Obsahově celkem rozsáhlé téma, zde osekané, hlavně z pohledu různých nastavení v zásadách skupiny, jenž se vážou ke sdílení a zabezpečení prostředků. Stav k roku 2026: klient Windows 11 24H2/25H2, server Windows Server 2022/2025. Windows 10 je od 14. 10. 2025 bez podpory – zmiňujeme jen jako historii.

HomeGroup byly odstraněny ve Windows 10 v. 1803 (duben 2018): zmizely z Průzkumníka, Ovládacích panelů i Poradce při potížích; položky „Domácí skupina (zobrazení)“ v nabídce Udělit přístup ještě chvíli zůstaly, ale nic nedělaly. Náhrada: běžné sdílení SMB (Konkrétní lidé), Sdílení v okolí, OneDrive. Zdroj: https://learn.microsoft.com/en-us/windows/whats-new/removed-features

Sdílení souborů a tiskáren je ve výchozím nastavení povoleno pro privátní sítě a zakázáno pro veřejné sítě. Ve Windows 11 22H2+ se „Upřesnit nastavení sdílení“ přestěhovalo z Ovládacích panelů do aplikace Nastavení; stará stránka Ovládacích panelů na ni jen přesměruje. Sdílení prostředků lze omezit i pomocí pravidel brány firewall (protokol SMB, TCP port 445). Od Windows 11 24H2 / Windows Server 2025 se při vytvoření sdílení zapíná nová skupina pravidel „Sdílení souborů a tiskáren (omezující)“ (File and Printer Sharing (Restrictive)), která už neobsahuje NetBIOS porty UDP/TCP 137–139 – ty potřebuje jen SMB1. Zdroj: https://learn.microsoft.com/en-us/windows/whats-new/whats-new-windows-11-version-24h2#smb-firewall-rule-changes Zdroj: https://learn.microsoft.com/en-us/windows-server/storage/file-server/smb-secure-traffic

Snímky z Windows 11 24H2: Nastavení › Síť a internet › Upřesnit nastavení sítě › Upřesnit nastavení sdílení (dříve Ovládací panely › Pokročilé nastavení sdílení); vlastnosti adaptéru (druhý snímek, ncpa.cpl) vypadají stále stejně.

Windows 11 24H2 Pro, Enterprise a Education vyžadují podepisování SMB pro příchozí i odchozí spojení; Windows Server 2025 jen pro odchozí (jako klient) a Windows 11 Home ho nevyžaduje (stránka „Control SMB signing behavior“; přehled What's new 24H2 uvádí obecně „Home, Pro, Education, Enterprise“ – řídit se specializovanou stránkou). Zdroj: https://learn.microsoft.com/en-us/windows-server/storage/file-server/smb-signing Podepisování existuje 30 let, ale poprvé je vyžadováno. Důsledek: starší NAS s vypnutým podepisováním nebo jen s hostem se nepřipojí („You can't access this shared folder because your organization's security policies block unauthenticated guest access“). Řešení je opravit NAS, ne vypínat podepisování – Set-SmbClientConfiguration -RequireSecuritySignature $false je jen nouzové. Guest fallback: hostovský přístup navíc nepodporuje podepisování ani šifrování, takže i kde je povolen, s vyžadovaným podepisováním selže. Dokumentace uvádí zákaz pro Windows 11 Pro od Insider buildu 25267 (tj. první vydaná verze je 24H2); Windows 11 Home v seznamu není, u Windows 10 Home/Pro zůstal povolen. SMB over QUIC: server musí mít certifikát (Server Authentication), klient zkouší nejdřív TCP 445 a až pak QUIC (nebo NET USE /TRANSPORT:QUIC, New-SmbMapping -TransportType QUIC). Od Windows 11 24H2 lze řídit, kteří klienti smějí QUIC použít (client access control), a auditovat spojení (event 30832). Zdroj: https://learn.microsoft.com/en-us/windows/whats-new/whats-new-windows-11-version-24h2#server-message-block-smb-protocol-changes Zdroj: https://learn.microsoft.com/en-us/windows-server/storage/file-server/smb-ntlm-blocking Zdroj: https://learn.microsoft.com/en-us/windows-server/storage/file-server/configure-smb-authentication-rate-limiter Zdroj: https://learn.microsoft.com/en-us/windows-server/storage/file-server/smb-over-quic Zdroj: https://learn.microsoft.com/en-us/windows-server/storage/file-server/troubleshoot/smbv1-not-installed-by-default-in-windows Zdroj: https://learn.microsoft.com/en-us/windows-server/storage/file-server/enable-insecure-guest-logons-smb2-and-smb3 Zdroj: https://learn.microsoft.com/en-us/windows-server/get-started/removed-deprecated-features-windows-server

