Exportar (0) Imprimir
Expandir todo

Cifrado de unidad BitLocker

Actualizado: agosto de 2010

Se aplica a: Windows Server 2008

El Cifrado de unidad BitLocker™ de Windows (BitLocker) es una característica de seguridad de los sistemas operativos Windows Vista® y Windows Server® 2008 que puede proporcionar protección al sistema operativo del equipo y a los datos almacenados en el volumen del sistema operativo. En Windows Server 2008, la protección de BitLocker se pueden extender también a los volúmenes usados para el almacenamiento de datos.

¿Qué hace el Cifrado de unidad BitLocker de Windows?

BitLocker realiza dos funciones:

  • BitLocker cifra todos los datos almacenados en el volumen del sistema operativo Windows (y en los volúmenes de datos configurados). Esto incluye el sistema operativo Windows, los archivos de paginación e hibernación, las aplicaciones y los datos usados por las aplicaciones.

  • BitLocker está configurado para que use de manera predeterminada un Módulo de plataforma segura (TPM) que ayude a garantizar la integridad de los componentes de arranque iniciales (los componentes utilizados en las primeras fases del proceso de inicio), y "bloquea" los volúmenes que hayan sido protegidos con BitLocker para que permanezcan protegidos aun en el caso de que se altere el equipo cuando el sistema operativo no se esté ejecutando.

En Windows Server 2008, BitLocker es un componente opcional que debe instalarse para que se pueda usar. Para instalar BitLocker, selecciónelo en el Administrador de servidores o escriba lo siguiente en el símbolo del sistema:

ServerManagerCmd -install BitLocker -restart

¿A quién puede interesarle esta característica?

BitLocker puede ser útil para los siguientes grupos:

  • Administradores, profesionales de seguridad de TI y encargados de velar por el cumplimiento de las normas que tienen la tarea de garantizar que no se divulguen datos confidenciales sin autorización

  • Administradores responsables de proteger los equipos en sucursales y oficinas remotas

  • Administradores responsables de servidores o equipos cliente de Windows Vista que sean móviles

  • Administradores responsables de la retirada de servidores en los que se han almacenado datos confidenciales

¿Hay que tener en cuenta consideraciones especiales?

Para que toda su funcionalidad pueda aprovecharse, BitLocker requiere un sistema que tenga un BIOS y un microchip TPM compatibles. Un TPM compatible podría ser un TPM de la versión 1.2. Un BIOS compatible debe admitir el TPM y la raíz estática de Trust Measurement conforme a la definición de Trusted Computing Group. Para obtener más información acerca de las especificaciones de TPM, visite la sección correspondiente del sitio web de Trusted Computing Group (http://go.microsoft.com/fwlink/?LinkId=72757).

BitLocker requiere que la partición activa (en ocasiones denominada partición del sistema) sea una partición no cifrada. El sistema operativo Windows está instalado en una segunda partición cifrada con BitLocker.

Siempre que se enfrente al cifrado de datos, especialmente en un entorno empresarial, debe considerar de qué forma pueden recuperarse dichos datos en caso de fallo de hardware, cambios de personal u otras situaciones en las que se pierdan las claves de cifrado. BitLocker admite un sólido escenario de recuperación, descrito más adelante en este artículo.

¿Qué nuevas funcionalidades proporciona esta función?

Las principales características de BitLocker incluyen cifrado completo de volúmenes, comprobación de la integridad de los componentes de arranque iniciales, un sólido mecanismo de recuperación y compatibilidad con un proceso de retirada segura.

Cifrado de volúmenes completos

Todo lo que se escribe en un volumen protegido con BitLocker se cifra, incluidos el propio sistema operativo y todos los datos y aplicaciones.

¿Por qué es importante esta funcionalidad?

Esta función ayuda a proteger los datos frente al acceso no autorizado. Si bien la seguridad física de los servidores sigue siendo importante, BitLocker puede ayudar a proteger los datos en caso de robo del equipo, envío del mismo de una ubicación a otra o cualquier otra situación en la que éste quede fuera de su control físico.

Cifrar el disco ayuda a impedir los ataques sin conexión, como la retirada de una unidad de disco de un equipo y su instalación en otro en un intento de burlar las medidas de seguridad de Windows, como los permisos aplicados por listas de control de acceso (ACL) de NTFS.

¿Qué diferencias de funcionamiento existen?

BitLocker se implementa en código en los componentes de arranque iniciales (registro de arranque maestro (MBR), sector de arranque, administrador de arranque, cargador de Windows) y como un controlador de filtro que es parte integral del sistema operativo.

