Come crittografare il contenuto di un'unità USB da Windows

Proteggere i dati su una chiavetta USB non è più un'opzione riservata ai più attenti alla sicurezza: oggigiorno, chiunque trasferisca documenti di lavoro, foto personali o informazioni bancarie su una chiavetta USB dovrebbe prendere in considerazione la crittografia. Questi dispositivi sono piccoli, facili da perdere o smarrire, e basta che finiscano nelle mani sbagliate perché tutte le informazioni vengano esposte.

Tuttavia, nel momento in cui trasformi la tua unità USB in un'unità crittografata e protetta da password, ti assumi anche una responsabilità aggiuntiva come utente . Non basta semplicemente attivare BitLocker o uno strumento simile: devi gestire correttamente la password, salvare la chiave di ripristino e capire che, se la perdi, probabilmente perderai anche i tuoi dati. La tecnologia semplifica notevolmente il processo, ma l'anello debole rimane l'elemento umano.

Cosa significa crittografare un'unità USB e cosa significa per te?

Quando parliamo di crittografare un'unità USB, in realtà intendiamo trasformare il suo contenuto in modo che sia leggibile solo da chi possiede la chiave corretta . Il sistema operativo continuerà a riconoscere l'unità, ma senza la password o la chiave corretta, i file appariranno come dati incomprensibili.

Windows e altre piattaforme utilizzano algoritmi molto potenti, come AES con chiavi a 128 o 256 bit , che attualmente sono considerati sicuri anche a livello aziendale. Ciò significa che non esistono "scorciatoie magiche" per decifrare la crittografia: se si perde la password e la chiave di ripristino, i dati sono generalmente considerati persi.

Questo livello di sicurezza ha diverse conseguenze pratiche: da un lato, permette di trasportare file sensibili senza preoccuparsi di perdere la chiavetta USB. Dall'altro, richiede di seguire un protocollo personale di base: non riutilizzare password deboli, non annotarle su un post-it attaccato al monitor e conservare le chiavi di ripristino in luoghi sicuri.

Inoltre, crittografare l'intera unità USB (e non solo alcuni file) significa non dover ricordare quali cartelle sono state protette e quali no . Il sistema operativo funziona in modo trasparente: i documenti vengono visualizzati normalmente, ma tutto è crittografato in background.

Crittografia nativa in Windows: BitLocker e “Crittografia dispositivo”

Nell'ecosistema Microsoft, esistono due principali forme di crittografia integrata: il classico BitLocker e una funzionalità più automatizzata chiamata Crittografia dispositivo . Entrambe hanno lo scopo di proteggere i dati, ma sono offerte in diverse edizioni di Windows e funzionano in modo differente.

BitLocker è disponibile in Windows 10 Pro, Windows 11 Pro e nelle edizioni Enterprise/Education . Consente di crittografare unità interne, unità esterne e unità flash USB, offrendo un controllo granulare su password, chiavi di ripristino e metodi di crittografia.

La crittografia del dispositivo, d'altro canto, è presente su molti computer con Windows Home e altre edizioni, ed è solitamente collegata all'hardware del computer ( TPM , Secure Boot , ecc.). È progettata in modo che un utente medio possa proteggere le proprie unità con il minimo sforzo, semplicemente accedendo con il proprio account Microsoft o aziendale.

Idealmente, prima di tentare di crittografare un'unità USB, dovresti verificare se Windows offre una semplice crittografia nativa nelle Impostazioni . Se il tuo computer non soddisfa i requisiti, puoi sempre utilizzare BitLocker (se la tua edizione lo supporta) o un software di terze parti.

Come crittografare un'unità USB con BitLocker in Windows

Se disponi di una versione compatibile di Windows, BitLocker è probabilmente il modo più semplice per proteggere con password un'unità USB senza installare nulla di aggiuntivo. La procedura è guidata e il sistema gestisce quasi tutto.

Innanzitutto, collega l'unità USB a una porta USB libera e attendi che venga visualizzata in Esplora file, solitamente come un'altra unità in "Questo PC" . A questo punto hai due opzioni: utilizzare il menu contestuale dell'unità oppure accedere alle impostazioni di BitLocker dal Pannello di controllo.

