Full Disk Encryption چیست و چه کاربردی دارد؟

ESET Full Disk Encryption (EFDE) اطلاعات ذخیره‌شده روی دیسک کامپیوتر را با الگوریتم AES-256 رمزگذاری می‌کند. اگر لپ‌تاپ گم شود یا دیسک آن به سرقت برود، بدون احراز هویت مناسب، دسترسی معمول به داده‌های رمزگذاری‌شده امکان‌پذیر نیست.

این ابزار از طریق ESET PROTECT On-Prem مدیریت می‌شود و می‌توان رمزگذاری دیسک سیستم یا همه دیسک‌های داخلی پشتیبانی‌شده را برای کلاینت‌های سازمانی اعمال کرد. رمزگذاری دیسک جایگزین آنتی‌ویروس یا نسخه پشتیبان نیست؛ در یک نشست باز ویندوز، فایل‌ها همچنان در دسترس کاربر مجاز و برنامه‌هایی هستند که با مجوز او اجرا می‌شوند.

مرحله اول: نصب و فعال‌سازی ESET Full Disk Encryption

1. مطمئن شوید کلاینت با ESET Management Agent به ESET PROTECT On-Prem متصل است و اشتراک معتبر ESET Full Disk Encryption در کنسول وجود دارد. پیش از شروع از فایل‌های مهم نسخه پشتیبان تهیه کنید.
2. در کنسول وارد Computers شوید، کلاینت مقصد را انتخاب کنید و مسیر Perform Tasks > New Task را باز کنید. نوع تسک را Software Install قرار دهید. راه دیگر، ایجاد تسک از مسیر Tasks > Client Tasks > New Client Task است.
3. از Repository، بسته ESET Full Disk Encryption را انتخاب کنید. اشتراک معتبر EFDE را برای فعال‌سازی در زمان نصب انتخاب کنید، شرایط استفاده را تأیید کنید و تسک را برای کلاینت اجرا کنید. اگر برنامه بدون اشتراک نصب شده، پیش از رمزگذاری آن را با تسک فعال‌سازی محصول یا ماژول در کنسول فعال کنید.
4. پس از نصب، وضعیت نصب و فعال‌بودن EFDE را بررسی کنید. راه‌اندازی مجدد دستگاه برای تکمیل نصب لازم است؛ رمزگذاری پیش از این راه‌اندازی مجدد شروع نمی‌شود.

روش اختیاری: نصب با رمز Pre-Boot از پیش تعیین‌شده

اگر می‌خواهید دستگاه بدون نیاز به تعیین رمز اولیه توسط کاربر وارد فرایند رمزگذاری شود، هنگام ساخت تسک Software Install، در بخش Installation parameters هر دو مقدار زیر را وارد کنید:

نکته: این دو پارامتر باید هم‌زمان وارد شوند. بعد از نصب، فعال‌سازی و اعمال Policy، دستگاه وارد مرحله Safe Start می‌شود و پس از موفقیت آن، رمزگذاری با رمز از پیش تعیین‌شده آغاز خواهد شد. در راه‌اندازی‌های بعدی، کاربر باید همان رمز اولیه را وارد کند. مدیر شبکه می‌تواند پس از تحویل دستگاه با تسک Invalidate FDE Login Password کاربر را ملزم به ساخت رمز شخصی کند.

این شیوه در مستندات ESET برای نسخه EFDE 1.3.0.x تشریح شده است؛ پیش از استفاده از پارامترها در نسخه نصب‌شده خود، پشتیبانی آن‌ها را بررسی کنید. برای کاهش ریسک، رمز اولیه را در مستندات عمومی یا تسک‌های قابل مشاهده برای افراد غیرمجاز افشا نکنید.