Cuando BitLocker se habilita por primera vez, es preciso cifrar los datos existentes en el volumen. Podrá seguir usando el equipo durante este proceso, pero es posible que perciba un rendimiento reducido mientras se realiza este cifrado inicial.

Una vez finalizado el cifrado inicial, el uso del volumen cifrado provoca una ligera reducción del rendimiento en el acceso al disco. Si bien ésta depende en gran medida del hardware y los patrones de uso, es razonable calcular entre un 3 y un 5 por ciento. En los sistemas cliente los usuarios apenas lo notarán. En los servidores con carga elevada debería evaluarse el rendimiento del subsistema de disco.

El uso de un disco con BitLocker habilitado es transparente para el sistema operativo y todas las aplicaciones.

Para obtener más información acerca de datos específicos del algoritmo de cifrado BitLocker, consulte AES-CBC + Elephant diffuser en http://go.microsoft.com/fwlink/?LinkId=82824 (puede estar en inglés).

¿Qué preparativos se necesitan para este cambio?

Para obtener más información acerca del planeamiento, consulte ¿Cómo hay que prepararse para implementar esta característica?.

Comprobación de integridad

En combinación con el TPM, BitLocker verifica la integridad de los componentes de arranque iniciales, lo que ayuda a evitar ataques sin conexión adicionales, como los intentos de inserción de código malintencionado en dichos componentes.

¿Por qué es importante esta funcionalidad?

Puesto que los componentes de la parte inicial del proceso de arranque deben estar disponibles sin cifrar para que el equipo pueda iniciarse, un atacante podría cambiar el código de dichos componentes de arranque iniciales y después obtener acceso al equipo, aun cuando los datos del disco estuvieran cifrados. En ese caso, si el atacante obtuviera acceso a información confidencial como las claves de BitLocker o las contraseñas de usuario, BitLocker y las demás protecciones de Windows podrían ser burladas.

¿Qué diferencias de funcionamiento existen?

En los equipos que tienen un TPM, cada vez que se inicia el equipo todos y cada uno de los componentes de arranque iniciales (como el BIOS, el MBR, el sector de arranque y el código de administrador de arranque) examinan el código que se va a ejecutar, calculan un valor hash y almacenan el valor en el TPM. Una vez almacenado en el TPM, ese valor no puede ser reemplazado hasta que se reinicie el sistema. Se registra una combinación de dichos valores.

Los valores registrados se pueden usar también para proteger datos con el TPM para crear una clave asociada a los mismos. Cuando se crea este tipo de clave, el TPM la cifra y sólo este TPM concreto puede descifrarla. Cada vez que se inicie el equipo, el TPM comparará los valores generados durante el inicio actual con los valores que existían cuando se creó la clave y la descifrará únicamente si dichos valores coinciden. Este proceso se denomina "sellar" y "quitar el sello" de la clave.

De manera predeterminada, BitLocker examina y sella claves conforme a las mediciones de Core Root of Trust (CRTM), el BIOS y cualquier extensión de plataforma, código de memoria de sólo lectura (ROM) de opción, código MBR, sector de arranque de NTFS y administrador de arranque. Esto significa que, si alguno de estos elementos se modifica inesperadamente, BitLocker bloqueará la unidad e impedirá el acceso a la misma o su descifrado.

De manera predeterminada, BitLocker está configurado para buscar y usar un TPM. Se puede usar la Directiva de grupo para permitir que BitLocker trabaje sin un TPM y almacenar las claves en una unidad flash USB externa. Sin embargo, BitLocker no podrá entonces verificar los componentes de arranque iniciales.

¿Cómo se solucionan estos problemas?

Debería considerar la disponibilidad de un TPM como parte de la decisión de compra de hardware. En ausencia de un TPM, la seguridad física del servidor se vuelve todavía más importante.

BitLocker debería deshabilitarse durante el mantenimiento programado que modifique cualquiera de los componentes de arranque iniciales medidos. BitLocker puede volver a habilitarse una vez que el mantenimiento haya finalizado y las nuevas mediciones de la plataforma se usarán para las claves. Deshabilitar y volver a habilitar BitLocker no requiere descifrar y volver a cifrar el disco.

¿Qué preparativos se necesitan para este cambio?

Para obtener más información acerca del planeamiento, consulte ¿Cómo hay que prepararse para implementar esta característica?.

Opciones de recuperación

BitLocker admite una serie de sólidas opciones de recuperación que permiten garantizar que los datos estén disponibles para los usuarios legítimos.

¿Por qué es importante esta funcionalidad?

