Я хочу установить две версии Windows 10 на одном компьютере, либо на отдельных разделах, либо даже на отдельных физических дисках.
Я раньше не пользовался самошифрующимися дисками, поэтому не уверен, позволят ли они мне это сделать, но я хочу загрузиться с каждого самошифрующегося жесткого диска с отдельным паролем и убедиться, что невозможно получить доступ к полезным данным с одной установки Windows/диска на другой самошифрующийся диск/установка Windows. Виртуализация, к сожалению, не подойдет для моих нужд, так как мне нужна максимальная производительность оборудования и поддержка драйверов.
Как мне это сделать? Могу ли я создать отдельные пароли загрузки в режиме UEFI BIOS для каждого самошифрующегося SSD-накопителя? Или лучше просто включить Bitlocker в любой из установок Windows, и это сработает? Возможно, если я просто не буду инициализировать другой диск в любой из установок Windows, этого будет достаточно?
Я собираюсь делать серьезную работу с одного диска/установки Windows, одновременно экспериментируя с различным небезопасным ПО на другом. Поэтому я бы не хотел, чтобы что-либо, что я устанавливаю на диск, на который я буду устанавливать небезопасное ПО, подвергало риску (чтение или запись) данные на моем рабочем диске и установке Windows.
решение1
Не могу поверить, что «небезопасному программному обеспечению» (кроме Windows 10) требуется «максимум оборудования и драйверов»?
Обычно это выполняется в ситуации «песочницы»/«записи»/«виртуальной машины», как упоминалось выше.
Тем не менее, все, что имеет доступ к физической машине, имеет доступ к машине. Я считаю, что у win10 есть хуки uefi, так что это все равно сделает вашу машину уязвимой для любых эксплойтов там.
Лучшим вариантом будет шифрование, но оно не защитит ни от атаки с целью получения выкупа, когда ваши зашифрованные данные повторно шифруются, ни от низкоуровневого кейлоггера, или, или, или.
решение2
Если вы хотите поэкспериментировать с операционными системами и сомнительным программным обеспечением, использование двойной загрузки или отдельных дисков будет крайне неэффективным.
Вам нужно перезапустить, чтобы попасть в экспериментальную среду, а затем, если она сломается, вам нужно будет ее перестроить. Очень медленно.
С приличной современной машиной (и особенно с SSD-дисками) можно создавать виртуальные машины, которые работают очень хорошо. Я работаю здесь в виртуальной машине все время.
Настройте свой хост Windows Pro, затем используйте VMware Workstation Pro (очень гибкий) или Hyper-V (поставляется с Windows Pro и неплохой, но не такой гибкий, как VMware). У меня оба установлены на двух разных хост-компьютерах. Я в основном использую VMware Workstation, потому что мне нравится его гибкость.
Что касается экспериментов, вы можете сделать резервную копию виртуальной машины, экспериментировать по своему усмотрению и восстановить резервную копию по завершении.
Две вещи по этому поводу:
(A) Если сомнительное программное обеспечение поддерживает работу в сети, используйтеТолько хостсоединение для изоляции вашей виртуальной машины от основного хоста.
(B) Если эксперименты краткосрочные, также рассмотрите возможность использования Windows Sandbox. Это временная машина Windows, изолированная от хоста, которая затем исчезает при перезапуске хоста.
Sandbox лучше всего работает с Hyper-V, хотя она также должна работать с новейшей версией VMware Workstation Pro и Windows 11 Pro.
Sandbox — это та же ОС, что и Host Machine (то есть Windows 10, если Host — это Windows 10, и Windows 11, если Host — это Windows 11). Вам может понадобиться виртуальная машина Windows 10 (или ниже), если вы используете Windows 11 Host. Это означает гибкость виртуальных машин.
решение3
Небезопасное программное обеспечение может иметь разное значение, и не обязательно то, что было описано: конфликтующие драйверы, несколько версий одной и той же программы — все это может быть небезопасным, то есть создавать нестабильность, которая может повлиять на работу/производительность, если не сделать это в отдельной среде.
И есть также очень веские причины (хотя они не применимы в большинстве сценариев) не использовать VM. Вот пара из них: блокировка выделения памяти в случае, если требуется прохождение через устройство PCI и производительность/использование диска при использовании зашифрованной файловой системы (все выделенное пространство, быстрое резервное копирование образа системы и т. д.)
Например, я уже больше года борюсь, пытаясь иметь 2 отдельных NVME с независимыми системами Win, обе с BitLocker: на одной размещен образ Windows, выпущенный корпорацией, на второй — моя личная ОС. Я хочу, чтобы оба диска были полностью независимы, чтобы я мог:
- вернуть систему компании с ее оригинальным диском/образом, удалив мой личный
- иметь возможность установить и получить доступ к моему личному nvme на другом компьютере, если я удалю его по каким-либо причинам, и в то же время сохранить его в зашифрованном виде на случай потери ноутбука.
Вот как я действовал, физически установив оба диска:
- Разверните образ corp на диске 0. Во время winPE я удалил назначенную букву диска 1: политика corp шифрует все несъемные данные.
- Зайдите в BIOS, отключите диск 0 (система его вообще не видит), установите персональный образ (не хочу, чтобы Windows обнаруживала другие менеджеры установки/загрузки, а чтобы они были независимыми).
Долгое время у меня была проблема с тем, что BitLocker запрашивал ключ при загрузке; мне потребовалось некоторое время, чтобы понять, что это связано с тем, что я использую внешний корпус Thunderbolt PCIe с двумя картами и активировал предварительную загрузку TB: изменение установленных устройств PCIe (пристыковано/отстыковано) запускает TPM->BitLocker.
Но даже сейчас я отключил предварительную загрузку PCIe TB, которая продолжает происходить на моем личном образе, и действительно не могу понять, почему.
AS pet the original post/author: если (если вы можете) вы не хотите каждый раз заходить в BIOS и включать/отключать свой нетестовый раздел, чтобы сделать его невидимым для «небезопасного», то мало что можно сделать. Шифрование не позволит программному обеспечению с небезопасного диска читать данные с безопасного диска, но не перезаписывать их.