【发布时间】：2017-04-05 15:24:56
【问题描述】：
我正在没有 TPM 的 Windows 10 笔记本电脑上实施 Bitlocker。有人说 Bitlocker 默认以明文形式在 AD 中存储密钥 - 这是真的吗？
【问题讨论】：
标签： active-directory tpm bitlocker
【发布时间】：2017-04-05 15:24:56
【问题描述】：
https://technet.microsoft.com/en-us/library/cc766200(v=ws.10).aspx#BKMK_ADRecovery
是的，这是真的！ Bitlocker 以明文形式在 AD 中存储密钥 :(
【讨论】：
-
在你恐慌之前：
but the entries have access control lists (ACLs) that limit access to only domain administrators -
是的，这不是很好。 ACL 与加密的安全级别不同！对于全球网络恕我直言，这还不够好
是的，这是真的。但如前所述，您可以通过审核 ACL 访问来缓解。与 LAPS 工具包一起安装的“Find-AdmPwdExtendedRights”会告诉您拥有读取此类纯文本密钥的权限。
来自 Microsoft Enterprise Cybersecurity Group 的 Jessica Payne 认为 AD（LAPS / Bitlocker）中的纯文本密钥存储在大多数环境中使用正确的 ACL 是没有问题的。
【讨论】：