Es esencial que los datos de una organización se puedan descifrar, aun cuando las claves de uso habitual para ello dejen de estar disponibles. Las funciones de recuperación están incorporadas en el diseño de BitLocker, sin "puertas traseras", pero las empresas pueden asegurarse fácilmente de que sus datos están protegidos a la vez que disponibles.

¿Qué diferencias de funcionamiento existen?

Al habilitar BitLocker, se le pedirá al usuario que almacene una "contraseña de recuperación" que se pueda usar para desbloquear un volumen de BitLocker bloqueado. El Asistente para la instalación de BitLocker requiere que se guarde al menos una copia de la contraseña de recuperación.

En muchos entornos, no obstante, es posible que no se pueda confiar en que los usuarios guarden y protejan las contraseñas de seguridad; por ello, BitLocker se puede configurar para guardar la información de recuperación en Active Directory o en los Servicios de dominio de Active Directory (AD DS).

Se recomienda que las contraseñas de recuperación se guarden en Active Directory en los entornos empresariales.

¿Cómo se solucionan estos problemas?

La configuración de la Directiva de grupo se puede usar para configurar BitLocker de modo que solicite o impida diferentes tipos de almacenamiento de contraseña de recuperación, o para hacerlos opcionales.

Dicha configuración se puede usar también para impedir que se habilite BitLocker si no se puede crear una copia de seguridad de las claves en Active Directory.

Para obtener más información acerca de cómo configurar Active Directory para que admita las opciones de recuperación, consulte la página web sobre la configuración de Active Directory para copias de seguridad del Cifrado de unidades BitLocker de Windows y los datos de recuperación del Módulo de plataforma segura en http://go.microsoft.com/fwlink/?LinkId=82827 (puede estar en inglés).

¿Qué preparativos se necesitan para este cambio?

Para obtener más información acerca del planeamiento, consulte ¿Cómo hay que prepararse para implementar esta característica?.

Administración remota

BitLocker puede administrarse de forma remota con Instrumental de administración de Windows (WMI) o con una interfaz de línea de comandos.

¿Por qué es importante esta funcionalidad?

En un entorno con muchos equipos o con equipos en sucursales u oficinas remotas puede ser difícil o incluso imposible administrar las características y las configuraciones de forma individual.

¿Qué diferencias de funcionamiento existen?

Las características de BitLocker están expuestas a través del subsistema de WMI. WMI es una implementación de las funciones y estructuras de Web-Based Enterprise Management (WBEM). En consecuencia, los administradores pueden usar cualquier software WBEM compatible con WMI para administrar BitLocker en equipos locales o remotos.

Para obtener más información acerca de BitLocker y WMI, consulte el tema sobre el proveedor de Cifrado de unidad BitLocker en http://go.microsoft.com/fwlink/?LinkId=82828 (puede estar en inglés).

Windows incluye también una interfaz de línea de comandos con BitLocker implementada como un script denominado manage-bde.wsf que se puede usar para controlar todos los aspectos de BitLocker en un equipo local o remoto. Para obtener una lista completa de los comandos y la sintaxis de manage-bde, escriba lo siguiente en el símbolo del sistema:

manage-bde.wsf /?

La administración remota de BitLocker es un componente opcional que se puede instalar en Windows Server 2008 para poder administrar otros equipos sin habilitar BitLocker en el servidor que se está usando.

¿Cómo se solucionan estos problemas?

El componente opcional para la administración remota de BitLocker se denomina BitLocker-RemoteAdminTool. Este paquete de componentes opcionales incluye manage-bde.wsf y el archivo .ini asociado. Para instalar sólo el componente de administración remota debe escribirse lo siguiente en el símbolo del sistema:

ServerManagerCmd -install RSAT-BitLocker

¿Qué preparativos se necesitan para este cambio?

Para obtener más información acerca del planeamiento, consulte ¿Cómo hay que prepararse para implementar esta característica?.

Retirada segura

BitLocker puede ayudar evitar de manera rápida y eficaz que aparezcan datos confidenciales en un equipo que se ha retirado o que se ha vuelto a asignar.

¿Por qué es importante esta funcionalidad?

Llega un momento en el que todos los equipos tienen que ser retirados del servicio y muchos de ellos se asignan a otros fines durante el resto de su vida útil. Las empresas pueden tener planes para reciclar equipos, donarlos, venderlos o devolverlos al término de una concesión, pero todas ellas deben asegurarse de que no puedan recuperarse datos confidenciales de los equipos retirados o asignados a otras tareas. La mayoría de los procesos que quitan los datos confidenciales de las unidades de disco requieren mucho tiempo, son costosos o tienen como resultado la destrucción permanente del hardware. BitLocker ofrece otras opciones rentables.

