Open BitLocker-schijven met één klik vergrendelen? Dat had Microsoft bij de ontwikkeling van zijn schijfversleuteling niet bedacht. Toch krijg je dat met een paar eenvoudige stappen voor elkaar.
BitLocker-volumes sneller opnieuw vergrendelen
BitLocker, de schijfversleuteling die in Windows ingebouwd is, is op zich handig, maar sommige aspecten van de bediening zijn nogal omslachtig. Zo is er geen handige knop of pictogram op de taakbalk om een eenmaal ontgrendelde schijf tijdens het gebruik weer te vergrendelen.
Dat is vooral irritant bij interne schijven of partities die je alleen op het moment dat je ze even nodig hebt met een wachtwoord ontgrendelt. Eenmaal geopend blijven ze open totdat je de computer opnieuw opstart of omslachtig een terminal met administratorrechten opent en een commando zoals manage-bde -lock d: uitvoert. Zelfs als je je afmeldt bij Windows en weer aanmeldt met een ander gebruikersaccount, blijft de schijf open.
Maar er zijn manieren om Windows te leren hoe het open BitLocker-volumes op een comfortabelere manier kan vergrendelen. In dit artikel beschrijven we drie mogelijkheden, van pragmatisch tot creatief: met de Windows-taakplanner, met de PowerToys-tools en met een snelkoppeling op het bureaublad.
Scherm vergrendelen, schijf vergrendelen
Je kunt bijvoorbeeld afdwingen dat bij het vergrendelen van een computer (bijvoorbeeld na stand-by of via Windows+L) een BitLocker-volume mee wordt vergrendeld. Daar is de Windows-taakplanner geschikt voor, die je opent via de Windows-toets, taskschd en de Enter-toets.
Klik daar eerst rechtsboven onder Acties op Taak maken…. Geef op het tabblad Algemeen een naam op, zoals Schijf vergrendelen, en vink Met de meeste bevoegdheden uitvoeren aan. Klik vervolgens onder Triggers op Nieuw…, selecteer bij Start deze taak de optie Bij vergrendelen van werkstation en bevestig met OK.
Ga dan naar het tabblad Acties en klik ook daar op Nieuw…. Voer in het veld Programma/script manage-bde.exe in en in het veld Parameters toevoegen -lock d: (in dit voorbeeld heeft het te vergrendelen station de letter D, pas dat indien nodig aan). Bevestig met OK.
Als de computer een accu heeft, verwijder dan op het tabblad Voorwaarden het vinkje voor De taak alleen starten als de computer op netstroom werkt.
Sla de taak ten slotte op door op OK te klikken. Bij het vergrendelen van de computer, bijvoorbeeld via Windows+L, zou het ontsleuteld station D: dan automatisch moeten versleutelen. De vergrendeling wordt ook geactiveerd wanneer meerdere gebruikers tegelijkertijd op de computer zijn aangemeld en er via het startmenu tussen beide wordt gewisseld.
Ook bij het afmelden?
Als een station niet alleen bij schermvergrendeling en het wisselen van account, maar ook bij het afmelden van een gebruikersaccount moet worden vergrendeld, moet je nog een tweede vermelding invoeren op het tabblad Triggers. Selecteer daarvoor onder Start deze taak de optie Bij een gebeurtenis.
Selecteer vervolgens bij Logboek de optie Beveiliging en bij Bron de optie Microsoft Windows Security Auditing. Typ in het veld Gebeurtenis-id het getal 4634 – de interne Windows-gebeurtenis-ID voor een afmeldingsproces.
Let op: omdat Windows ook na een nieuwe aanmelding gebeurtenissen met ID 4634 genereert, kan in dat geval ook kort een terminalvenster verschijnen omdat de BitLocker-vergrendelingstaak opnieuw geactiveerd wordt.
Vergrendelen via sneltoets
Er zijn ook methoden om een open BitLocker-schijf direct tijdens het gebruik te vergrendelen. Een daarvan kun je instellen via de PowerToys – de set van opensource tools van Microsofts waarmee je Windows uitbreidt met een heleboel handige functies.
