Linnéuniversitetet Projektrapport Grundläggande Operativsystem 1DV415 Uppstart av OS med resp. utan krypering Andreas Aspernäs, August Winberg 12 januari 2014
Sammanfattning Kryptering av hårddiskar blir allt mer intressant, men hur mycket påverkar krypteringen uppstartstid av datorn? Det som har testats i detta experiment är Bitlocker, som är Microsofts egna krypteringstjänst och följer med Enterprise utgåvorna av deras operativsystem. Metoden vi ska använda är tidtagning mellan två identiska datorer, en som har systemdisken krypterad och en dator utan kryptering på systemdisken. Det som kan komma att påverka resultatet är att i miljön används virtuella datorer istället för vanlig hårdvara. Våra förhoppningar var att ett tydligt resultat skulle kunna redovisas och vi trodde att den krypterad datorn skulle ha mätbart långsammare uppstartstid, det som dock visade sig i våra tester var att skillnaderna varierade så mycket att det inte gick att se någon märkbar skillnad.
1 Introduktion Det som ska jämföras i detta test är uppstartstid mellan en Windows 8.1 Enterprise maskin och en identisk maskin som har systemdisken krypterad med Bitlocker AES 256-bitars kryptering. Vi kommer använda oss av ett tidtagarur som vi startar när datorn startas. Tidtagaruret stoppas när vi har kommit in i skrivbordsmiljön. Vi har i vår studie inte kunnat hitta någon annan som har mätt skillnader i uppstartstid mellan Bitlocker kryptering och icke krypterat operativsystem och därför är det en intressant undersökning. Men andra [1] relaterade till prestandaundersökningar vid användningen av kryptering har lagt grunden till detta experiment. 1.1 Vad är Bitlocker? Bitlocker är en krypteringstjänst ifrån Microsoft som ska ge extra skydd på hårddiskarna. Krypteringen som används är AES. Två olika nivåer på krypteringen kan ställas in, antingen 128-bitar eller 256bitar. Alla inställningar går att implementera i en AD-domän via GPOer där man kan ställa in hur stark kryptering som ska användas, hur disken ska krypteras hela eller bara använd yta med mera. Bitlocker introducerades först till Windows Vista Ultimate samt Enterprise och Windows Server 2008 och finns med på alla server versioner fram tills nutid. [2] 1.2 Kort om AES AES (Advanced Encryption Standard), AES är ett symetriskt krypto som från början kallades Rijndael efter de belgiska skaparna Joan Daemen och Vincent Rijmen. De beslutade för att döpa det till AES då det blev standard efter att ha vunnit tävlingar. Vid kryptering körs en serie omvandlingar på filen i 10 runder för 128 bitars kryptering och 14 rundor med 256bitar. Den finns i längderna 128, 192 och 256 bitar. Bitlocker använder antingen 128 bitar eller 256 bitars kryptering [3]. 1.3 Krav för Bitlocker Bitlocker förlitar sig i första hand på ett TPM chip (Trusted Plattform Module) där en checksumma lagras som används för verifiering. Man kan även använda sig av pinkoder eller USB-minnen. Men rekomenderat av Microsoft är att använda sig av TPM lägst version 1.2 eller senare krävs. TPM krävs främst om man vill kryptera systemdisken då den med TPM har stöd för preboot check. I denna checken så kontrolleras att disken är monterad i datorn som har rätt att läsa innehållet på disken, Man kan under denna kontroll även kräva att användaren anger en pinkod eller ett USB-minne med en nyckel på för att ytterligare öka säkerheten. Hårddisken man vill använda krypteringen på måste vara formaterad med NTFS. 2
