Cifrado de datos usando Microsoft BitLocker

BitLocker llega como una solución de cifrado de datos fácil de usar. Aprende cómo funciona y los beneficios que puede brindar a tu empresa.

El aumento del trabajo remoto significa que más dispositivos externos tienen acceso a información altamente sensible. Si estos dispositivos se pierden o son robados, un atacante podría obtener una forma de acceso a los datos que estos contienen.

¿Qué es BitLocker?

BitLocker es una herramienta de cifrado de disco completo que Microsoft ha incorporado al sistema operativo Windows. BitLocker está disponible en las versiones de Windows orientadas a la empresa, con una versión más limitada de cifrado de datos incluida en la edición Home.

La funcionalidad de cifrado de disco completo, llamado FDE por sus siglas en inglés, está diseñada para proteger los datos en reposo en un ordenador con Windows.  Sin una solución FDE como BitLocker, todos los datos se guardan  sin cifrar en el sistema de almacenamiento del ordenador, lo que significa que un atacante puede tener acceso a los datos sensibles directamente desde el disco.

Con BitLocker, los datos se almacenan encriptados mediante el estándar de cifrado avanzado (AES). 

Definición de AES

En criptografía, el Estándar de cifrado avanzado (AES) es un estándar de cifrado adoptado por el gobierno de los Estados Unidos. El estándar consiste en tres cifras de bloques, AES-128, AES-192 y AES-256, adoptados de una gran colección originalmente publicada como Rijndael.

Las claves utilizadas para cifrar y descifrar los datos se almacenan cifradas cuando no se utilizan y se guardan en el módulo de plataforma de confianza, conocido TPM por sus siglas en inglés.  Un TPM es un chip dentro del ordenador que tiene protecciones basadas en hardware que aseguran los datos almacenados en él.

Cuando el usuario se autentifica en el sistema, las claves de cifrado del disco se desbloquean. Esto hace posible que Windows descifre los archivos almacenados en la unidad.

¿Por qué son importantes BitLocker y el cifrado de datos?

El cifrado es el método más eficaz para garantizar la seguridad de los datos. Los algoritmos de cifrado modernos son seguros contra todos los ataques conocidos. Esto significa que sólo alguien que conozca la clave de cifrado puede acceder a los datos protegidos.

La solución de cifrado de disco completo está diseñada para proteger contra los casos en los que un atacante tiene acceso a un dispositivo.  Esto podría ocurrir en varios escenarios diferentes, como por ejemplo:

• Dispositivos perdidos/robados: Los ordenadores portátiles se utilizan cada vez más en organizaciones y empresas, y es fácil perderlos o que los roben en los hogares, oficinas o en lugares concurridos como cafeterías o transportes públicos. El hogar es el lugar más común de pérdida o robo de dispositivos, lo cual es una tendencia que continúa incluso hoy en día.
• Dispositivos reemplazados: Los ordenadores son comúnmente desechados sin limpiar o destruir adecuadamente su almacenamiento. Algunos grupos compran estos dispositivos desechados para buscar la información sensible que puedan contener.
• Empleados desmotivados: Los empleados deshonestos están detrás de muchas fugas de datos. Si un administrador de TI es notificado de estas amenazas a través de una herramienta de detección de amenazas, BitLocker puede utilizarse para mitigar el problema revocando el acceso a los datos almacenados en el dispositivo.

En cualquiera de estas circunstancias, el acceso físico de un atacante al dispositivo (incluso sin conocer la contraseña) podría dar lugar a una filtración de datos o proporcionar la oportunidad de instalar malware en el ordenador. El cifrado de todo el disco proporciona protección contra estas amenazas, ya que el ordenador no se puede utilizar y sus datos son ilegibles si no se conoce la contraseña asociada.

BitLocker es una solución fácil de usar para este problema. Al habilitarlo en un ordenador, todos los datos quedan cifrados y protegidos por la contraseña del usuario. Siempre que la contraseña sea fuerte y aleatoria, BitLocker es seguro contra los ataques, salvo vulnerabilidades desconocidas o circunstancias inusuales como los ataques de arranque en frío.

¿Quién debería usar BitLocker?

El cifrado de todo el disco es una parte necesaria de una estrategia de seguridad de datos. Brinda protección contra las amenazas en las que el robo o la negligencia proporcionan a un atacante acceso directo a un dispositivo corporativo.

Todas las organizaciones deberían utilizar BitLocker para proteger sus ordenadores Windows, y esto es especialmente cierto para las organizaciones y los ordenadores con acceso a información sensible de alto valor.

Muchas normativas de protección de datos, como la HIPAA, exigen que haya una solución de cifrado de datos en cualquier dispositivo que almacene información sanitaria protegida (PHI).

El uso del cifrado de datos protege a una organización contra la responsabilidad legal y las sanciones reglamentarias.

Si se produce una violación de datos pero todos los datos violados están encriptados (y la clave de encriptación no está expuesta), la violación no es denunciable según la mayoría de las leyes de protección de datos.

