Criptarea discului protejează datele păstrate pe un calculator prin transformarea lor într-o formă care nu poate fi citită fără mecanismul corespunzător de decriptare. În Windows, BitLocker este funcția Microsoft pentru criptarea unităților. Protecția urmărește inclusiv situația în care dispozitivul este pierdut ori furat sau discul este scos și conectat la alt calculator. Parola obișnuită de conectare și protecția criptografică a datelor de pe unitate au roluri diferite.
Microsoft descrie BitLocker ca protecție pentru datele aflate pe disc, inclusiv împotriva accesului offline. Pe echipamentele compatibile, cipul TPM contribuie la verificarea integrității sistemului la pornire. Dacă verificările ori condițiile de deblocare se schimbă, poate deveni necesară recuperarea accesului. Existența funcției pe un calculator nu înseamnă însă că orice unitate a acestuia este deja criptată; starea protecției se verifică pentru dispozitivul și unitatea vizate.
Opțiunile Windows și verificarea stării
Funcția numită Criptarea dispozitivului poate fi disponibilă și pe echipamente cu Windows Home, dacă îndeplinesc cerințele necesare. La configurarea unui dispozitiv compatibil cu un cont Microsoft, de serviciu sau școlar, criptarea poate fi activată automat, iar cheia de recuperare asociată contului respectiv. Microsoft precizează că această activare automată nu se produce la configurarea printr-un cont local. Tipul contului folosit inițial este astfel relevant pentru găsirea cheii.
Administrarea clasică BitLocker Drive Encryption este disponibilă în edițiile Windows Pro, Enterprise și Education. Criptarea dispozitivului și instrumentul clasic de administrare nu trebuie confundate doar fiindcă ambele folosesc tehnologia BitLocker. Ediția Windows și compatibilitatea hardware influențează opțiunile afișate. Un meniu absent nu dovedește singur că datele sunt protejate printr-o altă metodă și nici că funcția poate fi activată pe orice calculator prin schimbarea unei singure setări.
Documentația Microsoft indică verificarea opțiunii Criptarea dispozitivului în Setări, la Confidențialitate și securitate, cu un cont de administrator. Dacă opțiunea lipsește, pot exista cerințe hardware neîndeplinite sau poate lipsi accesul administrativ. Informațiile de sistem oferă detalii despre compatibilitate. Starea afișată pe echipamentul concret trebuie deosebită de disponibilitatea generală a unei funcții într-o anumită ediție Windows și de existența unei chei salvate într-un cont.
Ce solicită ecranul de recuperare
Cheia de recuperare BitLocker este un cod de 48 de cifre, utilizat când deblocarea obișnuită nu mai este posibilă. Nu este parola contului Microsoft și nici codul PIN folosit zilnic. Ecranul poate afișa un identificator al cheii, care ajută la alegerea codului corect atunci când există mai multe înregistrări. Identificatorul nu înlocuiește cheia completă: cele două informații sunt folosite pentru operațiuni diferite în procesul de recuperare.
Schimbări de hardware, firmware sau software pot declanșa cererea de recuperare. Afișarea ecranului nu stabilește, singură, că a avut loc un atac informatic. Microsoft recomandă potrivirea identificatorului afișat cu cheia salvată, folosind primele opt caractere ale identificatorului pentru căutare. Pentru un calculator configurat de altcineva, codul poate fi în contul persoanei care a făcut configurarea inițială, nu neapărat în contul utilizatorului care încearcă acum să pornească dispozitivul.
Cheia poate fi păstrată în contul Microsoft, într-un cont de serviciu sau școlar, pe o imprimare ori într-un fișier salvat anterior. Pentru un echipament administrat de o organizație, administratorul acesteia poate avea informațiile de recuperare. Documentația Microsoft precizează că serviciul său de asistență nu poate recrea o cheie pierdută. Dacă cheia necesară nu poate fi găsită, resetarea dispozitivului presupune ștergerea fișierelor, nu decriptarea lor printr-un cod nou.
Windows permite salvarea copiei cheii în contul Microsoft, pe o unitate USB, într-un fișier sau prin imprimare, în funcție de opțiunile disponibile. Documentația pentru backupul cheii indică păstrarea ei într-un loc sigur și accesibil separat de calculator. Copia este destinată recuperării deblocării unității. Ea nu conține documentele, fotografiile sau celelalte fișiere personale și nu poate înlocui o copie de siguranță a acelor date.
Un fișier cu cheia nu poate fi salvat ca unică soluție pe aceeași unitate criptată pentru care ar urma să fie folosit. Când unitatea nu se deblochează, acel fișier devine inaccesibil împreună cu restul datelor. Pentru imprimare sau stocare pe USB, locul de păstrare are aceeași importanță practică: cheia trebuie să poată fi găsită fără acces la discul blocat, iar persoanele neautorizate nu trebuie să o poată folosi.
FileVault pe Mac
Pe Mac, FileVault protejează datele stocate prin criptare. Apple explică faptul că unitățile interne ale calculatoarelor cu Apple silicon sau cu cipul T2 sunt criptate hardware, inclusiv înainte de activarea FileVault. Activarea funcției adaugă protejarea cheilor prin datele de autentificare ale utilizatorului. Astfel, criptarea existentă la nivelul hardware și solicitarea acreditărilor pentru deblocarea datelor la pornire reprezintă două componente care trebuie distinse pe aceste modele.
Ghidul Apple pentru macOS indică activarea FileVault din Configurări sistem, la Confidențialitate și securitate, cu drepturi administrative. La configurare se stabilește și modalitatea de recuperare, care poate implica contul iCloud ori o cheie de recuperare, în funcție de opțiunea aleasă. Dacă pe Mac există mai mulți utilizatori, unii pot necesita autorizare pentru deblocarea discului. Faptul că o persoană are un cont local nu îi conferă automat toate opțiunile de deblocare.
Cheia FileVault este diferită de codul numeric BitLocker. Documentația de securitate Apple o descrie ca pe o secvență de 24 de litere și cifre aleatorii. Pe calculatoarele administrate, organizația poate păstra cheia prin sistemul său de gestionare a dispozitivelor. Opțiunile de afișare și sincronizare depind de versiunea și configurarea macOS. O cheie creată pentru un calculator Windows nu poate fi folosită la deblocarea unui volum protejat prin FileVault.
Apple precizează că pierderea parolei de conectare, fără posibilitatea resetării ei și fără cheia de recuperare necesară, poate duce la pierderea accesului la fișierele criptate. Păstrarea cheii separat de discul de pornire documentează o cale de recuperare a accesului. Protejarea datelor împotriva citirii și păstrarea unei alte copii a lor rămân operațiuni diferite. OnePress explică separat diferența dintre backup și sincronizarea fișierelor, relevantă pentru existența acelei copii.