Muchos SSD de consumo afirman admitir el cifrado y BitLocker los creía. Pero, como aprendimos el año pasado, esas unidades a menudo no encriptaban archivos de manera segura . Microsoft acaba de cambiar Windows 10 para dejar de confiar en esos SSD incompletos y por defecto en el cifrado de software.
En resumen, las unidades de estado sólido y otros discos duros pueden afirmar que se «autocifran». Si lo hacen, BitLocker no realizaría ningún cifrado, incluso si habilitó BitLocker manualmente. En teoría, eso era bueno: la unidad podría realizar el cifrado por sí misma a nivel de firmware, acelerando el proceso, reduciendo el uso de la CPU y tal vez ahorrando algo de energía. En realidad, era malo: muchas unidades tenían contraseñas maestras vacías y otras horrendas fallas de seguridad. Aprendimos que no se puede confiar en los SSD de consumo para implementar el cifrado.
Ahora, Microsoft ha cambiado las cosas. De forma predeterminada, BitLocker ignorará las unidades que afirman ser autocifrado y hará el trabajo de cifrado en el software. Incluso si tiene una unidad que dice ser compatible con el cifrado, BitLocker no lo creerá.
Este cambio llegó en la actualización KB4516071 de Windows 10 , lanzada el 24 de septiembre de 2019. SwiftOnSecurity lo detectó en Twitter:
Los sistemas existentes con BitLocker no se migrarán automáticamente y seguirán usando el cifrado de hardware si se configuraron originalmente de esa manera. Si ya tiene habilitado el cifrado de BitLocker en su sistema, debe descifrar la unidad y luego cifrarla una vez más para asegurarse de que BitLocker esté utilizando cifrado de software en lugar de cifrado de hardware. Este boletín de seguridad de Microsoft incluye un comando que puede usar para verificar si su sistema está usando cifrado basado en hardware o software.
Como señala SwiftOnSecurity, las CPU modernas pueden manejar la realización de estas acciones en el software y no debería ver una desaceleración notable cuando BitLocker cambia al cifrado basado en software.
BitLocker aún puede confiar en el cifrado de hardware, si lo desea. Esa opción está deshabilitada de forma predeterminada. Para las empresas que tienen unidades con firmware en el que confían, la opción «Configurar el uso de cifrado basado en hardware para unidades de datos fijas» en Configuración del equipo \ Plantillas administrativas \ Componentes de Windows \ Cifrado de unidad BitLocker \ Unidades de datos fijas en la Política de grupo les permitirá reactivar la uso de cifrado basado en hardware. Todos los demás deberían dejarlo en paz.
Es una pena que Microsoft y el resto de nosotros no podamos confiar en los fabricantes de discos. Pero tiene sentido: claro, su computadora portátil puede ser fabricada por Dell, HP o incluso la propia Microsoft. Pero, ¿sabe qué unidad tiene esa computadora portátil y quién la fabricó? ¿Confía en que el fabricante de esa unidad manejará el cifrado de forma segura y emitirá actualizaciones si hay algún problema? Como hemos aprendido, probablemente no debería hacerlo. Ahora, Windows tampoco lo hará.