Los algoritmos de cifrado utilizados en herramientas como BitLocker son lo suficientemente potentes como para que las autoridades reguladoras no se preocupen de que los atacantes puedan romperlos y acceder a los datos protegidos.

Cómo activar BitLocker en Windows

Requisitos para activar BitLocker

Para usar BitLocker, su computadora debe cumplir ciertos requisitos:

• Sistemas operativos compatibles

• Windows 10: edición Education, Pro o Enterprise
• Windows 8: edición profesional o empresaria
• Windows 7: edición Enterprise o Ultimate
• Para Windows 7, se debe instalar el Módulo de plataforma segura (TPM) versión 1.2 o superior. También debe estar habilitado y activado (o encendido).

Requerimientos adicionales

• Debes entrar a tu cuenta como administrador.
• Debe tener acceso a una impresora para imprimir la clave de recuperación.

Es importante que compruebes la versión de Windows que tienes instalada en tu ordenador.

Guía para activar Bitlocker en Windows

1. Haga clic en Inicio , Panel de control, Sistema y seguridad (si los elementos del panel de control se enumeran por categoría) y, a continuación, haga clic en Cifrado de unidad BitLocker.
2. Haga clic en Activar BitLocker.
3. BitLocker escanea su computadora para verificar que cumpla con los requisitos del sistema.

1. Si su computadora cumple con los requisitos del sistema, el asistente de configuración continúa con las Preferencias de inicio de BitLocker en el paso 8.
2. Si es necesario realizar preparativos en su computadora para activar BitLocker, se mostrarán. Haga clic en Siguiente.

1. Si se le solicita que lo haga, retire todos los CD, DVD y unidades flash USB de su computadora y luego haga clic en Apagar.
2. Vuelva a encender su computadora. Siga las instrucciones del mensaje para continuar iniciando el TMP. (El mensaje varía, dependiendo del fabricante de la computadora).
3. Si su computadora se apaga nuevamente, vuelva a encenderla.
4. El asistente de configuración de BitLocker se reanuda de forma atómica. Haga clic en Siguiente.
5. Cuando se muestre la página de preferencias de inicio de BitLocker, haga clic en Requerir un PIN en cada inicio.
6. Ingrese un PIN de 8 a 20 caracteres y luego ingréselo nuevamente en el campo Confirmar PIN. Haga clic en Establecer PIN.
7. Nota: Deberá ingresar su PIN cada vez que inicie su computadora.
8. Para almacenar su clave de recuperación, seleccione Imprimir la clave de recuperación y luego haga clic en Siguiente.
9. Nota: Asegúrese de que su computadora esté conectada a una impresora.
10. Imprima una copia de su clave de recuperación.

Se le pedirá que reinicie su computadora para iniciar el proceso de encriptación. Puede usar su computadora mientras su disco está siendo encriptado.

Cómo configurar BitLocker para el cifrado de datos

BitLocker está diseñado para ser fácil de usar en Windows. Para habilitarlo, sigue estos tres pasos:

Edición Home

• Abra el cifrado de dispositivos: Utilizando una cuenta de administrador, escriba Cifrado de dispositivos en la barra de búsqueda de Windows y seleccione la opción Cifrado de dispositivos.
• Habilitar el cifrado de dispositivos: Haz clic en el botón Activar para activar el cifrado y sigue las indicaciones adicionales.
• Obtenga la clave de recuperación: Haga clic en la configuración de BitLocker y, a continuación, seleccione Copia de seguridad de la clave de recuperación. Guarde una copia de esta clave en un lugar seguro.

Edición Business

• Abrir BitLocker: Escriba Administrar BitLocker en la barra de búsqueda de Windows y selecciónelo de la lista de resultados.
• Habilitar BitLocker: Haga clic en el botón Activar Bitlocker para activar el cifrado de dispositivos de BitLocker y siga las indicaciones adicionales.

En este punto, la encriptación completa del disco debería estar habilitada en el dispositivo.

Desbloquear Disco Duro cifrado con BitLocker

Desbloquear un disco duro cifrado con BitLocker puede ser una tarea delicada, especialmente si no recuerdas la contraseña. Aquí te guío por los pasos para hacerlo tanto a través de Windows como en situaciones donde no recuerdas la contraseña.

1. Desbloquear BitLocker en Windows (Con contraseña o clave de recuperación)

Si recuerdas la contraseña o tienes la clave de recuperación, desbloquear el disco es bastante sencillo:

Paso 1: Usando la contraseña de BitLocker

1. Conecta el disco duro cifrado a tu ordenador.
2. Cuando aparezca el mensaje de BitLocker solicitando la contraseña, ingresa la contraseña que configuraste inicialmente.
3. Haz clic en Desbloquear.

Paso 2: Usando la clave de recuperación de BitLocker

Si olvidaste la contraseña pero tienes la clave de recuperación (una secuencia de 48 dígitos que deberías haber guardado en un lugar seguro):

1. En la ventana donde se solicita la contraseña, selecciona Más opciones.
2. Haz clic en Introducir la clave de recuperación.
3. Ingresa la clave de recuperación de 48 dígitos y haz clic en Desbloquear.

