Шифрование персональных данных (PDE)

Начиная с Windows 11 версии 22H2 шифрование персональных данных (PDE) — это функция безопасности, которая предоставляет возможности шифрования данных на основе файлов в Windows.

PDE использует Windows Hello для бизнеса для связывания ключей шифрования данных с учетными данными пользователя. Когда пользователь входит на устройство с помощью Windows Hello для бизнеса, ключи расшифровки освобождаются, а зашифрованные данные становятся доступными пользователю.
Когда пользователь выходит из системы, ключи расшифровки удаляются, а данные недоступны, даже если другой пользователь входит в устройство.

Использование Windows Hello для бизнеса обеспечивает следующие преимущества:

• Это сокращает количество учетных данных для доступа к зашифрованным содержимому: пользователям нужно только войти с помощью Windows Hello для бизнеса
• Функции специальных возможностей, доступные при использовании Windows Hello для бизнеса распространяется на содержимое, защищенное PDE.

PDE отличается от BitLocker тем, что шифрует файлы, а не целые тома и диски. PDE применяется в дополнение к другим методам шифрования, таким как BitLocker.
В отличие от BitLocker, который выпускает ключи шифрования данных при загрузке, PDE не выпускает ключи шифрования данных до тех пор, пока пользователь не войдет в систему с помощью Windows Hello для бизнеса.

Предварительные условия

Чтобы использовать PDE, необходимо выполнить следующие предварительные требования:

• Windows 11 версии 22H2 и более поздних
• Устройства должны быть Microsoft Entra присоединены. Присоединенные к домену и Microsoft Entra гибридные устройства не поддерживаются
• Пользователи должны выполнить вход с помощью Windows Hello для бизнеса

Требования к выпуску и лицензированию Windows

В следующей таблице перечислены выпуски Windows, поддерживающие шифрование персональных данных (PDE):

Лицензионные права на шифрование персональных данных (PDE) предоставляются следующими лицензиями:

Дополнительные сведения о лицензировании Windows см. в статье Обзор лицензирования Windows.

Уровни защиты PDE

PDE использует AES-CBC с 256-разрядным ключом для защиты содержимого и предлагает два уровня защиты. Уровень защиты определяется в зависимости от потребностей организации. Эти уровни можно установить с помощью API-интерфейсов PDE.

Доступность содержимого, защищенного PDE

На значке файла, защищенного, отображается замок. Если пользователь не вошел локально с помощью Windows Hello для бизнеса или неавторизованный пользователь пытается получить доступ к содержимому, защищенному с помощью PDE, ему будет отказано в доступе к содержимому.

Сценарии, в которых пользователю будет отказано в доступе к содержимому, защищенному с помощью PDE, включают:

• Пользователь вошел в Windows с помощью пароля вместо входа с использованием Windows Hello для бизнеса биометрических данных или ПИН-кода.
• Если устройство защищено с помощью защиты уровня 2, когда устройство заблокировано
• При попытке удаленного доступа к содержимому на устройстве. Например, сетевые пути UNC
• Сеансы удаленного рабочего стола
• Другие пользователи на устройстве, которые не являются владельцами содержимого, даже если они вошли в систему через Windows Hello для бизнеса и имеют разрешения на переход к содержимому, защищенному PDE.

Различия между PDE и BitLocker

PDE предназначен для работы совместно с BitLocker. PDE не является заменой BitLocker, и BitLocker не является заменой PDE. Совместное использование обеих функций обеспечивает более высокий уровень безопасности, чем использование только BitLocker или только PDE. Однако существуют различия между BitLocker и PDE и тем, как они работают. Эти различия объясняют, почему их совместное использование обеспечивает лучшую безопасность.

Различия между PDE и EFS

Основное различие между защитой файлов с помощью PDE и EFS заключается в методе, который они используют для защиты файла. PDE использует Windows Hello для бизнеса для защиты ключей, защищающих файлы. EFS использует сертификаты для защиты файлов.

Чтобы узнать, защищен ли файл с помощью PDE или EFS:

1. Откройте свойства файла
2. На вкладке Общие выберите Дополнительно….
3. В окне Дополнительные атрибуты выберите Сведения.

Для файлов, защищенных PDE, в разделе Состояние защиты: есть элемент, указанный как Шифрование персональных данных: с атрибутом Вкл.

Для файлов, защищенных EFS, в разделе Пользователи, которые могут получить доступ к этому файлу: рядом с пользователями, имеющими доступ к файлу, есть Отпечаток сертификата. Внизу также есть раздел с надписью Сертификаты восстановления для этого файла, как определено политикой восстановления:.

Сведения о шифровании, включая метод шифрования, используемый для защиты файла, можно получить с помощью cipher.exe /c команды .

Рекомендации по использованию PDE

Ниже приведены рекомендации по использованию PDE.

• Включите шифрование диска BitLocker. Хотя PDE работает без BitLocker, рекомендуется включить BitLocker. PDE предназначен для работы вместе с BitLocker для повышения безопасности, в то время как он не является заменой BitLocker
• Решение для резервного копирования, например OneDrive в Microsoft 365. В некоторых сценариях, таких как сброс доверенного платформенного модуля или деструктивный сброс ПИН-кода, ключи, используемые PDE для защиты содержимого, будут потеряны, что делает любое содержимое, защищенное PDE, недоступным. Единственный способ восстановить такое содержимое — из резервной копии. Если файлы синхронизированы с OneDrive, чтобы восстановить доступ, необходимо повторно синхронизировать OneDrive.
• Windows Hello для бизнеса службы сброса ПИН-кода. Деструктивный сброс ПИН-кода приведет к потере ключей, используемых PDE для защиты содержимого, что делает любое содержимое, защищенное PDE, недоступным. После разрушительного сброса ПИН-кода содержимое, защищенное PDE, должно быть восстановлено из резервной копии. По этой причине рекомендуется Windows Hello для бизнеса службу сброса ПИН-кода, так как она обеспечивает неразрушающий сброс ПИН-кода.
• Windows Hello расширенная безопасность входа обеспечивает дополнительную безопасность при проверке подлинности с помощью Windows Hello для бизнеса с помощью биометрии или ПИН-кода.

Стандартные приложения Windows, поддерживающие PDE

Некоторые приложения Windows изначально поддерживают PDE. Если PDE включен на устройстве, эти приложения будут использовать PDE:

Дальнейшие действия

• Сведения о доступных параметрах для настройки шифрования персональных данных (PDE) и о том, как их настроить с помощью Microsoft Intune или поставщика служб конфигурации (CSP): параметры PDE и конфигурация
• Ознакомьтесь с часто задаваемыми вопросами о шифровании персональных данных (PDE)