BitLocker: unidad de cifrado en Windows 10 con una clave de recuperación

BitLocker es un sistema de cifrado de disco integrado con el sistema operativo Microsoft Windows, comenzando con Windows Vista en adelante. Le permite cifrar discos duros, discos extraíbles o particiones para protegerlos con una contraseña específica y, de hecho, hacerlos inaccesibles a terceros. La protección también se puede configurar para unidades extraíbles o memorias USB.

Actualmente, también hay herramientas de terceros para cifrar discos y particiones, como TrueCrypt o VeraCrypt (considerada la mejor alternativa a la primera y su sucesora), que también son gratuitas pero no ofrecen esa seguridad en términos de estándares y confiabilidad a lo largo del tiempo que en su lugar puede dar una herramienta integrada de Windows. BitLocker protege los datos en la computadora incluso contra el robo, ya que el acceso a los archivos en los discos no será posible sin conocer la contraseña.

Para activar BitLocker en Windows 10 hay diferentes modos de operación. Uno de estos requiere una placa base con un chip llamado TPM (Trusted Platform Module) versión 1.2. Este chip se utiliza para almacenar contraseñas de seguridad. El hecho de que las contraseñas se guarden en un medio físico, diferente del disco, garantiza una seguridad considerable. Sin embargo, es posible activar y usar BitLocker incluso en computadoras sin el chip TPM, como veremos más adelante, aunque esta solución puede ser menos segura que la anterior.

 

 

Cómo habilitar BitLocker para proteger los datos en una partición:

En nuestro ejemplo, mostramos cómo activar BitLocker en una sola partición de disco (que puede ser útil para proteger archivos o programas específicos). Aquí usamos el software gratuito “Macrorit Partition Expert”, pero podemos usar cualquier otro software gratuito para crear particiones. Seleccione una partición y haga clic con el botón derecho del ratón en “Mover / Cambiar tamaño”. Eliminar 100 GB de una partición existente:

Cree la nueva partición asignando un sistema de archivos, una etiqueta y una letra de unidad:

 

Al hacer clic en “Aplicar” en la barra de herramientas, el software creará la nueva partición. Si crea la nueva partición en el disco donde está instalado el sistema operativo, debe reiniciar la máquina.

En este punto, simplemente haga clic derecho en la nueva unidad y seleccione “Activar Bitlocker”, aparecerá un formulario para elegir el modo con el que proteger los datos. En nuestro ejemplo hemos elegido el modo “Contraseña”:

Después de configurar la contraseña y hacer clic en “Siguiente”, BitLocker le pide que elija el modo de recuperación de contraseña.

Las opciones de recuperación incluyen:

1. Guardar en la cuenta Microsoft;
2. Guardar en una unidad flash USB;
3. Guardar en un archivo;
4. Imprimir la clave de recuperación;

En el ejemplo actual, elegimos guardar la clave de recuperación en un archivo. Por razones obvias de seguridad, el archivo debe ser movido desde el PC y almacenado en otro dispositivo.

 

Luego, BitLocker le permite elegir si cifrar la unidad completa o solo los datos que contiene. Elegimos proteger toda la unidad.

Seleccione “Nuevo modo de cifrado”, haga clic en “Siguiente” y luego en “Iniciar cifrado”. BitLocker comenzará el proceso de cifrado del disco.

Al cifrar todo el disco, el proceso será más lento.

     

 

Después del proceso, el icono de la unidad de disco se marcará con un candado amarillo para indicar que el disco debe estar desbloqueado antes de utilizarlo.

Para desbloquearlo, simplemente haga clic en él e ingrese la contraseña que se solicita.

 

Use BitLocker incluso en computadoras sin un chip TPM

Para utilizar la protección de BitLocker incluso en computadoras sin un chip TPM, es necesario actuar sobre las políticas del sistema. Con este modo, la protección está en el nivel del software, por lo tanto, es menos efectiva que la protección del hardware del chip.

Al activar la protección y marcar la opción “Permitir BitLocker sin un TPM compatible”, podremos establecer una contraseña de acceso o elegir guardar las credenciales en un soporte USB. El acceso a los datos se garantizará ingresando la contraseña cada vez o insertando una memoria USB en el arranque de la PC.

