Esta guía está dirigida a:

• Analistas y consultores de TI que evalúan el producto
  
  
• Administradores de seguridad informática
  
  

• Un equipo con los requisitos mínimos de Windows Vista.
  
  
• Un microchip TPM versión 1.2 activado (escenarios 2 y 3).
  
  
• BIOS compatible con Trusted Computing Group (TCG) (escenarios 2 y 3).
  
  
• Dos particiones de unidad NTFS, una para el volumen del sistema y otra para el volumen del sistema operativo. La partición del volumen del sistema debe tener como mínimo 1,5 gigabytes (GB) y debe establecerse como partición activa (escenario 1).
  
  
• Una configuración de BIOS que inicie el equipo primero desde la unidad de disco duro, no desde las unidades USB o CD.
  
  

Nota
En cualquier prueba que incluya la unidad flash USB, el BIOS debe permitir la lectura de unidades flash USB durante el inicio del sistema.

• Es muy recomendable que no ejecute un depurador del kernel mientras BitLocker está habilitado, ya que el depurador podría tener acceso a las claves de cifrado y otros datos confidenciales. Sin embargo, puede habilitar la depuración del kernel antes de habilitar BitLocker. Si habilita la depuración del kernel después de habilitar BitLocker, el sistema comenzará de forma automática con el proceso de recuperación cada vez que reinicie el equipo. Si habilita la depuración de arranque (depuración del kernel con la opción "-bootdebug"), el sistema comenzará de forma automática con el proceso de recuperación cada vez que reinicie el equipo.
  
  

Con este procedimiento, el equipo se inicia con el DVD del producto y, a continuación, se escriben varios comandos que realizan lo siguiente:

• Crean una nueva partición primaria de 1,5 GB.
  
  
• Establecen esta partición como activa.
  
  
• Crean una segunda partición primaria utilizando el resto del espacio de disco.
  
  
• Dan formato a ambas particiones de forma que se puedan utilizar como volúmenes de Windows.
  
  
• Instalan Windows Vista en el volumen mayor (unidad C).
  
  

Nota
Debe crear una segunda partición activa para que BitLocker funcione bien.

Las letras de unidad podrían no corresponder a las que aparecen en este ejemplo. En este ejemplo, el volumen del sistema operativo se etiqueta con C, y el volumen del sistema se etiqueta con S (para el volumen del sistema). También se asume que el sistema sólo tiene una unidad de disco duro física.

1. Inicie el equipo con el DVD del producto Windows Vista.

2. En la pantalla inicial de Instalar Windows, elija Idioma de instalación, Formato de hora y moneda y Distribución del teclado, y finalmente haga clic en Siguiente.

3. En la siguiente pantalla de Instalar Windows, haga clic en Reparar el equipo, en la parte inferior izquierda de la pantalla.

4. En el cuadro de diálogo Opciones de recuperación del sistema, asegúrese de que no quede seleccionado ningún sistema operativo. Para ello, haga clic en el cuadro en blanco de la lista de Sistemas operativos, al final de todas las entradas que aparecen en la lista. A continuación, haga clic en Siguiente.

5. En el siguiente cuadro de diálogo de Opciones de recuperación del sistema, haga clic en Símbolo del sistema.

6. Use Diskpart para crear una partición en el volumen del sistema operativo. En el símbolo del sistema, escriba diskpart y presione ENTRAR.

7. Escriba select disk 0.

8. Escriba clean para borrar la tabla de particiones existente.

9. Escriba create partition primary size=1500 para que la partición que está creando se establezca como primaria.

10. Escriba assign letter=S para dar a esta partición la denominación S.

11. Escriba active para que la nueva partición se establezca como activa.

12. Escriba create partition primary para crear otra partición primaria. Instalará Windows en la partición más grande.

13. Escriba assign letter=C para dar a esta partición la denominación C.

14. Escriba list volume para ver por pantalla una lista de todos los volúmenes del disco. Podrá ver una lista de cada volumen, números de volumen, letras, etiquetas, sistemas de archivo, tipos, tamaños y otra información. Compruebe que tiene dos volúmenes y que conoce la etiqueta de cada uno de ellos.

15. Escriba exit para salir de la aplicación Diskpart.

16. Escriba format c: /y /q /fs:NTFS para dar el formato correcto al volumen C.

17. Escriba format s: /y /q /fs:NTFS para dar el formato correcto al volumen S

18. Escriba exit para salir de la ventana del símbolo del sistema.

19. En la ventana Opciones de recuperación del sistema, utilice el icono de cerrar ventana en la esquina superior derecha (o presione ALT+F4) para cerrar la ventana y regresar a la pantalla principal de la instalación. No haga clic en Apagar ni en Reiniciar.

20. Haga clic en Instalar ahora y continúe con el proceso de instalación de Windows Vista. Instale Windows Vista en el volumen mayor, C: (volumen del sistema operativo).