2. Desbloquear BitLocker sin recordar la contraseña ni tener la clave de recuperación

Si no tienes la contraseña ni la clave de recuperación, las opciones son muy limitadas, ya que BitLocker está diseñado para ser extremadamente seguro. Aquí te dejo las opciones disponibles:

Opción 1: Verificar en cuentas asociadas

• OneDrive: Si usaste una cuenta de Microsoft, la clave de recuperación podría estar guardada en tu cuenta de OneDrive. Inicia sesión en OneDrive y revisa si la clave está disponible.
• Impresión o archivo: Revisa si guardaste la clave en algún archivo o si la imprimiste.

Opción 2: Uso de un archivo .BEK

Si configuraste el desbloqueo automático en otro ordenador o guardaste la clave en un archivo .BEK (generalmente guardado en un pendrive), puedes usarlo para desbloquear el disco.

1. Conecta el disco cifrado y también el dispositivo (pendrive) con el archivo .BEK.
2. El sistema debería detectar automáticamente el archivo .BEK y desbloquear el disco.

Opción 3: Fuerza Bruta (No recomendable)

Aunque hay herramientas que pueden intentar descifrar la contraseña usando ataques de fuerza bruta, no es una opción viable, ya que el cifrado de BitLocker es extremadamente seguro y este proceso puede tomar años sin garantía de éxito.

Opción 4: Formateo del disco (Último recurso)

Si no puedes recuperar la clave, la única opción viable es formatear el disco y perder los datos. Esto se debe a que sin la clave de recuperación o la contraseña, no hay manera de acceder a los datos cifrados.

1. Conecta el disco cifrado.
2. Ve a Este equipo (Mi PC).
3. Haz clic derecho en el disco cifrado y selecciona Formatear.
4. Sigue las instrucciones para completar el formateo.

3. Prevenir futuros problemas con BitLocker

• Guarda siempre la clave de recuperación en un lugar seguro, como un gestor de contraseñas, impresora, o en la nube.
• Considera desactivar BitLocker en discos que no necesiten un nivel de seguridad tan alto si es probable que olvides las credenciales.

BitLocker es una herramienta poderosa para proteger tus datos, pero conlleva la responsabilidad de administrar bien las claves de recuperación y contraseñas. Sin ellas, es casi imposible recuperar los datos.

Desbloquear BitLocker por línea de comandos

Desbloquear un disco cifrado con BitLocker mediante la línea de comandos en Windows se puede hacer utilizando manage-bde, que es la herramienta de línea de comandos para administrar BitLocker. A continuación, te explico cómo hacerlo, ya sea con la contraseña o con la clave de recuperación.

1. Desbloquear usando la contraseña

1. Abre el Símbolo del sistema como administrador:
   • Presiona Win + X y selecciona Símbolo del sistema (Administrador) o Windows PowerShell (Administrador).
2. Escribe el siguiente comando:bashCopiar códigomanage-bde -unlock X: -password
   • Reemplaza X: con la letra de la unidad del disco cifrado.
   • Presiona Enter.
3. Introduce la contraseña cuando se te solicite y presiona Enter.

2. Desbloquear usando la clave de recuperación

Si no tienes la contraseña pero tienes la clave de recuperación de 48 dígitos, sigue estos pasos:

1. Abre el Símbolo del sistema como administrador.
2. Escribe el siguiente comando:bashCopiar códigomanage-bde -unlock X: -recoverypassword TU-CLAVE-DE-RECUPERACIÓN
   • Reemplaza X: con la letra de la unidad del disco cifrado.
   • Reemplaza TU-CLAVE-DE-RECUPERACIÓN con la clave de recuperación de 48 dígitos.
   • Presiona Enter.

3. Desbloquear usando un archivo .BEK

Si tienes la clave de recuperación guardada en un archivo .BEK, puedes desbloquear el disco de la siguiente manera:

1. Abre el Símbolo del sistema como administrador.
2. Escribe el siguiente comando:bashCopiar códigomanage-bde -unlock X: -recoverykey "ruta\al\archivo.bek"
   • Reemplaza X: con la letra de la unidad del disco cifrado.
   • Reemplaza "ruta\al\archivo.bek" con la ruta completa al archivo .BEK.
   • Presiona Enter.

4. Desbloquear el disco automáticamente en cada inicio

Si deseas configurar el disco para que se desbloquee automáticamente en cada inicio, puedes hacerlo con el siguiente comando:

1. Abre el Símbolo del sistema como administrador.
2. Escribe el siguiente comando:bashCopiar códigomanage-bde -autounlock -enable X:
   • Reemplaza X: con la letra de la unidad del disco cifrado.
   • Presiona Enter.

Resumen

manage-bde es una herramienta poderosa que permite administrar las funciones de BitLocker desde la línea de comandos. Es crucial que tengas acceso a la contraseña o clave de recuperación, ya que sin estos no podrás desbloquear el disco. Asegúrate de guardar esta información en un lugar seguro para evitar problemas futuros.