Cifrado de discos

El cifrado de discos permite proteger los datos en las estaciones contra el acceso no autorizado. Las unidades se cifran de forma transparente y un sistema de autenticación de arranque (POA) evita el acceso no autorizado antes de iniciarse el sistema operativo. El cifrado de discos se puede administrar desde Sophos Enterprise Console 5.1.

Requisitos del agente de Sophos Disk Encryption

*  La instalación requiere al menos 300 MB. De los cuales, al menos 100 MB deben ser continuos para el agente de Sophos Disk Encryption. Se recomienda desfragmentar el disco si dispone de menos de 5 GB libres y el sistema operativo no se ha instalado recientemente. Si no dispone de este espacio continuo, no se podrá realizar la instalación.

** Cantidad de memoria recomendada. Sophos Disk Encryption no utiliza toda esta memoria.

Software necesario: Internet Explorer versión 6.0 o posterior

Idiomas disponibles: Inglés, francés, alemán, italiano, japonés y español

Requisitos de SafeGuard Policy Editor

Sólo necesita instalar SafeGuard Policy Editor 5.61 si dispone de diferentes entornos independientes con Sophos SafeGuard Disk Encryption/SafeGuard Easy 5.x con certificados diferentes y desea unificarlos (para lo que deberá realizar un cambio de certificado en SafeGuard Policy Editor 5.61).

* Cantidad de memoria recomendada. SafeGuard Policy Editor no utiliza toda esta memoria.

Software necesario: .NET Framework 3.0 SP1

Idiomas disponibles: Inglés, francés, alemán y japonés

General

• Cliente Novell

  Para poder utilizar Sophos Disk Encryption 5.61 junto con el cliente Novell, se deben realizar ciertos cambios. Póngase en contacto con soporte técnico de Sophos para más información.

• El cambio rápido de usuario no es compatible y debe desactivarse.

  Antes de comenzar la instalación se comprueba que sólo un usuario tiene iniciada la sesión. No es posible iniciar otra sesión durante la instalación.

• Disquetera

  Tras la instalación de Sophos Disk Encryption 5.61 en Windows Vista la disquetera deja de estar disponible. Esta limitación no se aplica a disqueteras externas USB.

• No es posible cambiar el tamaño de las particiones

  No es posible cambiar el tamaño de las particiones tras instalar Sophos Disk Encryption 5.61.

• Incremento en el tiempo de arranque

  El tiempo de arranque del equipo se incrementa aproximadamente un minuto tras instalar Sophos Disk Encryption 5.61.

• Compatibilidad con entornos virtuales

  Sophos Disk Encryption sólo es compatible con VMware Workstation y Player. El resto de paltaformas virtuales (como VMware ESX/ESXi Server, MS Virtual PC o MS HyperV) no son compatibles.

• (DEF82166) En sistemas en japonés, la recuperación del inicio de sesión mediante Local Self Help falla debido a que no se pueden introducir caracteres japoneses en la POA (Power-on Authentication).

  En el asistente de Local Self Help, en sistemas en japonés, el usuario puede introducir caracteres japoneses. Sin embargo, durante el proceso de recuperación del inicio de sesión no se pueden introducir dichos caracteres. La recuperación no se completará con éxito porque el usuario no puede introducir las respuestas correctas.

  Solución: en el asistente de Local Self Help, introduzca caracteres japoneses en Romaji (Roman). De lo contrario no podrá completar la recuperación del inicio de sesión.

Cifrado

• (DEF69429) En ciertos discos Toshiba OPAL, el cifrado en modo OPAL puede fallar si la primera partición no se encuentra al comienzo del disco.

  La especificación TCG Storage OPAL para unidades con autocifrado (http://www.trustedcomputinggroup.org/resources/storage_work_group_storage_security_subsystem_class_opal) requiere un área Shadow MBR de al menos 128 MB. Si este área no se encuentra disponible para lectura y escritura en su totalidad (como es el caso en discos Toshiba OPAL con firmware MGT00A) y el sector de inicio de la partición inicial coincide con el área inaccesible, Sophos Disk Encryption no podrá activar el cifrado OPAL para dicha unidad.

