「鍵はかかっているから大丈夫」は本当？BitLockerの盲点とTPMの正しい使い方
こんにちは。セキュリティの世界で長く泥臭いインシデントと戦ってきた者です。今日は、皆さんが会社で使っているノートPCの「入り口の守り」について、少し踏み込んだ話をしましょう。
「BitLockerを有効にしているから安心」と胸を張っているIT担当者さんは多いですよね。でも、実はその守り方、「家の玄関に鍵はかけたけれど、鍵自体をドアノブにぶら下げている」ような状態かもしれません。
今日は、BitLockerの「TPMのみ認証」という設定に潜むリスクと、私たちがどうやってこの「空き巣リスク」を防ぐべきか、一緒に紐解いていきましょう。
—
1. BitLockerとTPM：そもそも何をしているの？
まず、BitLockerはPC内のデータを「暗号化」という頑丈な金庫に入れます。この金庫を開けるための「鍵」を管理しているのが、マザーボード上に埋め込まれた小さなチップ、TPM（Trusted Platform Module）です。
- TPM（チップ）の役割： PCが正しく起動しているかチェックし、異常がなければ自動で暗号化キーを解放する「門番」です。
「TPMのみ」が抱える危うい日常
「TPMのみ」設定だと、PCの電源を入れた瞬間に、門番（TPM）が「お、いつも通りのPCだな。鍵を開けてやろう」と、何の追加確認もなしに鍵を差し込んでしまいます。
これ、泥棒から見ればどう見えるでしょうか？
「持ち主がログインパスワードを入力しなくても、電源さえ入れればPCの中身（暗号化領域）は丸裸にできる」という状態なのです。
—
2. なぜ「TPMのみ」は狙われるのか？
物理的にPCを奪われた場合、攻撃者は以下のような手法でこの「門番」を騙します。
コールドブート攻撃とDMA攻撃
難しい単語に見えますが、例えるなら「泥棒がドアの隙間に特殊な器具を差し込んで、鍵を強制的に回す」ようなものです。
1. コールドブート攻撃： PCを無理やり再起動させ、メモリ上に残っている暗号化キーを奪い取る手法。
2. DMA攻撃： PCの拡張ポート（Thunderboltなど）経由で、OSをバイパスしてメモリを直接読み取る手法。
「TPMのみ」の場合、PCは「持ち主が電源を入れたのか、泥棒が特殊な装置でこじ開けようとしているのか」を区別できません。門番は「お、起動したな。はい鍵！」と渡してしまうのです。
—
3. 「鍵＋パスワード」で鉄壁の守りを
泥棒は「面倒な家」を嫌います。そこで、私たちがやるべきことは「多要素認証（MFA）」の導入です。
BitLockerの設定で、TPMによる自動解除だけでなく、「起動時にPIN（暗証番号）を求める」設定を追加しましょう。これだけで、泥棒がPCを盗んでも、PINという「頭の中の鍵」を知らない限り、門番は鍵を渡してくれなくなります。
実践：グループポリシーでPIN入力を強制する
管理者の方は、以下の手順で設定を強化しましょう。
1. Win + R を押し、gpedit.msc と入力してグループポリシーエディタを開きます。
2. [コンピューターの構成] > [管理用テンプレート] > [Windows コンポーネント] > [BitLocker ドライブ暗号化] > [オペレーティング システム ドライブ] を開きます。
3. 「スタートアップ時に追加の認証を要求する」を有効にします。
設定のポイントは以下のような構成にすることです：
# 設定項目イメージ
- スタートアップ時に追加の認証を要求する: 有効
- 互換性のないTPMでBitLockerを許可する: 無効（セキュリティ強化のため）
- スタートアップの構成:
- 「TPM でスタートアップ PIN を要求する」を選択—
4. 開発者・IT担当者へのアドバイス
セキュリティ対策に「銀の弾丸（これ一つで全て解決）」はありません。しかし、「攻撃の手間を増やす」ことはできます。
- PINを運用する： 数秒の手間で、物理的な盗難リスクからデータを守れます。
- ファームウェア更新を怠らない： TPMの脆弱性は、マザーボードのファームウェア更新で修正されることが多いです。
- ハードウェアの防御： 未使用のUSBポートやThunderboltポートを物理的に塞ぐ、あるいはポリシーで無効化するのも、DMA攻撃を防ぐ泥臭いけど確実な防御策です。
最後に
セキュリティは、完璧を目指すと何もできなくなりますが、「最低限の鍵を二重にする」だけで、リスクは劇的に下がります。
明日から、皆さんのPCのBitLocker設定を見直してみてください。「面倒だな」と思うその一手間こそが、あなたのデータを守る最強の武器になるのですから。
また次の記事で、現場の知恵を共有しましょう。安全なPCライフを！
コメント