Guía de operaciones de BitLocker

Para determinar el estado actual de un volumen, puede usar el Get-BitLockerVolume cmdlet , que proporciona información sobre el tipo de volumen, los protectores, el estado de protección y otros detalles. Por ejemplo:

PS C:\> Get-BitLockerVolume C: | fl

ComputerName         : DESKTOP
MountPoint           : C:
EncryptionMethod     : XtsAes128
AutoUnlockEnabled    :
AutoUnlockKeyStored  : False
MetadataVersion      : 2
VolumeStatus         : FullyEncrypted
ProtectionStatus     : On
LockStatus           : Unlocked
EncryptionPercentage : 100
WipePercentage       : 0
VolumeType           : OperatingSystem
CapacityGB           : 1000
KeyProtector         : {Tpm, RecoveryPassword}

Con manage-bde.exe puede determinar el estado del volumen en el sistema de destino, por ejemplo:

manage-bde.exe -status

Este comando devuelve los volúmenes del destino, el estado de cifrado actual, el método de cifrado y el tipo de volumen (sistema operativo o datos) de cada volumen.

C:\>manage-bde -status

Volume C: [Local Disk]
[OS Volume]

    Size:                 1000 GB
    BitLocker Version:    2.0
    Conversion Status:    Used Space Only Encrypted
    Percentage Encrypted: 100.0%
    Encryption Method:    XTS-AES 128
    Protection Status:    Protection On
    Lock Status:          Unlocked
    Identification Field: Unknown
    Key Protectors:
        TPM
        Numerical Password

Comprobar el estado de BitLocker con el Panel de control es un método común que usan la mayoría de los usuarios. Una vez abierto, el estado de cada volumen se muestra junto a la descripción del volumen y la letra de unidad. Los valores devueltos de estado disponibles con applet incluyen:

Si una unidad se aprovisiona previamente con BitLocker, se muestra un estado de Espera de activación con un icono de exclamación amarillo en el volumen. Este estado significa que solo se usó un protector claro al cifrar el volumen. En este caso, el volumen no está en un estado protegido y debe tener una clave segura agregada al volumen antes de que la unidad esté totalmente protegida. Los administradores pueden usar el Panel de control, PowerShell o manage-bde.exe para agregar un protector de clave adecuado. Una vez completado, el Panel de control actualizaciones para reflejar el nuevo estado.

Enable-BitLocker C: -TpmProtector

manage-bde.exe -on C:

Desde el cifrado de unidad de BitLocker Panel de control applet:

1. Expanda la unidad del sistema operativo y seleccione la opción Activar BitLocker.

2. Cuando se le solicite, seleccione la opción Permitir que BitLocker desbloquee automáticamente mi unidad.

3. Realice una copia de seguridad de la clave de recuperación mediante uno de los métodos siguientes:

   • Guardar en la cuenta Microsoft Entra ID o en la cuenta Microsoft (si procede)
   • Guardar en una unidad flash USB
   • Guardar en un archivo : el archivo debe guardarse en una ubicación que no esté en el propio dispositivo, como una carpeta de red.
   • Imprimir la clave de recuperación

4. Seleccione Siguiente.

5. Elija una de las opciones para cifrar solo el espacio en disco usado o cifrar toda la unidad y seleccione Siguiente.

   • Cifrar solo el espacio en disco usado : cifra solo el espacio en disco que contiene datos.
   • Cifrar unidad completa : cifra todo el volumen, incluido el espacio libre. También conocido como cifrado de disco completo

   Cada uno de los métodos se recomienda en los siguientes escenarios:

   • Cifre solo el espacio en disco usado:

     • La unidad nunca ha tenido datos
     • Unidades con formato o borradas que en el pasado nunca han tenido datos confidenciales que nunca se cifraron

   • Cifrar toda la unidad (cifrado de disco completo):

     • Unidades que actualmente tienen datos
     • Unidades que actualmente tienen un sistema operativo
     • Unidades con formato o borradas que en el pasado tenían datos confidenciales que nunca se cifraron

   Importante

   Los archivos eliminados aparecen como espacio libre en el sistema de archivos, que no se cifra solo mediante el espacio en disco usado. Hasta que se borren o sobrescriban, los archivos eliminados contienen información que se podría recuperar con herramientas forenses de datos comunes.

6. Seleccione un modo de cifrado y seleccione Siguiente.

   • Nuevo modo de cifrado
   • Modo compatible

   Nota

   Normalmente se debe elegir el nuevo modo de cifrado, pero si la unidad se moverá potencialmente a otro dispositivo con un sistema operativo Windows anterior, seleccione Modo compatible.

7. Seleccione ContinueRestart now (Continuar > reinicio ahora)

8. Después del reinicio, el sistema operativo realiza una comprobación del sistema de BitLocker e inicia el cifrado.

Los usuarios pueden comprobar el estado del cifrado mediante el applet Panel de control BitLocker.

Si decide omitir la prueba de hardware de BitLocker, el cifrado se inicia inmediatamente sin necesidad de reiniciar.

