BitLocker Drive Encryption

El programa de sifrat de disc BitLocker proveïx de sifrat de disc a les versions Professional, Ultimate i Enterprise de Windows 7, Windows Vista, Windows 10 i Windows 11, aixina com a les versions per a empreses de Windows Server 2008. Està dissenyat per a protegir les senyes en proporcionar sifrat per a volums sancers. Per defecte s'utilisa l'algoritme de sifrat estàndar AES en modo CBC en una clau de 128 bits.

L'última versió de BitLocker afig l'opció de sifrar unitats extraíbles.

Descripció general

Existixen tres mecanismes d'autenticació que poden ser utilisats com a elements bàsics per a implementar el sifrat BitLocker.

• Modo de funcionament transparent: Este modo aprofita les capacitats del mòdul de plataforma de confiança (en inglés: Trusted Platform Module, TPM). La clau utilisada per al sifrat de disc està sifrada i solament es donarà a conéixer el còdic al sistema operatiu si els archius d'inici a principi de l'arrancada no han segut modificats. Este modo és vulnerable a un atac d'arrancada en fret, ya que permet l'apagat de la màquina per un atacant.
• Modo d'autenticació d'usuari: Este modo requerix que l'usuari proporcione alguna clau d'autenticació al prearranque. Este modo és vulnerable a un atac rootkit.
• Modo en dispositius USB: L'usuari deu insertar un dispositiu USB que continga una clau d'inici en l'equip per a poder arrancar el sistema operatiu protegit. Tinga en conte que esta modalitat requerix que la BIOS de la màquina protegida accepte l'arrancada des de dispositius USB. Este modo també és vulnerable a un atac rootkit.

Funcionament

Contràriament a la denominació oficial, el cifrador de disc BitLocker és un volum llògic. Un volum pot o no ser tot un disc, i les unitats poden comprendre un o més discs físics. Ademés, quan està activat el mòdul de plataforma confiable (TPM), BitLocker pot garantisar l'integritat de la ruta d'inici de confiança (per eixemple, una BIOS, un sector d'arrancada, etc), a fi de previndre els atacs físics fòra de llínea, el malware sector d'arrancada, etc.

En la finalitat de que BitLocker opere, el disc dur requerix un mínim de dos particions NTFS: una per al sistema operatiu (usualment en C:) i una atra en un tamany mínim de 100 MB en el sistema operatiu d'arrancada. BitLocker requerix un volum d'arrancada que permaneixca sense sifrar, per lo que l'arrancada no deu ser utilisat per a almagasenar informació confidencial. A diferència de versions anteriors de Windows, "Vista diskpart", ferramenta de llínea de comandos, inclou la capacitat de reduir el tamany d'un volum NTFS de modo que el volum del sistema per a BitLocker pot ser creat. Una ferramenta anomenada "BitLocker Drive Preparation Tool" també està disponible en Microsoft, i permet a un volum existent ser reduït per a donar cabuda a un volum d'arrancada, i per als archius a transferir al mateix. Des de BitLocker es requerixen a lo manco dos particions formateadas en NTFS; alguns usuaris preferixen sifrar tot el disc dur, sense necessitat de separació.

Una volta que una partició d'arrancada alternativa ha segut creada, el mòdul TPM té que ser inicializado (suponent que esta característica s'utilisa) en acabant de que el sifrat de disc requerixca mecanismes de protecció clau. El volum se sifra com una tasca de fondo, alguna cosa que pot prendre una cantitat considerable de temps en un disc gran. Solament una volta que el volum total s'ha sifrat en les claus protegides, el volum es considera segur.

Un atre sistemes de sifrat d'archius poden utilisar-se junt en BitLocker per a oferir protecció una volta que el núcleu del sistema operatiu s'haja carregat. Des de BitLocker es dessifren els archius del disc ans que el sistema operatiu s'haja carregat (i per tant fora del context del sistema operatiu).