Il metodo più semplice consiste solitamente nel fare clic con il pulsante destro del mouse sull'unità USB e selezionare "Attiva BitLocker" . Si aprirà una procedura guidata che verificherà la compatibilità del dispositivo e, se tutto è corretto, suggerirà diversi metodi di sblocco.

Su un'unità USB, l'opzione più comune è "Usa una password per sbloccare l'unità ". Dovrai inserire la password due volte per evitare errori di battitura. Windows ti informerà quindi che genererà una chiave di ripristino di 48 cifre, essenziale nel caso in cui dovessi dimenticare la password.

A questo punto, ti verranno offerte diverse opzioni per salvare la chiave di ripristino: nel tuo account Microsoft, in un file di testo o stampata su carta . La soluzione più pratica è solitamente quella di memorizzarla nel tuo account Microsoft e, se i dati sono molto sensibili, di conservarne anche una copia cartacea in un luogo sicuro.

Dopodiché, BitLocker ti chiederà quale parte dell'unità desideri crittografare. Puoi scegliere se crittografare solo i settori occupati o l'intera unità USB . La seconda opzione è più lenta, ma più sicura, perché protegge anche lo spazio che ora appare vuoto ma che potrebbe contenere tracce recuperabili di vecchi file.

Successivamente, dovrai scegliere la modalità di crittografia. La modalità più recente (XTS-AES) offre una sicurezza leggermente superiore, ma è pensata principalmente per le unità che verranno utilizzate sullo stesso computer o su sistemi relativamente moderni. Per un'unità USB che intendi trasferire tra PC, di solito è meglio scegliere la "modalità compatibile" per massimizzare la compatibilità con altre versioni di Windows.

Prima di iniziare, la procedura guidata visualizzerà un riepilogo di tutte le opzioni selezionate. Se tutto è corretto, fai clic su "Avvia crittografia " . Il tempo necessario dipenderà dalla capacità dell'unità USB, dalla velocità della porta e dalla scelta di crittografare solo lo spazio utilizzato o l'intera unità.

Una volta completata la procedura, ogni volta che collegherai la chiavetta USB a un computer Windows, il sistema ti chiederà la password prima di consentirti l'accesso . Se in qualsiasi momento non avessi più bisogno di questa protezione, puoi disabilitare BitLocker e decrittografare l'unità dallo stesso menu "Gestisci BitLocker".

“Crittografia dispositivo” in Windows: cos’è e come attivarla

Oltre a BitLocker, molti laptop e computer moderni dispongono della crittografia del dispositivo , che si basa sul TPM (Trusted Platform Module) e su altre funzionalità di sicurezza hardware. Questa opzione in genere protegge automaticamente l'unità di sistema e i dischi rigidi.

Quando avvii per la prima volta un dispositivo compatibile e accedi con un account Microsoft (aziendale o scolastico), Windows può abilitare automaticamente la crittografia senza che tu debba fare nulla . La chiave di ripristino è collegata a quell'account, quindi puoi recuperarla in seguito se necessario.

Per verificare se questa opzione è disponibile, apri l'app Impostazioni di Windows, vai su "Aggiornamento e sicurezza" e poi su "Crittografia dispositivo ". Se è presente, attiva l'interruttore. Se non la vedi, probabilmente il tuo computer non soddisfa uno dei requisiti.

Se vuoi verificare esattamente cosa manca, puoi aprire "Informazioni di sistema" con privilegi di amministratore e cercare il campo "Supporto crittografia dispositivo". Lì vedrai messaggi come "Soddisfa i prerequisiti" (tutto a posto), "Impossibile utilizzare TPM", "WinRE non è configurato" o "Il binding PCR7 non è supportato", che ti indicheranno cosa impedisce l'attivazione di questa funzionalità.

Come crittografare un'unità USB con VeraCrypt passo dopo passo

Se la tua versione di Windows non include BitLocker (ad esempio, Windows 10 Home) o desideri una soluzione multipiattaforma che funzioni altrettanto bene su Windows, macOS e Linux , una delle alternative più valide è VeraCrypt. Si tratta di un'applicazione gratuita e open source con un'ottima reputazione nel mondo della sicurezza.

