Шифрування даних у стані спокою на сервері Windows без використання сторонніх програм
BitLocker вбудований у Windows Pro/Enterprise та Windows Server і є одним із найшвидших способів захисту даних «у стані спокою» — особливо якщо ви зберігаєте дані клієнтів, внутрішні документи, резервні копії або файли баз даних на диску VPS.
На Windows VPS, що працює на VPS-хостингу, BitLocker допомагає зменшити наслідки сценаріїв компрометації сховища та підтримує вимоги до відповідності, де шифрування є обов’язковим.
Важливий нюанс VPS: диск ОС проти диска даних
Перш ніж увімкнути BitLocker, вирішіть, що саме ви шифруєте:
- Диск даних (рекомендується в першу чергу): шифрування простіше в управлінні і, як правило, не порушує автоматизацію перезавантаження.
- Системний диск (C:): на багатьох віртуальних серверах немає TPM, тому шифрування диска ОС може вимагати ручного розблокування під час завантаження. Це може бути незручно без позасмугової консолі.
Краща практика для багатьох конфігурацій VPS: шифруйте диски, на яких зберігаються дані додатків, резервні копії, експортовані дані (D:, E:), та майте перевірений план відновлення.
Перелік перевірок перед запуском (виконайте це перед увімкненням)
- Переконайтеся, що ваша версія підтримує BitLocker (Windows Server / Pro / Enterprise).
- Створіть резервну копію (якщо можливо, знімком або резервну копію на рівні файлів).
- Переконайтеся, що у вас є доступ до консолі на випадок надзвичайних ситуацій (панель хостингу / VNC / KVM).
- Підготуйте безпечне місце для ключа відновлення (НЕ на тому самому VPS).
- Переконайтеся, що у вас достатньо вільного місця на диску (для шифрування потрібен робочий простір).
Крок 1: Встановіть BitLocker на Windows Server
На Windows Server BitLocker часто не встановлений за замовчуванням. Запустіть PowerShell як адміністратор:
Install-WindowsFeature BitLocker -IncludeAllSubFeature -IncludeManagementTools -Restart
Після перезавантаження перевірте:
Get-WindowsFeature BitLocker
Крок 2: Дозвольте BitLocker без TPM (типово для VPS)
Багато віртуальних серверів не мають TPM. BitLocker все одно може працювати, але ви повинні дозволити аутентифікацію під час запуску без TPM.
- Запустіть
gpedit.msc
- Конфігурація комп’ютера → Адміністративні шаблони → Компоненти Windows → Шифрування диска BitLocker → Диски операційної системи
- Увімкніть «Вимагати додаткову автентифікацію під час запуску»
- Поставте галочку «Дозволити BitLocker без сумісного TPM»
Якщо пропустити цей крок, Windows може відмовитися ввімкнути шифрування системного диска в середовищі без TPM.
Крок 3 (рекомендовано): Шифрування тома даних за допомогою PowerShell
Приклад для диска D: із XTS-AES-256 та «Тільки використаний простір» (швидше на нових томах). Запустіть PowerShell як адміністратор:
$pwd = Read-Host -AsSecureString "Set BitLocker password for D:"
Enable-BitLocker -MountPoint "D:" -EncryptionMethod XtsAes256 -UsedSpaceOnly -PasswordProtector -Password $pwd
# Add a recovery password protector (store the recovery key OFF the server!)
$kp = Add-BitLockerKeyProtector -MountPoint "D:" -RecoveryPasswordProtector
$kp.RecoveryPassword
Перевірте хід шифрування:
manage-bde -status D:
Перелік засобів захисту (для підтвердження наявності засобу відновлення):
manage-bde -protectors -get D:
Автоматичне розблокування: що потрібно знати (і чому це може не працювати на VPS)
BitLocker може автоматично розблокувати диски з даними після розблокування диска з ОС. На практиці Windows часто вимагає, щоб диск з ОС був захищений BitLocker, щоб увімкнути автоматичне розблокування для фіксованих дисків з даними — інакше може з’явитися помилка на кшталт «Диск з операційною системою не захищений…».
Якщо ваш VPS повинен перезавантажуватися без нагляду, у вас є 3 реалістичні варіанти:
- Зашифруйте диски з даними ОС і переконайтеся, що ви зможете розблокувати їх після перезавантаження (потрібен доступ до консолі).
- Зашифрувати лише певні конфіденційні файли/дані додатків на рівні додатків, якщо розблокування всього диска є складним з операційної точки зору.
- Використовуйте шифрування на рівні провайдера (якщо ваш хостинг-стек це підтримує) і залиште BitLocker для сценаріїв, що стосуються виключно даних.
Метод GUI (Панель керування) для адміністраторів, які віддають перевагу клікам
- Панель керування → Система та безпека → Шифрування диска BitLocker
- Виберіть диск → Увімкнути BitLocker
- Виберіть пароль (загальний для VPS)
- Збережіть ключ відновлення поза межами VPS
- Виберіть область шифрування: «Тільки використаний простір» (новий диск) або «Весь диск» (існуючі дані)
Як вимкнути BitLocker (за потреби)
Вимкнення призведе до розшифрування диска — не переривайте процес:
manage-bde -off D:
Рекомендації щодо шифрування Windows VPS
- Ніколи не зберігайте ключі відновлення на тому самому VPS, який ви шифруєте.
- Документуйте: які диски зашифровано, де знаходяться ключі відновлення, хто має до них доступ.
- Перед запуском у виробництво протестуйте сценарій перезавантаження та сценарій відновлення.
- Очікуйте зниження продуктивності під час початкового шифрування; заплануйте його на час поза піковим навантаженням.
Якщо вам потрібна стабільна продуктивність диска для робочих навантажень, пов’язаних із шифруванням, виберіть тарифний план, де вхід-вихід даних (I/O) сховища є стабільним — це один із ключових факторів при виборі Windows VPS на VPS-хостингу.
