Método ProtectKeyWithTPM da classe Win32_EncryptableVolume
O método ProtectKeyWithTPM da classe Win32_EncryptableVolume protege a chave de criptografia do volume usando o Hardware de Segurança do TPM (Trusted Platform Module) no computador, se disponível.
Um protetor de chave do tipo "TPM" será criado para o volume, se ainda não existir.
Esse método só é aplicável ao volume que contém o sistema operacional em execução no momento e se um protetor de chave ainda não existir no volume.
Sintaxe
uint32 ProtectKeyWithTPM(
[in, optional] string FriendlyName,
[in, optional] uint8 PlatformValidationProfile[],
[out] string VolumeKeyProtectorID
);
Parâmetros
-
FriendlyName [in, opcional]
-
Tipo: cadeia de caracteres
Uma cadeia de caracteres que especifica um identificador de cadeia de caracteres atribuído pelo usuário para esse protetor de chave. Se esse parâmetro não for especificado, um valor em branco será usado.
-
PlatformValidationProfile [in, opcional]
-
Tipo: uint8[]
Uma matriz de inteiros que especifica como o Hardware de Segurança do TPM (Trusted Platform Module) do computador protege a chave de criptografia do volume de disco.
Um perfil de validação de plataforma consiste em um conjunto de índices de PCR (Registro de Configuração de Plataforma) que variam de 0 a 23, inclusive. Os valores de repetição no parâmetro são ignorados. Cada índice PCR é associado aos serviços executados quando o sistema operacional é iniciado. Sempre que o computador for iniciado, o TPM marcar que os serviços especificados no perfil de validação da plataforma não tenham sido alterados. Se qualquer um desses serviços mudar enquanto a proteção BDE (Criptografia de Unidade de Disco) do BitLocker permanecer ativada, o TPM não liberará a chave de criptografia para desbloquear o volume de disco e o computador entrará no modo de recuperação.
Se esse parâmetro for especificado enquanto a configuração de Política de Grupo correspondente tiver sido habilitada, ele deverá corresponder à configuração de Política de Grupo.
Se esse parâmetro não for especificado, o padrão de 0, 2, 4, 5, 8, 9, 10 e 11 será usado. O perfil de validação de plataforma padrão protege a chave de criptografia contra alterações na CRTM (Raiz Principal de Confiança de Medida), BIOS e Extensões de Plataforma (PCR 0), Código DE Opção ROM (PCR 2), código MBR (Registro mestre de inicialização) (PCR 4), tabela de partição MBR (Registro mestre de inicialização) (PCR 5), setor de inicialização NTFS (PCR 8), código de inicialização NTFS (PCR 9), o Gerenciador de Inicialização (PCR 10) e o Controle de Acesso de Criptografia de Unidade do BitLocker (PCR 11). Para a segurança do computador, recomendamos o perfil padrão. Os computadores baseados em UEFI (Unified Extensible Firmware Interface) não usam o PCR 5 por padrão. Para proteção adicional contra alterações de configuração de inicialização antecipadas, use um perfil de PCRs 0, 1, 2, 3, 4, 5, 8, 9, 10, 11.
A alteração do perfil padrão afeta a segurança e a capacidade de gerenciamento do computador. A sensibilidade do BitLocker às modificações de plataforma (mal-intencionadas ou autorizadas) é aumentada ou reduzida dependendo da inclusão ou exclusão, respectivamente, dos PCRs. Para que a proteção do BitLocker seja habilitada, o perfil de validação da plataforma deve incluir o PCR 11.