Een overzicht van die hulpprogramma’s staat in [1], voor onze doeleinden hebben we de Keyboard Manager nodig. Met die tool kun je allerlei zaken met toetsen of toetsencombinaties activeren. Populair is bijvoorbeeld het invoegen van speciale tekens, woorden of langere uitdrukkingen – maar hij kan ook opdrachten uitvoeren.
Daarvoor open je eerst de PowerToys-instellingen door te dubbelklikken op het pictogram in het systeemvak van de taakbalk. Vervolgens roep je op de lijst met tools de Keyboard Manager op. Daaronder gebruik je de nieuwe editor van de toetsenbordmanager, die eind april is toegevoegd met PowerToys-versie 0.99. Die activeert je door op de schakelaar Probeer de nieuwe editor te klikken.
Klik op Editor openen en vervolgens op Nieuwe toewijzing toevoegen. Selecteer aan de linkerkant als trigger Toets of snelkoppeling. Klik op de knop Druk om het opnemen van toetsen te starten en druk op de gewenste combinatie waarmee het BitLocker-station moet worden vergrendeld – in dit voorbeeld Ctrl+Alt+L.
Kies in het rechterdeel van het venster als actie App openen. Voer als programmapad C:\Windows\System32\manage-bde.exe in en als argument opnieuw -lock d: . Schakel bovendien onder Uitvoeren als de optie Verhoogd in, stel de Zichtbaarheid van venster in op Verborgen en klik op Opslaan. Als je dan op Ctrl+Alt+L drukt, wordt schijf D: vergrendeld.
Als de PowerToys met normale gebruikersrechten draaien, moet je daarbij nog een vraag van het Gebruikersaccountbeheer (UAC) bevestigen. Als je ook de UAC-vraag wilt omzeilen, configureer je de PowerToys zo dat ze permanent met beheerdersrechten draaien. Klik daarvoor op de pagina Algemeen van de PowerToys-instellingen eerst op PowerToys opnieuw starten als beheerder. Vink vervolgens op dezelfde pagina Altijd als beheerder uitvoeren aan.
PowerToys in de beheerdersmodus laten draaien is een officiële optie die voor sommige functies vereist is. Toch brengt dat op zijn minst een potentieel veiligheidsrisico met zich mee: mocht er ooit een beveiligingslek in de PowerToys opduiken dat ook daadwerkelijk wordt misbruikt, dan kan een aanvaller direct beheerdersrechten bemachtigen.
Vergrendelen via een snelkoppeling
Een geopend station kan ook worden vergrendeld via een snelkoppeling op het bureaublad, waarop je dubbelklikt en die je via een UAC-vraag bevestigt. Om zo’n snelkoppeling te maken, klik je met de rechtermuisknop op een vrije plek op het bureaublad en kies je Nieuw/Snelkoppeling. Voer als locatie van het item manage-bde -lock d: in. In de volgende stap geef je de snelkoppeling een naam zoals Schijf D vergrendelen en klik je op Voltooien.
Klik vervolgens met de rechtermuisknop op de snelkoppeling en op Eigenschappen. Selecteer op het tabblad Snelkoppeling eerst Geavanceerd, vink Als administrator uitvoeren aan en bevestig met OK. Stel de optie Uitvoeren in op Geminimaliseerd.
In het veld Sneltoets kun je bovendien een combinatie instellen waarmee de snelkoppeling wordt geopend. Sluit ten slotte het eigenschappenvenster door op OK te klikken.
Je kunt het station dan vergrendelen door te dubbelklikken op de snelkoppeling. Als je er een sneltoets aan hebt toegewezen, activeert ook die de vergrendelingsprocedure – wat bij deze methode naar onze ervaring vaak pas na vijf tot tien seconden gebeurt. Bovendien vereist het vergrendelen via een snelkoppeling altijd dat je een UAC-vraag bevestigt.
Conclusie
Microsoft heeft bij BitLocker niet gedacht aan een makkelijke methode om schijven te vergrendelen. Ideaal zou een pictogram op de taakbalk zijn, vergelijkbaar met dat voor het uitwerpen van verwisselbare media. Maar zolang Microsoft zoiets niet uit eigen beweging in Windows inbouwt, kun je redelijk eenvoudig zelf een vergrendelingsfunctie bouwen – die naar keuze handmatig of automatisch geactiveerd wordt.
Literatuur
Jan Schüßler en Daniel Dupré
Praat mee