Configurare BitLocker sulle unità esterne passo dopo passo

Se lavori con dischi rigidi esterni o unità flash USB contenenti informazioni sensibili, Configurare BitLocker sulle unità esterne Probabilmente è una delle migliori decisioni di sicurezza che si possano prendere in Windows. Questa funzionalità di crittografia di Microsoft consente di proteggere tutto il contenuto di un'unità in modo che, senza la password o la chiave di ripristino, i dati siano completamente inaccessibili.

Tuttavia, BitLocker e la crittografia dei dispositivi Windows presentano delle peculiarità: Non funziona allo stesso modo sull'unità di sistema e su un disco rigido esterno.Esistono differenze tra le versioni di Windows, la presenza o meno di un chip TPM può influire sulle prestazioni (soprattutto su alcuni SSD) e ci sono anche alternative nel caso in cui la tua edizione di Windows non includa BitLocker. Analizziamo passo passo e in dettaglio tutto ciò che devi sapere per crittografare le unità esterne senza causare problemi e senza perdere dati.

BitLocker e crittografia dei dispositivi: cos'è ciascuno e in cosa si differenziano

In Windows coesistono due concetti molto simili ma non esattamente identici: crittografia del dispositivo y Crittografia delle unità BitLockerCapire questa differenza ti aiuta a sapere cosa puoi e cosa non puoi fare con i tuoi dischi rigidi esterni.

La crittografia del dispositivo è una funzionalità abilitata di default su alcuni computer Windows. Quando avvii un nuovo PC con un account Microsoft, sia esso aziendale o scolastico.Il sistema può attivare automaticamente la crittografia del disco interno. La chiave di ripristino viene caricata su quell'account senza che tu debba fare nulla. Con un account locale, invece, l'attivazione automatica di solito non avviene.

La grande differenza è che la crittografia del dispositivo è progettata per utenti non esperti e computer che in genere vengono forniti con Windows HomeMentre la versione "classica" di BitLocker (quella completa con tutte le opzioni) è disponibile solo nelle edizioni Pro, Enterprise ed Education, in pratica BitLocker offre un controllo molto maggiore: è possibile crittografare unità esterne, unità flash USB, partizioni aggiuntive e l'unità di sistema utilizzando metodi e chiavi diversi.

Se vuoi sapere perché l'opzione di crittografia del dispositivo non viene visualizzata sul tuo PC, puoi aprire lo strumento "Informazioni di sistema" come amministratore e controllare il valore di Compatibilità automatica con la crittografia del dispositivoLì vedrai messaggi come "soddisfa i requisiti", "TPM non può essere utilizzato", "WinRE non è configurato" o "Il collegamento PCR7 non è supportato", che ti indicano quale componente manca per l'attivazione automatica.

Come funziona BitLocker: password, chiavi e comportamento delle unità

BitLocker crittografa intere unità, interne o esterne. Quando abiliti la crittografia, dovrai definire un Password per sbloccare l'unità Oppure utilizza altre protezioni come chiavi di ripristino, smart card o un'unità USB. La password è fondamentale: se la perdi e non hai salvato correttamente nemmeno la chiave di ripristino, i dati saranno molto probabilmente irrecuperabili.

Una volta crittografata un'unità esterna, il comportamento è piuttosto comodo: Tutto ciò che viene copiato sull'unità viene crittografato in tempo reale. E tutto ciò che leggi viene automaticamente decrittografato dopo lo sblocco. Non devi crittografare file per file né fare nulla di particolare; Windows lo fa in background.

Se si crittografa l'unità in cui si trova il sistema operativo, ciò che cambia è il momento in cui viene richiesta la password o l'autenticazione: ancor prima che Windows si avviiSe non inserisci la chiave BitLocker corretta, il sistema non completerà l'avvio. Successivamente, potrai accedere con il tuo nome utente e password di Windows come di consueto; si tratta di due processi separati.

Quando si parla di dischi dati interni o esterni (privi di sistema operativo), è comune che, all'avvio di Windows, l'unità venga visualizzata con l'icona di un lucchetto. Facendo doppio clic su quell'unità, ti verrà richiesto di inserire la password di BitLocker.Una volta sbloccato, puoi utilizzarlo normalmente finché non lo blocchi di nuovo o spegni il computer.

