Criptografia de dispositivo

O Windows Mobile 6.5, o Windows RT e as edições principais do Windows 8.1 incluem criptografia de dispositivo, uma versão com recursos limitados do BitLocker que criptografa todo o sistema. ^{[21] [22] [23]} Fazer login com uma conta Microsoft com privilégios administrativos inicia automaticamente o processo de criptografia. A chave de recuperação é armazenada na conta Microsoft ou no Active Directory (o Active Directory requer edições Pro do Windows), permitindo que ela seja recuperada de qualquer computador. Embora a criptografia de dispositivo seja oferecida em todas as edições do Windows 8.1, diferentemente do BitLocker, ela exige que o dispositivo atenda às especificações do InstantGo (anteriormente Connected Standby ), ^[23] que requerem unidades de estado sólido e um chip TPM 2.0. ^{[21] [24]}

A partir do Windows 10 1703, os requisitos para criptografia de dispositivos mudaram, exigindo um módulo TPM 1.2 ou 2.0 com suporte a PCR 7, UEFI Secure Boot e que o dispositivo atenda aos requisitos da Modern Standby ou a validação HSTI.^[25]

Os requisitos para a criptografia do dispositivo foram simplificados no Windows 11 24H2, com o Modern Standby, HSTI e o Secure Boot não mais necessários e o bloqueio de interfaces DMA removido.^[26] E a criptografia de dispositivo será ativada por padrão numa instalação limpa do Windows 11 24H2, chamada de auto device encryption.^[27]

Em setembro de 2019 uma nova atualização foi lançada (KB4516071^[28]) mudando a configuração padrão do BitLocker quando encriptanzdo uma unidade. Agora, o padrão é usar criptografia de software para os novas unidades, sendo isso devido a falhas com a ciptografia de hardware e preocupações de segurança relacionadas a esses problemas.^[29]

Modos de criptografia

3 mecanismos de autenticação podem ser usados para construir os blocos implementados na criptografia do BitLocker:^[30]

• Modo de operação transparente: Esse modo usa as capacidades do hardware TPM 1.2 para prover uma experiência de usuário transparente — o usuário liga o computador e loga no Windows como sempre. A chave usada para a criptografia de disco é guardada (de forma criptografada) pelo chip TPM e será revelado apenas se os arquivos de boot parecerem não ter sido modificados. Os componentes pré-SO do BitLocker conseguem isso implementando um Medição Estática de Raiz de Confiança — uma metodologia especificada pelo Trusted Computing Group (TCG). Esse modo é vulnerável a um cold boot attack, já que isso permite atacante ligue uma máquina desligada. Ele também é vulnerável a um sniffing attack, já que a chave de criptografia do volume é transferida como texto simples da TPM para a CPU durante o processo de boot.
• Modo de autenticação: Esse modo requer que o usuário de algum tipo de autenticação pré-boot na forma de um PIN ou senha.
• Modo de chave USB: O usuário deve inserir um dispositivo USB que contém uma chave inicializadora no computador para poder ligá-lo. Note que esse modo requer que a BIOS na máquina protegida suporte ler dispositivos USB antes do sistema ligar. BitLocker não suporta cartões inteligentes como autenticação pré-boot.^[31]

As seguintes combinações dos mecanismos de autenticação acima são suportados, todas com uma chave de recuperação escrow opcional.

• TPM apenas^[32]
• TPM + PIN^[33]
• TPM + PIN + Chave USB^[34]
• TPM + Chave USB^[35]
• Chave USB^[36]
• Senha apenas^[37]

Problemas reportados

A proteção BitLocker pode ser contornada colocando arquivos FsTx especialmente criados em uma unidade USB ou partição EFI, também conhecida como CVE-2026-45585: YellowKey BitLocker Bypass.