El uso de BitLocker para cifrar una unidad de disco o partición es una práctica muy recomendada para proteger datos confidenciales, tanto desde la perspectiva de RGPD como simplemente para evitar el robo de credenciales.

 

Casos de uso:

Use BitLocker para proteger los datos del Administrador de conexión de escritorio remoto (RDCMan)

Remote Desktop Connection Manager es una utilidad gratuita desarrollada por Microsoft, ampliamente utilizada por los administradores de red, que le permite administrar múltiples conexiones de escritorio remoto en una sola interfaz de usuario.

RDCMan le permite guardar grupos y más objetos de servidor para conectarse. También es posible guardar las credenciales de inicio de sesión para evitar escribirlas en cada conexión. Sin embargo, los archivos comprimidos de RDCMan, que también contienen las credenciales, se guardan en el disco y, dado que Microsoft no ha proporcionado la utilidad de la función de “Contraseña maestra”, cualquier atacante que tenga acceso a la computadora puede conectarse fácilmente a las máquinas remotas. abriendo RDCMan. El uso de BitBlocker con la protección de una unidad de disco dedicada a guardar archivos del Administrador de conexión de escritorio remoto (RDCMan) puede considerarse un método obligatorio para proteger los datos de conexión del acceso no autorizado. El siguiente es el error de RDCMan al intentar acceder a sus archivos, protegido dentro de una unidad cifrada:

 

 

Use Iperius para hacer una copia de seguridad de las carpetas y archivos de un disco protegido con BitLocker:

La protección de datos con BitLocker también impide el acceso al software de copia de seguridad que pretende copiar archivos desde un disco protegido. Obviamente, esto también se aplica a Iperius Backup. Si no elimina la protección de la unidad, Iperius mostrará el siguiente error en los registros de copia de seguridad.

Obviamente, al desbloquear la unidad de disco, la copia de seguridad se ejecutará con éxito, pero esto plantea algunos problemas cuando necesitamos realizar copias de seguridad automáticas, ya que el desbloqueo del disco requiere la intervención explícita del usuario. Una solución es ejecutar un script con Iperius antes de la copia de seguridad (podemos configurarlo en las opciones de operación de copia de seguridad, panel “Otros procesos”), donde podemos insertar un comando que desbloquea la unidad antes de la copia de seguridad, como en el siguiente ejemplo:

manage-bde -unlock D: -RecoveryPassword LA-TUA-RECOVERY-KEY

manage-bde -lock D:

Sin embargo, no tiene sentido agregar cuán inseguro es mantener una secuencia de comandos en un disco con una contraseña clara para descifrar el disco protegido con BitLocker. Una forma más segura de hacer una copia de seguridad de los discos duros cifrados con BitLocker es usar el modo de copia de seguridad Drive Image.

Realice una copia de seguridad de la imagen de disco con Iperius de una unidad de disco protegida con BitLocker:

Por lo tanto, Iperius puede considerarse un excelente software para clonar un disco duro o SSD con BitLocker. Además, Iperius le permite restaurar un disco cifrado de BitLocker, siguiendo el procedimiento que se muestra en el siguiente tutorial: https://www.iperiusbackup.net/bitlocker-recovery-restore-drive-image-backup-protetto-con-bitlocker-con-iperius/

Vea también: Copia de seguridad de imagen de disco, P2V y clonación de discos con Iperius

Lo mismo ocurrirá si ejecuta una imagen de disco de Windows (la imagen de disco compatible con la copia de seguridad de Windows que Iperius ejecuta a través de la interfaz wbadmin). La cosa realmente atrajo algunas críticas, dado que el sistema de copia de seguridad de Windows advierte explícitamente que la copia de seguridad del disco no se cifrará a su vez. Sin embargo, se puede garantizar la seguridad al guardar la copia de seguridad, es decir, el archivo de imagen VHDX, en una ruta que está encriptada o inaccesible, excepto mediante la autenticación.

 

(Inglés, Italiano, Francés, Alemán, Portugués, Brasil)