Algoritmi, robustezza della crittografia e il loro impatto sulle prestazioni

BitLocker è compatibile con diversi algoritmi di crittografia e lunghezze di chiave. Di default, i moderni dischi rigidi interni utilizzano XTS-AES con una chiave a 128 bit.Su unità rimovibili e unità USB, di solito si utilizza AES-CBC, anch'esso a 128 bit, per garantire la compatibilità con le versioni precedenti di Windows.

XTS-AES è una modalità più recente e ottimizzata: Offre maggiore sicurezza contro determinate manipolazioni dei blocchi ed è generalmente più veloce.AES-CBC rimane sicuro se si utilizzano password complesse, ma è leggermente meno efficiente e presenta maggiori svantaggi crittografici, pertanto è considerato un algoritmo di transizione.

Nelle edizioni professionali di Windows, puoi fare un ulteriore passo avanti e, attraverso direttive del gruppo localeÈ possibile regolare sia l'algoritmo (XTS-AES o AES-CBC) sia la lunghezza della chiave (128 o 256 bit). Da un punto di vista pratico, 256 bit offrono un margine di sicurezza teorico maggiore e, sui sistemi moderni, la differenza di prestazioni è minima, soprattutto se il processore supporta AES-NI.

Tuttavia, non ci sono solo vantaggi. Alcuni SSD NVMe di fascia alta hanno infatti riscontrato problemi di prestazioni. quando BitLocker opera in modalità completamente basata su softwareLe velocità di lettura/scrittura casuali possono diminuire significativamente. Ad esempio, su un Samsung 990 Pro da 4 TB, in alcuni test con BitLocker abilitato sono stati osservati cali fino al 45%.

In questi casi estremi, le opzioni sono disabilitare BitLocker (sacrificando la sicurezza) o Configura l'SSD per utilizzare la crittografia hardware.o valutare le misure per abilita la memorizzazione nella cache di scrittura su unità esterne e velocizzare i trasferimenti, operazione che di solito comporta la reinstallazione di Windows e la verifica della corretta configurazione dell'unità fin dall'inizio. Per la maggior parte degli utenti, tuttavia, l'impatto sarà pressoché impercettibile.

Che cos'è un criterio di gruppo e come si modifica il metodo di crittografia?

I criteri di gruppo in Windows sono un modo avanzato di regolare il comportamento del sistema operativo sia a livello di team che a livello di utente. In un ambiente domestico, si parla di criteri di gruppo locali, che vengono modificati con l'utilità gpedit.msc nelle edizioni Pro, Enterprise e simili.

Per regolare l'algoritmo e la robustezza della crittografia BitLocker, apri l'editor dei criteri (Win + R, digita gpedit.msc) e vai a: Criteri computer locale > Configurazione computer > Modelli amministrativi > Componenti di Windows > Crittografia unità BitLocker. Lì troverai diversi criteri specifici per la tua versione di Windows.

Troverai politiche separate per le versioni precedenti e per Windows 10 e versioni successiveNelle versioni più recenti, è possibile scegliere un algoritmo diverso per i dischi di avvio interni, i dischi dati interni e le unità rimovibili/USB. Per ciascuno di essi, è possibile selezionare XTS-AES o AES-CBC, nonché 128 o 256 bit e se applicare o meno un diffusore aggiuntivo sui sistemi meno recenti.

Si prega di notare che queste modifiche si applicano solo a dischi che codifichi da quel momento in poiLe unità crittografate manterranno la configurazione originale. Inoltre, queste policy avranno effetto solo se corrispondono alla versione di Windows effettivamente installata.

Una volta apportate le modifiche necessarie, è consigliabile forzare un aggiornamento dei criteri per evitare di attendere l'intervallo standard (circa 90 minuti). Per fare ciò, apri Esegui (Win + R) e avvia il comando gpupdate /target:Computer /forceLe modifiche vengono applicate immediatamente e potrai quindi crittografare nuove unità con la configurazione scelta.