Il primo passo consiste nello scaricare VeraCrypt dal suo sito web ufficiale, installarlo sul computer e, se lo si desidera, impostare l'interfaccia in spagnolo . È possibile farlo dal menu "Impostazioni > Lingua", selezionando "Spagnolo" dall'elenco.

Prima di iniziare a crittografare l'unità USB, è consigliabile creare una copia di tutto il contenuto o lasciarla completamente vuota, poiché il processo formatta lo spazio che verrà utilizzato per il contenitore crittografato.

Il modo più semplice per lavorare con un'unità USB in VeraCrypt è creare un contenitore crittografato all'interno dell'unità stessa . È come avere un file speciale che, una volta montato con VeraCrypt, appare come un'altra unità nel sistema.

Nel programma, fai clic su Crea volume . Si aprirà una procedura guidata in cui dovrai selezionare "Crea un contenitore di file crittografato". Quindi, seleziona l'opzione "Volume VeraCrypt comune" (la modalità standard) e fai clic su "Avanti".

Nella fase di selezione della posizione, scegli l'unità corrispondente alla tua unità USB e inserisci un nome file facilmente riconoscibile (ad esempio, "security_data.hc"). Questo sarà il file contenitore crittografato che risiederà sull'unità USB.

Successivamente, accederai alle impostazioni di crittografia. L'algoritmo AES è generalmente l' opzione consigliata per l'uso domestico ; è sufficiente e molto sicuro. Puoi lasciare le impostazioni predefinite a meno che tu non abbia esigenze molto specifiche.

Successivamente, visualizzerai la schermata "Dimensioni del volume", dove deciderai quale porzione dell'unità USB dedicare al contenitore crittografato. Puoi utilizzare tutto lo spazio disponibile o solo una parte , a seconda di cosa intendi archiviare.

Il passaggio successivo è cruciale: dovrai definire una password complessa per quel volume . Si consiglia vivamente di utilizzare più di 12 caratteri, combinando lettere maiuscole, minuscole, numeri e simboli. Se desideri aumentare ulteriormente la sicurezza, seleziona la casella per utilizzare un file chiave , che funge da secondo fattore di autenticazione.

Se si utilizza un file chiave, VeraCrypt consente di selezionare un file qualsiasi (una foto, un MP3 , ecc.) o di generarne uno casuale spostando il mouse all'interno di una finestra per alcuni secondi. Questo file deve essere salvato con cura, perché senza di esso il contenitore non può essere aperto, anche se si ricorda la password.

Come ultimo dettaglio, la procedura guidata chiederà se si intende salvare file di dimensioni superiori a 4 GB nel contenitore. Questa informazione è correlata al file system che verrà utilizzato internamente. Confermare se necessario, fare clic su "Avanti" e quindi su "Formatta" per avviare la creazione del volume.

Al termine dell'operazione, VeraCrypt visualizzerà un messaggio di conferma e potrai chiudere la procedura guidata. Da quel momento in poi, ogni volta che vorrai utilizzare il contenitore dell'unità USB crittografata, dovrai montare quel file da VeraCrypt, inserire la password (e il file chiave, se lo hai configurato) e apparirà come un'unità aggiuntiva sul tuo sistema , pronta per essere utilizzata come qualsiasi altra cartella.

BitLocker e file system: exFAT, NTFS e compatibilità

Un aspetto che molti trascurano è il tipo di file system utilizzato dall'unità USB . Formattarla in NTFS (il formato tipico di Windows) non è la stessa cosa che formattarla in exFAT o FAT32 se si intende utilizzarla con sistemi operativi diversi.

Se intendi utilizzare l'unità USB solo su Windows, NTFS va bene, ma non è l' opzione più portatile . macOS e molte distribuzioni Linux sono in grado di leggere NTFS, ma spesso necessitano di driver aggiuntivi per scriverci correttamente e il supporto ufficiale non è sempre disponibile.

