Configurações do BCD e o BitLocker

Artigo
04/01/2016

Este tópico para profissionais de TI descreve as configurações do BCD que são usadas pelo BitLocker.

Ao proteger dados em repouso em um volume do sistema operacional, durante o processo de inicialização, o BitLocker verifica se as configurações de dados de configuração da inicialização (BCD) confidenciais de segurança não foram alteradas desde a última vez em que o BitLocker foi habilitado, retomado ou recuperado.

BitLocker e as configurações do BCD

No Windows 7 e no Windows Server 2008 R2, o BitLocker validava praticamente todas as configurações de BCD usando os prefixos winload, winresume e memtest. No entanto, esse alto grau de validação fazia o BitLocker entrar em modo de recuperação para alterações de configuração benignas, por exemplo, se aplicasse um pacote de idiomas, o BitLocker entraria em recuperação.

No Windows 8, no Windows Server 2012 e nos sistemas operacionais posteriores, o BitLocker restringe o conjunto de configurações do BCD validadas para reduzir a chance de alterações benignas causarem um problema de validação do BCD. Caso ache que existe um risco na exclusão de uma determinada configuração de BCD do perfil de validação, você pode aumentar a cobertura de validação do BCD para atender às preferências de validação. Como alternativa, caso uma configuração de BCD padrão esteja disparando de maneira persistente a recuperação para alterações benignas, você pode excluir essa configuração de BCD do perfil de validação.

Quando a inicialização segura está habilitada

Os computadores com o firmware da UEFI podem usar a Inicialização Segura para oferecer uma segurança de inicialização aprimorada. Quando o BitLocker é capaz de usar a Inicialização Segura para a plataforma e a validação de integridade do BCD, conforme definido pela configuração de política de grupo Permitir Inicialização Segura para validação de integridade, a política de grupo Usar o perfil de validação de Dados de Configuração da Inicialização avançado é ignorada.

Um dos benefícios de usar a Inicialização Segura é que ela pode corrigir configurações do BCD durante a inicialização sem disparar eventos de recuperação. A Inicialização Segura impõe as mesmas configurações de BCD do BitLocker. A imposição do BCD de Inicialização Segura não é configurável dentro do sistema operacional.

Personalização das configurações de validação do BCD

Para modificar as configurações do BCD que o BitLocker valida, o profissional de TI irá adicionar ou excluir configurações do BCD do perfil de validação da plataforma habilitando e configurando a configuração de Política de Grupo Usar o perfil de validação de Dados de Configuração da Inicialização avançado.

Para fins de validação do BitLocker, as configurações do BCD são associadas a um conjunto específico de aplicativos de inicialização Microsoft. As configurações do BCD são associadas a um aplicativo de inicialização específico ou podem se aplicar a todos os aplicativos de inicialização associando um prefixo à configuração do BCD inserida na configuração de Política de Grupo. Os valores de prefixo incluem:

winload
winresume
memtest
all

Todas as configurações do BCD são especificadas integrando-se o valor do prefixo a um valor hexadecimal (hex) ou a um "nome amigável".

O valor hexadecimal de configuração do BCD é relatado quando o BitLocker entra no modo de recuperação e é armazenado no log de eventos (ID do evento 523). O valor hexadecimal identifica com exclusividade qual configuração do BCD causou o evento de recuperação.

Você pode obter rapidamente o nome amigável das configurações do BCD no computador usando o comando "bcdedit.exe /enum all".

Nem todas as configurações do BCD têm nomes amigáveis; para essas configurações, o valor hexadecimal é a única maneira de configurar uma política de exclusão.

Ao especificar valores do BCD na configuração de Política de Grupo Usar o perfil de validação de Dados de Configuração da Inicialização avançado, use a seguinte sintaxe:

Prefixar a configuração com o prefixo de aplicativo de inicialização
Acrescentar um dois-pontos ':'
Acrescentar o valor hexadecimal ou o nome amigável
Se inserir mais de uma configuração do BCD, você precisará inserir cada configuração do BCD em uma nova linha

Por exemplo, "winload:hypervisordebugport"ou"winload:0x250000f4" produzir o mesmo valor.

A configuração que se aplica a todos os aplicativos de inicialização pode ser aplicada somente a um aplicativo individual; no entanto, a recíproca não é verdadeira. Por exemplo, uma pode especificar: "all:locale" ou "winresume:locale", mas como a configuração de bcd "win-pe"não se aplica a todos os aplicativos de inicialização,"winload:winpe" é válido, mas "all:winpe" não é. A configuração que controla a depuração de inicialização ("bootdebug" ou 0x16000010) sempre será validada e não entrará em vigor se estiver incluída nos campos fornecidos.

Observação

Tome cuidado ao configurar entradas do BCD na configuração Política de Grupo. O Editor de Política de Grupo Local não valida a correção da entrada do BCD. O BitLocker deixará de ser habilitado se a configuração Política de Grupo especificada for inválida.

Perfil de validação do BCD padrão

A seguinte tabela contém o perfil de validação do BCD padrão usado pelo BitLocker no Windows 8, no Windows Server 2012 e nos sistemas operacionais posteriores:

Valor hexadecimal	Prefixo	Nome amigável
0x11000001	all	device
0x12000002	all	path
0x12000030	all	loadoptions
0x16000010	all	bootdebug
0x16000040	all	advancedoptions
0x16000041	all	optionsedit
0x16000048	all	nointegritychecks
0x16000049	all	testsigning
0x16000060	all	isolatedcontext
0x1600007b	all	forcefipscrypto
0x22000002	winload	systemroot
0x22000011	winload	kernel
0x22000012	winload	hal
0x22000053	winload	evstore
0x25000020	winload	nx
0x25000052	winload	restrictapiccluster
0x26000022	winload	winpe
0x26000025	winload	lastknowngood
0x26000081	winload	safebootalternateshell
0x260000a0	winload	debug
0x260000f2	winload	hypervisordebug
0x26000116	winload	hypervisorusevapic
0x21000001	winresume	filedevice
0x22000002	winresume	filepath
0x26000006	winresume	debugoptionenabled

Lista completa de nomes amigáveis para configurações do BCD ignorados

Esta é uma lista completa das configurações do BCD com nomes amigáveis que são ignorados por padrão. Essas configurações não fazem parte do perfil de validação do BitLocker padrão, mas podem ser adicionadas caso você precise validar qualquer uma dessas configurações antes de permitir que uma unidade de sistema operacional protegida pelo BitLocker seja desbloqueada.