Come attivare BitLocker su unità interne ed esterne tramite l'interfaccia grafica

Windows offre diversi metodi grafici per abilitare BitLocker senza utilizzare i comandi. In tutti questi metodi, l'importante è che l'unità sia... formattato e con carattere assegnatoAltrimenti, non risulterà crittografabile.

Il percorso più diretto è tramite Esplora file: Fai clic con il pulsante destro del mouse sull'unità interna o esterna. Seleziona il dispositivo che desideri proteggere e poi seleziona "Attiva BitLocker". Si aprirà la procedura guidata in cui potrai scegliere la password di sblocco, come salvare la chiave di ripristino e il tipo di crittografia.

Un altro metodo consiste nell'utilizzare il classico Pannello di controllo. Dal menu Start, apri Pannello di controllo > Sistema e sicurezza > Crittografia unità BitLocker. Vedrai un elenco di unità raggruppate: disco di sistema, dischi dati e, più in basso, dispositivi rimovibili, dove entra in gioco BitLocker To Go per unità flash USB e dischi rigidi esterni.

Puoi accedervi anche dall'app Impostazioni (soprattutto in Windows 10/11). Vai su Sistema > Informazioni e in fondo dovresti vedere un collegamento a Impostazioni di BitLocker, che ti porta allo stesso pannello di amministrazione.

Quando si avvia la procedura guidata su un'unità specifica, il primo passaggio consiste nel definire la password di sblocco. Dovrebbe includere maiuscole, minuscole, numeri e simboliSuccessivamente, dovrai decidere come salvare la chiave di ripristino (account Microsoft, file, USB, stampa) e se crittografare solo lo spazio utilizzato o l'intero disco, un aspetto particolarmente importante se l'unità esterna ha già [qualcosa che manca nel testo originale]. dati obsoleti eliminati che potrebbe essere recuperato.

Crittografia del disco esterno e BitLocker To Go

Per le unità esterne (unità USB, unità flash, ecc.) Windows utilizza una modalità specifica chiamata BitLocker To GoA fini pratici, l'interfaccia è pressoché identica, ma internamente l'algoritmo predefinito viene modificato per massimizzare la compatibilità con altri computer Windows non completamente aggiornati.

La procedura è molto semplice: collega l'unità esterna, attendi che appaia in Esplora file, fai clic con il pulsante destro del mouse sull'unità e scegli "Attiva BitLocker". La procedura guidata ti chiederà quindi di configurarla. la password di sbloccoe poi ti suggerirà di eseguire il backup della chiave di ripristino.

Quando in seguito collegherai quell'unità a un altro PC Windows compatibile, il sistema rileverà che è crittografata e Verrà visualizzata una casella in cui inserire la password.È possibile selezionare la casella in modo che venga sbloccato automaticamente su quel computer specifico in futuro, il che è molto utile se si tratta di un PC affidabile.

Nelle impostazioni avanzate dell'unità già crittografata, avrai opzioni come cambiare la password, rimuoverla (a condizione che tu configuri un altro metodo di autenticazione), generare nuove copie della chiave di ripristino, Abilita lo sblocco automatico oppure disabilitare completamente BitLocker per decrittografare il disco.

Se utilizzi ancora sistemi operativi molto vecchi come Windows XP o Vista, questi non riconoscono nativamente le unità BitLocker To Go. In tal caso, Microsoft offriva uno strumento chiamato "BitLocker To Go Reader" che consentiva almeno l'accesso in sola lettura alle unità USB crittografate formattate in FAT, a condizione che venisse inserita la chiave corretta.

TPM: Il chip che rafforza BitLocker (e come utilizzarlo senza TPM)

Il TPM (Trusted Platform Module) è un piccolo chip sulla scheda madre progettato per memorizza le chiavi crittografiche e verifica l'integrità dell'avvioSe combinato con BitLocker, parte della chiave di crittografia viene memorizzata nel TPM e un'altra parte sul disco, impedendo così a un malintenzionato di spostare semplicemente il disco su un altro computer e leggerne il contenuto.

Il TPM aiuta anche a rilevare modifiche sospette nell'hardware o nel firmware. Se, ad esempio, si aggiorna il BIOS, si sostituiscono componenti critici o si manipolano determinati parametri di avvio, il TPM potrebbe considerare l'ambiente non attendibile e Sarà necessario inserire il codice di ripristino. BitLocker verrà attivato al successivo avvio.

