Cifratura completa del disco

Grazie alla cifratura completa del disco i dati nei computer endpoint vengono protetti da eventuali accessi non autorizzati. Le unità vengono cifrate in modo trasparente, mentre la Power-on Authentication (POA) fornisce un'ulteriore meccanismo di autenticazione applicabile prima dell'avvio del sistema operativo. È possibile gestire la cifratura completa del disco da Sophos Enterprise Console 5.1.

Requisiti di sistema dell'agente di Sophos Disk Encryption

L’installazione richiede almeno 300 MB di spazio libero sul disco rigido. Per l'agente di Sophos Disk Encryption, almeno 100 MB di questo spazio libero devono essere costituiti da un’area contigua. Deframmentare il sistema prima dell’installazione, se si dispone di meno di 5 GB di spazio libero su disco rigido e il sistema operativo non è stato installato di recente, per incrementare la possibilità che questa area contigua sia disponibile. In caso contrario, l’installazione può non riuscire per "insufficienza di spazio libero contiguo” e non può essere supportata.

** Si consiglia questo spazio libero di memoria. Sophos Disk Encryption non lo utilizzerà tutto.

Software richiesto: Internet Explorer versione 6.0 o superiore

Lingue supportate: francese, giapponese, inglese, italiano, spagnolo, tedesco

Requisiti di sistema di SafeGuard Policy Editor

Nel caso riportato qui di seguito sarà semplicemente necessario installare SafeGuard Policy Editor 5.61: se in possesso di molteplici ambienti Sophos SafeGuard Disk Encryption/SafeGuard Easy 5.x indipendenti, con certificati aziendali diversi che si desidera unire in un unico ambiente, sarà necessario modificare il certificato aziendale nel SafeGuard Policy Editor 5.61.

* Si consiglia questo spazio libero di memoria. SafeGuard Policy Editor non lo utilizzerà tutto.

Software richiesto: .NET Framework 3.0 SP1

Lingue supportate: francese, giapponese, inglese, tedesco

Generali

• Novell Client

  Per utilizzare Sophos Disk Encryption 5.61 in concomitanza con un Client Novell, sono necessarie alcune modifiche specifiche del progetto. Contattare il Supporto tecnico di Sophos per ulteriori informazioni.

• Il cambio rapido utente non è supportato e deve essere disabilitato.

  Prima di avviare l'installazione, si controlla che solo un utente abbia eseguito l'accesso L'accesso di un altro utente non è supportato.

• Unità floppy

  Eseguita l'installazione di Sophos Disk Encryption 5.61 in Windows Vista, l'unità floppy incorporata non è più disponibile. Questa limitazione non riguarda le unità disco floppy esterne collegate tramite il bus USB.

• Il ridimensionamento delle partizioni non è supportato

  Il ridimensionamento di una partizione nel computer endpoint in cui è installato Sophos Disk Encryption 5.61 non è supportato.

• Fase di avvio aumentata

  La fase di avvio aumenta di circa un minuto una volta eseguita l'installazione di Sophos Disk Encryption 5.61 nel computer.

• Supporto per la piattaforma di virtualizzazione

  Sophos Disk Encryption supporta solo VMware Workstation e Player, come piattaforma di virtualizzazione. Tutte le piattaforme quali VMware ESX/ESXi Server, MS Virtual PC o MS HyperV non sono supportate.

• (DEF82166) Nel sistema operativo in lingua giapponese, il recupero dell'accesso tramite Local Self Help potrebbe non riuscire perché i caratteri giapponesi non possono essere inseriti nella Power-on Authentication (POA).

  Nella procedura guidata del Local Self Help, relativa ai sistemi operativi in giapponese, gli utenti possono definire le risposte alle domande per il recupero dell'accesso utilizzando caratteri giapponesi. Quando però si inseriscono le risposte alle domande durante la procedura di recupero dell'accesso della POA, i caratteri in giapponese non sono supportati. Se le risposte inserite nella procedura guidata e quelle della POA non coincidono, l'accesso non potrà essere recuperato.

  Workaround: quando si inseriscono risposte in giapponese nella procedura guidata del Local Self Help, utilizzare caratteri Romaji (romani). Altrimenti, non vi sarà una corrispondenza fra le risposte al momento del loro inserimento nell'autenticazione all'accensione.

Cifratura

• (DEF69429) In alcuni dischi Toshiba OPAL, la modalità di cifratura OPAL potrebbe non riuscire se la prima partizione non si trova all'inizio del disco.

  La specifica TCG Storage OPAL per Self Encrypting Drive (http://www.trustedcomputinggroup.org/resources/storage_work_group_storage_security_subsystem_class_opal) richiede un'area denominata Shadow MBR di almeno 128 MB. Se questa area non è completamente accessibile per la lettura e la scrittura (questo è il caso per i dischi Toshiba OPAL con firmware versione MGT00A) e il settore di avvio della partizione di avvio del disco ha un numero di settore incluso nell'area non accessibile, Sophos Disk Encryption non potrà attivare la cifratura OPAL per tale unità.

