使用 bitlocker 保护源代码

Question

我们需要在客户站点部署一个基于 Web 的应用程序，该应用程序位于其本地内联网内。

我们的部分要求是提供一些基本的安全措施来保护我们的 IP。我意识到没有什么是 100% 保证可以解决的，但我们只是想让大多数人更难做到这一点。

该服务器将运行 Server 2008，我正在考虑使用 BitLocker 作为一种廉价但不雅的方式来保护它。

据我所知，假设主板支持它，我们可以使用透明 bitlocker 模式，这意味着将硬盘移动到另一台电脑将意味着硬盘在该机器上将无法读取，除非某种冷启动攻击窃取加密密钥。

这个假设正确吗？如果主板或电脑中的任何其他组件出现故障，我们需要更换它，我们是否会失去对数据的访问权限，或者有没有办法解密它（显然只有我们公司可以访问）

编辑：我们确实有涵盖此问题的法律文件，我们将物理锁定 PC，客户将无法访问 PC（Windows 登录），除非通过我们在 PC 上托管的网站

Answer 1

BitLocker 提供全盘加密，并有多种方式保护加密密钥。其中一种方法是使用 TPM 芯片，它通常是主板的一部分（尽管有些计算机使用 LPC 总线连接芯片）。如果您的主板已经有 TPM，那么它可以存储加密密钥。

初始化 BitLocker 时，系统会提示您保存或打印恢复密钥。这是在 TPM 无法提供密钥的情况下使用的（最常见的原因是有人弄乱了 BIOS 设置、Windows 启动设置或进行了 BIOS 升级）。

如果没有恢复密钥，将硬盘移至另一台机器或干扰计算机的启动方式，将导致硬盘无法读取。请保护好恢复密钥，否则您将在某个时候被锁定在系统之外。

正如其他人指出的那样，一旦系统运行，Windows 就会对加密视而不见。如果您将操作系统配置为没有访问控制来阻止某人查看文件，那么文件将不受保护。BitLocker 可防止某人拿走驱动器并获取任何有用的东西，但它不会像配置的那样保护驱动器免受操作系统的侵害。

Answer 2

如果您的机器硬件出现故障，您可以使用恢复密钥恢复数据。

话虽如此，如果他们要对机器进行物理访问，Bitlocker 似乎不是一个好的选择，因为一旦运行，数据就会被解密。就我个人而言，我永远不会在我的环境中部署使用我没有的密钥加密的服务器。

即使他们不被允许登录到该机器（这也是另一个令人讨厌的地方），他们也可以使用 wget/curl 获取服务器上的所有 Web 内容，然后在另一台机器上进行解析。你实际上并没有保护任何东西。

我认为您想要的是向您的客户签发标准保密协议。您似乎遇到了政策/许可问题，而不是技术问题。