Enable-BitLocker C: -StartupKeyProtector -StartupKeyPath E: -SkipHardwareTest

manage-bde.exe -protectors -add C: -TPMAndStartupKey E:
manage-bde.exe -on C:

Si se le solicita, reinicie el equipo para completar el proceso de cifrado.

El applet Panel de control no permite habilitar BitLocker y agregar un protector de clave de inicio al mismo tiempo. Para agregar un protector de clave de inicio, siga estos pasos:

• En el applet de cifrado de unidad de BitLocker Panel de control, en la unidad del sistema operativo, seleccione la opción Cambiar cómo se desbloquea la unidad al iniciarse.
• Cuando se le solicite, seleccione la opción Insertar una unidad flash USB.
• Seleccione la unidad USB donde desea almacenar la clave de inicio y seleccione Guardar.

Agregue los protectores deseados antes de cifrar el volumen. En el ejemplo siguiente se agrega un protector de contraseña al E: volumen mediante la variable $pw como contraseña. La $pw variable se mantiene como un valor secureString para almacenar la contraseña definida por el usuario:

$pw = Read-Host -AsSecureString
<user inputs password>
Add-BitLockerKeyProtector E: -PasswordProtector -Password $pw

Ejemplo: Uso de PowerShell para habilitar BitLocker con un protector de TPM

Enable-BitLocker D: -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector

Ejemplo: Use PowerShell para habilitar BitLocker con un protector TPM+PIN, en este caso con un PIN establecido en 123456:

$SecureString = ConvertTo-SecureString "123456" -AsPlainText -Force
Enable-BitLocker C: -EncryptionMethod XtsAes256 -UsedSpaceOnly -Pin $SecureString -TPMandPinProtector

El cifrado de volúmenes de datos se puede realizar mediante el comando base:

manage-bde.exe -on <drive letter>

o se pueden agregar protectores adicionales en primer lugar al volumen. Se recomienda agregar al menos un protector principal más un protector de recuperación a un volumen de datos.

El cifrado de volúmenes de datos mediante el Panel de control de BitLocker funciona de forma similar al cifrado de los volúmenes del sistema operativo. Los usuarios seleccionan Activar BitLocker en el Panel de control de BitLocker para iniciar el Asistente para cifrado de unidad BitLocker.

(Get-BitLockerVolume -mountpoint C).KeyProtector

 manage-bde.exe -protectors -get C:

Esta información no está disponible en el Panel de control.

Add-BitLockerKeyProtector -MountPoint C -RecoveryPasswordProtector

manage-bde.exe -protectors -add -recoverypassword C:

En el applet de cifrado de unidad de BitLocker Panel de control, seleccione el volumen donde desea agregar un protector y seleccione la opción Copia de seguridad de la clave de recuperación.

Add-BitLockerKeyProtector -MountPoint D -PasswordProtector

manage-bde.exe -protectors -add -pw D:

En el applet de cifrado de unidad bitlocker Panel de control, expanda la unidad donde desea agregar un protector de contraseña y seleccione la opción Agregar contraseña. Cuando se le solicite, escriba y confirme una contraseña para desbloquear la unidad. Seleccione Finalizar para completar el proceso.

Add-BitLockerKeyProtector C: -ADAccountOrGroupProtector -ADAccountOrGroup "<SID>"

Para agregar el protector a un volumen, se necesita el SID de dominio o el nombre de grupo precedido por el dominio y una barra diagonal inversa. En el ejemplo siguiente, la cuenta CONTOSO\Administrator se agrega como protector al volumen de datos G.

Enable-BitLocker G: -AdAccountOrGroupProtector -AdAccountOrGroup CONTOSO\Administrator

Para usar el SID para la cuenta o el grupo, el primer paso es determinar el SID asociado a la entidad de seguridad. Para obtener el SID específico de una cuenta de usuario en Windows PowerShell, use el siguiente comando:

Get-ADUser -filter {samaccountname -eq "administrator"}

manage-bde.exe -protectors -add -sid <user or group>

Esta opción no está disponible en el Panel de control.

Para quitar los protectores existentes en un volumen, use el Remove-BitLockerKeyProtector cmdlet . Debe proporcionarse un GUID asociado al protector que se va a quitar.

Los siguientes comandos devuelven la lista de protectores de clave y GUID:

$vol = Get-BitLockerVolume C
$keyprotectors = $vol.KeyProtector
$keyprotectors

Con esta información, se puede quitar el protector de clave de un volumen específico mediante el comando :

Remove-BitLockerKeyProtector <volume> -KeyProtectorID "{GUID}"

Los siguientes comandos devuelven la lista de protectores de clave:

manage-bde.exe -status C:

El siguiente comando quita el protector de claves de un tipo determinado:

manage-bde.exe -protectors -delete C: -type TPMandPIN

En el applet de cifrado de unidad de BitLocker Panel de control, expanda la unidad donde desea quitar un protector y seleccione la opción para quitarlo, si está disponible.