  Per risolvere il problema: riposizionare la partizione di avvio nell'area iniziale del disco.

• (DEF69695) Restrizione OPAL

  Il supporto di Sophos Disk Encryption per le unità auto-cifranti OPAL presenta i seguenti limiti:

  • La modalità di cifratura OPAL può essere attivata in una sola unità OPAL per computer.
  • Se sono presenti più unità OPAL ai cui volumi è applicato un criterio di cifratura, questi verranno cifrati in modalità analoga a quella utilizzata in unità che non sono auto-cifranti. Ciò significa che la configurazione RAID con più di un'unità OPAL verrà sempre cifrata utilizzando il relativo software.
  • Se un'unità OPAL ha più di un volume, lo stato di attivazione della cifratura di OPAL si riferisce a tutti i volumi contemporaneamente.
  • Il primo settore della partizione di avvio deve trovarsi all'interno dei primi 128 MB.

• (DEF70019) Non utilizzare la modalità Windows Hybrid Sleep nei computer OPAL

  Nei computer con unità auto-cifranti OPAL, attivare Consenti sospensione ibrida nella finestra Opzioni risparmio energia avanzate causa errori durante la procedura di riattivazione. Ciò comporta la perdita di tutti i dati non salvati prima della sospensione del computer.

• (DEF69207) OPAL Self Encrypting Drives diventa inutilizzabile, nel caso la chiave di cifratura sia stata persa.

  In base alle specifiche TCG Storage OPAL per Self Encrypting Drives (http://www.trustedcomputinggroup.org/resources/storage_work_group_storage_security_subsystem_class_opal), sarà impossibile accedere a un'unità attiva se le credenziali per sbloccarla sono state perdute. Il disco è quindi completamente inutilizzabile, mentre non lo sarebbe stato se fosse stato cifrato tramite software; anche in questo caso i dati sarebbero persi, ma l'hardware potrebbe essere riutilizzato riformattandolo. Sophos Disk Encryption chiederà all'utente di eseguire il backup del file di chiave, ma se lo si perde, accadrà quanto descritto qui sopra.

• (DEF69207) OPAL Self Encrypting Drive devono essere sbloccate in modo permanente prima di essere riformattate.

  Self Encrypting Drive devono essere riportate allo stato di fabbrica prima di poterle riformattare. Nel caso in cui ciò non possa essere fatto tramite "normale" procedura di decifratura o disinstallando Sophos Disk Encryption, è possibile utilizzare un tool specifico (OPALEmergencyDecrypt.exe) per reimpostare in modo permanete l'unità OPAL gestita da Sophos Disk Encryption. Per motivi di sicurezza, il tool è disponibile solo contattando il servizio clienti di Sophos.

• (DEF66126) La ripresa della sessione non riesce quando il driver MSAHCI di Windows è installato in un computer con unità OPAL attiva

  Quando un computer è in modalità di sospensione, sarà impossibile ripristinare la sessione se nel computer è installato il driver del disco rigido MSAHCI di Microsoft. MSAHCI è stato introdotto con Windows Vista, quindi questo problema si verifica con i sistemi operativi Windows Vista e Windows 7, ma non con Windows XP.

  Per risolvere il problema: se del caso, per configurare l'hardware utilizzare il driver IAStore adeguato. I test condotti su "Intel RST driver package v10.1.0.1008" hanno avuto esito positivo. Modificare le impostazioni BIOS per il controller del disco rigido (per es. SATA Mode, ATA Controller Mode, IDE Controller Mode, ecc.) con Modalità compatibilità. Nella maggior parte dei BIOS significa selezionare un valore diverso da AHCI (per es. IDE, Compatibility, ecc.)

• (DEF68440) Preoccupazioni per la sicurezza quando si utilizza Solid State Drive (SSD)

  Nelle SSD correnti, è impossibile per qualsiasi software (compreso il sistema operativo) stabilire il percorso fisico in cui sono stati archiviati i dati. Un controller, componente fondamentale in tutte le SSD, simula il comportamento esterno del platter drive mentre internamente svolge azioni differenti. Ciò ha molte implicazioni per la sicurezza dei dati archiviati, consultare l'articolo http://www.sophos.it/knowledgebase/article/113334.html. La più rilevante è la seguente: solo i dati scritti sul volume di SSD sono sicuri dal punto di vista crittografico, una volta attivato un criterio di cifratura. Ciò significa che sarà impossibile garantire l'avvenuta cancellazione fisica di tutti i dati già presenti in SSD prima dell'avvio del processo di cifratura, una volta concluso tale processo. Notare che questo problema non è specifico di Sophos Disk Encryption, ma che riguarda tutti i sistemi di cifratura completa del disco basata su software.

