Názory k článku
Microsoft předal FBI šifrovací klíče k BitLockeru
-
Ale to platí obecně. Jediná data, která se nedají odevzdat, nebo ještě hůř zneužít, jsou ta, která prostě nemají (protože jsem je nepustil). A to v podstatě bez ohledu na nějaká ujednání o ochraně osobních údajů nebo zákonné ochrany.
Je to jen otázka motivace. A ta se může objevit u korporací, které cestou na vrchol zapomněly na morálku, stejně jako u hackerů nebo vlád.
27. 1. 2026, 09:41 editováno autorem komentáře
-
Tak kluce bilockeru nieje potrebne nahravat do cloudu, je to iba jedna z moznosti - i ked predvolena.
Nemyslim ze za tym bol zly umysel zo strany MS, poznam ludi ktorym sa kluce ulozene v liveid hodili ked im vyrobca updatol bios a windowsi si pytali kluc od bitlockeru, bez zalohy v konte by dosli o data. Ano malo ich napadnut urobit si zalohu kluca niekde, ale vacsinu ludi to skratka nenapadne.
Ono je to tazke, ked kluce zalohujes zaklope ti FBI, ked nezalohujes ofrflu ta zakznici ze dosli o data.
Windowsi by default zalohuju okem klucov bitlockeru aj historiu browsera, hesla a ak si povolite tak aj subory na ploche a dokumenty....
Trochu ma udivuje ze si niekto pripoji komp do cloudu a potom sa divi ze sa mu niekto iny (FBI) dostane k jeho udajom... -
Jan HrachStříbrný podporovatelNevím, jestli to někde jde nastavit, ale Applí data mám přístupná přes webový iCloud - takže nějak externě se k nim musí jít dostat. Nebo je tam nějaký komplikovaný šifrovací protokol, že se to dešifruje v prohlížeči a klíč se tam nějak přenese z mobilu aniž by ho Apple po cestě viděl? (a, um, jak složité je Apple donutit, aby mi z toho webového icloudu poslal javascript, který ho leakne, když už se bavíme o možnosti, že někdo má možnost donutit firmu vydat zálohy)
-
MHStříbrný podporovatelWeb access do iCloud jde vypnout a je to dobry napad to mit vypnute:
https://support.apple.com/en-us/102630 -
BuldrZlatý podporovatelTeoreticky, protože nejprve se musím ptát sám sebe, zda mohu Microsoftu a volbě důvěřovat. V enterprise sféře snad ještě ano, protože míra kontroly zůstává, nicméně platí to i pro jednotlivce? Skutečně mám věřit, že si to nezálohuje sám, bez vědomi? Stejně tak se ptám, co ten vnucený a zcela nekontrolovatelný Copilot vlastně všechno prohrabal a poslal ven, protože až příliš pozdě jsem ho drapnul Wiresharkem a vypráskal ven. Kdybych měl jinou možnost (nechme stranou hádky, nebo geniální "nápady"), dávno jsem pryč. Vyrazil bych je ze dveří naprosto stejně, jako jsem to udělal s Avastem.
-
Michal ŠmucrBronzový podporovatel
No tohle je bohužel právě jeden z funkčních rozdílů mezi Windows Home a Professional/Enterprise edicemi.
Ten první má pouze "Device Encryption", což je ořezaný BitLocker, který ukládá klíče buď jen do TPM (v případě použití bez MS účtu) a tedy nemáte žádnou možnost obnovy (konec, pokud odejde deska resp. CPU) nebo do TPM se zálohou klíče pro obnovu u MS.
U těch vyšších edicí se dá zapnout BitLocker plný, který po zašifrování podporuje zálohování klíče úplně offline (fleška, papír) nebo do AD (rozšířené schéma se speciálním child objektem pro počítač v doméně).Tohle už je známé docela dlouho. Device Encryption existuje přes 10 let, plný BitLocker s tou integrací do AD pak už skoro 20.