Sdílení v okolí je náhrada „ad hoc“ použití domácích skupin: bez serveru, bez nastavování oprávnění. Při volbě Všichni v okolí je Bluetooth MAC adresa a název počítače viditelný okolním zařízením. Přijaté soubory končí ve složce Stažené soubory (lze změnit). Podle dokumentace funguje pouze mezi podporovanými zařízeními s Windows; přenos z/na Android řeší samostatná aplikace Google Quick Share pro Windows (není součástí systému) nebo sdílení souborů v aplikaci Propojení s telefonem. OneDrive je dnes cesta, kterou Microsoft doporučuje i místo Souborů offline (viz dále). Zdroj: https://support.microsoft.com/windows/share-things-with-nearby-devices-in-windows-0efbfe40-e3e2-581b-13f4-1a0e9936c2d9

Pro nastavení jednoduchého sdílení je potřeba mít povoleno Používat průvodce sdílením (Doporučeno) v Možnostech Průzkumníka souborů (záložka Zobrazení), jinak bude tlačítko Sdílení… zašedlé. Snímek z Windows 11 24H2 (složka C:\Share před nasdílením).

Pokud nemá uživatel přiřazeno žádné oprávnění, nemůže vůbec přistupovat k danému sdílení. Při použití jednoduchého sdílení se při nastavení oprávnění pro sdílení nastaví automaticky také odpovídající NTFS oprávnění u sdíleného adresáře. Při následném odebrání oprávnění pro sdílení se ovšem automaticky nastavená NTFS oprávnění neodeberou a zůstanou i nadále v platnosti. Automatické nastavení NTFS oprávnění také často ruší dědění NTFS oprávnění. Historie: v seznamu bývala i skupina Domácí skupina (HomeUsers); ta s odstraněním domácích skupin (1803) zmizela.

Snímky z Windows 11 24H2: vlevo karta Sdílení po nasdílení průvodcem (Sdíleno, síťová cesta \\W11-1\Share), vpravo průvodce Přístup k síti (Sdílení souborů) s účty Bart, Lisa a Marge; Domácí skupina, kterou nabízel Windows 8, už neexistuje.

K počítači s klientskými Windows (8/10/11) může být připojeno maximálně 20 uživatelů současně (u Windows XP/Vista bylo 10, od Windows 7 je to 20) – jde o omezení licenčních podmínek („Device Connections“), ne protokolu. Při vytváření sdílení je toto maximum nastaveno jako výchozí limit. K počítačům, na kterých běží Windows Server, se může připojit maximálně 2^24 uživatelů, což lze pokládat za neomezený počet. Zdroj (Windows 7 Professional EULA, Device Connections – up to 20 other devices): https://www.microsoft.com/content/dam/microsoft/usetm/documents/windows/7-professional/oem-pre-installed/Windows_7%20Professional_English.pdf Zdroj (Windows 11 licenční podmínky, Device Connections – 20 zařízení): https://learn.microsoft.com/en-us/windows/iot/iot-enterprise/eula/license_en-us_english_united_states.pdf

Možnost specifikovat název sdílené složky je důležitá pro vytváření skrytých sdílení. V Mezipaměti se nastavují soubory offline (offline files). Snímky z Windows 11 24H2 (sdílení Share na W11-1: Everyone čtení, homer úplné řízení, marge čtení, skupina simpsons změnit).

Skrytí je jen kosmetické: `net share`, `Get-SmbShare` i vzdálené `net view \\server /all` je vypíší. Prohledávání sítě v Průzkumníku dnes používá WS-Discovery (služby Function Discovery), ne NetBIOS browsing závislý na SMB1.

Od Windows Vista nejsou administrativní sdílení (ADMIN$, <jednotka>$) standardně přístupná lokálním účtům správců, jelikož se přes síť kvůli UAC připojí jen s oprávněními standardního uživatele (UAC remote restrictions). Aby se připojili s oprávněními správce, musí se v registru nastavit LocalAccountTokenFilterPolicy na hodnotu 1 (doménových účtů se to netýká). Zásady zabezpečení Microsoftu doporučují administrativní sdílení a LocalAccountTokenFilterPolicy nechat ve výchozím stavu a pro vzdálenou správu používat Windows LAPS / PowerShell remoting.