• (DEF65729, DEF66438, DEF58796) La cifratura completa del disco per unità rimovibili eSATA non funziona in modo normale

  Al momento, la maggior parte delle unità esterne eSATA non si auto-definiscono supporti rimovibili. Di conseguenza, Sophos Disk Encryption li considera come unità interne applicando loro i relativi criteri. Si sconsiglia l'utilizzo di unità eSATA in ambienti in cui si esegue la cifratura completa del disco di Sophos, a meno che questo problema non sia preso in considerazione nei criteri di cifratura applicati.

• Cifratura di unità virtuali

  Le unità virtuali presenti nel computer client (ad es. i file VHD in Windows montati mediante Microsoft Virtual Server) vengono considerate come unità disco rigido locali; verrà quindi cifrato anche il loro contenuto, se si definisce un criterio di cifratura per ‘altri volumi’.

• Durante la crittografia iniziale della partizione di sistema (ovvero la partizione in cui si trova il file hiberfil.sys) l'operazione di sospensione su disco può non riuscire e dovrebbe quindi essere evitata. Dopo la cifratura iniziale della partizione di sistema, affinché la sospensione su disco possa essere eseguita correttamente, è necessario che venga riavviato il sistema.

Windows XP

• Microsoft Windows XP, fino al Service Pack 2, presenta un problema su alcuni computer dove una ripresa dopo un intervallo di standby non mostra il desktop bloccato ma apre il desktop utente. Il problema si presenta anche sui computer equipaggiati con Sophos Disk Encryption. Questo problema dovrebbe essere risolto con Windows XP SP3.
• Microsoft Windows XP presenta un limite tecnico nello stack del suo kernel. Se sono installati alcuni driver di filtraggio del file system (per es. software antivirus), la memoria può non essere sufficiente. In questo caso, si potrebbe ricevere un messaggio di avviso BSOD. Sophos non può essere ritenuta responsabile per questo limite di Windows e non può risolvere il problema.

Compatibilità

• (WKI81667) SDE 5.61 non è compatibile con le soluzioni di cifratura completa del disco prodotte da terzi, quali Microsoft BitLocker Drive Encryption, e non può essere eseguito nello stesso computer endpoint.

  Se SDE 5.61 viene installato in un computer endpoint in cui l'unità non è cifrata e successivamente viene installata la cifratura Microsoft BitLocker Drive per proteggere i computer; la LocalCache verrà corrotta causando il riavvio dell'endpoint. Gli ulteriori riavvii causeranno un ciclo di riavvii.

  Workaround: non installare soluzioni di cifratura completa del disco prodotte da terzi in computer in cui è installato SDE 5.61.

• (DEF69644) SafeGuard LAN Crypt deve essere ripristinato quando si disinstalla l'agente di Sophos Disk Encryption 5.61 presente nello stesso computer. 

  La disinstallazione di Sophos Disk Encryption 5.61 in un computer in cui è installato SafeGuard LAN Crypt Client (SGLC) provoca un errore di driver interno quando l'utente cerca di caricare il gruppo di chiavi di SGLC. 

  Per risolvere il problema:  Eseguire il ripristino dell'installazione nel pacchetto SafeGuard LAN Crypt Client. 
• (DEF69092) SafeGuard RemovableMedia e Sophos Disk Encryption 5.61 non posono essere utilizzati nello stesso computer. Il prodotto SafeGuard RemovableMedia, ora sospeso, deve essere disinstallato prima di poter utilizzare nello stesso computer uno qualsiasi dei componenti di Sophos Disk Encryption 5.61.
• Empirum Security Suite Agent

  Se il software di Sophos Disk Encryption 5.61 viene installato ed eseguito in concomitanza con quello di Empirum Security Suite Agent, il sistema potrebbe arrestarsi, con il seguente messaggio di avviso BSOD:

  BSOD on system startup with stop code 0x00000044 MULTIPLE_IRP_COMPLETE_REQUESTS

  Tale problema è causato da uno dei componenti di Empirum Software. La soluzione per questo problema è presente in Empirum Security Suite. Contattare il supporto di Matrix42 per gli ultimi aggiornamenti ed informazioni relativi a questo problema.

• AbsoluteSoftware Computrace

  Sophos Disk Encryption 5.61 non riesce ad effettuare l'installazione su computer in cui è installato AbsoluteSoftware Computrace con ‘track-0 based persistent agent’ attivo.

• La compatibilità con gli strumenti di creazione e acquisizione immagini non è stata verificata e perciò non è supportata da Sophos.

Upgrade

• Quando si esegue l'upgrade da Sophos SafeGuard Disk Encryption/SafeGuard Easy 5.x a Sophos Disk Encryption 5.61, i bitmap della POA non sono aggiornati nel nuovo branding di Sophos.

• Quando si esegue l'upgrade alla cifratura gestita di SafeGuard Enterprise, SafeGuard Management Center e SafeGuard Enterprise Server devono essere almeno versione 6.0.