Bral jsem to vždycky tak, že první zabrání přečtení disku, když někdo ukradne zařízení nebo ho zapomenete ve vlaku. Ale silové složky si podle dané jurisdikce můžou vynutit klíče pro obnovu, což je ta situace "FBI zaklepe na dveře." Upřímně jsem nepochyboval o opaku.
U té plné varianty máte klíče pod kontrolou.Takže mě osobně spíš vadí, jak blbě a komplikovaně tohle celé MS komunikuje. A samozřejmě také podle mě nezvládli ten rollout u posledních verzí Windows 11, kdy udělali Device encryption opt-out a lidem na pozadí zašifrovali disky.
Přitom se to celé dalo vysvětlit na pár odstavců s výhodami/nevýhodami každého řešení (nešifrovat, DE, plný BitLocker). Windows se komplikovaně ptají a tlačí hromadu kravin a takhle podstatnou věc úplně pominou.
Tímhle by si podle mě zachovali trochu víc důvěry, dali by uživatelům volbu a pokud by to udělali chytře, tak by ještě mohli prodat a udělat nezanedbatelné množství in-place upgradů na Windows Professional. -
Filip JirsákStříbrný podporovatelObávám se, že to, že je to zálohované a uživatel ke klíčům má celkem snadný přístup (což implikuje, že k nim má přístup i Microsoft), vyřešilo řádově víc problémů, než kolik jich to způsobilo tím, že ty klíče mohou být vydány FBI.
Řešení, že uživatel musí mít ještě nějaký další klíč, kterým se k záloze dostane, sice zvýší bezpečnost a zajistí, že se ke klíčům nedostane ani Microsoft – ale způsobí, že se k nim nedostane ani spousta uživatelů. Protože jim můžete při vygenerování klíčů psát horem dolem, že si mají záložní klíče někam bezpečně uložit, ale stejně je spousta uživatelů buď vůbec neuloží, nebo je ztratí.
-
Nejméně problémů by bylo, když by tam to šifrování šlo uživatelsky vypnout, nebo dokonce opt-out při instalaci. V naprosté většině případů jsem viděl situaci, jak lidi ztratili data (samozřejmě jejich chyba, že nezálohovali). Chránit data jde i uživatelsky nějakou aplikací, která zašifruje jen nějakou složku. Pak člověk může pracovat pohodlně se systémem a speciální heslo zadat jen pro vybrané věci.
-
Filip JirsákStříbrný podporovatel
Z toho jsou pak zase problémy, že pak ten počítač prodají na bazaru a diví se, že se na internetu objeví jejich soukromé fotky (v lepším případě). Ne, to že se pomalu dostáváme do situace, kdy normální je šifrovat, je v pořádku.
-
Vždycky se dá najít nějaké proti. Ale BFU už zná, že má věci dát do koše, a ten pak vysypat. Ne že se mu updatem BIOSu, co udělá Windows sám, znepřístupní data.
-
Ale ty to děláš vědomě. My tady řešíme, že uživatel dostal notebook Dell, nevěděl, že je šifrovaný, a po čase o data přišel automatickým update BIOSu.
-
To jiste jirsak, a proto jsou po webu kilometry clanku na tema jak miliony bfu prisli o vsechna svoje data (opakovane), protoze kdyz jim nenastartujou ty widle "chranene" tema 4ma cislicema ... tak zadnej jinej login k tomu MS uctu nemaji.
Ne to se vubec opakovane po widloaktualizacich nestalo ... lol.
Normalni sifrovac ma klice na mediu (treba dva) a dalsi pripadne na dalsim mediu. Aha, presne takhle to dela treba vecacrypt, nebo luks ...
A co vic, nekteri bfu dokonce i chapou, ze kdyz jim umre ten HW tak co na nem maj je trapu, ale rozhodne nechapou, ze o vsechno prijdou proto, ze se jim nainstalovala aktualizace.
