Guia de operações do BitLocker

Para determinar o estado atual de um volume, pode utilizar o Get-BitLockerVolume cmdlet , que fornece informações sobre o tipo de volume, protetores, proteção status e outros detalhes. Por exemplo:

PS C:\> Get-BitLockerVolume C: | fl

ComputerName         : DESKTOP
MountPoint           : C:
EncryptionMethod     : XtsAes128
AutoUnlockEnabled    :
AutoUnlockKeyStored  : False
MetadataVersion      : 2
VolumeStatus         : FullyEncrypted
ProtectionStatus     : On
LockStatus           : Unlocked
EncryptionPercentage : 100
WipePercentage       : 0
VolumeType           : OperatingSystem
CapacityGB           : 1000
KeyProtector         : {Tpm, RecoveryPassword}

Com manage-bde.exe o pode determinar o volume status no sistema de destino, por exemplo:

manage-bde.exe -status

Este comando devolve os volumes no destino, a encriptação atual status, o método de encriptação e o tipo de volume (sistema operativo ou dados) para cada volume.

C:\>manage-bde -status

Volume C: [Local Disk]
[OS Volume]

    Size:                 1000 GB
    BitLocker Version:    2.0
    Conversion Status:    Used Space Only Encrypted
    Percentage Encrypted: 100.0%
    Encryption Method:    XTS-AES 128
    Protection Status:    Protection On
    Lock Status:          Unlocked
    Identification Field: Unknown
    Key Protectors:
        TPM
        Numerical Password

Verificar o BitLocker status com a Painel de Controle é um método comum utilizado pela maioria dos utilizadores. Uma vez aberto, o status para cada volume é apresentado junto à descrição do volume e à letra de unidade. Os valores status devolvidos disponíveis com applet incluem:

Se uma unidade for pré-aprovisionada com o BitLocker, é apresentada uma status de Waiting for Activation com um ícone de exclamação amarelo no volume. Este status significa que só foi utilizado um protetor claro ao encriptar o volume. Neste caso, o volume não está num estado protegido e precisa de ter uma chave segura adicionada ao volume antes de a unidade estar totalmente protegida. Os administradores podem utilizar o Painel de Controle, o PowerShell ou manage-bde.exe para adicionar um protetor de chave adequado. Após a conclusão, o Painel de Controle atualiza para refletir a nova status.

Enable-BitLocker C: -TpmProtector

manage-bde.exe -on C:

A partir da Encriptação de Unidade BitLocker Painel de Controle applet:

1. Expanda a unidade do SO e selecione a opção Ativar o BitLocker

2. Quando lhe for pedido, selecione a opção Permitir que o BitLocker desbloqueie automaticamente a minha unidade

3. Faça uma cópia de segurança da chave de recuperação com um dos seguintes métodos:

   • Guardar na sua conta Microsoft Entra ID ou conta Microsoft (se aplicável)
   • Guardar numa pen USB
   • Guardar num ficheiro – o ficheiro tem de ser guardado numa localização que não esteja no próprio dispositivo, como uma pasta de rede
   • Imprimir a chave de recuperação

4. Selecione Seguinte

5. Escolha uma das opções para encriptar apenas o espaço em disco utilizado ou encriptar toda a unidade e selecione Seguinte

   • Encriptar apenas o espaço em disco utilizado – encripta apenas o espaço em disco que contém dados
   • Encriptar toda a unidade – encripta todo o volume, incluindo espaço livre. Também conhecido como encriptação de disco completa

   Cada um dos métodos é recomendado nos seguintes cenários:

   • Encriptar apenas o espaço em disco utilizado:

     • A unidade nunca teve dados
     • Unidades formatadas ou apagadas que no passado nunca tiveram dados confidenciais que nunca foram encriptados

   • Encriptar toda a unidade (encriptação de disco completa):

     • Unidades que têm atualmente dados
     • Unidades que têm atualmente um sistema operativo
     • Unidades formatadas ou apagadas que no passado tinham dados confidenciais que nunca foram encriptados

   Importante

   Os ficheiros eliminados aparecem como espaço livre para o sistema de ficheiros, que não é encriptado apenas pelo espaço em disco utilizado. Até serem apagados ou substituídos, os ficheiros eliminados contêm informações que podem ser recuperadas com ferramentas forenses de dados comuns.

6. Selecione um modo de encriptação e selecione Seguinte

   • Novo modo de encriptação
   • Modo compatível

   Observação

   Normalmente, deve ser escolhido o Novo modo de encriptação , mas se a unidade for potencialmente movida para outro dispositivo com um sistema operativo Windows mais antigo, selecione Modo compatível

7. Selecione Continuar>Reiniciar agora

8. Após o reinício, o SO executa um sistema BitLocker marcar e inicia a encriptação

Os utilizadores podem marcar status de encriptação com o bitLocker Painel de Controle applet.

Se optar por ignorar o teste de hardware do BitLocker, a encriptação é iniciada imediatamente sem a necessidade de um reinício.