Lze násilně ukončit relaci (připojení ke sdílení) konkrétního uživatele, ale ten se může ihned připojit zpátky, pokud k tomu stále má dostatečná oprávnění. Ve Windows 11 se sekce Ovládacích panelů jmenuje Nástroje Windows (Windows Tools) a je zároveň složkou v nabídce Start.

Přepínač /unlimited nastaví limit na maximum pro danou verzi systému Windows. Při specifikaci limitu přesahujícího maximum pro danou verzi systému Windows bude nastaveno jen maximum namísto zadaného limitu. Pokud je nastavený limit roven maximu pro danou verzi systému Windows, vypisuje net share namísto limitu text Bez omezení, což je dosti zavádějící, jelikož limit pořád existuje (a u desktopových Windows je dosti omezující). net share je stále funkční, ale moderní cesta je modul SmbShare (další snímek).

Modul SmbShare je součástí Windows od verze 8 / Server 2012 a funguje ve Windows PowerShellu 5.1 i v PowerShellu 7. Get-SmbConnection ukáže u každého spojení dialekt (3.1.1) a zda je podepsané/šifrované – užitečné při ladění problémů s NAS po přechodu na 24H2. Zdroj: https://learn.microsoft.com/en-us/powershell/module/smbshare/

Knihovny dál používají např. Fotky nebo dialogy Otevřít/Uložit; Historie souborů ve Windows 11 (jen v Ovládacích panelech) zálohuje právě knihovny + Plochu, Kontakty a Oblíbené; další složku přidáte tak, že ji zahrnete do knihovny – dnes hlavní praktický důvod, proč knihovny existují (stránka Nastavení › Zálohování s přidáváním složek ve Windows 11 není). Zdroj: https://learn.microsoft.com/en-us/answers/questions/4114960/add-more-folders-to-file-history-in-windows-11 Zdroj: https://learn.microsoft.com/en-us/answers/questions/3873491/on-windows-11-where-can-i-see-the-list-of-folders Nový Průzkumník (Windows 11) je má v navigačním podokně vypnuté, ale položka Knihovny zůstává pod „Tento počítač“ po zapnutí volby.

Snímky z Windows 11 24H2 (Průzkumník › Knihovny, nová kontextová nabídka; vlastnosti knihovny Dokumenty s více umístěními). Ve Windows 10/11 není sekce Knihovny ve výchozím nastavení viditelná, musí se povolit: Možnosti složky › Zobrazení › Navigační podokno › Zobrazit knihovny.

Ovladač samotný nemusí někdy postačovat pro správné fungování tiskárny, může být potřeba např. speciální tiskový procesor (např. pro GDI tiskárny), jenž není nainstalován s ovladačem. Point and Print: po útocích PrintNightmare (2021) vyžaduje instalace ovladače ze sdílené tiskárny ve výchozím stavu oprávnění správce (RestrictDriverInstallationToAdministrators = 1). Chráněný tisk Windows (Windows protected print mode) tento problém řeší tím, že ovladače třetích stran vůbec nepovolí; zapíná se v Nastavení › Bluetooth a zařízení › Tiskárny a skenery nebo zásadou Konfigurace počítače › Šablony pro správu › Tiskárny › Konfigurovat chráněný tisk Windows. Zdroj: https://learn.microsoft.com/en-us/windows/whats-new/whats-new-windows-11-version-24h2#windows-protected-print-mode

Soubory offline lze také použít např. pro urychlení spouštění programů ze síťového umístění, kdy bude velká část potřebných souborů daného programu již nakešována lokálně. Centrum synchronizace zůstává jen v Ovládacích panelech, do Nastavení nebylo nikdy přeneseno. Ve cvičení E04 (Lab 07) se Soubory offline stále používají – funkčnost ve Windows 11 24H2 ověřena. Zdroj (srovnávací tabulka Work Folders / Offline Files / OneDrive): https://learn.microsoft.com/en-us/windows-server/storage/work-folders/work-folders-overview#comparison-with-other-sync-technologies Zdroj (seznam zastaralých funkcí – Soubory offline v něm nejsou): https://learn.microsoft.com/en-us/windows/whats-new/deprecated-features