-
Filip JirsákStříbrný podporovatel
To je sice technicky jednoduché řešení, ale pro uživatele to není jednoduché a rozhodně to není fér. Protože uživatel si v tuto chvíli musí vybrat z voleb, kterým nerozumí. A nakonec stejně skončí (v lepším případě) u té zálohy u MS, protože nemá ani tiskárnu ani USB disk.
-
Citim "...it may confuse users". Nedelate pro gnome?
Kdyz tomu uzivak nerozumi tak at to pro nej udela nekdo jiny nebo si o tom neco precte.
Nemuzeme vecne prebalovat uzivaky a sprchovat jim zadek. Tohle neni zadne nastaveni sifrovaciho algoritmu nebo delka klice.28. 1. 2026, 11:52 editováno autorem komentáře
-
Filip JirsákStříbrný podporovatel
Trident: Ano, udělá to pro uživatele někdo jiný – autoři aplikace. Je to úplně normální a je to naprosto v pořádku. Tomu, že dokážeme stále složitější věci dát k užívání tak, aby to mohlo používat prakticky kdokoli, se říká pokrok. A i vy jste v drtivé většině případů mezi těmi uživateli, kteří něco používají jenom díky tomu, že to někdo jiný připravil, aby to pro vás bylo jednoduché.
-
Presne, Uz jsem ve sve kariere na podobne requesty jako Data Director v jedne nejmenovane spolecnosti co mela centralu v US odpovidal. Request je to celkem brutalni a je celkem jasne, ze se na to musi kladne odpovedet, proto mi to take pravni oddeleni predalo abych zajistil data o ktera si ona instituce zazadala. A mimochodem, ta jejich zadost ma vpriloze papir s vyslovnym narizenim/schvalenim soudu s poznamkou co se stane pokud zadosti nebude vyhoveno. Spolecnost pro kterou jsem pracoval takovym zadostem vyhovela, protoze byli formulovany jako vysetrovani prani spinavych penez/financovani terorismu. Chtel bych videt kohokoli na teto diskuzi, kdo by odporoval a delal vytacky.
-
A přesně kvůli tomu děláme architekturu takovou, abychom neměli k dispozici nic, co by po nás mohlo být požadováno.
Případně to vrazíme do HSM, jak to nedávno udělal Twitter s chatem (Juicebox protocol rozhozenej na 2/3 HSMka - ač útok injectnutý javascriptem proti aktivnímu uživateli bude triviální, zpětně se dostat k datům bez PINU nepůjde).
-
Tak v mych pripadech to byli informace o uzivateli jako takovem, jeho transakce, etc. Jako spolecnost registrovana jako financni instituce i kdyz crypto mate trochu jine zavazky, ktere musite plnit, jinak prijdete o licenci. Ne vzdy mate tu svobodu nemit data. Musite plnit hromadu pozadavku, od KYC po transakcni historii, apod. S vasim pristupem by vas v tomto konkretnim pripade rozbili v prvni sekunde u soudu. Na coz mimochodem nakonec zminena spolecnost nedavno dojela, protoze zakladatele meli presne takovy nazor v pocatcich spolecnosti (nebudeme mit nic) a nakonec skoncili vysetrovani pro napomahani pasovani bileho masa, podporu terorismu a pomahani prani spinavych penez.
27. 1. 2026, 14:27 editováno autorem komentáře
-
Takto bych to neformuloval. Spise bych rekl, ze jsou ovetvi, ktera jsou regulovana, jako financi institucem, online gaming (gambling) a jine, kde musite splnovat urcita kriteria, jaka data, jak dlouho v nekterych pripadech i data musi fyzicky byt v lokaci konkretni jurisdikce (minimalne replika). Toto neni o bezpecnosti, naopak v mnoha pripadech prave musite byt hodne on top, co se tyce bezpecnosti dat, point in time recovery, pristypu k datum, zamezeni neopravneneho nakladani s nimi apod (a ted opravdu nemam na mysli GDPR). vetsinou to zacina ISO 27000 a pokracuje hromadou dalsich narizeni. naposledy jsem prochazel auditem loni u jednoho produktu a opravdu to neni zabava.
