Sophos Device Encryption: risolvere i problemi di BitLocker e FileVault

Sophos Fusion (in precedenza Sophos Central) gestisce la crittografia del dispositivo, ma non esegue direttamente la crittografia: su Windows opera BitLocker, su macOS FileVault. Un problema può quindi riguardare quattro livelli distinti: assegnazione di policy e utenti, agente Sophos e sincronizzazione, sistema operativo oppure gestione delle chiavi di ripristino.

Procedura rapida e sicura: annotare lo stato in Central e il testo dell’avviso, controllare in sola lettura lo stato locale di BitLocker o FileVault e confermare l’esistenza di un percorso di ripristino valido. Solo a quel punto seguire la procedura pertinente. Disattivare e riattivare ripetutamente la policy non costituisce una diagnosi e può alterare lo stato, la gestione delle chiavi o un processo di crittografia o decrittografia in corso.

Inoltrare le normali richieste di ripristino

Questo runbook serve a diagnosticare le anomalie, non a recuperare o comunicare una chiave. Per una normale richiesta di ripristino, seguire Sophos Device Encryption: recuperare in modo sicuro la chiave di ripristino.

Dopo la comunicazione autorizzata della chiave associata senza ambiguità, eseguire lo sblocco secondo la guida della piattaforma: per Windows, Gestire BitLocker con Sophos Fusion; per macOS, Gestire FileVault con Sophos Fusion. I passaggi per il recupero, la comunicazione e lo sblocco non vengono ripetuti qui.

Non confondere lo stato in Central con gli avvisi

Lo stato di crittografia descrive l’ultimo stato del dispositivo comunicato a Central. Un Alert segnala invece un’anomalia specifica. Se lo stato in Central è obsoleto ma quello locale è aggiornato, occorre quindi verificare anzitutto la comunicazione o la sincronizzazione, non presumere un errore di crittografia.

I sette valori di stato

Pending non significa “la policy è sostanzialmente in attesa di applicazione” e Suspended non significa “il volume è decrittografato”. Encrypted da solo non è sufficiente per la convalida: la chiave deve essere disponibile tramite il processo di ripristino previsto.

I tre avvisi di crittografia del dispositivo

Device is not encrypted significa che un volume non è crittografato anche se la policy ne richiede la crittografia. Una possibile causa è che l’utente abbia rinviato l’operazione dopo l’assegnazione della policy. Controllare quindi il volume interessato, l’eventuale richiesta ancora in attesa di un’azione dell’utente e l’avanzamento locale della crittografia.

Recovery key is missing significa che Central non trova nel proprio database una chiave di ripristino per un volume crittografato. Si tratta di un rischio per il ripristino, non della prova che l’unità non sia crittografata. Verificare la comunicazione, l’ultima sincronizzazione e l’archivio delle chiavi di ripristino pertinente, senza riportare la chiave nelle note del caso.

Device Encryption is suspended segnala che la protezione BitLocker è sospesa. Se la sospensione non è intenzionale, Sophos indica tre cause tipiche:

• La chiave di ripristino non è stata ancora salvata in Central. L’endpoint richiede una connessione Internet funzionante.
• BitLocker con pre-provisioning non è ancora attivato. L’utente deve definire PIN, password o chiave USB a seconda della modalità prevista.
• Sono in corso aggiornamenti di Windows. BitLocker revoca automaticamente la sospensione al riavvio successivo.

Soltanto dopo aver escluso questi tre casi, verificare la presenza di un intervento amministrativo non pianificato o di un errore Windows più profondo.

Una procedura per ogni tipo di errore

1. Acquisire lo stato e mettere al sicuro il ripristino

Prima di apportare qualsiasi modifica, annotare:

• nome del dispositivo e ID del dispositivo in Central;
• sistema operativo, build e ora del problema;
• policy assegnata e utente interessato;
• stato esatto, testo di avviso, codice di errore e timestamp;
• volume interessato e se è attualmente in fase di crittografia o decrittografia;
• se il responsabile del ripristino ha confermato la disponibilità di una chiave corrente e corrispondente.

Nel registro dell’intervento annotare soltanto Chiave presente, Chiave mancante o stato non ancora chiarito. Non riportare la chiave né gli ID completi.