Suspend-BitLocker -MountPoint D

manage-bde.exe -protectors -disable d:

Solo puede suspender la protección de BitLocker para la unidad del sistema operativo cuando se usa el Panel de control.

En el applet de cifrado de unidad de BitLocker Panel de control, seleccione la unidad del sistema operativo y seleccione la opción Suspender protección.

Resume-BitLocker -MountPoint D

manage-bde.exe -protectors -enable d:

En el applet de cifrado de unidad bitLocker Panel de control, seleccione la unidad del sistema operativo y seleccione la opción Reanudar protección.

Quite todas las contraseñas de recuperación del volumen del sistema operativo:

(Get-BitLockerVolume -MountPoint $env:SystemDrive).KeyProtector | `
  where-object {$_.KeyProtectorType -eq 'RecoveryPassword'} | `
  Remove-BitLockerKeyProtector -MountPoint $env:SystemDrive

Agregue un protector de contraseña de recuperación de BitLocker para el volumen del sistema operativo:

Add-BitLockerKeyProtector -MountPoint $env:SystemDrive -RecoveryPasswordProtector

Obtenga el identificador de la nueva contraseña de recuperación:

(Get-BitLockerVolume -mountpoint $env:SystemDrive).KeyProtector | where-object {$_.KeyProtectorType -eq 'RecoveryPassword'} | ft KeyProtectorId,RecoveryPassword

Copie el identificador de la contraseña de recuperación de la salida.

Con el GUID del paso anterior, reemplace en {ID} el siguiente comando y use el siguiente comando para realizar una copia de seguridad de la contraseña de recuperación en Microsoft Entra ID:

BackuptoAAD-BitLockerKeyProtector -MountPoint $env:SystemDrive -KeyProtectorId "{ID}"

O bien, use el siguiente comando para realizar una copia de seguridad de la contraseña de recuperación en Active Directory:

Backup-BitLockerKeyProtector -MountPoint $env:SystemDrive -KeyProtectorId "{ID}"

Quite todas las contraseñas de recuperación del volumen del sistema operativo:

manage-bde.exe -protectors -delete C: -type RecoveryPassword

Agregue un protector de contraseña de recuperación de BitLocker para el volumen del sistema operativo:

manage-bde.exe -protectors -add C: -RecoveryPassword

Obtenga el identificador de la nueva contraseña de recuperación:

manage-bde.exe -protectors -get C: -Type RecoveryPassword

Con el GUID del paso anterior, reemplace en {ID} el siguiente comando y use el siguiente comando para realizar una copia de seguridad de la contraseña de recuperación en Microsoft Entra ID:

manage-bde.exe -protectors -aadbackup C: -id {ID}

O bien, use el siguiente comando para realizar una copia de seguridad de la contraseña de recuperación en Active Directory:

manage-bde.exe -protectors -adbackup C: -id {ID}

Este proceso no se puede realizar mediante el Panel de control. En su lugar, use una de las otras opciones.

Windows PowerShell ofrece la capacidad de descifrar varias unidades en un solo paso. En el ejemplo siguiente, el usuario tiene tres volúmenes cifrados, que desea descifrar.

Con el comando Disable-BitLocker, pueden quitar todos los protectores y el cifrado al mismo tiempo sin necesidad de más comandos. Un ejemplo de este comando es:

Disable-BitLocker

Para evitar especificar cada punto de montaje individualmente, use el -MountPoint parámetro de una matriz para secuenciar el mismo comando en una línea, sin necesidad de una entrada adicional del usuario. Por ejemplo:

Disable-BitLocker -MountPoint C,D

Descifrado con manage-bde.exe ofrece la ventaja de no requerir confirmación del usuario para iniciar el proceso. Manage-bde usa el comando -off para iniciar el proceso de descifrado. Un comando de ejemplo para el descifrado es:

manage-bde.exe -off C:

Este comando deshabilita los protectores mientras descifra el volumen y quita todos los protectores cuando se completa el descifrado.

El descifrado de BitLocker mediante el Panel de control se realiza mediante un asistente. Después de abrir el applet Panel de control BitLocker, seleccione la opción Desactivar BitLocker para comenzar el proceso. Para continuar, seleccione el cuadro de diálogo de confirmación. Con desactivar BitLocker confirmado, se inicia el proceso de descifrado de la unidad.

Una vez completado el descifrado, la unidad actualiza su estado en el Panel de control y está disponible para el cifrado.

Unlock-BitLocker -MountPoint D -RecoveryPassword xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx

Para obtener más información, vea Unlock-BitLocker

manage-bde.exe -unlock D: -recoverypassword xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx

Para obtener más información, consulte manage-bde unlock

Puede desbloquear la unidad desde el Panel de control o desde el Explorador. Después de abrir el applet Panel de control BitLocker, seleccione la opción Desbloquear unidad para comenzar el proceso. Cuando se le solicite, escriba la clave de recuperación de 48 dígitos.