  Solución: Pase la partición inicial al comienzo del disco.

• (DEF69695) Restricciones OPAL

  La compatibilidad de Sophos Disk Encryption con unidades de autocifrado OPAL tiene las sigientes limitaciones:

  • El modo de cifrado OPAL sólo se puede activar en una unidad en cada equipo.
  • Si un equipo dispone de más de una unidad OPAL y existe una directiva de cifrado para dicha unidad, el cifrado se aplicará por software como si se tratase de una unidad sin autocifrado. Esto implica que almacenamiento RAID con más de una unidad OPAL se cifrará por software.
  • Si una unidad OPAL contiene más de un volumen, el estado de activación del cifrado OPAL se aplica a todos de forma simultánea.
  • El primer sector de la partición inicial debe encontrarse entre los primeros 128 MB del disco.

• (DEF70019) No utilice el modo híbrido de hibernación de Windows en equipos con OPAL

  En equipos con unidades OPAL, al activar Permitir suspensión híbrida en el cuadro de diálogo Opciones de energía avanzadas pude provocar errores durante la reactivación. Esto puede suponer la pérdida de los datos que no se encontrasen guardados.

• (DEF69207) Unidades OPAL con autocifrado quedan inutilizadas si se pierde la clave de cifrado

  Según la especificación TCG Storage OPAL para unidades con autocifrado (http://www.trustedcomputinggroup.org/resources/storage_work_group_storage_security_subsystem_class_opal) no existe ninguna forma de desbloquear una unidad de la que se desconocen las credenciales. Esto quiere decir que el disco queda inutilizado, al contrario que con el cifrado por software donde, aunque sí se pierden los datos, el disco se puede volver a dar formato para utilizarlo de nuevo. Sophos Disk Encryption pedirá al usuario que realice una copia de seguridad de la clave para evitar este escenario.

• (DEF69207) Unidades OPAL con autocifrado deben desbloquearse para dar formato o modificarlos

  Las unidades con autocifrado deben restrablecerse al estado de fábrica antes de poder dar formato o modificarlos. En los casos en que esto no es posible sin desinstalar Sophos Disk Encryption, existe una herramienta (OPALEmergencyDecrypt.exe) para restablecer unidades OPAL gestionadas mediante Sophos Disk Encryption. Para obtener esta herramienta, póngase en contacto con el servicio de atención al cliente de Sophos.

• (DEF66126) Falla la reactivación tras la hibernación si dispone del controlador MSAHCI de Windows en un equipo con unidades OPAL

  Si tiene instalado el controlador MSAHCI de Windows, fallará la reactivación tras la hibernación. El controlador MSAHCI se introdujo en Windows Vista y afecta a sistemas posteriores pero no a Windows XP.

  Soluciones: Si es necesario para hardware, utilice el controlador IAStore correspondiente. El controlador "Intel RST driver package v10.1.0.1008" funciona correctamente. Cambie en la BIOS el controlador del disco duro (por ejemplo, SATA Mode, ATA Controller Mode, IDE Controller Mode, etc) a Compatibility Mode. Normalmente debe seleccionar un valor que no sea AHCI (por ejemplo, IDE, Compatibility).

• (DEF68440) Seguridad al usar unidades de estado sólido (SSD)

  En este tipo de unidades es imposible determinar la ubicación exacta de los datos almacenados (ni siquiera el sistema operativo puede determinarlo). El controlador de la unidad simula el comportamiento de discos tradicionales. Esto conlleva ciertas implicaciones de seguridad; para más información consulte el artículo http://www.sophos.com/es-es/support/knowledgebase/113334.aspx. La más importante es la siguiente: Sólo los datos grabados en una unidad SSD tras activar el cifrado estarán seguros. Los datos existentes al realizar el cifrado inicial mediante Sophos Disk Encryption no se puede garantizar que se hayan eliminado físicamente por completo. Este problema es común a todos los programas de cifrado de discos.