Operativsystem som stödjer Bitlocker Windows Vista Ultimate, Enterprise [4] Windows 7 Ultimate, Enterprise [5] Windows 8 och 8.1 Pro, Enterprise [6] [7] Windows Server från 2008 fram tills Windows Server 2012 r2 2 Experiment Målet med denna undersökning är att se om prestandaskillnader i en krypterad dator påverkar tiden det tar att starta upp datorn jämfört med uppstartstiden för en vanlig dator som inte är krypterad. Eftersom en krypterad dator måste lägga processortid åt att dekryptera en disk innan den kan läsa in operativsystemet till minnet så skulle det vara rimligt att förutse en viss skillnad i hur lång tid det tar från att datorn startas till att den kommer i ett läge då det går att använda den. 2.1 Beskrivning Experimentet kommer att utföras i tre delar. I det första steget är att skapa en miljö som det går att undersöka denna hypotes. För att få bättre och mer pålitliga resultat kommer alla test i denna laboration att ske på en och samma fysiska dator, men på två olika virtuella klienter. I det andra steget så aktiveras Bitlocker på den en av maskinerna. Efter att hårddisken har krypterats färdigt så kommer den virtuella klienten att stängas av och förberedas för nästa steg. I det tredje och sista momentet så genomförs de olika testen. Detta kommer att göras genom att den virtuella klienten från ett nerstängt läge startas upp och att tiden beräknas från det att Windows startar, tills att skrivbordet dyker upp och att det går att använda datorn. Tidtagningen kommer att utföras med ett vanligt tidtagarur. Därefter kommer det att göras en beräkning av mätresultaten för att få fram en genomsnittlig tid för uppstart av Windows i en krypterad vs. okrypterad miljö. 2.2 Genomförande Först skapas en testmiljö att utföra experimentet i. De konfigureras med var sin 16GB hårddisk och grundläggande inställningar. Operativsystemet valt för undersökning är senaste versionen av Windows 8.1 som installeras på de två virtuella klienterna och uppdateras med de senaste uppdateringarna från Windows update. Hårdvaruspecifikationerna för de två virtuella klienterna syns i tabell 1 och 2. 3
Memory 1GB Processors 4 Hard Disk (SCSI) 16GB CD/DVD (SATA) Using file L:\V irituellabs\f iles\cd\... Floppy Using file L:\V irituellabs\courses\... Network Adapter NAT USB Controller Present Sound Card Auto Detect Printer Present Display Present Memory 1GB Processors 4 Hard Disk (SCSI) 16GB CD/DVD (SATA) Using file L:\V irituellabs\f iles\cd\... Network Adapter NAT USB Controller Present Sound Card Auto Detect Printer Present Display Present Den huvudsakliga och egentliga skillnaden mellan dessa klienter är att den krypterade datorn har tillgång till en diskettläsare som den kommer att behöva för att aktivera Bitlocker på virtuella maskiner i detta experiment. I det andra momentet så aktiveras Bitlocker på den krypterade datorn. Den dator som ska förbli okrypterad är redan redo för undersökningen men den kommer att testas sist. Normalt sätt så används TPM för att hantera krypteringsnyckeln men virtuella maskiner stödjer inte alltid TPM och så var fallet under detta experiment. För att lösa detta kommer ett skript köras för att spara ner nyckeln på diskettläsaren. Den krypterade datorn har redan förberetts med en diskettläsare men innan den är redo att användas så måste den avaktiveras från bootsekvensen och det görs i BIOS setup på den virtuella klienten. För ställa så att en dator kan använda Bitlocker utan TPM måste en lokal gruppolicy sättas. Via Local Group Policy, Computer Configuration, Administrative Templates, Windows Components, Bitlocker Drive Encryption, Operating Systems Drives, så aktiveras Require additional authentication at startup. Följade inställningar konfigureras också: Allow Bitlocker without compatible TPM - krysas i Configure TPM at startup: Allow TPM Configure TPM startup PIN: Allow startup PIN with TPM Configure TPM startup key: Allow startup key with TPM Configure TPM startup key and PIN: Allow startup key and PIN with TPM 4
Via Local Group Policy, Computer Configuration, Administrative Templates, Windows Components, Bitlocker Drive Encryption, så konfigureras styrkan på krypteringen med Choose drive encryption method and cipher strenght. För detta experiment väljs AES 256-bit. För att aktivera själva Bitlocker så körs följade [8] i kommandotolken: cscript c:\w indows\system32\manage bde.wsf on C : rp ska : Skriptet talar om för datorn att den ska kryptera hårddisk C: och att nyckeln ska sparas på A: Den anger också krypteringsnyckeln den har skapat för diskrypteringen. Efter att Bitlocker aktiverats startas datorn om för att krypteringsprocessen av hårddisken ska starta. 5