Per le unità USB che si desidera condividere tra Windows, Linux e macOS, la soluzione più pratica è solitamente quella di formattarle in exFAT . Questo file system consente di gestire file di dimensioni superiori a 4 GB (il limite classico di FAT32) ed è riconosciuto senza problemi dai principali sistemi operativi .

BitLocker è compatibile con unità formattate in exFAT, quindi è possibile avere un'unità USB crittografata che rimanga compatibile con altri sistemi, a condizione che questi dispongano degli strumenti necessari per montare i volumi BitLocker. Tuttavia, se si prevede di condividerla ampiamente al di fuori dell'ambiente Windows, una soluzione come VeraCrypt potrebbe essere più adatta.

Crittografa le unità USB su macOS e Linux utilizzando strumenti nativi

Sebbene l'attenzione principale sia rivolta a Windows, vale la pena notare che anche macOS e Linux semplificano la protezione di un'unità USB senza ricorrere a software aggiuntivi.

Su macOS, la funzione principale è FileVault , che crittografa il disco rigido interno del Mac , ma per quanto riguarda le unità esterne, è possibile utilizzare sia FileVault che Utility Disco per creare volumi protetti. Se si collega un'unità USB formattata e si fa clic con il pulsante destro del mouse sulla sua icona sul desktop, verrà visualizzata l'opzione "Crittografa", che consente di assegnare una password all'unità USB in pochi semplici passaggi.

Per un'opzione più avanzata, è possibile utilizzare Utility Disco per selezionare il dispositivo, utilizzare l'opzione "Inizializza" e scegliere un formato che includa la parola "crittografato ", insieme allo schema di partizionamento appropriato (ad esempio, Mappa partizioni GUID). Quindi, immettere la password e il sistema gestirà la formattazione e la crittografia.

In Linux, molte distribuzioni moderne consentono di formattare un volume con crittografia LUKS tramite il gestore dischi o l'esplora file in modo molto simile: si seleziona l'unità, si sceglie "Formatta volume", si seleziona l'opzione "Crittografia" (di solito LUKS + ext4) e durante il processo verrà richiesta la password.

In questi casi, il sistema sovrascrive i dati esistenti, quindi è meglio salvare prima i file importanti. La formattazione crittografata è solitamente un po' più lenta, proprio perché applica una crittografia sicura all'intera unità , ma in cambio fornisce un'unità USB pronta per funzionare senza problemi in tale ambiente.

Altri strumenti per crittografare e proteggere le unità USB

Oltre a BitLocker e VeraCrypt, esiste un'ampia gamma di programmi progettati per crittografare le unità USB e controllarne l'utilizzo in diversi scenari, dall'utente domestico all'azienda.

Una delle alternative più conosciute per Windows è RoHos Mini Drive . Questo strumento crea una partizione crittografata all'interno dell'unità USB, in modo che si comporti come un normale disco quando viene montata, ma il resto del contenuto rimane inaccessibile senza la password.

RoHos Mini Drive è composto da diverse parti: l'applicazione desktop per creare la partizione crittografata, un eseguibile portatile che viaggia sulla chiavetta USB e consente di montare la partizione su altri PC (di solito con privilegi di amministratore) e Rohos Disk Browser , che funge da esploratore di dischi crittografato portatile in grado di aprire la partizione senza bisogno di installare nulla sul computer host.

Un'altra utility molto diffusa è USB Safeguard , specializzata nella crittografia del contenuto delle unità USB con crittografia a 256 bit. La sua interfaccia è semplice e intuitiva, ma svolge egregiamente la sua funzione. Tuttavia, la versione gratuita solitamente limita la capacità massima dell'unità a pochi gigabyte ; se ne serve di più, è necessario passare alla versione a pagamento o cercare un'alternativa.

In ambito professionale, Endpoint Protector si distingue come soluzione pensata per le aziende che desiderano controllare e monitorare l'utilizzo di unità USB e altre porte sui propri computer. Non solo crittografa le unità e blocca i dispositivi non autorizzati, ma offre anche una protezione basata sul contenuto, analizzando il tipo di informazioni trasferite (ad esempio, tramite Outlook, Skype o Dropbox) per prevenire fughe di dati.

