Microsoft führt hardwarebeschleunigtes BitLocker in Windows 11 ein
Microsoft führt hardwarebeschleunigtes BitLocker in Windows 11 ein, um den wachsenden Anforderungen an Leistung und Sicherheit gerecht zu werden, indem es die Fähigkeiten von System-on-a-Chip und CPU nutzt.
BitLocker ist die native vollständige Festplattenverschlüsselungsfunktion in Windows, die Daten vor dem Lesen ohne ordnungsgemäße Authentifizierung schützt. Während des normalen Geräte-Starts stützt es sich auf das Trusted Platform Module (TPM), um Verschlüsselungsschlüssel sicher zu verwalten und das Laufwerk automatisch zu entsperren.
Microsoft gibt an, dass mit der Leistungssteigerung von NVMe-Speichern (Non-Volatile Memory Express) die kryptografischen Vorgänge von BitLocker einen deutlicheren Einfluss auf die Leistung bei Gaming- und Videobearbeitungsaktivitäten haben.
Mit Hardwarebeschleunigung können umfangreiche kryptografische Operationen auf System-on-a-Chip-Komponenten (SoC) ausgelagert werden, die mit Hardware-Sicherheitsmodulen (HSMs) und vertrauenswürdigen Ausführungsumgebungen (TEEs) ausgestattet sind, wodurch die kryptografische Leistung erheblich verbessert wird. Dies reduziert natürlich die CPU-Auslastung und verbessert die Gesamtleistung des Systems.
Bei der Aktivierung von BitLocker verwenden unterstützte Geräte mit NVMe-Laufwerken und einem der neuen SoCs mit Krypto-Offload-Fähigkeit standardmäßig hardwarebeschleunigtes BitLocker mit dem XTS-AES-256-Algorithmus.
Dies umfasst die automatische Geräteverschlüsselung, die manuelle Aktivierung von BitLocker, die richtliniengesteuerte Aktivierung oder die skriptbasierte Aktivierung mit einigen Ausnahmen.
In tatsächlichen Tests hatte das hardwarebeschleunigte BitLocker im Vergleich zum softwarebasierten BitLocker etwa 70 % weniger CPU-Zyklen pro E/A, obwohl die Ergebnisse je nach Hardware variieren.
Zusätzlich zu den Leistungssteigerungen verwendet BitLocker jetzt hardwaregeschützte Schlüssel, wodurch deren Anfälligkeit für Cyberangriffe auf CPU und Speicher minimiert und die Gesamtsicherheit neben dem TPM-basierten (Trusted Platform Module) Schlüsselschutz verbessert wird.
Laut Microsoft ist damit der Weg frei, BitLocker-Schlüssel aus der CPU und dem Speicher zu entfernen.
Das neue BitLocker ist ab Windows 11 24H2 verfügbar, sofern die September-Updates installiert sind, sowie unter Windows 11 25H2.
Die anfängliche Unterstützung wird für Intel vPro-Systeme mit Intel Core Ultra Series 3-Prozessoren ("Panther Lake") verfügbar sein, aber andere SoC-Anbieter werden nach und nach hinzugefügt.
Benutzer können ihren BitLocker-Modus überprüfen, indem sie den Befehlmanage-bde -status
ausführen.
Microsoft weist darauf hin, dass BitLocker standardmäßig im softwarebasierten Modus läuft, wenn nicht unterstützte Algorithmen verwendet werden, die Schlüsselgrößen manuell festgelegt werden, Unternehmensrichtlinien nicht unterstützte Schlüsselgrößen oder Algorithmen vorschreiben und wenn der FIPS-Modus aktiviert ist und das SoC keine FIPS-zertifizierten Krypto-Offload- und Key-Wrapping-Funktionen meldet.