-
L.Stříbrný podporovatel
Jinak je zajímavý, že tohle jde, ale došlápnout si na Metu která vědomě vydělává peníze na scam reklamě, to "nejde".
-
no ono doslapnout si na regulovanou spolecnost je mnohem jednoduzsi nez na neregulovanou. To ze jsou socialni site neregulovane je na druhou stranu mozna dobre, protoze by to polozilo Mastodon, dokazete si predstavit ze by kazda instance musela zadat o licenci, prochazet auditem, ktery se pocita v desitkach tisic eur?
27. 1. 2026, 16:25 editováno autorem komentáře
-
Pokud to ma clovek prezvykane od pravniku a je jen "prehazovaci opica" bez jakkekoliv zasadni rozhodovaci pravomoci, tak vyjma sporu zájmu ci potencialnimu svedceni proti osobam blizkym (kde bych to předal kolegovi) nevidím důvod proč bych to nepředal kdyz je to moje práce.
Vy primarni riziko nepředani stejně ve většině případů neponesete. Nese ho management. A to i v pripade ze data která musí dle zákonů sbírat se "ztratila". Vy nesete max. to co po vas firma bude vymáhat. Coz je obvykle drobek v porovnani s tou firmou. Jo a nějakých pár let bych necestoval do lovišť oranžového muže. -
Od oktobra 2025 nemozne:
Local-only commands removal: We are removing known mechanisms for creating a local account in the Windows Setup experience (OOBE). While these mechanisms were often used to bypass Microsoft account setup, they also inadvertently skip critical setup screens, potentially causing users to exit OOBE with a device that is not fully configured for use. Users will need to complete OOBE with internet and a Microsoft account, to ensure device is setup correctly.
-
frantaBronzový podporovatel
Řekl bych, že to spíš byla volba než chyba ... malý rozdíl ale stejně ;)
-
Ja si myslim, ze mrkvosoft dela dobre. Kdyby klice nebyly v cloudu, tak bezny uzivatel by si klice nezalohoval, a pak by o data mohl prijit i pri beznych pocitacovych problemech. Proti beznym zlodejum je bitlocker asi v pohode. A proti policii - nezbyva nez doufat ze na bezneho obcana nezakleknou.
Ti kteri by se mohli obavat i statu delim na dve skupiny. 1. kriminalniky - pak je dobre ze mrkvosoft klice vydal. 2. lide s pocestnym zajmem jdoucim proti statu (politik, novinari) - tem kterym hrozi ze by stat nejednal spravne, tak jim nezbyva nez si nastudovat moznosti zasifrovani dat.Jedine co by mikrosoft mel zlepsit je pri instalaci jasna obrazovka ktera napise velmi jednoduchymi a jasnymi slovy tohle: "Zazalohujem vam klice v cloudu, ale budeme mit pristup. Anebo si zalohujte data sami ale my vas nebudem moct zachranit".
(Jo, daly by se najit jeste nejake dalsi mezni a hranicni pripady, ale tam uz jen plati ze holt uzivatel taky musi neco umet. No a pokud dojde na policejni stat, pak neni o cem mluvit, to musi mit kazdy vlastni sifru a bezny franta uzivatel je v pytli, ale tam porad jeste USA nejsou.)
-
Ondra Satai NekolaZlatý podporovatelHele, jednou to dostane FBI, podruhé to leakne kriminálníkům, když někdo ten cloud prokopne...
Zero knowledge je pro tyhle věci snad základ.
-
Jan HrachStříbrný podporovatel
> Proti beznym zlodejum je bitlocker asi v pohode.