2. Confrontare lo stato in Central con quello locale

Quattro risultati portano in direzioni diverse:

1. Lo stato locale e quello centrale coincidono: intervenire sul problema riscontrato localmente.
2. Stato locale corretto, stato in Central obsoleto: controllare la comunicazione dell’agente, il timestamp della policy e l’ultima sincronizzazione.
3. Stato in Central corretto, stato locale incoerente: controllare il singolo volume e le informazioni fornite dal sistema operativo; non dedurre lo stato di tutti i volumi da un’indicazione generale.
4. Gli stati sono sconosciuti o in conflitto: non eseguire interventi che alterino lo stato; raccogliere il pacchetto diagnostico e procedere con l’escalation.

3. Controllare l’applicazione della policy

La presenza del componente non dimostra che una policy sia applicata. Verificare che:

• la policy sia attiva e assegnata all’utente previsto o al relativo gruppo;
• l’utente connesso al dispositivo sia associato al dispositivo corretto in Central;
• nessuna policy con priorità superiore o impostazione globale spieghi la configurazione visibile;
• l’ultima applicazione della policy sia successiva all’ultima modifica;
• nessun oggetto Criteri di gruppo, policy MDM o gestione precedente della crittografia impone uno stato diverso.

Correggere le assegnazioni alla fonte. Impostare indiscriminatamente le policy locali su Not configured o riattivare più volte una policy centrale rende soltanto meno chiaro quale sistema di gestione stia effettivamente prevalendo.

Windows: BitLocker non si avvia o rimane in sospeso

Eseguire prima controlli locali in sola lettura

In un prompt dei comandi amministrativo, Windows mostra lo stato di tutti i volumi BitLocker:

manage-bde -status

Per ogni volume sono rilevanti Conversion Status, Percentage Encrypted, Protection Status, Lock Status e i Key Protectors presenti. Prima di inviare l’output al supporto, rimuovere le password di ripristino e ogni altro segreto.

Il log Sophos principale si trova qui:

C:\ProgramData\Sophos\Sophos Data Protection\Logs\CDE.log

Esaminare inoltre il periodo pertinente nel Visualizzatore eventi di Windows, lo stato del TPM e i criteri di gruppo BitLocker effettivamente applicati. A determinare il passaggio successivo non è il numero degli avvisi, ma il primo errore riproducibile dopo l’applicazione della policy o il riavvio.

L’utente non vede una finestra di dialogo di attivazione

Se manca la finestra di dialogo prevista, limitarsi a documentare il tipo di sessione, l’utente connesso, il testo esatto del log, l’ora e gli eventuali riavvii in sospeso. Una singola voce di log non consente di attribuire il problema a uno specifico tipo di sessione o a un malfunzionamento del servizio. Cambiare tipo di sessione o riavviare soltanto in base a istruzioni Sophos aggiornate e applicabili alla versione installata; confrontare quindi nuovamente manage-bde -status, il nuovo timestamp di CDE.log e lo stato in Central.

La policy e i criteri di gruppo sono in conflitto

I conflitti più comuni riguardano autenticazione all’avvio, protector consentiti, requisiti TPM e FIPS, metodo di crittografia e backup della chiave. Documentare i criteri di gruppo effettivamente applicati e confrontarli con la policy centrale. Correggere quindi il sistema di gestione responsabile: la risoluzione di un incidente non deve aggirare il modello di sicurezza con una soluzione locale.

La configurazione ordinaria, la scelta dei protector e l’allineamento dei criteri di gruppo sono descritti in Gestire BitLocker con Sophos Fusion.

BitLocker è Suspended

Suspended non indica che il volume è stato decrittografato, ma che la protezione è sospesa su almeno un volume. Verificare innanzitutto eventuali aggiornamenti di Windows o del firmware, riavvii in sospeso, pre-provisioning e deposito centrale della chiave di ripristino.

• Se una procedura di aggiornamento documentata non è ancora terminata, completare la sequenza di riavvii prevista e verificare nuovamente lo stato.
• Se un amministratore ha sospeso intenzionalmente BitLocker, il responsabile della modifica decide quando ripristinare la protezione.
• Se non esiste una spiegazione, trattare la sospensione come un’anomalia di sicurezza. Non forzare la ripresa alla cieca: acquisire ora, evento e stato dei protector per l’escalation.

