フルディスクで暗号化されたコンピューターを起動してログインするTPMは安全ですか？
現在、使用中のラップトップはPre-Boot-Authenticationを使用して暗号化されているため、ディスク全体が暗号化されています。ユーザーは、オペレーティングシステムを起動する前にパスワードを入力する必要があります。
新しいコンセプトでは、ラップトップのTPMを使用してキーを保存することを提案しています。ディスク自体はまだ完全に暗号化されていますが、起動プロセスは、Windowsログイン画面なしユーザーがパスワードを入力するまで続きます。
これらのラップトップでは、ログイン前にUSBドライブがブロックされておらず、BIOSが別のドライブ（おそらくバイパスされる可能性があります）からの起動を（試みて）防止します。私の意見では、これによりフルディスク暗号化はWindowsのログイン画面と同じくらい安全になります。これはかなりのダウングレードです。
質問は：
ユーザーが安全であると見なされるパスワードの入力を要求せずに、Windowsログイン画面までブートプロセスを続行できますか？
どの攻撃ベクトルを使用でき、それらは単に学問的な問題か、それとも合理的に可能ですか？
ラップトップが企業のデバイスであり、潜在的に機密/内部データが含まれていると想定します。 Windowsのログイン画面に欠陥があると、フルディスク暗号化が実質的に無効になると私は主張しました。 KonBootなどのソフトウェアを使用して、暗号化を無効にすることができます。同僚によると、従業員はデバイスを休業時間の80〜90％でスリープモードのままにしているため、現在実施されている起動前認証を使用する場合でも、問題にはなりません。
私の意見では、これにより、フルディスク暗号化はWindowsのログイン画面と同じくらい安全になります。これはかなりのダウングレードです。
はい。そして、正常に構成され、ドメインに参加し、パッチを適用したラップトップでは、これはかなり安全です。
ディスクは暗号化されているため、編集用の構成ファイルへのログインを簡単にバイパスすることはできません。 TPMが開封を拒否する場合、ディスクを復号化することはできません。開封オプションが変更された場合、TPMはそれを拒否する必要があります。
起動時にパスコードを入力する必要がある場合よりもセキュリティが低下します。また、利便性が向上し、おそらくサポートコールの数が減ります。コンテンツを発見することから目的なしにラップトップを見つけたり盗んだりする、日和見的な窃盗犯を確実に阻止します。
あなたはこれを誰と何を守るかに対してバランスをとる必要があります。 Moms＆Pop Cornerstore LTDの予算スプレッドシートに当てはまる回答は、ボーイングの設計図には当てはまらない可能性があります。極端な例を2つ挙げるとします。