Se preferisci una soluzione semplice per crittografare singoli file, AES Crypt è un'altra opzione gratuita, multipiattaforma e open source. Utilizza l'algoritmo AES-256 e si integra perfettamente con Windows, macOS e Linux. Tuttavia, non crittografa l'intera unità USB: protegge i file uno per uno , il che può essere utile se si desidera proteggere solo alcuni documenti specifici senza intaccare il resto del contenuto.

Chiavetta USB crittografata tramite hardware: un'alternativa fisica con PIN

Se non volete dipendere da software per computer o complicarvi la vita con le configurazioni, esiste una categoria di dispositivi molto interessante: le chiavette USB con crittografia hardware e tastiera integrata . Funzionano come una normale chiavetta USB, ma includono una piccola tastiera numerica per inserire un PIN prima di poterle riconoscere dal sistema.

Un buon esempio è la famiglia Kingston IronKey Keypad 200 , che offre modelli con capacità variabili e sicurezza certificata (ad esempio, FIPS 140-3 Livello 3) con crittografia hardware XTS-AES a 256 bit. Finché non viene inserito il PIN corretto, la chiavetta USB è di fatto inutilizzabile e il PC non la riconosce nemmeno come unità accessibile.

Il vantaggio è che puoi usarlo su qualsiasi sistema operativo, senza installare nulla : basta collegarlo, inserire il PIN e sei pronto. Inoltre, questi dispositivi spesso includono funzionalità come la modalità di sola lettura (ideale per connettersi a computer potenzialmente dannosi senza timore di malware ) e meccanismi di cancellazione sicura se rilevano troppi tentativi di accesso errati.

Il principale svantaggio, come potete immaginare, è il prezzo. Queste chiavette USB non sono particolarmente economiche e sono generalmente riservate ad ambienti in cui sicurezza e facilità d'uso sono più importanti del costo, come ad esempio i professionisti che viaggiano spesso o le aziende che gestiscono dati sensibili.

Dimenticare la password di un'unità USB crittografata: cosa puoi fare

Una delle maggiori paure quando si protegge qualcosa con una password è quella di dimenticarla e rimanere bloccati fuori . Nel caso delle unità USB crittografate, ciò che si può e non si può fare dipende molto dallo strumento di crittografia utilizzato.

Se utilizzi BitLocker, l'unico modo ufficiale per recuperare i tuoi dati è utilizzare la chiave di recupero a 48 cifre generata durante il processo di crittografia. Questa chiave può essere collegata al tuo account Microsoft, salvata in un file di testo, stampata su carta o archiviata in servizi aziendali come Active Directory o Azure AD.

Se non ricordi dove l'hai salvato, puoi trovarlo accedendo al tuo account Microsoft da un altro dispositivo , individuando il file di testo in cui l'hai memorizzato o controllando le copie stampate a casa. In ambito aziendale, in genere è necessario chiedere aiuto all'amministratore di sistema, che può recuperare la chiave da Active Directory o da altre console di gestione.

In altri scenari, ad esempio quando ciò che viene protetto non è la crittografia ma i permessi NTFS, potrebbe essere sufficiente accedere come amministratore di sistema, controllare la scheda "Sicurezza" dell'unità e modificare i permessi per il proprio utente, selezionando "Controllo completo" e "Scrittura" tra i permessi per gli utenti autenticati.

Esistono anche casi in cui l'unità non è effettivamente crittografata, ma semplicemente contrassegnata come "protetta da scrittura" nel Registro di sistema di Windows . In questi casi, è possibile provare a modificare il valore della chiave "WriteProtect" che si trova in HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies, impostando il valore da 1 a 0, e quindi riavviare il computer per consentire nuovamente la scrittura sull'unità USB.

Tuttavia, quando la crittografia è autentica (BitLocker, VeraCrypt, LUKS, ecc.) e si sono perse sia la password che le chiavi di ripristino o i file chiave, la realtà è dura: raramente esistono soluzioni miracolose . La sicurezza si basa proprio sul garantire che nessuno possa aggirare queste protezioni, nemmeno il produttore.