Impostazioni dei dati configurazione di avvio e BitLocker

Articolo
04/01/2016

Questo argomento, destinato ai professionisti IT, descrive le impostazioni dei dati configurazione di avvio usate da BitLocker.

Quando è attiva la protezione dei dati inattivi in un volume del sistema operativo, durante il processo di avvio BitLocker verifica che le impostazioni dei dati configurazione di avvio importanti per la sicurezza non siano state modificate dall'ultima volta in cui si è verificata un'operazione di abilitazione, ripresa o ripristino di BitLocker.

BitLocker e impostazioni dei dati configurazione di avvio

In Windows 7 e Windows Server 2008 R2 BitLocker convalida quasi tutte le impostazioni dei dati configurazione di avvio con i prefissi winload, winresume e memtest. Tuttavia, questo elevato livello di convalida comporta il passaggio di BitLocker alla modalità di ripristino in seguito a modifiche alle impostazioni non dannose, ad esempio quando viene applicato un Language Pack.

In Windows 8, Windows Server 2012 e versioni successive BitLocker limita il set delle impostazioni dei dati configurazione di avvio convalidate per ridurre il rischio che modifiche non dannose provochino un problema di convalida dei dati configurazione di avvio. Se ritieni che escludere una determinata impostazione dei dati configurazione di avvio da un profilo di convalida sia rischioso, puoi aumentare la copertura della convalida in base alle tue preferenze. In alternativa, se un'impostazione predefinita dei dati configurazione di avvio attiva costantemente il ripristino in seguito a modifiche non dannose, puoi escludere tale impostazione dal profilo di convalida.

Casi in cui è abilitato l'avvio protetto

I computer con firmware UEFI possono usare l'avvio protetto per fornire sicurezza avanzata all'avvio. Quando BitLocker può usare l'avvio protetto per la convalida dell'integrità della piattaforma e dei dati configurazione di avvio, come definito dall'impostazione di Criteri di gruppo Consenti avvio protetto per la convalida dell'integrità, l'impostazione dei criteri Usa profilo di convalida dei dati di configurazione di avvio avanzata viene ignorata.

Uno dei vantaggi dell'uso dell'avvio protetto è la possibilità di correggere le impostazioni dei dati configurazione di avvio durante l'avvio senza attivare eventi di ripristino. L'avvio protetto applica le stesse impostazioni dei dati configurazione di avvio di BitLocker. L'applicazione dei dati configurazione di avvio con avvio protetto non è configurabile dal sistema operativo.

Personalizzazione delle impostazioni di convalida dei dati configurazione di avvio

Per modificare le impostazioni dei dati configurazione di avvio convalidati da BitLocker, un professionista IT può aggiungere o escludere impostazioni dal profilo di convalida della piattaforma abilitando e configurando l'impostazione di Criteri di gruppo Usa profilo di convalida dei dati di configurazione di avvio avanzata.

Ai fini della convalida di BitLocker, le impostazioni dei dati configurazione di avvio sono associate a un set specifico di applicazioni di avvio Microsoft. Le impostazioni dei dati configurazione di avvio sono associate a un'applicazione di avvio specifica oppure possono essere applicate a tutte le applicazioni di avvio, associando un prefisso all'impostazione dei dati configurazione di avvio immessa nell'impostazione di Criteri di gruppo. I prefissi validi includono:

winload
winresume
memtest
all

Tutte le impostazioni dei dati configurazione di avvio vengono specificate combinando il valore del prefisso con un valore esadecimale (hex) o un "nome descrittivo".

Il valore esadecimale dell'impostazione dei dati configurazione di avvio viene segnalato quando BitLocker passa in modalità di ripristino e viene archiviato nel registro eventi (ID evento 523). Il valore esadecimale identifica in modo univoco l'impostazione dei dati configurazione di avvio che ha causato l'evento di ripristino.

Puoi ottenere rapidamente il nome descrittivo per le impostazioni dei dati configurazione di avvio nel computer usando il comando "bcdedit.exe /enum all".

Non tutte le impostazioni dei dati configurazione di avvio hanno nomi descrittivi. Per le impostazioni che non ne hanno, il valore esadecimale è l'unico modo per configurare un criterio di esclusione.

Quando specifichi i valori dei dati configurazione di avvio nell'impostazione di Criteri di gruppo Usa profilo di convalida dei dati di configurazione di avvio avanzata, usa la sintassi seguente:

Anteponi all'impostazione il prefisso dell'applicazione di avvio
Aggiungi i due punti ":"
Aggiungi il valore esadecimale o il nome descrittivo
Se immetti più impostazioni dei dati configurazione di avvio, dovrai immettere ognuna su una nuova riga

Ad esempio, "winload:hypervisordebugport" e "winload:0x250000f4" hanno lo stesso valore.

Un'impostazione valida per tutte le applicazioni di avvio può essere applicata a una singola applicazione, ma non vale il contrario. Ad esempio, è possibile specificare "all:locale" o "winresume:locale", ma poiché l'impostazione dei dati configurazione di avvio "win-pe" non è valida per tutte le applicazioni di avvio, "winload:winpe" è valido, mentre "all:winpe" non lo è. L'impostazione che controlla il debugger di avvio ("bootdebug" o 0x16000010) viene sempre convalidata e non ha alcun effetto se viene inclusa nei campi forniti.

Nota

Fai attenzione quando configuri le voci dei dati configurazione di avvio nell'impostazione di Criteri di gruppo. Editor criteri di gruppo locali non convalida la correttezza dei dati configurazione di avvio immessi. Se l'impostazione di Criteri di gruppo specificata non è valida, si verifica un errore di BitLocker.

Profilo di convalida dei dati configurazione di avvio predefinito

La tabella seguente contiene il profilo di convalida dei dati configurazione di avvio predefinito usato da BitLocker in Windows 8, Windows Server 2012 e versioni successive dei sistemi operativi:

Valore hex	Prefisso	Nome descrittivo
0x11000001	all	device
0x12000002	all	path
0x12000030	all	loadoptions
0x16000010	all	bootdebug
0x16000040	all	advancedoptions
0x16000041	all	optionsedit
0x16000048	all	nointegritychecks
0x16000049	all	testsigning
0x16000060	all	isolatedcontext
0x1600007b	all	forcefipscrypto
0x22000002	winload	systemroot
0x22000011	winload	kernel
0x22000012	winload	hal
0x22000053	winload	evstore
0x25000020	winload	nx
0x25000052	winload	restrictapiccluster
0x26000022	winload	winpe
0x26000025	winload	lastknowngood
0x26000081	winload	safebootalternateshell
0x260000a0	winload	debug
0x260000f2	winload	hypervisordebug
0x26000116	winload	hypervisorusevapic
0x21000001	winresume	filedevice
0x22000002	winresume	filepath
0x26000006	winresume	debugoptionenabled

Elenco completo dei nomi descrittivi per le impostazioni dei dati configurazione di avvio ignorate

Di seguito è disponibile l'elenco completo delle impostazioni dei dati configurazione di avvio che vengono ignorate per impostazione predefinita, con i relativi nomi descrittivi. Queste impostazioni non fanno parte del profilo di convalida BitLocker predefinito, ma possono essere aggiunte se devi convalidare una di queste impostazioni prima di consentire lo sblocco di un'unità del sistema operativo protetta con BitLocker.