OneDrive Files On-Demand vyžaduje NTFS (používá reparse points / cloud files API). Ve Windows 11 je klient OneDrive součástí systému a při OOBE s účtem Microsoft se Známé složky zálohují automaticky (lze vypnout v nastavení OneDrive › Synchronizace a zálohování). Work Folders nemá oficiální „deprecated“ status (ověřeno v seznamech zastaralých funkcí Windows i Windows Server, září 2026), ale dokumentace uvádí jako podporované servery jen 2012 R2–2019 a od roku 2019 nepřibyly nové funkce. Zdroj: https://learn.microsoft.com/en-us/windows-server/storage/work-folders/work-folders-overview Zdroj: https://learn.microsoft.com/en-us/windows-server/get-started/removed-deprecated-features-windows-server

Vyloučení se týká pouze typů souborů (např. *.avi), ne konkrétních vybraných souborů. Zásady jsou v Konfigurace počítače › Šablony pro správu › Síť › Soubory offline.

Snímky z Windows 11 24H2 (Ovládací panely › Centrum synchronizace › Spravovat offline soubory); na Windows 11 Pro jsou soubory offline ve výchozím stavu zakázané, povolení vyžaduje restart.

Dialog Nastavení pro offline režim (tlačítko Mezipaměť v Rozšířených možnostech sdílení); snímky z Windows 11 24H2.

Výchozí práh režimu pomalé linky je latence 35 ms (Windows 8 a novější; Windows 7 80 ms), není-li zásada Configure slow-link mode nakonfigurována; 64 kb/s byl práh Windows XP. Zdroj: https://admx.help/?Category=Windows_10_2016&Policy=Microsoft.Policies.OfflineFiles::Pol_SlowLinkSettings ; https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-R2-and-2012/hh968298(v=ws.11) Synchronizace na pozadí v režimu pomalé linky (od Windows 8) probíhá ve výchozím nastavení co 6 hodin (zásada Configure Background Sync).

Režim Always Offline vynucuje práci v offline režimu i pokud má počítač dobrou konektivitu do sítě. Tento režim se zapíná nastavením zásady Configure slow-link mode a použitím Latency=1 u výběru adresáře, pro který má být tento režim zapnut. Synchronizace v tomto režimu probíhá ve výchozím nastavení co 120 minut (lze změnit nastavením zásady Configure Background Sync). Počítač musí být v doméně Active Directory!

Cost-aware synchronizace vynutí přepnutí do offline režimu (a vypne synchronizaci na pozadí), pokud počítač přesáhl nebo se blíží limitu pro přenos dat (např. mobilní hotspot, síť označená v Nastavení jako Měřené připojení). Uživatel může pořád provést synchronizaci manuálně. Tato forma synchronizace se zapíná nastavením zásady Enable file synchronization on costed networks. Informaci o měřeném připojení dodává NCSI / nastavení Měřené připojení (mobilní síť, roaming, blížící se limit plánu), nikoli latence – latence 35 ms je práh režimu pomalé linky (předchozí snímek). Zdroj: https://learn.microsoft.com/en-us/windows-server/storage/folder-redirection/enable-background-synchronization ; https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-R2-and-2012/hh848267(v=ws.11) Počítač musí být v doméně Active Directory!

Snímky z Windows 11 24H2: konflikt souboru offline.txt ze sdílení \\192.168.0.11\Share (upraven offline na W11-1 i na serveru W11-2), Centrum synchronizace › Zobrazit konflikty synchronizace › Zobrazit možnosti řešení. Neprobíraly se veřejné adresáře (public folders) a transparentní kešování (transparent caching). Veřejné adresáře (C:\Users\Public) jsou přístupné (čtení i zápis) pro všechny uživatele na daném počítači a jejich sdílení do sítě se povoluje v Upřesnit nastavení sdílení › Všechny sítě › Sdílení veřejné složky. Transparentní kešování je něco na způsob online režimu souborů offline, kdy kešujeme soubory na síti, se kterými pracujeme, a upřednostňujeme práci s kešovanými lokálními kopiemi před prací s originálními soubory na síti; zapíná se zásadou Enable Transparent Caching a je k dispozici i tam, kde nejsou Soubory offline.

