Introducción a BitLocker

BitLocker es una característica de seguridad de Windows que proporciona cifrado para volúmenes completos, que aborda las amenazas de robo de datos o exposición de dispositivos perdidos, robados o retirados inapropiadamente.

Aplicaciones prácticas

Los datos de un dispositivo perdido o robado son vulnerables al acceso no autorizado, ya sea mediante la ejecución de una herramienta de ataque de software contra él o la transferencia del disco duro del dispositivo a otro dispositivo. BitLocker ayuda a mitigar el acceso a datos no autorizados mediante la mejora de las protecciones de archivos y del sistema y la representación de datos inaccesibles cuando los dispositivos protegidos por BitLocker se retiran o reciclan.

BitLocker y TPM

BitLocker proporciona la máxima protección cuando se usa con un módulo de plataforma segura (TPM), que es un componente de hardware común instalado en dispositivos Windows. El TPM funciona con BitLocker para asegurarse de que un dispositivo no se ha alterado mientras el sistema está sin conexión.

Además del TPM, BitLocker puede bloquear el proceso de inicio normal hasta que el usuario proporcione un número de identificación personal (PIN) o inserte un dispositivo extraíble que contenga una clave de inicio. Estas medidas de seguridad proporcionan autenticación multifactor y garantía de que el dispositivo no puede iniciarse ni reanudarse desde la hibernación hasta que se presente el PIN o la clave de inicio correctos.

En los dispositivos que no tienen un TPM, BitLocker todavía se puede usar para cifrar la unidad del sistema operativo. Esta implementación requiere que el usuario:

• use una clave de inicio, que es un archivo almacenado en una unidad extraíble que se usa para iniciar el dispositivo o al reanudarse desde la hibernación.
• usar una contraseña. Esta opción no es segura, ya que está sujeta a ataques por fuerza bruta, ya que no hay una lógica de bloqueo de contraseña. Por lo tanto, la opción de contraseña se desaconseja y deshabilita de forma predeterminada

Ambas opciones no proporcionan la comprobación de integridad del sistema de arranque previo ofrecida por BitLocker con un TPM.

Requisitos del sistema

BitLocker tiene los siguientes requisitos:

• Para que BitLocker use la comprobación de integridad del sistema proporcionada por un TPM, el dispositivo debe tener TPM 1.2 o versiones posteriores. Si un dispositivo no tiene un TPM, es obligatorio guardar una clave de inicio en una unidad extraíble al habilitar BitLocker.

• Un dispositivo con un TPM también debe tener un firmware UEFI o BIOS compatible con el grupo de computación de confianza (TCG). El firmware bios o UEFI establece una cadena de confianza para el inicio previo al arranque y debe incluir compatibilidad con la raíz estática de la medición de confianza especificada por TCG. Un equipo sin TPM no requiere firmware compatible con TCG

• El firmware de UEFI o BIOS del sistema (para dispositivos TPM y que no son tpm) debe admitir la clase de dispositivo de almacenamiento masivo USB y leer archivos en una unidad USB en el entorno de arranque previo

  Nota

  TPM 2.0 no se admite en los modos heredado y de módulo de compatibilidad (CSM) del BIOS. Los dispositivos con TPM 2.0 deben tener configurado el modo BIOS solo como UEFI nativa. Las opciones de heredado y módulo de soporte de compatibilidad (CSM) deben deshabilitarse. Para mayor seguridad, habilite la característica de arranque seguro .

  El sistema operativo instalado en hardware en modo heredado impide que el sistema operativo arranque cuando el modo BIOS cambia a UEFI. Use la herramienta mbr2gpt.exe antes de cambiar el modo BIOS, que prepara el sistema operativo y el disco para admitir UEFI.

• El disco duro debe particionarse con al menos dos unidades:

  • La unidad del sistema operativo (o unidad de arranque) contiene el sistema operativo y sus archivos de soporte técnico. Debe tener formato con el sistema de archivos NTFS.

  • La unidad del sistema contiene los archivos necesarios para arrancar, descifrar y cargar el sistema operativo. BitLocker no está habilitado en esta unidad. Para que BitLocker funcione, la unidad del sistema:

    • no se debe cifrar
    • debe diferir de la unidad del sistema operativo
    • debe tener formato con el sistema de archivos FAT32 en equipos que usan firmware basado en UEFI o con el sistema de archivos NTFS en equipos que usan firmware de BIOS.
    • se recomienda que tenga un tamaño aproximado de 350 MB. Una vez activado BitLocker, debería tener aproximadamente 250 MB de espacio libre.

    Importante

    Cuando se instala en un nuevo dispositivo, Windows crea automáticamente las particiones necesarias para BitLocker.

    Si la unidad se preparó como un único espacio contiguo, BitLocker requiere un nuevo volumen para contener los archivos de arranque. BdeHdCfg.exe puede crear el volumen. Para obtener más información sobre el uso de la herramienta, consulte Bdehdcfg en la referencia de Command-Line.