No to právě bohužel není.
-
Ale no tak... Kdo chce, tak si v Bitlockeru nastaví PIN a pak se to teprve dá nazvat šifrováním.
- Primární je ale zamyslet se nad účelem
- defaultní Bitlocker bez PINu - můžu poslat disk na reklamaci
- Bitlocker s PINem - ochrana před ztrátou/ukradením zařízení
Obnovovací heslo v cloudu do toho sice háže vidle, ale stejně tam si můžeš obnovovací heslo vytisknout a můžou ho u tebe najít při domovní prohlídce (soudně povolené, obdobně jako v popisovaném případu).
-
Jan HrachStříbrný podporovatel
> Kdo chce, tak si v Bitlockeru nastaví PIN a pak se to teprve dá nazvat šifrováním.
Našel jsem, že ten PIN jsou jenom čísla? To nezní jako něco co by se používalo jako heslo pro samotnou výrobu klíče - nebo pokud ano, tak to nebude silné.
-
Jan HrachStříbrný podporovatel
A proč to nemůže mít prostě klíč odvozený z hesla (klidně současně s tím klíčem v TPM, pokud máte trauma, že uživatel bude mít slabé heslo), jako to má konkurence asi tak od začátku světa?
Nicméně souhlasím, že pin/heslo u TPM už běžný útočník tak snadno nepřekoná.
-
Filip JirsákStříbrný podporovatel
Vzhledem k tomu, že všechny vaše komentáře v diskusích jsou o tom, že vám vůbec nic nefunguje, bylo by překvapivé, kdybyste zrovna v tomhle případě napsal, že to funguje. Akorát váš komentář neříká nic o funkčnosti dané technologie, ale jen o vás. Vypadá to, že vkládat komentáře na Rootu je to jediné, co vám funguje.
-
Tak si ty bfu kolem sebe obejdi a zeptej se jich, jestli v tech widlich pouzivaji lokalni nebo ms ucet. Klidne se vsadim, ze odpovedet ti nebude umet ani jeden.
V nejlepsim pripade si mozna velmi matne pamatujou, ze to po nich neco chtelo a jinou moznost nemeli, tak tam neco zadali a neco (nejspis) odsouhlasili ... kdo by ty kilometry nesmyslu, navic typicky v cizim jazyce, cet.
-
Spousta uživatelů si nedělá účet proto, že by ho chtěla a tušila, k čemu ho mají, ale proto, že je to v nějakým průvodci.
Stejně jako se na tlačítko "I Agree" nekliká a priori proto, že by člověk s něčím vědomě souhlasil, nebo dokonce chápal, s čím souhlasí, ale proto, že to tlačítko ho prostě pustí dál.
Taková je prostě praxe. Znám řadu BFU, kteří si udělali účet, protože "to po nich něco chtělo", ale jednak vůbec netuší, že nějaký účet mají a k čemu ho mají, a už vůbec netuší, že k němu taky dávali nějaké heslo a jaké. Zpravidla co nový telefon, to nový účet. A jakmile je vytvořený a uživatel se dostane k tomu, že "to konečně něco dělá", instantly se na nějaký účet zapomene. -
Filip JirsákStříbrný podporovatel
To je super nápad. Ty klíče jsou zálohované pro případ, že uživatel heslo zapomene. Tak je tím samým heslem zašifrujeme, protože až bude potřebovat přístup k té záloze, na heslo si určitě zázračně vzpomene.
-
Mít klíč chráněný (zašifrovaný) heslem a uložený na disku tak jak to má třeba LUKS, to je zabezpečené dobře, ale jde to vylepšit klíčem v TPM.
Tak se klíč nacpe do TPM, ale protože se na spoustu věcí jaksi nedá spolehnout, klíč se pro jistotu pošle i jinému subjektu na cloud, kde je chráněn jen heslem a jen částečně… a uživatel do toho ani nemá vidět, protože se to celé dělá aby to bylo lepší a bezpečnější a spolehlivější?
