Zo voorkomt u dat gebruikers de BitLocker-pincode of het wachtwoord in Windows wijzigen

Gegevensversleuteling is een van de vele manieren waarop IT-beheerders bedrijfsgegevens beschermen. In de meeste gevallen komt dat neer op het activeren van BitLocker en het zo instellen dat standaardgebruikers een BitLocker-pincode of -wachtwoord niet zonder toestemming kunnen wijzigen. U kunt deze configuratie uitvoeren via de Editor voor lokaal groepsbeleid, PowerShell of de Windows-register-editor.

Het grootste voordeel van BitLocker ten opzichte van beveiligingssoftware van derden is de integratie in het systeem. Het instellen en beheren is eenvoudig, zelfs voor individuele gebruikers. Wanneer bijvoorbeeld pre-bootverificatie van BitLocker is ingeschakeld, is toegang tot de computer en de bestanden afgeschermd achter een pincode. Maar wat als die pincode wordt gecompromitteerd?

💡Wilt u liever een visuele uitleg? Bekijk dan onze video over Zo voorkomt u dat gebruikers de BitLocker-pincode of het wachtwoord in Windows wijzigen

Beheer van de BitLocker-pincode en het wachtwoord begrijpen

Een BitLocker-pincode wordt gebruikt voor pre-bootverificatie. Zonder de juiste pincode start het systeem niet op. Een wachtwoord voorkomt daarentegen ongeautoriseerde toegang tot het station of volume, ook nadat het systeem is opgestart. Een pincode is doorgaans een numerieke code van minimaal vier tot twintig tekens, terwijl wachtwoorden alfanumeriek zijn en veel langer.

Beheerders willen wijzigingen aan BitLocker-wachtwoorden in Windows soms beperken om uniforme of complexere referenties binnen de organisatie af te dwingen. Gebruikers die versleuteling lukraak kunnen aanpassen veroorzaken allerlei gaten in de beveiliging. Ook de verantwoordelijkheid voor het regelmatig bijwerken van een pincode of wachtwoord volledig bij de gebruikers van endpoints leggen biedt geen garantie op compliance.

Manieren om te voorkomen dat standaardgebruikers de BitLocker-pincode of het wachtwoord wijzigen

Gezien het belang van een pincode of wachtwoord kunnen beheerders gebruikers beletten onverstandige wijzigingen door te voeren die het beveiligingsniveau verzwakken. Wachtwoorden centraal regelen voegt een extra beschermingslaag toe en maakt endpoint management consistenter en eenvoudiger uit te voeren. Hier zijn drie manieren om wijziging van de BitLocker-pincode te voorkomen:

Methode 1: de Editor voor lokaal groepsbeleid (GPO) gebruiken

De Editor voor lokaal groepsbeleid is een krachtig hulpmiddel om het gedrag van uw pc in specifieke situaties te regelen. Zo gebruikt u groepsbeleid (GPO) om wijziging van de BitLocker-pincode uit te schakelen voor gebruikers zonder beheerdersrechten:

Stap 1: open de Editor voor lokaal groepsbeleid (als administrator):

Houd er voordat we beginnen rekening mee dat de GPO-snap-in alleen beschikbaar is in de edities Windows 10 Pro, Enterprise en Education. Hebt u geen toegang tot GPO? Sla deze methode dan over.

Om de Editor voor lokaal groepsbeleid te openen, drukt u op Windows + R om het dialoogvenster als administrator uit te voeren. Typ vervolgens gpedit.msc en druk op Enter. Hiermee opent de editor in een nieuw venster.

Stap 2: ga naar de instellingen voor BitLocker-stationsversleuteling:

Ga vanuit Computerconfiguratie naar Beheersjablonen en daarna naar Windows-onderdelen. Zoek vervolgens BitLocker-stationsversleuteling en klik op Besturingssysteemstations. Dubbelklik in het rechterpaneel op Standaardgebruikers niet toestaan de pincode of het wachtwoord te wijzigen om de instellingen te openen.

Kies daarna of u dit beleid wilt instellen op Ingeschakeld of Uitgeschakeld. Klik op Toepassen en daarna op OK om de wijzigingen op te slaan.

Methode 2: de opdrachtprompt of PowerShell gebruiken

PowerShell leren is handig om bepaalde BitLocker-instellingen te configureren. Dit is de opdrachtregel waarmee u gebruikers belet de BitLocker-pincode of het wachtwoord te wijzigen:

Stap 1: open PowerShell als administrator

Gebruik Windows Zoeken en typ PowerShell. Klik met de rechtermuisknop op Windows PowerShell en voer het uit als administrator.

Stap 2: standaardgebruikers niet toestaan de pincode of het wachtwoord te wijzigen

Voer de volgende opdracht uit om wijziging van de BitLocker-pincode te voorkomen voor gebruikers zonder beheerdersrechten:
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\FVE" -Name "DisallowStandardUserPINChanges" -Value 1

Druk op Enter om de opdracht uit te voeren en zo een registersleutel aan te maken of bij te werken die de beperking afdwingt.