Non ci sono solo vantaggi: essendo un componente fisico, se il chip TPM si guasta o lo si sostituisce senza aver effettuato il backup delle chiavi di ripristino, si potrebbe perdere l'accesso ai dati crittografati. Inoltre, non tutti i sistemi o programmi sfruttano appieno il TPM, ed esiste sempre la possibilità di difetti di implementazione, bug o vulnerabilità.

Per verificare se il tuo computer ha un TPM attivo, puoi premere Win + R ed eseguire tpm.mscSe apri la console di gestione e visualizzi uno stato come "TPM pronto per l'uso", sei sulla strada giusta. Se invece visualizzi un errore che indica che non è possibile trovare un TPM compatibile, potrebbe essere disabilitato nel BIOS/UEFI oppure la tua scheda madre potrebbe non averne affatto uno.

Tuttavia, BitLocker non richiede il TPM come requisito obbligatorio. È possibile Utilizzare BitLocker senza TPM abilitando una policy Il file gpedit.msc consente di richiedere un'autenticazione aggiuntiva all'avvio e di abilitarne l'utilizzo senza un modulo TPM. In questi casi, la principale misura di sicurezza può essere una password o una chiave memorizzata su un'unità USB che deve essere collegata per l'avvio.

Utilizzo di BitLocker con e senza TPM sull'unità di sistema

La crittografia del disco su cui è installato il sistema operativo è una misura di sicurezza molto potente, ma richiede alcune considerazioni aggiuntive. BitLocker crea un piccolo partizione di avvio non crittografata dove vengono memorizzati i file necessari per avviare il sistema, e la partizione di sistema principale rimane crittografata fino alla convalida dell'autenticazione.

Se si dispone di un TPM, l'approccio ideale è quello di combinarlo con un PIN o una password aggiuntivi in ​​modalità "TPM + PIN" per rafforzare il processo di avvio. In questo modo, anche se l'intero computer venisse rubato, i ladri avrebbero bisogno sia dell'hardware che della password che si conosce. Windows gestisce questa combinazione in modo relativamente trasparente.

Se non è presente un TPM o non si desidera utilizzarlo, è necessario utilizzare il criterio "Richiedi autenticazione aggiuntiva all'avvio" sulle unità del sistema operativo tramite l'editor dei criteri di gruppo. Abilitare l'opzione per consentire BitLocker senza TPMLa procedura guidata ti permetterà di utilizzare una password all'avvio oppure un'unità USB contenente un file con la chiave di sblocco.

In questo scenario, l'assistente ti chiederà di inserire una chiavetta USB Per salvare la chiave di avvio o per impostare una password complessa, questa unità USB non può essere rimossa durante il processo di crittografia o durante i riavvii iniziali. È inoltre consigliabile modificare l'ordine di avvio nel BIOS in modo che il computer non tenti di avviarsi dall'unità USB contenente la chiave.

Una volta completata la crittografia e verificato il corretto avvio del sistema, è consigliabile salvare copie della chiave di avvio (e della chiave di ripristino) in un luogo sicuro: un altro dispositivo crittografato, un gestore di password o, se lo si utilizza, il proprio account Microsoft/OneDrive.

BitLocker e le reti: il comportamento delle unità esterne crittografate

Un dettaglio che spesso solleva dubbi è il suo comportamento un disco rigido esterno crittografato con BitLocker quando condiviso in reteÈ importante comprendere che BitLocker protegge dall'accesso fisico diretto al dispositivo; non funge da sistema di autenticazione sulla rete.

Ciò significa che non è possibile, ad esempio, immettere la password di BitLocker da un altro computer remoto per sbloccare l'unità. La prima cosa da fare è sbloccare l'unità sul computer a cui è fisicamente collegataDopodiché, è possibile condividere le cartelle o l'intero volume utilizzando le opzioni di condivisione file di Windows.