NTFS oprávnění probíraná dále platí i pro ReFS – používá stejný bezpečnostní popisovač (DACL/SACL). ReFS ale nepodporuje diskové kvóty, krátké názvy 8.3, transakce, ODX, zmenšování svazku ani výměnná média a Windows z něj neumí bootovat, proto zůstává systémový oddíl NTFS. Šifrování EFS na ReFS uvádí přehled ReFS jako dostupné pouze na Windows Server 2025; na klientu (Dev Drive) EFS na ReFS není. Blokovou kompresi ReFS podporuje (stejně jako NTFS), jde ale o jinou implementaci než komprese NTFS po souborech. Dev Drive od Windows 11 24H2 podporuje block cloning (kopie souboru jako metadata). Nový VHD s Dev Drive na BitLockerem šifrovaném disku je šifrován s hostitelským svazkem. Zdroj: https://learn.microsoft.com/en-us/windows/dev-drive/ Zdroj: https://learn.microsoft.com/en-us/windows-server/storage/refs/refs-overview Zdroj (dynamické disky deprecated): https://learn.microsoft.com/en-us/windows/whats-new/deprecated-features Zdroj (ReFS 1709 – vytváření svazků jen Enterprise a Pro for Workstations, ostatní edice čtení/zápis): https://learn.microsoft.com/en-us/windows/whats-new/removed-features

Předdefinované skupiny jsou přesněji předdefinované objekty zabezpečení, ovšem u desktop systémů jsou všechny tyto objekty skupiny. U systémů Windows se ACL seznamy obsahující NTFS oprávnění označují jako DACL seznamy (Discretionary Access Control Lists); auditovací záznamy jsou v SACL. ACL seznamy lze najít i u UNIXových systémů (POSIX ACL, NFSv4 ACL). ACL seznamy se skládají z ACE záznamů (Access Control Entries), jenž obsahují informace o oprávněních konkrétního uživatele nebo skupiny. Oprávnění pro skupinu Creator Owner zůstávají jen u adresářů, u souborů je tato skupina nahrazována účtem aktuálního vlastníka.

I s oprávněním měnit pro adresář můžeme obvykle mazat soubory (a podadresáře) v tomto adresáři, jelikož tyto soubory a adresáře typicky dědí oprávnění od otcovského adresáře a tímto získáme oprávnění dědit i pro daný soubor (podadresář). Rozklad základních oprávnění na 14 rozšířených (Procházet složku / Spouštět soubor, Vypisovat složku / Číst data, …) je v textu cvičení E04. Číst i Číst a spouštět obsahují rozšířené oprávnění Vypisovat složku / Číst data (List Folder / Read Data), takže obsah složky zobrazit lze; Zobrazovat obsah složky se od Číst a spouštět liší jen dědičností (jen podsložky). Zdroj: https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2003/cc787794(v=ws.10)

Zjednodušený model s pěti základními oprávněními – v dialogu Platný přístup Windows zobrazí rozklad na rozšířená oprávnění (Odepřít Číst odebere i Číst atributy a Synchronize, takže reálně selže i zápis do souboru).

Dialog počítá výsledná oprávnění ze všech skupin, kterých je účet členem, a umožňuje i simulaci (přidat skupinu, nároky zařízení). U přístupu ze sítě nezohledňuje oprávnění sdílení – ta je třeba započítat zvlášť (viz dále). Stejný název záložky (Platný přístup) používá cvičení E04.

robocopy bez přepínačů kopíruje jen data, atributy a časy (/COPY:DAT); oprávnění (S), vlastníka (O) a auditování (U) zachová až /COPY:DATSOU, /COPYALL nebo /SEC (= /COPY:DATS). Totéž platí pro cíl na ReFS.

Pro správu lze také využít PowerShell a jeho cmdlety Get-Acl a Set-Acl, jenž zpřístupňují resp. nastavují objekty reprezentující ACL seznamy a jejich položky (System.Security.AccessControl); položku ACE se přidává metodou AddAccessRule. Modul NTFSSecurity z PowerShell Gallery to zjednodušuje. Uživatele lze specifikovat pomocí názvu nebo SID jeho uživatelského účtu (`*S-1-5-32-544` pro Administrators). Zdroj: https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/icacls

Pořadí kontrol při přístupu ze sítě: firewall → právo Přístup k tomuto počítači ze sítě (User Rights Assignment) → oprávnění sdílení → NTFS oprávnění.

Číst u oprávnění sdílení umožňuje i spouštět.