• (DEF65729, DEF66438, DEF58796) El cifrados de discos eSATA extraíbles no funciona como se espera

  En muchos casos, las unidades eSATA no aparecen en el sistema como unidad extraíbles. Por lo tanto, Sophos Disk Encryption trata las unidades como internas y aplica las directivas asociadas a este tipo de unidades. No se recomienda el uso unidades eSATA con el cifrado de discos de Sophos a menos que utilice directivas apropiadas.

• Cifrado de unidades virtuales

  Las unidades virtuales montadas en el sistema (por ejemplo, un archivo VHD montado con Microsoft Virtual Server) se consideran unidades locales y por lo tanto se cifrarán si la política aplicada tiene activada la opción de cifrado para otros volúmenes.

• Durante el cifrado inicial de la partición del sistema (es decir, la partición que contiene el archivo hiberfil.sys) se debe evitar suspender a disco ya que puede fallar. Tras el cifrado inicial de la partición del sistema se debe reiniciar el sistema para que la opción suspender a disco vuelva a funcionar sin problemas.

Windows XP

• En Windows XP hasta Service Pack 2 se produce un error en ciertos equipos por el que al reanudar el sistema tras encontrarse en modo de espera no se muestra el escritorio bloqueado sino que se accede directamente al escritorio del usuario. El problema también se produce en equipos con Sophos Disk Encryption. Este problema parece que se va a resolver en Windows XP SP3.
• El kernel de Microsoft Windows XP tiene ciertas limitaciones técnicas. Si instala varios controladores de filtrado del sistema de archivos (por ejemplo, programas antivirus), se puede agotar la memoria. En este caso podría producirse un error fatal del sistema (pantalla azul). Sophos no es responsable de esta limitación de Windows y no puede hacer nada para solucionar el problema.

Compatibilidad

• (WKI81667) SDE 5.61 no es compatible con productos de cifrado de terceros como Microsoft BitLocker Drive Encryption.

  Si instala SDE 5.61 sin cifrar el disco y luego instala Microsoft BitLocker Drive Encryption para proteger el equipo, la caché quedará corrupta y deberá reiniciar el sistema. El problema no se corrige y el sistema se debe reiniciar constantemente.

  Solución: No instale otros productos de cifrado en un equipo con SDE 5.61.

• (DEF69644) SafeGuard LAN Crypt debe repararse si desinstala el agente de Sophos Disk Encryption 5.61. 

  Al desinstalar Sophos Disk Encryption 5.61 en un equipo con SafeGuard LAN Crypt Client (SGLC), se produce un error interno del controlador al intentar cargar el juego de llaves. 

  Solución: Realice una instalación de reparación de SafeGuard LAN Crypt Client. 
• (DEF69092) SafeGuard RemovableMedia y Sophos Disk Encryption 5.61 no se pueden instalar en el mismo equipo. SafeGuard RemovableMedia, producto ya retirado, debe desinstalarse antes de instalar Sophos Disk Encryption 5.61.
• Agente de Empirum Security Suite

  Si Sophos Disk Encryption 5.61 se instala en un sistema con el agente de Empirum Security Suite, se puede producir un error fatal del sistema:

  Pantalla azul con código de error 0x00000044 MULTIPLE_IRP_COMPLETE_REQUESTS

  Este problema lo causa uno de los componentes de Empirum Software. El problema se resuelve en Empirum Security Suite. Para más información, póngase en contacto con Matrix42.

• AbsoluteSoftware Computrace

  Sophos Disk Encryption 5.61 no se puede instalar en estaciones con AbsoluteSoftware Computrace ‘track-0 based persistent agent’ activo.

• No se ha probado la compatibilidad con herramientas de creación de imágenes de disco, por lo que no se ofrece soporte.

Actualización

• Al actualizar Sophos SafeGuard Disk Encryption/SafeGuard Easy 5.x a Sophos Disk Encryption 5.61, el diseño de la POA no se actualiza.

• Al actualizarse a SafeGuard Enterprise, debe disponer de SafeGuard Management Center y SafeGuard Enterprise Server versión 6.0 o posterior.