Valor Significado - 0
Raiz principal de crtm (confiança de medida), BIOS e extensões de plataforma. - 1
Configuração e dados da plataforma e da placa-mãe - 2
Código ROM de opção - 3
Configuração e dados de ROM de opção - 4
Código MBR (registro de inicialização mestre) - 5
Tabela de partição MBR (Registro mestre de inicialização) - 6
Eventos de transição e ativação de estado - 7
Computador Manufacturer-Specific - 8
Setor de Inicialização do NTFS - 9
Código de inicialização NTFS - 10
Gerenciador de Inicialização - 11
Controle de Acesso de criptografia de unidade do BitLocker - 12
Definido para uso pelo sistema operacional estático - 13
Definido para uso pelo sistema operacional estático - 14
Definido para uso pelo sistema operacional estático - 15
Definido para uso pelo sistema operacional estático - 16
Usado para depuração - 17
CRTM dinâmico - 18
Plataforma definida - 19
Usado pelo sistema operacional confiável - 20
Usado pelo sistema operacional confiável - 21
Usado pelo sistema operacional confiável - 22
Usado pelo sistema operacional confiável - 23
Suporte a aplicativos -
VolumeKeyProtectorID [out]
-
Tipo: cadeia de caracteres
Uma cadeia de caracteres que identifica exclusivamente o protetor criado e que pode ser usado para gerenciar o protetor de chave.
Se a unidade der suporte à criptografia de hardware e o BitLocker não tiver tomado a propriedade da banda, a cadeia de caracteres de ID será definida como "BitLocker" e o protetor de chave será gravado por metadados de banda.
Valor retornado
Tipo: uint32
Esse método retornará um dos códigos a seguir ou outro código de erro se falhar.
| Retornar código/valor | Descrição |
|---|---|
|
O método foi bem-sucedido. |
|
O volume está bloqueado. |
|
Nenhum TPM compatível é encontrado neste computador. |
|
O TPM não pode proteger a chave de criptografia do volume porque o volume não contém o sistema operacional em execução no momento. |
|
O parâmetro PlatformValidationProfile é fornecido, mas seus valores não estão dentro do intervalo conhecido ou não corresponde à configuração de Política de Grupo atualmente em vigor. |
|
Um protetor de chave desse tipo já existe. |
Considerações de segurança
Para a segurança do computador, recomendamos o perfil padrão. Para proteção adicional contra alterações de configuração de inicialização antecipadas, use um perfil de PCRs 0, 1, 2, 3, 4, 5, 8, 9, 10, 11.
A alteração do perfil padrão afeta a segurança ou a usabilidade do computador.
Comentários
No máximo, um protetor de chave do tipo "TPM" pode existir para um volume a qualquer momento. Se você quiser alterar o nome de exibição ou o perfil de validação da plataforma usado por um protetor de chave "TPM" existente, primeiro remova o protetor de chaves existente e chame ProtectKeyWithTPM para criar um novo.
Para índices PCR de 0 a 5, as medidas atuais nos registros são usadas para proteger a chave de criptografia. Para os valores de PCR de 8 a 11, as medidas usadas são as que devem existir no próximo ciclo de início.
Protetores de chave adicionais devem ser especificados para desbloquear o volume em cenários de recuperação em que o acesso à chave de criptografia do volume não pode ser obtido; por exemplo, quando o TPM não consegue validar com êxito o perfil de validação da plataforma. Use ProtectKeyWithExternalKey ou ProtectKeyWithNumericalPassword para criar um ou mais protetores de chave para recuperar um volume bloqueado de outra forma.
Os arquivos MOF (Managed Object Format) contêm as definições para classes WMI (Instrumentação de Gerenciamento do Windows). Os arquivos MOF não são instalados como parte do SDK do Windows. Eles são instalados no servidor quando você adiciona a função associada usando o Gerenciador do Servidor. Para obter mais informações sobre arquivos MOF, consulte MOF (Managed Object Format).
Requisitos
| Requisito | Valor |
|---|---|
| Cliente mínimo com suporte |
Windows Vista Enterprise, Windows Vista Ultimate [somente aplicativos da área de trabalho] |
| Servidor mínimo com suporte |
Windows Server 2008 [somente aplicativos da área de trabalho] |
| Namespace |
Root\CIMV2\Security\MicrosoftVolumeEncryption |
| MOF |
|
Confira também