Enable-BitLocker C: -StartupKeyProtector -StartupKeyPath E: -SkipHardwareTest

manage-bde.exe -protectors -add C: -TPMAndStartupKey E:
manage-bde.exe -on C:

Se lhe for pedido, reinicie o computador para concluir o processo de encriptação.

O Painel de Controle applet não permite ativar o BitLocker e adicionar um protetor de chave de arranque ao mesmo tempo. Para adicionar um protetor de chave de arranque, siga estes passos:

• A partir da Encriptação de Unidade BitLocker Painel de Controle applet, na unidade do SO, selecione a opção Alterar a forma como a unidade é desbloqueada no arranque
• Quando lhe for pedido, selecione a opção Inserir uma pen USB
• Selecione a pen USB onde pretende armazenar a chave de arranque e selecione Guardar

Adicione os protetores pretendidos antes de encriptar o volume. O exemplo seguinte adiciona um protetor de palavra-passe ao E: volume com a variável $pw como palavra-passe. A $pw variável é mantida como um valor SecureString para armazenar a palavra-passe definida pelo utilizador:

$pw = Read-Host -AsSecureString
<user inputs password>
Add-BitLockerKeyProtector E: -PasswordProtector -Password $pw

Exemplo: Utilizar o PowerShell para ativar o BitLocker com um protetor TPM

Enable-BitLocker D: -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector

Exemplo: utilize o PowerShell para ativar o BitLocker com um protetor TPM+PIN, neste caso com um PIN definido como 123456:

$SecureString = ConvertTo-SecureString "123456" -AsPlainText -Force
Enable-BitLocker C: -EncryptionMethod XtsAes256 -UsedSpaceOnly -Pin $SecureString -TPMandPinProtector

A encriptação de volumes de dados pode ser feita com o comando base:

manage-bde.exe -on <drive letter>

ou podem ser adicionados protetores adicionais ao volume primeiro. Recomenda-se adicionar, pelo menos, um protetor primário e um protetor de recuperação a um volume de dados.

Encriptar volumes de dados com o BitLocker Painel de Controle funciona de forma semelhante à encriptação dos volumes do sistema operativo. Os utilizadores selecionam Ativar o BitLocker na Painel de Controle BitLocker para iniciar o Assistente de Encriptação de Unidade BitLocker.

(Get-BitLockerVolume -mountpoint C).KeyProtector

 manage-bde.exe -protectors -get C:

Estas informações não estão disponíveis no Painel de Controle.

Add-BitLockerKeyProtector -MountPoint C -RecoveryPasswordProtector

manage-bde.exe -protectors -add -recoverypassword C:

A partir da Encriptação de Unidade BitLocker Painel de Controle applet, selecione o volume onde pretende adicionar um protetor e selecione a opção Fazer cópia de segurança da chave de recuperação.

Add-BitLockerKeyProtector -MountPoint D -PasswordProtector

manage-bde.exe -protectors -add -pw D:

A partir do Painel de Controle de Encriptação de Unidade BitLocker, expanda a unidade onde pretende adicionar um protetor de palavra-passe e selecione a opção Adicionar palavra-passe. Quando lhe for pedido, introduza e confirme uma palavra-passe para desbloquear a unidade. Selecione Concluir para concluir o processo.

Add-BitLockerKeyProtector C: -ADAccountOrGroupProtector -ADAccountOrGroup "<SID>"

Para adicionar o protetor a um volume, é necessário o SID do domínio ou o nome do grupo precedido pelo domínio e uma barra invertida. No exemplo seguinte, a conta CONTOSO\Administrador é adicionada como um protetor ao volume de dados G.

Enable-BitLocker G: -AdAccountOrGroupProtector -AdAccountOrGroup CONTOSO\Administrator

Para utilizar o SID para a conta ou grupo, o primeiro passo é determinar o SID associado ao principal de segurança. Para obter o SID específico de uma conta de utilizador no Windows PowerShell, utilize o seguinte comando:

Get-ADUser -filter {samaccountname -eq "administrator"}

manage-bde.exe -protectors -add -sid <user or group>

Esta opção não está disponível no Painel de Controle.

Para remover protetores existentes num volume, utilize o Remove-BitLockerKeyProtector cmdlet . Tem de ser fornecido um GUID associado ao protetor a remover.

Os comandos seguintes devolvem a lista de protetores de chaves e GUIDS:

$vol = Get-BitLockerVolume C
$keyprotectors = $vol.KeyProtector
$keyprotectors

Ao utilizar estas informações, o protetor de chave para um volume específico pode ser removido com o comando :

Remove-BitLockerKeyProtector <volume> -KeyProtectorID "{GUID}"

Os comandos seguintes devolvem a lista de protetores de chaves:

manage-bde.exe -status C:

O comando seguinte remove o protetor de chaves de um determinado tipo:

manage-bde.exe -protectors -delete C: -type TPMandPIN

A partir da Encriptação de Unidade BitLocker Painel de Controle applet, expanda a unidade onde pretende remover um protetor e selecione a opção para removê-lo, se disponível.