منبع رسمی ESET: نصب با رمز از پیش تعیین‌شده

مرحله دوم: اعمال Policy و آغاز رمزگذاری دیسک

1. پس از اطمینان از نصب و فعال‌سازی EFDE، در کنسول ESET PROTECT On-Prem وارد Policies شوید، Policy جدیدی با محصول ESET Full Disk Encryption بسازید و در قسمت Encryption Options گزینه Enable Encryption را فعال کنید.
2. بر اساس نیاز یکی از گزینه‌های Encrypt Boot Disk Only یا Encrypt All Disks را انتخاب کنید. شرایط رمز عبور را در Password Policies مشخص کنید.
3. Policy را به کلاینت نصب‌شده اختصاص دهید. دستگاه وارد مراحل Safe Start می‌شود. در نصب معمولی، کاربر رمز Pre-Boot را تنظیم می‌کند؛ در روش نصب با رمز از پیش تعیین‌شده، از رمز اولیه ثبت‌شده در پارامترهای نصب استفاده می‌شود.
4. پیشرفت و پایان عملیات را در Computer Details در کنسول یا در برنامه EFDE روی کلاینت بررسی کنید.

Pre-Boot چیست و چگونه کار می‌کند؟

Pre-Boot Authentication لایه‌ای از احراز هویت است که پیش از ورود به ویندوز نمایش داده می‌شود. کاربر باید رمز تعیین‌شده برای EFDE را وارد کند تا دیسک باز شود و راه‌اندازی ویندوز ادامه یابد. پس از فعال‌سازی و پایان رمزگذاری، این صفحه در راه‌اندازی‌های بعدی ظاهر می‌شود.

در نصب معمولی، کاربر پس از Safe Start رمز Pre-Boot را طبق سیاست مدیر شبکه انتخاب می‌کند. اگر نصب با STARTUPPASSWORD انجام شده باشد، همان رمز از پیش تعیین‌شده برای راه‌اندازی‌های اولیه استفاده می‌شود. قابلیت Single Sign-On در محیط‌های دامینی پشتیبانی‌شده می‌تواند رمز Pre-Boot را با رمز دامنه هماهنگ کند؛ این تنظیم اختیاری است.

در صفحه Pre-Boot، کلید F1 منوی تغییر رمز و بازیابی رمز را باز می‌کند؛ F5 برای نمایش رمز و F8 برای چرخاندن تصویر کاربرد دارد. در حالت Single Sign-On، گزینه تغییر رمز از این منو در دسترس نیست.

غیرفعال‌سازی رمزگذاری و حذف ابزار

برای غیرفعال‌کردن EFDE باید ابتدا دیسک‌ها را رمزگشایی (Decrypt) کنید. صرفاً حذف نرم‌افزار یا حذف Policy به معنای رمزگشایی دیسک نیست.

1. در ESET PROTECT On-Prem، همه Policyهای قبلی EFDE که به دستگاه اعمال شده‌اند را حذف انتساب کنید.
2. یک Policy جدید EFDE بسازید و در Encryption Options گزینه Enable Encryption را غیرفعال کنید.
3. Policy جدید را به کلاینت اختصاص دهید و تا پایان فرآیند Decryption منتظر بمانید. نتیجه باید در Computer Details به شکل Encryption Inactive نمایش داده شود.
4. پس از رمزگشایی کامل تمام درایوها، در صورت نیاز از مسیر Tasks > Client Tasks > New Client Task > Software Uninstall نرم‌افزار ESET Full Disk Encryption را حذف کنید.

اگر رمز Pre-Boot فراموش شد چه کنیم؟

در صفحه Pre-Boot کلید F1 را فشار دهید و Password Recovery را انتخاب کنید. مدیر شبکه می‌تواند در کنسول، از مسیر Computer Details > Overview > ESET Full Disk Encryption > Manage > Restore Access رمز بازیابی را بر اساس Recovery Index دستگاه دریافت کند. در صورت شناسایی‌نشدن دستگاه از بخش Help > Encryption Recovery و شناسه Workstation ID استفاده می‌شود.

اگر به‌دلیل خرابی سیستم، ورود معمول یا بازیابی رمز ممکن نباشد، ESET امکان ایجاد رسانه بازیابی رمزگذاری‌شده با ابزار ESET Recovery Media Creator را فراهم کرده است. این فرایند تخصصی است و باید توسط مدیر شبکه انجام شود.