Nějak v tom ten přínos nevidím. Klíč se nemusel dávat do TPM (když z toho vyplývá potřeba ho poslat i kamsi na kdovíjak zabezpečený cloud) a bylo by to celé jednodušší a bezpečnější a spolehlivější.
Chápu to špatně?
-
Nieje problem, ved kluc k bitlockeru nemusite mat v TPM, mozete mat nastavene odomykanie bitlockeru heslom. Kluc do TMP sa dal by-default kvoli tomu ze ak je uzivatel nuteni davat si zakzadym nejake heslo vetsinou to sklzne bud k jednduchemu heslu, alebo papierkom pod klavstnicou ci na monitore a pod.
Ak mate nastarosti IT nejakej spolocnosti, tak si to v poho nastavite pre vybranych ludi / vsetkych cez GPO.
Navyse kluce na obnovu nemusite pchat do cludu, ale date si ich do vlastneho Active Directory, alebo basrs aj do onpremoveho SCCM..... -
Filip JirsákStříbrný podporovatel
Chápete to špatně. Klíč je v TPM kvůli bezpečnosti. Cloud s tím vůbec nijak nesouvisí. Do cloudu se ten klíč zálohuje pro případ, že uživatel ztratí přístup k tomu primárnímu úložišti, typicky zapomene heslo.
Výchozí šifrování disku na domácím počítači slouží k tomu, aby se k datům nedostal zloděj, když ukradne notebook; aby se k nim nedostal nepoctivý technik v servisu; nebo aby se k nim nedostal další majitel, který koupí počítač nebo disk v bazaru. Není to ochrana proti silovým složkám státu – na to potřebujete především znalejší uživatele. Pokud by si zločinci posílali informace na korespondenčním lístku a drogy vozili v tašce v zavazadlovém prostoru svého auta, asi málokdo bude tvrdit, že pošta funguje špatně a auta jsou špatně zabezpečená.
-
Filip JirsákStříbrný podporovatel
Odstranění je divná cesta. Ale nemusíte to celé instalovat znova – mělo by stačit vygenerovat nové klíče a ty zazálohovat jinam než do cloudu.
-
Jediny reseni je nepouzivat widle.
Pokud uz je z nejakyho duvodu pouzivat chces, tak v zadnym pripade nepouzivat k prihlasovani ms ucty.
A ano, musis to cely smazat a nainstalovat znova, a rozhodne nikdy nepouzivat jejich sifrovani disku (ani s lokalnim ucetem) protoze ten klic bude zcela jiste odvozenej od ID toho HW, takze i kdyz ho vygenerujes znova, bude klidne stejnej.
Pokud chces sifrovat disk, nainstaluj si veracrypt.
-
Ano ulozene kuce k bitlockeru si mozete z konta microsoft obstranit ( robi sa to v sprave zariadeni \ sprava klucov bitlocker)
Ak tejto metode neverite volil by som nasledovny postup:
- vypol sifrovanie bitlocker
- znova zapol sifrovanie (vygeneruje sa novy kluc) a ten by som si ulozil dnapr na USB a nasledne do keepasu napr.Vybrat kam sa ulozi kluc sa vsak da myslim spravit iba v pro verzii Windowsov, ale tak zase co neurobit pre svoje data ;-)
-
Jen mi to připomnělo případ jednoho nelegálního úložiště, které mělo obsah synchonisovaný přes tři servery. Přišla na ně policie, servery vypnula a odvezla k analýze. Na základě soudního příkazu se dožadovali hesla - a strašně se divili, že je nikdo nezná, protože bylo náhodně vygenerované při bootu serveru. Dokud byl v provozu alespoň jeden z těch serverů, nebylo potřeba...
Nevyzradíte pouze to tajemství, které neznáte.
ČLÁNKY DO MAILU