Requisitos de licencia y de la edición de Windows

En la tabla siguiente se enumeran las ediciones de Windows que admiten la habilitación de BitLocker:

Las siguientes licencias conceden derechos de licencia de habilitación de BitLocker:

Se puede obtener más información sobre las licencias de Windows en Información general sobre las licencias de Windows.

Cifrado de dispositivo

El cifrado de dispositivos es una característica de Windows que proporciona una manera sencilla para que algunos dispositivos habiliten el cifrado de BitLocker automáticamente. El cifrado de dispositivos está disponible en todas las versiones de Windows y requiere que un dispositivo cumpla los requisitos de seguridad de Modo de espera moderno o HSTI. El cifrado de dispositivos no puede tener puertos accesibles externamente que permitan el acceso DMA. El cifrado de dispositivos solo cifra la unidad del sistema operativo y las unidades fijas, no cifra las unidades externas o USB.

A diferencia de una implementación estándar de BitLocker, el cifrado del dispositivo se habilita automáticamente para que el dispositivo esté siempre protegido. Cuando se completa una instalación limpia de Windows y finaliza la experiencia integrada, el dispositivo se prepara para su primer uso. Como parte de esta preparación, el cifrado de dispositivos se inicializa en la unidad del sistema operativo y las unidades de datos fijas en el equipo con una clave clara que es el equivalente del estado de suspensión estándar de BitLocker. En este estado, la unidad se muestra con un icono de advertencia en el Explorador de Windows. El icono de advertencia amarillo se quita después de crear el protector de TPM y se realiza una copia de seguridad de la clave de recuperación.

• Si el dispositivo está unido a Microsoft Entra o a un dominio de Active Directory, se quita la clave sin cifrar una vez que se realiza correctamente la copia de seguridad de la clave de recuperación en El id. de Microsoft Entra o Active Directory Domain Services (AD DS). La siguiente configuración de directiva debe estar habilitada para que se haga una copia de seguridad de la clave de recuperación: Elija cómo se pueden recuperar las unidades del sistema operativo protegidas por BitLocker.
  • Para dispositivos unidos a Microsoft Entra: la contraseña de recuperación se crea automáticamente cuando el usuario se autentica en el identificador de Microsoft Entra, se realiza una copia de seguridad de la clave de recuperación en el identificador de Microsoft Entra, se crea el protector de TPM y se quita la clave sin cifrar.
  • Para dispositivos unidos a AD DS: la contraseña de recuperación se crea automáticamente cuando el equipo se une al dominio. A continuación, se realiza una copia de seguridad de la clave de recuperación en AD DS, se crea el protector de TPM y se quita la clave sin cifrar.
• Si el dispositivo no está unido a Microsoft Entra ni a un dominio de Active Directory, se requiere una cuenta Microsoft con privilegios administrativos en el dispositivo. Cuando el administrador usa una cuenta de Microsoft para iniciar sesión, se quita la clave sin cifrar, se carga una clave de recuperación en la cuenta de Microsoft online y se crea un protector TPM. Si un dispositivo requiere la clave de recuperación, se guía al usuario para que use un dispositivo alternativo y vaya a una dirección URL de acceso a la clave de recuperación para recuperar la clave de recuperación mediante sus credenciales de cuenta de Microsoft.
• Si un dispositivo usa solo cuentas locales, permanece desprotegido aunque los datos estén cifrados.

Si un dispositivo no es apto inicialmente para el cifrado de dispositivos, pero se realiza un cambio que hace que el dispositivo cumpla los requisitos (por ejemplo, al activar Arranque seguro), el cifrado de dispositivos habilita BitLocker automáticamente en cuanto lo detecta.

Puede comprobar si un dispositivo cumple los requisitos para el cifrado de dispositivos en la aplicación Información del sistema (msinfo32.exe). Si el dispositivo cumple los requisitos, Información del sistema muestra una línea que lee:

Diferencia entre BitLocker y cifrado de dispositivos

• El cifrado de dispositivos activa BitLocker automáticamente en dispositivos aptos para el cifrado de dispositivos, con la clave de recuperación de la que se realiza una copia de seguridad automáticamente en el id. de Microsoft Entra, AD DS o la cuenta Microsoft del usuario.
• El cifrado de dispositivos agrega una configuración de cifrado de dispositivo en la aplicación Configuración, que se puede usar para activar o desactivar el cifrado de dispositivos.
  • La interfaz de usuario de configuración no muestra el cifrado de dispositivos habilitado hasta que se complete el cifrado.

Deshabilitación del cifrado de dispositivos

Se recomienda mantener activado el cifrado de dispositivos para cualquier sistema que lo admita. Sin embargo, puede evitar el proceso de cifrado automático de dispositivos cambiando la siguiente configuración del Registro:

Para obtener más información sobre el cifrado de dispositivos, consulte Requisitos de hardware de cifrado de dispositivos BitLocker.

Pasos siguientes