Upřesňující (Advanced) zásady auditu existují od Windows Vista/Server 2008 a mají přednost před starými devíti kategoriemi; míchat oboje nedoporučeno. Události generované při přístupu k souborům obsahují dodatečné informace, např. atributy souboru nebo přístupovou masku. Pro souborový server je smysluplnější Auditovat sdílenou složku / Podrobná sdílená složka (5145) než auditovat celý systém souborů. V doméně lze auditování řídit centrálně (Global Object Access Auditing) a sbírat přes Event Forwarding. Zdroj: https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/advanced-security-auditing

Příklad: $acl = Get-Acl -Audit C:\Data; $acl.AddAuditRule((New-Object System.Security.AccessControl.FileSystemAuditRule('Everyone','FullControl','ContainerInherit,ObjectInherit','None','Success,Failure'))); Set-Acl C:\Data $acl. Přepínač /setaudit v icacls neexistuje (referenční seznam: /save, /setowner, /findsid, /verify, /reset, /grant, /deny, /remove, /setintegritylevel, /substitute, /restore, /inheritance). Zdroj: https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/icacls

Dialog Upřesnit nastavení zabezpečení › Auditování, snímek z Windows 11 24H2 (soubor C:\Share\iw1.txt, položky auditu pro účty homer, bart a lisa).

EFS chrání data proti offline útoku (vyjmutý disk, jiný OS, správce na tomtéž počítači), ale ne když je uživatel přihlášen – pak jsou soubory transparentně čitelné každému procesu běžícímu pod jeho účtem (malware). Proto Microsoft doporučuje kombinaci: BitLocker na celý disk + EFS/PDE pro data více uživatelů na jednom počítači. Ztráta certifikátu = ztráta dat, odtud důraz na zálohu (cvičení E04 Lab 02) a agenta obnovení (Lab 05). Windows 11 Home EFS nemá; soubory zašifrované EFS se při kopírování na FAT/exFAT/ReFS dešifrují (Windows varuje). Zdroj (edice pro BitLocker – Pro, Enterprise, Pro Education/SE, Education): https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/#windows-edition-and-licensing-requirements Zdroj (EFS není v edici Home – porovnání edic Windows 11): https://www.microsoft.com/en-us/windows/business/compare-windows-11-editions Zdroj (EFS na ReFS pouze Windows Server 2025 – tabulka Feature comparison, poznámka 3): https://learn.microsoft.com/en-us/windows-server/storage/refs/refs-overview

Vlastnosti › Obecné › Upřesnit… › Šifrovat obsah a zabezpečit tak data (stejně ve Windows 11, viz E04 Lab 02). Alternativně `cipher /e /s:<adresář>`; stav zobrazí `cipher /c <soubor>`.

Výchozí algoritmy od Windows Vista/7: AES-256 pro FEK, RSA 2048 pro certifikát uživatele (samopodepsaný, pokud není PKI); zásada „Šifrování systému souborů“ umožňuje vynutit ECC (P-256/384/521) nebo čipovou kartu.

Veřejné klíče jsou distribuovány v rámci Active Directory všem uživatelům v doméně. Privátní klíč chrání DPAPI, tj. odvozuje se z hesla uživatele – proto reset hesla správcem (ne změna uživatelem) znepřístupní EFS soubory, dokud se neobnoví zálohovaný certifikát (.pfx).

Původně blokové schéma se šipkami (Data, FEK, klíče); převedeno na tabulku kroků. Šifrovaný FEK je uložen v atributu $EFS souboru (DDF – Data Decryption Field); pro agenta obnovení vzniká navíc DRF – Data Recovery Field.

Původně blokové schéma se šipkami; převedeno na tabulku kroků. Přidání uživatele: Vlastnosti › Obecné › Upřesnit… › Podrobnosti › Přidat (cvičení E04 Lab 03) – přidávající musí být sám schopen FEK dešifrovat.

Původně blokové schéma se šipkami; převedeno na tabulku kroků. Uživatel bez odpovídajícího DDF/DRF záznamu dostane „Přístup byl odepřen“, i když má NTFS oprávnění Číst.

Příkaz cipher /r vygeneruje 2 soubory – .cer obsahující veřejný klíč a .pfx obsahující veřejný a privátní klíč (chráněný heslem). V doméně je agentem obnovení implicitně první správce domény; v pracovní skupině žádný není, dokud ho nevytvoříme (cvičení E04 Lab 05).

Editor místních zásad skupiny (gpedit.msc), snímek z Windows 11 24H2: Konfigurace počítače › Nastavení systému Windows › Nastavení zabezpečení › Zásady veřejných klíčů › Systém souborů EFS › kontextová nabídka.