¿Qué diferencias de funcionamiento existen?

BitLocker ayuda a garantizar que los datos no se almacenen nunca en disco de una manera que sea útil para un atacante, un ladrón o un nuevo propietario del equipo. Puesto que todo lo que se escribe en el disco está cifrado, se puede conseguir que los datos sean inaccesibles de manera completa y permanente destruyendo todas las copias de las claves de cifrado. El disco en sí no sufre ningún daño y se puede volver a usar para otros fines.

Se puede elegir entre una serie de enfoques para retirar volúmenes que se han protegido con BitLocker:

  • Puede decidir eliminar todas las copias de las claves de los metadatos del volumen al tiempo que los mantiene archivados en una ubicación central segura. De esta manera los sistemas se pueden transportar de forma segura o ser retirados temporalmente si se van a dejar desatendidos durante largos períodos de tiempo. Así se garantiza que los usuarios autorizados puedan seguir teniendo acceso a los datos, pero no los usuarios no autorizados, como los nuevos propietarios del equipo.

  • Puede decidir eliminar todas las copias de las claves de los metadatos del volumen y de todos los archivos, como Active Directory (quizá creando claves nuevas que no se almacenen). Puesto que no existen claves de descifrado, es imposible que nadie recupere los datos.

En cualquiera de estos casos, la retirada y la destrucción de las claves incluidas en los metadatos del volumen es casi instantánea y puede realizarla un administrador a través de varios sistemas. Se necesita una inversión mínima de tiempo y esfuerzo, pero el resultado es un nivel muy elevado de protección permanente.

Se ha actualizado la herramienta de formato de Windows Server 2008 de manera que un comando de formato elimina los metadatos del volumen y usa los métodos aceptados por la comunidad de seguridad para eliminar y sobrescribir todos los sectores que podrían usarse con el fin de obtener las claves de BitLocker.

¿Cómo se solucionan estos problemas?

A la hora de evaluar la forma de implementar BitLocker es preciso considerar qué proceso de retirada se va a usar cuando los servidores lleguen al término de su ciclo útil. Determine de antemano las claves de recuperación que se van a destruir y cuáles se archivarán.

¿Qué preparativos se necesitan para este cambio?

Para obtener más información acerca del planeamiento, consulte ¿Cómo hay que prepararse para implementar esta característica?.

Opciones de configuración agregadas o modificadas

Se han incorporado dos conjuntos nuevos de opciones de configuración de directiva de grupo que admiten BitLocker y la administración del TPM. Todas las opciones de configuración de la directiva se explican en el Editor de directivas de grupo local y en la Consola de administración de directivas de grupo (GPMC). Para ver explicaciones más detalladas, abra el Editor de directivas de grupo local escribiendo gpedit.msc en un símbolo del sistema con privilegios elevados o en el cuadro de texto Iniciar búsqueda y, a continuación, examine la descripción proporcionada para cada una de las opciones de configuración de la tabla siguiente.

Las opciones de configuración de la directiva de grupo que afectan a BitLocker se encuentran en Configuración del equipo/Plantillas administrativas/Componentes de Windows/Cifrado de unidad BitLocker. En la tabla siguiente se resumen estas opciones de configuración.

 

Nombre de la opción Predeterminado Descripción

Activar copia de seguridad de BitLocker en los Servicios de dominio de Active Directory

Deshabilitada

Esta configuración de la directiva controla si se hace una copia de seguridad de la información de recuperación de BitLocker en AD DS. Con esta opción habilitada se puede controlar también si la copia de seguridad es obligatoria u opcional y si se guarda sólo una contraseña de recuperación o un paquete de recuperación completo.

Configuración del Panel de control: configurar carpeta de recuperación

Ninguno (selección de usuario)

Esta configuración de la directiva especifica la ubicación predeterminada que se muestra al usuario para guardar las claves de recuperación. Puede tratarse de una ubicación de red o local. El usuario es libre para elegir otras ubicaciones.

Configuración del Panel de control: configurar opciones de recuperación

Ninguno (selección de usuario)

Esta configuración de la directiva permite configurar si el Asistente para la instalación del Cifrado de unidad BitLocker le pedirá al usuario que guarde las opciones de recuperación de BitLocker.

Dos opciones de recuperación pueden desbloquear el acceso a los datos cifrados de BitLocker. El usuario puede escribir una contraseña de recuperación numérica de 48 dígitos aleatorios. El usuario también puede insertar una unidad flash USB que incluya una clave de recuperación aleatoria de 256 bits.