Nu är maskinerna redo för att testas. Först genomförs alla test av den okrypterade datorn, därefter den krypterade. Datorn utgår från ett nerstängt läge och därefter startas den upp och tidtagningen startar. Klockan stoppas efter att Windows har startat upp och skrivbordsmiljön visas eftersom det vid det läget går att börja använda datorn. 2.3 Resultat Resultatet av våra tester visar att det inte skiljer någon större tid vid uppstart utan varierar. För att få bättre och mer rimliga resultat har vi genomfört 12 test på varje datorn. Två av dem bedömdes vara felaktiga då de drog över tiden till orimliga propotioner. Kvar blev 11 test som har användts detta slutresultat. Efter att alla försök på båda datorerna hade genomförsts så gjordes ytterligare ett test på den okrypterade datorn som testades först. Detta gjordes för att se om prestandan i datorerna eller i nätverket hade påverkats under tid och på så sätt påverkat resultatet. Kontrollen var inom felmarginalen och de tidigare resultaten godkändes. I fig:1 ser vi att varje enskilt test varierar i hög grad utan något speciellt mönster, vilket antydar om yttre påverkan. Fig:2 visar att medelvärdet för alla test är nästan den samma, men att den okrypterade är något långsammare, vilket inte stämmer med vårt antagande. Skillnanden är dock inom felmarginalen och är då i princip försumbar. Figur 1: Testresultat 6
3 Slutsatser Figur 2: Medelvärde Vi hade gärna sett tydligare skillnader i våra mätningar eftersom att vi i dagsläget har stora variationer från mätning till mätning utan tydliga mönster. Då mätningarna utfördes i följd så borde de inte variera så mycket utan ge jämnare resultat än vad vi fick ut. Mycket av detta beror på att vi gjorde mätningarna i virtuella maskiner istället för på fysisk hårdvara. Detta är något vi skulle göra istället om vi gjorde om testet då resultaten skulle vara mer korrekta. Eftersom att hårddiskarna sparas på serverar i nätverket gör detta att vi får fördröjningar när nätverket är högtbelastat, detta är inte önskvärt när man gör testerna då resultatet påverkas. Då hårddisken endast är på 16 gigabyte så är det möjligt att en större hårddisk hade gett större skillnader mellan de olika testobjekten. Då vi endast har operativsystemet installerat på disken så skulle resultatet säkert sett annorlunda ut om diskarna varit mer fyllda med data, detta hade varit intressant att testa i framtiden. 7
Litteraturförteckning [1] S. Ahlstedt and D. Granath Karlsson, Diskkrypteringsprestanda i gnu/linux, 2013, to appear. [2] Bitlocker overview, Jan. 2014. [Online]. Available: http://technet. microsoft.com/en-us/library/cc732774.aspx [3] H. Lunell, Datorn i världen, världen i datorn : en introduktion till dataoch informationsteknik / Hans Lunell. Lund : Studentlitteratur, 2011 (Spanien), 2011. [Online]. Available: http://proxy.lnu.se/login?url=http: //search.ebscohost.com/login.aspx?direct=true&db=cat00750a&an= lineu.540942&lang=sv&site=eds-live&scope=site [4] Bitlocker vista, Jan. 2014. [Online]. Available: http://technet.microsoft. com/en-us/library/cc725719(v=ws.10).aspx [5] Bitlocker windows7, Jan. 2014. [Online]. Available: http://technet. microsoft.com/en-us/library/dd835565(v=ws.10).aspx [6] Bitlocker windows8, Jan. 2014. [Online]. Available: http://technet. microsoft.com/en-us/library/dn306081.aspx [7] Bitlocker windows8, Jan. 2014. [Online]. Available: http://technet. microsoft.com/en-us/library/hh831412.aspx [8] J. Brown. (2010, 11) Using bitlocker without tpm support in a virtual machine. [Online]. Available: http://blog.jbrown.ca/ 8