PDE používá AES-CBC 256. Stav ochrany souboru zobrazí Vlastnosti › Obecné › Upřesnit… › Podrobnosti („Personal Data Encryption is: On“) nebo `cipher /c`. Pro školní/laboratorní prostředí bez Entra ID není dostupné; probíráme jako směr, kterým Microsoft nahrazuje EFS v podnikovém nasazení. Zdroj: https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/personal-data-encryption/ Zdroj: https://learn.microsoft.com/en-us/windows/whats-new/whats-new-windows-11-version-24h2#personal-data-encryption-for-folders

Klíčů pro šifrování a dešifrování dat u BitLockeru je obecně více, FVEK je pouze jeden z nich (FVEK je zašifrován VMK – Volume Master Key, ten je chráněn jednotlivými protektory: TPM, PIN, klíč pro start, heslo pro obnovení, certifikát agenta). BitLocker vyžaduje pro svou funkcionalitu (šifrování systémového oddílu) disk s alespoň dvěma oddíly: Oddíl se soubory operačního systému (NTFS, šifrován) Systémový oddíl se soubory nutnými pro start (u UEFI oddíl EFI s FAT32, u BIOSu NTFS; nešifrován, doporučeno 350 MB, po zapnutí BitLockeru alespoň 250 MB volných). Instalace Windows ho vytváří automaticky; ručně `bdehdcfg.exe`. Lze šifrovat jen použité místo (Used Space Only) – rychlé u nových disků – nebo celý oddíl (Full). Oddíl lze zašifrovat už z WinPE před instalací (pre-provisioning, `manage-bde -on X: -used`), pak je chráněn jen tzv. clear key a po dokončení instalace se doplní protektory. Hardwarově šifrované disky (Encrypted Hard Drive / OPAL) BitLocker podporuje, ale od roku 2019 dává ve výchozím stavu přednost softwarovému šifrování (zranitelnosti firmwaru SSD). Windows Server: BitLocker je volitelná funkce, používá se i pro clustery a Storage Spaces Direct. Zdroj: https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/

Praktický důsledek: každý nový notebook s Windows 11 24H2 přijde k uživateli zašifrovaný. Kdo se přihlásí jen lokálním účtem, má disk zašifrovaný bez ochrany (clear key) – žádná bezpečnost navíc, ale také žádné riziko ztráty dat. Kdo použije účet Microsoft, musí vědět, kde najde klíč pro obnovení – po výměně základní desky, aktualizaci firmwaru bez pozastavení BitLockeru nebo změně Secure Boot se objeví modrá obrazovka BitLocker recovery. Zásady „Choose how BitLocker-protected operating system drives can be recovered“ řídí zálohu do AD DS/Entra ID. Výchozí metoda šifrování zařízení je XTS-AES 128; jinou (256) je třeba nastavit zásadou před OOBE (Intune Enrollment Status Page), jinak se disk musí nejprve dešifrovat. Podporu ověří msinfo32 › Device Encryption Support. Změna se netýká Windows IoT edic. Zdroj: https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/#device-encryption Zdroj: https://learn.microsoft.com/en-us/windows-hardware/design/device-experiences/oem-bitlocker

Od Windows 8 mohou resetovat PIN (pro BitLocker) a heslo (pro BitLocker To Go) i standardní uživatelé, dříve bylo potřeba mít oprávnění správce. Od Windows 8 lze přiřadit hesla potřebná pro dešifrování oddílů disků k účtům AD (uživatel, skupina a počítač), po úspěšné autentizaci do domény pak může daný účet (uživatel, počítač) automaticky dešifrovat datové oddíly, ke kterým má přiřazená hesla (protektor typu ADAccountOrGroup). Minimální délku PINu nastavuje zásada Configure minimum PIN length for startup (4–20 číslic); bez ní Windows vyžadují 6–20. Rozšířený PIN (písmena, symboly) povoluje zásada Allow enhanced PINs for startup – ne každý firmware ho v preboot prostředí umí zadat. TPM 2.0 nefunguje v režimu Legacy BIOS/CSM – nutné nativní UEFI (převod MBR→GPT nástrojem mbr2gpt). Windows 11 vyžaduje TPM 2.0 a Secure Boot jako součást hardwarových požadavků. Zdroj: https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/#system-requirements Zdroj (PIN): https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/configure#configure-minimum-pin-length-for-startup PIN (ani jeho hash) není uložen na disku ani na klíči pro start; TPM ho vyžaduje jako autorizaci k uvolnění VMK a při opakovaných chybách se uzamkne (anti-hammering). Zdroj: https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/countermeasures