Methode 3: de Register-editor gebruiken (gevorderde gebruikers)

Tot slot lopen we de stappen door om de BitLocker-pincode of het wachtwoord aan te passen via de Register-editor:

Stap 1: open de Register-editor

Druk om te beginnen op Windows + R om het dialoogvenster te openen. Typ regedit en druk op Enter.

Zoek in de Register-editor het volgende pad: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\FVE. Is er geen FVE-sleutel? Dan moet u die handmatig toevoegen. Klik met de rechtermuisknop op de sleutel Microsoft en maak een subsleutel met de naam FVE.

Stap 2: voeg DisallowStandardUserPINReset toe

Selecteer de FVE-sleutel, klik met de rechtermuisknop op een leeg gedeelte in het rechterdeelvenster, maak een DWORD-waarde (32-bits) met de naam DisallowStandardUserPINReset en stel de waardegegevens in op 1.

Sluit de Register-editor.

Het is verstandig om vóór het doorvoeren van wijzigingen een back-up van het register te maken. Hier vindt u een handleiding over hoe u een back-up maakt van het Windows-register en dit herstelt.

De beperkingen controleren en testen

U kunt handmatig testen of de beperkingen zijn toegepast door over te schakelen naar een standaardgebruikersaccount.

• Meld u op dezelfde computer aan met een standaardgebruikersaccount (geen administrator). Om er een aan te maken, gaat u naar Instellingen > Accounts > Gezin en andere gebruikers > Andere gebruiker toevoegen aan deze pc.
• Open het Configuratiescherm en ga naar BitLocker-stationsversleuteling.
• Werken de beperkingen? Dan is de optie om de pincode te wijzigen grijs weergegeven. Er hoort ook een foutmelding te verschijnen wanneer de gebruiker de pincode probeert te wijzigen.

U kunt de wijzigingen ook controleren via de gebeurtenislogboeken.

• Druk op Windows + R, typ eventvwr en druk op Enter.
• Controleer de BitLocker-gebeurtenissen via Logboeken van toepassingen en services > Microsoft > Windows > BitLocker-API > Management.
• Zoek naar logboekvermeldingen over wijzigingen in de BitLocker-configuratie of toegangspogingen.

Probeer daarnaast de pincode of het wachtwoord als administrator te wijzigen om te zien of de nieuwe beperkingen werken zoals bedoeld.

Veelvoorkomende problemen met de BitLocker-pincode of het wachtwoord oplossen

Werken de beperkingen niet? Neem dan de volgende stappen:

• Controleer de registerwaarden nogmaals om zeker te weten dat ze kloppen. DisallowStandardUserPINChanges moet de waarde 1 hebben.
• Start de computer opnieuw op als u dat nog niet hebt gedaan om te zien of de wijzigingen zijn doorgevoerd.
• Open het dialoogvenster Uitvoeren opnieuw en typ gpupdate /force om te controleren of de beleidswijzigingen zijn uitgerold.

Controleer voor de zekerheid ook of BitLocker is ingeschakeld en correct is geconfigureerd. Zorg er bovendien voor dat het standaardaccount geen beheerdersrechten heeft gekregen wanneer u de beleidswijzigingen test.

Aanvullende beveiligingsoverwegingen bij het gebruik van BitLocker

De Editor voor lokaal groepsbeleid is niet ideaal als u tientallen of honderden assets moet configureren. Gebruik in dat geval Windows-groepsbeleid in Active Directory om devices en beleidsregels in bulk te beheren.

Nog beter: gebruik de endpoint management software van NinjaOne voor volledig inzicht in en controle over uw assets. Met een gecentraliseerde oplossing beheert en bewaakt u uw devices en verbetert u tegelijkertijd de beveiliging en compliance binnen de organisatie.

Ondernemingen hebben efficiënt monitoringbeleid nodig, inclusief notificaties en rapportages over de algehele status van devices en implementaties. Daarom is het voor grote organisaties gebruikelijk om hun IT Management-strategieën te verenigen met software of dienstverleners van derden.

Verhoog het niveau van uw gegevensbeveiliging met geautomatiseerde monitoring en rapportage

BitLocker is een prima optie voor individuele gebruikers en kleine ondernemingen die een extra beveiligingslaag voor hun assets nodig hebben. Bedrijven die klaar zijn om verder op te schalen merken echter dat het lastiger wordt om BitLocker en andere ingebouwde software voor gegevensbeheer en -bescherming consistent te beheren en te bewaken. Houd daar rekening mee en overweeg een krachtigere gecentraliseerde beheeroplossing om repetitieve taken te automatiseren, versleutelingssleutels te bewaken en essentieel netwerk- en gegevensbeleid af te dwingen.