Suspend-BitLocker -MountPoint D

manage-bde.exe -protectors -disable d:

Só pode suspender a proteção do BitLocker para a unidade de SO ao utilizar o Painel de Controle.

A partir da Encriptação de Unidade BitLocker Painel de Controle applet, selecione a unidade do SO e selecione a opção Suspender proteção.

Resume-BitLocker -MountPoint D

manage-bde.exe -protectors -enable d:

A partir da Encriptação de Unidade BitLocker Painel de Controle applet, selecione a unidade do SO e selecione a opção Retomar proteção.

Remova todas as palavras-passe de recuperação do volume do SO:

(Get-BitLockerVolume -MountPoint $env:SystemDrive).KeyProtector | `
  where-object {$_.KeyProtectorType -eq 'RecoveryPassword'} | `
  Remove-BitLockerKeyProtector -MountPoint $env:SystemDrive

Adicione um protetor de palavra-passe de recuperação BitLocker para o volume do SO:

Add-BitLockerKeyProtector -MountPoint $env:SystemDrive -RecoveryPasswordProtector

Obtenha o ID da nova palavra-passe de recuperação:

(Get-BitLockerVolume -mountpoint $env:SystemDrive).KeyProtector | where-object {$_.KeyProtectorType -eq 'RecoveryPassword'} | ft KeyProtectorId,RecoveryPassword

Copie o ID da palavra-passe de recuperação do resultado.

Com o GUID do passo anterior, substitua o {ID} no seguinte comando e utilize o seguinte comando para fazer uma cópia de segurança da palavra-passe de recuperação para Microsoft Entra ID:

BackuptoAAD-BitLockerKeyProtector -MountPoint $env:SystemDrive -KeyProtectorId "{ID}"

Em alternativa, utilize o seguinte comando para fazer uma cópia de segurança da palavra-passe de recuperação para o Active Directory:

Backup-BitLockerKeyProtector -MountPoint $env:SystemDrive -KeyProtectorId "{ID}"

Remova todas as palavras-passe de recuperação do volume do SO:

manage-bde.exe -protectors -delete C: -type RecoveryPassword

Adicione um protetor de palavra-passe de recuperação BitLocker para o volume do SO:

manage-bde.exe -protectors -add C: -RecoveryPassword

Obtenha o ID da nova palavra-passe de recuperação:

manage-bde.exe -protectors -get C: -Type RecoveryPassword

Com o GUID do passo anterior, substitua o {ID} no seguinte comando e utilize o seguinte comando para fazer uma cópia de segurança da palavra-passe de recuperação para Microsoft Entra ID:

manage-bde.exe -protectors -aadbackup C: -id {ID}

Em alternativa, utilize o seguinte comando para fazer uma cópia de segurança da palavra-passe de recuperação para o Active Directory:

manage-bde.exe -protectors -adbackup C: -id {ID}

Este processo não pode ser realizado com o Painel de Controle. Em alternativa, utilize uma das outras opções.

Windows PowerShell oferece a capacidade de desencriptar várias unidades numa só passagem. No exemplo seguinte, o utilizador tem três volumes encriptados, que pretende desencriptar.

Com o comando Disable-BitLocker, podem remover todos os protetores e encriptação ao mesmo tempo sem a necessidade de mais comandos. Um exemplo deste comando é:

Disable-BitLocker

Para evitar especificar cada ponto de montagem individualmente, utilize o -MountPoint parâmetro numa matriz para sequenciar o mesmo comando numa linha, sem que seja necessária uma entrada de utilizador adicional. Exemplo:

Disable-BitLocker -MountPoint C,D

A desencriptação com manage-bde.exe oferece a vantagem de não exigir a confirmação do utilizador para iniciar o processo. Manage-bde utiliza o comando -off para iniciar o processo de desencriptação. Um comando de exemplo para desencriptação é:

manage-bde.exe -off C:

Este comando desativa os protetores enquanto desencripta o volume e remove todos os protetores quando a desencriptação estiver concluída.

A desencriptação do BitLocker com o Painel de Controle é efetuada com um assistente. Depois de abrir o BitLocker Painel de Controle applet, selecione a opção Desativar BitLocker para iniciar o processo. Para continuar, selecione a caixa de diálogo de confirmação. Com a opção Desativar o BitLocker confirmada, o processo de desencriptação da unidade é iniciado.

Assim que a desencriptação estiver concluída, a unidade atualiza o respetivo status no Painel de Controle e fica disponível para encriptação.

Unlock-BitLocker -MountPoint D -RecoveryPassword xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx

Para obter mais informações, veja Unlock-BitLocker

manage-bde.exe -unlock D: -recoverypassword xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx

Para obter mais informações, veja manage-bde unlock

Pode desbloquear a unidade a partir do Painel de Controle ou do Explorer. Depois de abrir o BitLocker Painel de Controle applet, selecione a opção Desbloquear unidade para iniciar o processo. Quando lhe for pedido, introduza a chave de recuperação de 48 dígitos.