Bez TPM je nutné povolit zásadu Konfigurace počítače › Šablony pro správu › Součásti systému Windows › Šifrování jednotky BitLocker › Jednotky operačního systému › Vyžadovat další ověřování při spuštění › Povolit BitLocker bez kompatibilního čipu TPM. Varianta s heslem nemá ochranu proti hrubé síle, proto ji Microsoft nedoporučuje. Network Unlock vyžaduje UEFI s DHCP ovladačem, server WDS s rolí BitLocker Network Unlock a certifikát; klient bez sítě spadne na PIN.

Útočník sice může data dešifrovat tím, že odcizený počítač spustí, ale zároveň dojde ke spuštění systému, který může dále data chránit např. pomocí NTFS oprávnění a přihlašovací obrazovky. Známé praktické útoky: sniffování klíče na sběrnici diskrétního TPM (LPC/SPI), DMA přes Thunderbolt (mitigace Kernel DMA Protection), chyby ve WinRE. Proto Microsoft pro Enterprise doporučuje TPM + PIN.

Režim TPM + PIN + klíč pro start lze nastavit pouze pomocí nástroje manage-bde nebo PowerShellu (Add-BitLockerKeyProtector -TpmAndPinAndStartupKeyProtector), nemůže být vybrán v průvodci. Namísto PINu lze použít Network Unlock a přeskočit tak výzvu pro zadání PINu, což umožňuje provádět vzdálenou údržbu (restarty po aktualizacích) bez nutnosti být u počítače fyzicky přítomen a se zachováním dvoufaktorové autentizace mimo firemní síť.

V Hyper-V má VM 2. generace virtuální TPM (Povolit čip TPM v zabezpečení VM), takže i v laboratoři lze BitLocker používat s TPM.

Obsah PCR registrů se mění podle dat z částí firmwaru, zavaděče, konfigurace Secure Boot atd. Na UEFI se Secure Boot BitLocker váže na PCR 7 (+ 11): stačí měřit stav Secure Boot a certifikáty, takže aktualizace firmwaru nebo změna pořadí bootování nespustí obnovení; bez PCR 7 se používá profil PCR 0, 2, 4, 11 a každá změna firmwaru vyžaduje pozastavit BitLocker (Suspend-BitLocker) před aktualizací. Při nastavování dual-boot je potřeba BitLocker pozastavit, jelikož se mění informace pro bootování. Zdroj: https://learn.microsoft.com/en-us/windows-hardware/design/device-experiences/oem-bitlocker

Metadata BitLockeru (protektory, zašifrovaný VMK) jsou uložena v hlavičkách oddílu ve třech kopiích. BDE je zkratka BitLocker Drive Encryption. Zásada „Choose how BitLocker-protected operating system drives can be recovered“ určuje, zda se heslo pro obnovení ukládá do AD DS/Entra ID a zda smí uživatel BitLocker zapnout bez zálohy klíče. V Intune lze uživatelům povolit samoobslužné zobrazení klíče v portálu Moje zařízení.

manage-bde.exe je starší, ale stále plně podporovaný; modul BitLocker (Windows 8+) je dnes preferovaný a funguje ve Windows PowerShellu 5.1 i PowerShellu 7. Enable-BitLocker bez zálohy hesla pro obnovení je hazard – vždy nejprve Add-BitLockerKeyProtector -RecoveryPasswordProtector a zálohovat. repair-bde.exe umí zachránit data z poškozeného oddílu, má-li heslo/klíč pro obnovení. Zdroj: https://learn.microsoft.com/en-us/powershell/module/bitlocker/ Zdroj: https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/manage-bde

Průzkumník souborů › pravé tlačítko na jednotku › Zapnout nástroj BitLocker; správa hesla a automatického odemykání v Ovládacích panelech › Nástroj BitLocker Drive Encryption. Výchozí algoritmus je XTS-AES 128 i pro výměnné jednotky; jednotku šifrovanou XTS-AES neotevřou Windows starší než 10 1511 (dnes už nepodstatné), pro macOS/Linux existují nástroje třetích stran (dislocker, cryptsetup bitlk). Zdroj (deprecated Reader): https://learn.microsoft.com/en-us/windows/whats-new/deprecated-features Zdroj: https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/