Errore di attivazione con TPM, firmware o contesto DMA

In caso di errore di attivazione relativo all’hardware, vengono documentati il codice di errore esatto, lo stato corrente di TPM e UEFI, la modalità di autenticazione prevista e le versioni di firmware e driver. Non dedurre una causa o un intervento correttivo senza istruzioni aggiornate e specifiche per modello e versioni di Windows e Sophos. Le firme più vecchie vengono quindi classificate solo nella sezione storica controllata dal supporto.

Se viene segnalato un dispositivo compatibile con DMA ma non protetto, il produttore deve confermare che bus e dispositivo siano interni e sicuri. Aggiungere una voce ad AllowedBuses, modificare gli ACL o autorizzare indiscriminatamente bus sconosciuti non è una soluzione generale. Poiché il comportamento varia anche tra le versioni di Windows, non modificare il registro senza istruzioni correnti dell’OEM o di Sophos, specifiche per modello e versione.

macOS: FileVault è in attesa dell’utente o della chiave di ripristino

Verificare le autorizzazioni dell’utente

FileVault richiede un utente autorizzato in locale. Sui Mac con chip Apple, l’utente deve essere anche Volume Owner; ai fini della gestione è inoltre rilevante lo stato del Secure Token. Verificare pertanto che:

• L’utente attualmente connesso localmente è coperto dai criteri di crittografia del dispositivo?
• Questo utente può effettivamente sbloccare FileVault all’avvio?
• L’utente previsto è visibile nell’app Sophos Device Encryption?
• Sono presenti Secure Token e, ove richiesto, l’autorizzazione Volume Owner?
• C’è una finestra di dialogo Sophos in attesa della password di accesso a macOS o di Encrypt, Create key o Proceed?

Per precauzione, non creare nuovi account locali o mobili e non modificare le autorizzazioni degli utenti finché non sia stato individuato con certezza il requisito mancante. La procedura supportata per autorizzare altri utenti è descritta nel flusso di gestione FileVault.

FileVault è attivo, ma Central non ha chiave

«FileVault attivo» e «chiave di ripristino gestita centralmente» sono due condizioni distinte. Per ogni volume richiesto dalla policy, confrontare lo stato locale della crittografia, l’indicazione di ripristino nell’app Sophos Device Encryption e il timestamp più recente in Central.

I comandi di sola lettura documentati da Sophos sono:

/usr/local/bin/seadmin status
/usr/local/bin/seadmin --device-encryption

status aiuta a confrontare l’ultima sincronizzazione. --device-encryption mostra la policy e lo stato di crittografia e ripristino dei volumi interni. Un volume crittografato senza la conferma del deposito della chiave in Central non può essere convalidato come rollout riuscito.

Se Sophos visualizza una chiave di ripristino personale dopo un salvataggio non riuscito, la persona responsabile di FileVault deve conservarla temporaneamente in modo sicuro. Non copiare la chiave nel pacchetto diagnostico. L’articolo FileVault collegato descrive come gestire questa unica copia e verificarne poi la presenza in Central; il presente runbook non sostituisce la procedura di ripristino.

La crittografia o la decrittografia non avanza

Un valore percentuale invariato non è ancora un motivo per riavviare la gestione della crittografia. Innanzitutto vengono confrontati su un periodo di tempo sufficientemente lungo:

• avanzamento locale del volume interessato;
• alimentazione, spazio libero e riavvii in sospeso;
• ultima policy e timestamp dell’agente;
• eventi del sistema operativo nello stesso intervallo di tempo;
• gestione della crittografia concorrente;
• stato finale previsto: crittografare, prendere in gestione o decrittografare.

In caso di decrittazione pianificata, il responsabile della modifica conferma lo stato di destinazione, la responsabilità per la chiave di ripristino e il flusso della piattaforma. L’esecuzione per Windows è descritta nell’articolo su BitLocker, quella per macOS nell’articolo su FileVault. In caso di decrittazione imprevista, non si tenta di contrastare il processo con frettolose modifiche alle policy: il dispositivo, la modifica della policy e gli eventi vengono analizzati come anomalia di sicurezza.

Unmanaged, crittografia e migrazione esistenti

Unmanaged significa soltanto che il componente Device Encryption è installato, ma non è applicata alcuna policy Device Encryption. Il volume può essere crittografato oppure no. Lo stato non richiede di assegnare immediatamente una policy.

