メディアの例。鍵が閉じているのは、まだロックがかかっている状態を表す。
　 （3）暗号化されたリムーバブル・メディアを開こうとすると、このようなダイアログが表示され、正しいパスワードを入力しないとアクセスできない。

　BitLockerそのものについてはここでは詳しく触れないので、必要なら以下のサイトなどを参照していただきたい。

• Windows 8のBitLocker の概要（TechNetサイト）
• BitLocker に関してよく寄せられる質問 (FAQ) （TechNetサイト）

　最初にWindows 8のBitLockerにおける用語などについて、簡単にまとめておく。

Windows 8のBitLocker

　Windows 8（およびWindows Server 2012）ではBitLockerの機能もいくらか改善されているが、その主な改善点を次に示しておく。

　利用できる暗号化の機能（方法）などは、対象となるボリュームのタイプによって異なる。次の表から分かるように、Windows OSのブートに利用するシステム・ボリュームではTPMが使用されるが、ユーザー・データ・ボリュームではTPMは使われず、パスワードのみが使用される。データ・ボリュームはシステムから取り外されることがあるため、TPMには依存しない暗号化方法が使われている。

　これを見ると分かるように、システム・ボリューム（Windows 8をインストールしているC:ドライブ）を暗号化するには、TPMを使う方法が4つある。TPMを使うと一番簡単にシステムを暗号化できるが、システムごと（つまりハードディスクとTPMを）まとめて盗難にあえば、パスワードをクラックしてデータを解析されてしまう可能性がある。これに対してTPMだけでなく、スタートップ・キーやPINコードも併用していれば解析しにくくなるので、可能ならば併用するのが望ましい。

BitLockerの必要要件、インストール

　BitLocker暗号化機能は、Windows 8のProとEnterpriseエディション（x86かx64）、およびWindows RT（ARMアーキテクチャのWindows 8）で利用できる（Windows Server 2012でも利用可能）。Windows 8の無印エディションでは利用できないが、なぜかWindows RTではサポートされている（例えばMicrosoftのタブレットPC「Surface RT」はC:ドライブが暗号化された状態で出荷されている）。また必須ではないものの、暗号化をハードウェア・サポートするTPMがあれば利用される。

Windows RTのBitLocker機能
Windows RTを搭載したMicrosoftのタブレットPC「Surface RT」はTPM 2.0セキュリティ・チップを持っており（必須ではないので、TPMを持たないシステムも少なくない）、最初からC:ドライブがBitLockerで暗号化されている（英語モデルの場合）。紛失や盗難の危険性などが高いことを考えると、モバイルでこそBitLockerが有用といえるだろう。

システム・ドライブのBitLocker暗号化

　それでは実際にBitLockerを使ってみよう。まずはTPMが搭載されているWindows 8システムで、システム・ドライブ（C:）を暗号化してみる。

　C:ドライブを暗号化するには、ドライブ名を右クリックして、ポップアップ・メニューから［BitLocker を有効にする］を選択するか、BitLockerの管理ツールを起動してドライブごとに暗号化の有効／無効を設定する。BitLockerの管理ツールは、コントロール・パネルの「システムとセキュリティ」グループを開いて、「BitLockerドライブ暗号化」というツールをクリックして起動する。Windows RTの場合はコントロール・パネルには登録されていないようなので、［Windows］＋［Q］の検索チャームで、「BitLocker」を検索するとよいだろう。BitLocker機能はあらかじめインストールされているので、Windowsの機能として追加インストールする必要はない。

BitLockerの有効化
ドライブ名を選んで右クリックしてBitLockerを有効にする。
　 （1）暗号化したいドライブを選んで右クリックする。
　 （2）これを選択する。

　ウィザードの最初の画面では、回復キーをどこの保存するかを設定する。「ファイルに保存する」と「回復キーを印刷する」は以前のWindows OSでも利用できたが、Windows 8にMicrosoftアカウントでサインインしていると、「Microsoftアカウントに保存する」という選択肢が表示される（Microsoftアカウントを使用しないで、ローカル・アカウントやドメイン・アカウントでサインインしている場合は使用できない）。