Cada una de ellas puede requerirse o desactivarse. Si desactiva las dos opciones, deberá habilitar la copia de seguridad en AD DS.

Configuración del Panel de control: habilitar opciones de inicio avanzadas

Deshabilitada

Esta configuración de la directiva permite configurar si BitLocker puede habilitarse en equipos sin un TPM y si puede usarse la autenticación de varios factores en equipos con un TPM.

Configurar método de cifrado

AES 128 bits con difusor

Esta configuración de la directiva establece la longitud de la clave de cifrado AES y si se usa o no el difusor.

Impedir la sobrescritura de memoria al reiniciar

Deshabilitado (la memoria se sobrescribirá)

Las claves de BitLocker pueden permanecer en la memoria de un reinicio a otro si el equipo no se apaga. Por lo tanto, BitLocker indica al BIOS que borre toda la memoria en los reinicios "flexibles". Esto puede tener como resultado una considerable demora en los sistemas con grandes cantidades de memoria. El rendimiento de reinicio puede mejorarse si se habilita esta opción de configuración, pero también aumentarían los riesgos de seguridad.

Configurar perfil de validación de plataforma de TPM

PCR 0, 2, 4, 8, 9, 11

Configura cuál de las medidas de la plataforma TPM almacenada en los registros de control de plataforma (PCR) se usará para sellar las claves de BitLocker.

Las opciones de configuración de la directiva de grupo que controlan el comportamiento del TPM se encuentran en Configuración del equipo/Plantillas administrativas/Sistema/Servicios de Módulo de plataforma de confianza. En la tabla siguiente se resumen estas opciones de configuración.

 

Nombre de la opción Valor predeterminado Descripción

Activar copia de seguridad de TPM en los Servicios de dominio de Active Directory

Deshabilitada

Esta configuración de la directiva controla si se hace una copia de seguridad de la información de contraseña del propietario del TPM en AD DS. Cuando se habilita, puede controlar también si la copia de seguridad es obligatoria u opcional.

Configurar la lista de comandos del TPM bloqueados

Ninguno

Esta directiva permite habilitar o deshabilitar funciones del TPM específicas, pero las dos siguientes opciones de configuración pueden limitar los comandos disponibles. Las listas basadas en las directivas de grupo reemplazan las listas locales. Las listas locales se pueden configurar en la consola Administración de TPM.

Omitir la lista predeterminada de comandos del TPM bloqueados

Deshabilitada

De manera predeterminada, algunos comandos del TPM están bloqueados. Para habilitarlos es preciso habilitar esta configuración de directiva.

Omitir la lista local de comandos del TPM bloqueados

Deshabilitada

De manera predeterminada, un administrador local puede bloquear comandos en la consola Administración de TPM. Esta opción se puede usar para impedir ese comportamiento.

Para obtener más información acerca del trabajo con el TPM y el uso de la consola Administración de TPM, consulte la guía paso a paso de administración del Módulo de plataforma segura de Windows en http://go.microsoft.com/fwlink/?LinkId=82830 (puede estar en inglés).

¿Es preciso modificar el código existente?

No es necesario realizar ningún cambio para BitLocker en el código existente.

¿Cómo hay que prepararse para implementar esta característica?

Antes de habilitar BitLocker es preciso tener en cuenta lo siguiente:

  • Requisitos de hardware. Si el hardware existente no es suficientemente potente para realizar el cifrado, considere la opción de actualizarlo. Para usar las características de integridad del sistema, la plataforma de hardware debe estar equipada con un TPM versión 1.2.

  • Directivas corporativas. Evalúe sus directivas actuales en materia de retención de datos, cifrado y conformidad. Asegúrese de que tiene un plan de recuperación de datos.

  • Almacenamiento de la información de recuperación. Se recomienda usar los Servicios de dominio de Active Directory para las copias de seguridad de la información de recuperación en entornos empresariales.

¿Está disponible esta característica en todas las ediciones de Windows Server 2008?

BitLocker es un componente opcional en todas las ediciones de Windows Server 2008, sin diferencias de funcionalidad entre ellas. BitLocker está disponible en plataformas de 32 bits y 64 bits.

BitLocker está disponible en Windows Vista Enterprise y Windows Vista Ultimate y puede ayudar en gran medida a proteger los datos almacenados en equipos cliente, especialmente en los equipos móviles.

Referencias adicionales

¿Te ha resultado útil?
(Caracteres restantes: 1500)
Gracias por sus comentarios

Adiciones de comunidad

AGREGAR
Mostrar:
© 2014 Microsoft