Una volta condivisa, gli utenti della rete accederanno ai dati utilizzando le proprie credenziali Windows (nome utente/password di rete, autorizzazioni NTFS e di condivisione, ecc.), ma la crittografia BitLocker viene gestita dal computer a cui è collegata l'unità. Se tale computer si spegne o blocca l'unità, la risorsa diventa non disponibile.

Chiavi di ripristino e backup: la tua rete di sicurezza

Ogni volta che si crittografa un'unità con BitLocker, la procedura guidata genera un Chiave di ripristino a 48 cifreÈ la tua ancora di salvezza quando dimentichi la tua solita password o quando, a causa di modifiche hardware o del firmware, il sistema decide di richiedere quella chiave aggiuntiva all'avvio.

Windows offre diversi modi per salvare quella chiave: nel tuo account Microsoft (è memorizzata nel tuo profilo OneDrive), su un'unità USB non crittografata, in un file di testo o stampata direttamente su carta. Idealmente, si dovrebbero combinare almeno due metodi. e non lasciare mai l'unica copia della chiave sul disco che stai crittografando.

Se si crittografano più unità, ogni file della chiave di ripristino ha un identificatore univoco nel suo nome (un GUID) che corrisponde a quello visualizzato quando il sistema richiede la chiave. Mantenere questa corrispondenza è fondamentale per sapere quale file corrisponde a quale unità in caso di emergenza.

Oltre a BitLocker, l'unica strategia solida contro guasti hardware, corruzione o falle nella sicurezza è mantenere backup completi su dispositivi separatiSe queste copie vengono archiviate anche su un altro disco crittografato o in un servizio cloud che crittografa anch'esso i dati, si otterrà un livello di protezione molto elevato contro la perdita o il furto.

Ricorda che se un'unità crittografata subisce danni fisici, anche se riesci a recuperare settori isolati utilizzando tecniche forensi, Senza le chiavi corrette, i dati rimarranno crittografati. e non saranno leggibili. Ecco perché la combinazione di crittografia e backup ridondante è così importante.

PowerShell e cmdlet per la gestione avanzata di BitLocker

Oltre all'interfaccia grafica e all'utilità della console manage-bde, Windows include Cmdlet PowerShell specifici per BitLockermolto utile quando si desidera automatizzare le attività o gestire molte unità contemporaneamente e misurare l'I/O del disco per processo.

Il comando base per visualizzare lo stato delle unità è Get-BitLockerVolumeche accetta il parametro -MountPoint per specificare un'unità specifica. Aggiungendo "| fl" alla fine si ottiene un output dettagliato con tutti i protettori configurati, lo stato di crittografia, la percentuale di completamento, ecc.

Per aggiungere diversi tipi di protezione (password, chiave di ripristino, password di ripristino o chiave di avvio), si utilizza Aggiungi-BitLockerKeyProtector con i parametri appropriati per ogni caso (ad esempio, -PasswordProtector, -RecoveryKeyPath, -StartupKeyProtector…). In questo modo è possibile preparare un'unità con tutti i suoi metodi di sblocco prima di attivare la crittografia.

Il cmdlet che avvia effettivamente la crittografia è Abilita BitLockerA questo comando si passa la lettera dell'unità (-MountPoint) e le protezioni che si desidera applicare in quel momento. Per interrompere o riprendere la crittografia, oppure per bloccare o sbloccare manualmente un volume, sono disponibili comandi come Lock-BitLocker, Unlock-BitLocker, Enable-BitLockerAutoUnlock o Disable-BitLockerAutoUnlock.

Infine, se in qualsiasi momento decidi di decrittografare completamente un disco e rimuovere BitLocker, utilizzerai Disabilita-BitLockerIl processo potrebbe richiedere del tempo a seconda delle dimensioni dell'unità e della velocità dell'hardware, ma al termine, il volume tornerà a essere un semplice file di testo, privo di protezioni associate.

Problemi comuni di BitLocker e come risolverli

Sebbene sia una tecnologia abbastanza stabile, BitLocker non è esente da occasionali inconvenienti. Uno dei più comuni è che, dopo un aggiornamento del BIOS, una modifica hardware o qualsiasi alterazione della configurazione di avvio, Il sistema inizierà a richiedere la chiave di ripristino ad ogni avvio..