Prima dell’adozione o della migrazione, lo stato di origine viene inventariato:

1. Piattaforma, volumi e stato di crittografia locale.
2. Protezioni attive o utenti FileVault autorizzati.
3. Sistema di gestione precedente e direttive GPO o MDM effettivamente applicate.
4. Percorso di ripristino verificato con la gestione precedente.
5. Stato target previsto ed esattamente un sistema target responsabile.

Scegliere quindi un solo percorso, specifico per la piattaforma. Le operazioni devono restare nella rispettiva procedura BitLocker o FileVault. Finché la nuova chiave di ripristino non viene confermata nel sistema di destinazione, il percorso di ripristino precedente non viene eliminato e la vecchia amministrazione non viene messa fuori servizio.

Anche gli elenchi in Central hanno significati diversi: Computers without Device Encryption installed mostra i dispositivi gestiti privi del componente Device Encryption. Unmanaged computers, invece, può contenere computer sincronizzati dalla directory e privi della protezione Sophos. Prima di installare un componente o modificare una policy, verificare quindi in quale elenco compare il dispositivo e per quale motivo.

Indicatori storici: riconoscerli senza tentare riparazioni

Le firme seguenti provengono dall’esperienza operativa storica di Avanet. Possono aiutare a classificare un caso di assistenza, ma non costituiscono istruzioni di riparazione attuali né approvate:

• ManagementStatus.InvalidNamespace, 0x8004100E o 0x80041002 in combinazione con Win32_EncryptableVolume;
• 0x803100B6 sui dispositivi rilevati come slate;
• System.BadImageFormatException relativo a Sophos.Encryption.BitLockerService.exe;
• errore BitLocker dopo il passaggio da MBR a GPT o da BIOS legacy a UEFI;
• errore di attivazione con un’immagine ISO o un disco avviabile montato;
• No UI user session available;
• 0x80310048 oppure FVE_E_FIRMWARE_TYPE_NOT_SUPPORTED;
• precedenti scenari di errore DMA/AllowedBuses;
• necessità di logging avanzato DEBUG o TRACE.

La classe Microsoft Win32_EncryptableVolume spiega il contesto WMI ma non autorizza la nuova registrazione MOF o la riparazione WMI. Analogamente, non copiare DLL dalle cache, non acquisire autorizzazioni sul registro, non modificare BCD o partizioni di ripristino e non impostare chiavi di logging non documentate. Il Supporto Sophos deve fornire istruzioni aggiornate per la versione installata, la build esatta e la firma completa.

Pacchetto diagnostico e punto di escalation

Windows

• esportazione o screenshot dell’avviso in Central senza dati sensibili;
• Mappatura di dispositivi, policy e utenti con timestamp;
• output di manage-bde -status dal quale siano stati rimossi i dati sensibili;
• estratto pertinente da CDE.log;
• eventi Windows correlati e oggetti Criteri di gruppo BitLocker effettivamente applicati;
• stato di TPM, UEFI e firmware e ora dell’ultimo riavvio effettivo;
• Endpoint Self Help o Sophos Diagnostic Utility (SDU), se disponibile nell’agente distribuito;
• breve elenco dei controlli conservativi già eseguiti sullo stato.

macOS

• Mappatura di dispositivi, policy e utenti con timestamp;
• versioni di macOS e dei componenti Sophos;
• output di seadmin status e seadmin --device-encryption dai quali siano stati rimossi i dati sensibili;
• Stato dei volumi interessati nell’app Sophos Device Encryption;
• informazioni sul possesso, da parte dell’utente, di Secure Token, autorizzazione Volume Owner e autorizzazione preavvio;
• ora dell’ultima comunicazione centrale riuscita;
• Pacchetto SDU e processo riproducibile senza chiave di ripristino.

Prima della condivisione, i dati utente vengono ridotti allo stretto necessario e le chiavi di ripristino, le password, gli ID chiave completi e altri segreti vengono rimossi.

Il caso va inoltrato al Supporto Sophos se la responsabilità o la disponibilità della chiave di ripristino resta incerta, se dopo una sincronizzazione riuscita Central e il sistema operativo continuano a indicare stati incompatibili, se il servizio dell’agente si arresta ripetutamente, se compare una firma storica oppure se il passaggio successivo richiederebbe di modificare WMI, registro, file di programma, BCD o partizioni. Nel caso indicare la prima anomalia osservata, non soltanto l’ultimo errore conseguente.

Domande frequenti