回復キーのバックアップ方法
回復キーは非常に重要なデータなので、さまざまな方法でバックアップできるようになっている。Windows 8ではMicrosoftアカウントを使ってSkyDrive上へ保存できる。複数の方法を併用して保存しておくこと。
　 （1）SkyDrive上へ保存する場合はこれを選択する。
　 （2）ファイルとして保存する場合はこれを選択する。暗号化の対象ドライブには保存できない。
　 （3）回復キーは48桁の数字列なので、印刷して保管しておいてもよい。

　（1）を選んでMicrosoftアカウントに保存させると、回復キーのデータは指定したアカウントのSkyDrive上に保存される。保存された回復キーは、以下のURLにアクセスすれば確認できる。

• SkyDrive上の回復キーのサイト：「http://windows.microsoft.com/recoverykey」または「http://skydrive.com/recoverykey」

　このURLにアクセスしてサインインすると、Microsoftアカウントとして登録したメール・アドレスに確認用のメールが送信されるので、メールを開いてそこに書かれている数字コードを確認し、それを指定されたページに貼り付ける。すると次のような回復キーが確認できる。今後回復キーが必要になった場合は、ここからキーの値をコピーして使えばよい。

SkyDrive上に保存したBitLockerの回復キー
BitLockerの回復キーをSkyDrive上に保存することにより、ローカルのディスク上や紙のメモなどで保存しなくてもよくなり、紛失の危険性を軽減できる。

　ウィザードの次の画面では暗号化を行う範囲を指定する。以前のBitLockerではまずボリューム全体を暗号化していたが、Windows 8では現在使用中の部分のみを暗号化できるようになった。そのため大幅に初期化の時間が短縮されている。ただし未初期化部分のデータはそのまま残っているので、もしディスク全体をダンプ出力すれば、以前のデータの痕跡が見えてしまう可能性がある。それが心配ならボリューム全体を暗号化すればよいだろう。

初期化作業における暗号化の範囲の選択
従来はまずディスク全体を暗号化していたので時間がかかっていたが、Windows 8では使用中の部分のみを暗号化できる。
　 （1）使用中のファイルのみを暗号化する。
　 （2）全ディスク領域を暗号化する。ファイルを復旧させたりした場合に、暗号化が解除されている恐れがあるので、新規インストール以外ではこちらを推奨。

　次の画面では、システム・チェックをするかどうかを設定する。

システム・チェックの確認画面
TPMなどが正しくアクセスできるかどうかを確認する。

　「続行」をクリックすると再起動の確認画面が表示されるので、再起動させる。システムを再起動後、再サインインすると、初期化（暗号化処理）が開始される。BitLockerの管理ツールを開けば進行状態をチェックできる。使用しているディスクのサイズにもよるが、完了までは数十分はかかるだろう。とはいえ、バックグラウンドで順次処理されるので、初期化中でも通常の作業をしていても構わない。

　全部終わると次のようになる。

暗号化完了後の状態
システムを再起動すると暗号化が始まる。暗号化している間は「BitLockerが暗号化中です」と表示されており、数十分すると暗号化が完了する。
　 （1）暗号化が完了したかどうかはこれで確認できる。コマンド・ラインで確認するになら、「manage-bde -status c:」というコマンドを使えばよい。
　 （2）BitLockerで暗号化され、それが解除されているとこのようなマークが表示される。
　 （3）システムのメンテナンスなどで一時的に保護を中断したい場合はこれを実行する。
　 （4）回復キーを新たに保存する場合はこれを実行する。
　 （5）暗号化をやめて、元の状態にするにはこれを実行する。

　このシステムはTPMを持っていたため、システム・ドライブでもBitLockerを有効にできたし、再起動時にもユーザーがするべき操作は何もない。暗号化のキー・データはTPMチップ上に保存され、システム起動時に自動的にロードされているので、何も操作しなくても自動的に暗号化やその解除が行われている。

　だがこれはセキュリティ的にはやや脆弱だろう。ユーザーから見ると、BitLocker暗号化を行っていないシステムの場合と同じであり、ユーザー名とパスワードさえ分かれば、ディスクの内容を見ることができるからだ（システムから取り外したディスクをほかのPCで見ることはできない）。そこで、必要ならPINコードやスタートアップ・キー（USBメモリ）によるセキュリティも同時に取り入れた方がよいだろう。そのためには、manage-bde.exeコマンド（BitLockerの管理用コマンドの1つ）で操作したり、（次の項目で述べる）グループ・ポリシー設定を変更してからもう一度初期化し直すなど、いろいろ方法がある。