Il modo usuale per risolvere il problema è avviare una volta inserendo la chiave di ripristino e poi disattivare temporaneamente i dispositivi di protezione Utilizzando il comando `manage-bde` (ad esempio, `manage-bde -protectors -disable C:`), apporta le modifiche necessarie e poi riattivale con `manage-bde -protectors -enable C:`. Questo "resetta" la fiducia del TPM riguardo allo stato attuale della macchina.

È anche comune vedere un triangolo giallo sull'unità in Esplora risorse o Gestione dispositivi, a indicare che BitLocker è sospeso o che sono in sospeso modifiche dopo un aggiornamento. In questi casi, di solito è sufficiente andare alle impostazioni di BitLocker dell'unità interessata e protezione del curriculumoppure utilizzare manage-bde -resume C: su una console con privilegi di amministratore.

Se i messaggi di errore indicano problemi con il TPM (da tpm.msc o Gestione dispositivi), è consigliabile controllare nel BIOS/UEFI che TPM/Intel PTT/AMD fTPM è abilitatoAggiorna il firmware e, se necessario, cancella il TPM dalla console di gestione (operazione che rigenererà le chiavi associate e richiederà la riconfigurazione di BitLocker).

Al di là di questi casi tipici, il punto fondamentale è non attivare la crittografia con leggerezza: è sempre consigliabile assicurarsi di avere backup aggiornati e più copie delle chiavi di ripristino prima di apportare modifiche sostanziali all'hardware o al firmware.

Alternative a BitLocker per la crittografia delle unità esterne

Non tutti i computer hanno un'edizione di Windows compatibile con BitLocker e non sempre vale la pena aggiornare solo per quella funzionalità. In queste situazioni, è possibile ricorrere a altri strumenti di crittografia per proteggere dischi rigidi esterni e unità flash USB.

Uno dei più popolari è VeraCrypt, un progetto gratuito e open-source che consente la crittografia dischi interi, partizioni libere o contenitori (file che fungono da dischi virtuali crittografati). Supporta algoritmi come AES, Serpent o Twofish e modalità moderne come XTS, risultando quindi molto flessibile e multipiattaforma.

Un'altra opzione sono i programmi incentrati su crittografare cartelle specifiche, come Anvi Folder Locker o Hook Folder Locker. Il loro approccio è diverso: invece di crittografare l'intero disco, si selezionano directory specifiche, si assegna loro una password principale e il programma gestisce il blocco o lo sblocco dell'accesso a seconda delle necessità.

Se preferisci rimanere nell'ecosistema Windows senza BitLocker, c'è anche EFS (Encrypted File System), che ti permette di crittografare file e cartelle associati a un utente specifico. È veloce e relativamente comodo, ma Non è altrettanto robusto né altrettanto indipendente dal sistema. Come BitLocker: la chiave è memorizzata nel sistema operativo stesso, potrebbero esserci tracce di informazioni nelle cache o nei settori temporanei e, se qualcuno accede alla sessione di Windows, visualizzerà i dati in chiaro.

Pertanto, quando possibile, il modo migliore per crittografare le unità esterne è utilizzare BitLocker o, in alternativa, VeraCrypt. Le utilità EFS e di gestione delle cartelle vanno bene come soluzione temporanea, ma non sostituiscono la crittografia completa dell'unità quando si desidera proteggere un intero disco.

Nel complesso, avere un buon schema di crittografia sulle unità esterne, combinarlo con backup regolari e avere una buona comprensione di come funzionano le chiavi di ripristino consente di Gestisci le informazioni sensibili con molta più tranquillità. sia nella vita di tutti i giorni, sia quando porti fisicamente questi dispositivi fuori casa o dall'ufficio.

Articolo correlato:

Tutorial completo su BitLocker To Go: crittografia sicura su unità USB e unità esterne

Isaac

Scrittore appassionato del mondo dei byte e della tecnologia in generale. Adoro condividere le mie conoscenze attraverso la scrittura, ed è quello che farò in questo blog, mostrarti tutte le cose più interessanti su gadget, software, hardware, tendenze tecnologiche e altro ancora. Il mio obiettivo è aiutarti a navigare nel mondo digitale in modo semplice e divertente.