Blancco Drive Eraser (BDE) は、WPA-PSK、WPA-EAP、WEP、暗号化なしなど、複数の無線ネットワーク暗号化方式をサポートします。WPA2も同様にサポートされ、BDEの設定画面上でWPAを選択しておけば最初にWPA2に接続を試みます。ただし、WPAあるいはWPA2のどちらの暗号化方式を使用するかは、アクセスポイント次第です。

認証なしのWPA-EAPの場合は問題なく動作しますが、証明書または認証サーバー、あるいはその両方を経由する802.1X認証などの認証付きのWPA-EAPを使用する無線LANをBDEはサポートしません。そのような認証環境でBDEを実行する必要がある場合は次の回避策があります (Cisco ISEでテスト済み) 。

  • BDE (クライアント) が最初のDHCPリクエスト (discoveryメッセージ) を作成すると、次のような情報を送信します 。

    “Option: (60) Vendor class identifier: dhcpcd-5.5.6:Linux-4.1.3-0-BLANCCO:i686:GenuineIntel”

    この情報をDHCPクラスIDとして用い、Cisco ISEでエンドポイント動的プロファイリング用のホワイトリストを定義します。
  • Cisco ISEでルールを設定すればクライアントを認証することができます。

その他の回避策としては、消去の実行ごとに、MACアドレスをNACシステムに手動で追加する方法や、802.1xが有効化された特定のポートを設定する方法があります。

あるいは802.1 X認証を回避する方法として、専用の「消去用のワイヤレスネットワーク」を作成する方法もあります。

  • BDEがサポートする暗号化方式 (WPA-PSKまたはWPA2-PSKなど) を使用して非表示設定の無線LANネットワークを構成し、強力なパスワードを設定します。
  • この無線LANでローカルのBlancco Management Console (あるいはBlancco Cloud) に接続できることを確認します。
  • この無線LANからBMCへ接続するようにBDEを設定し、マシンを消去する必要があると判断したら、BDEを起動します。BDEは無線LAN経由でBMCに接続して消去ライセンスを取得し、最終的に消去レポートを送信します。
  • BMCを配置したLAN内の無線アクセスポイントを１つだけにする (アクセスポイントの近くでのみ、Wi-Fiマシンが接続を確立できるようにする) 、あるいは無線LANのファイアーウォールにBMCに対応する１つのIPアドレスとポートへの接続のみを許可するルールを追加する、などの制限も必要に応じて検討してください。
  • No labels