• Debe haber iniciado sesión como administrador.
  
  
• Se puede configurar una impresora para imprimir las contraseñas de recuperación.
  
  

1. Haga clic en Inicio, en Panel de Control, en Seguridad y, a continuación, haga clic en Cifrado de unidad BitLocker.

2. Si aparece el mensaje Control de cuentas de usuario, compruebe que la acción propuesta es la que necesita y, a continuación, haga clic en Continuar. Para obtener más información, consulte Recursos adicionales más adelante en este documento.

3. En la página Cifrado de unidad BitLocker, haga clic en Activar BitLocker en el volumen del sistema operativo.

   Si el TPM no está inicializado, aparece el asistente para Inicializar el hardware de seguridad de TPM. Siga las instrucciones para inicializar el TPM y reinicie el equipo.

4. En la página Guardar la contraseña de recuperación, encontrará las siguientes opciones:

   • Guardar contraseña en una unidad USB. Guarda la contraseña en una unidad flash USB.
     
     
   • Guardar la contraseña en una carpeta. Guarda la contraseña en una unidad de red u otra ubicación.
     
     
   • Imprimir la contraseña. Imprime la contraseña.
     
     

   Utilice una o más de estas opciones para conservar la contraseña de recuperación. Seleccione las opciones que desee y siga los pasos del asistente para establecer la ubicación donde se guarda o imprime la contraseña de recuperación.

   Cuando haya terminado de guardar la contraseña de recuperación, haga clic en Siguiente.

   Importante

   La contraseña de recuperación es obligatoria en el momento de mover una unidad cifrada a otro equipo o cuando se realizan cambios en la información de arranque del sistema. Esta contraseña es tan importante que se recomienda hacer copias adicionales de la misma almacenadas en lugares protegidos para asegurar el acceso a los datos. Necesitará la contraseña de recuperación para desbloquear los datos cifrados en el volumen si BitLocker pasa a estado bloqueado (consulte Escenario 4: Recuperación de datos protegidos con Cifrado de unidad BitLocker). Esta contraseña de recuperación es única y sólo sirve para este cifrado de BitLocker concreto. No se puede utilizar para recuperar datos cifrados procedentes de otra sesión de cifrado de BitLocker.

   Importante
   Para una mayor seguridad, guarde las contraseñas de recuperación en un lugar diferente del equipo.

5. En la página Cifrar el volumen de disco seleccionado, confirme que la casilla Ejecutar la comprobación del sistema de BitLocker está activada y después haga clic en Continuar.

   Confirme que desea reiniciar el equipo haciendo clic en Reiniciar ahora. El equipo se reinicia y BitLocker comprueba si el equipo es compatible con BitLocker y está preparado para cifrar. De no ser así, se muestra un mensaje de error que alerta del problema.

6. Si está preparado para cifrar, aparece la barra de estado Cifrado en curso. Puede observar cómo progresa el estado de finalización del cifrado del volumen de disco arrastrando el cursor del mouse sobre el icono de Cifrado de unidad BitLocker en la barra de herramientas situada en la parte inferior de la pantalla. .

   Una vez terminado este procedimiento, se ha cifrado el volumen del sistema operativo y se ha creado una contraseña de recuperación única para este volumen. No observará ningún cambio la próxima vez que inicie sesión. Si alguna vez cambia el TPM o no se puede acceder a él, si se producen cambios en archivos clave del sistema, o si alguien intenta arrancar el equipo desde un disco para sortear al sistema operativo, el equipo conmutará a modo de recuperación hasta que se suministre la clave de recuperación.

• Debe haber iniciado sesión como administrador.
  
  
• Debe disponer de una unidad flash USB para guardar la contraseña de recuperación.
  
  
• Se recomienda utilizar una segunda unidad flash USB para guardar la clave de inicio en un lugar distinto al de la contraseña de recuperación.
  
  

1. Haga clic en Inicio, escriba gpedit.msc en el cuadro Iniciar búsqueda y a continuación presione ENTRAR.

2. Si aparece el cuadro de diálogo Control de cuentas de usuario, compruebe que la acción propuesta es la que necesita y, a continuación, haga clic en Continuar. Para obtener más información, consulte Recursos adicionales más adelante en este documento.

3. En el árbol de consola Editor de objetos de directiva de grupo, haga clic en Directiva de equipo local, en Plantillas administrativas, en Componentes de Windows y, a continuación, haga doble clic en Cifrado de unidad BitLocker.

4. Haga doble clic en el parámetro Configuración del panel de control: Habilitar opciones de inicio avanzadas. El cuadro de diálogo Configuración del Panel de control: Habilitar opciones de inicio avanzadas se abre.

5. Seleccione la opción Habilitado, active la casilla Permitir BitLocker sin un TPM compatible y, a continuación, haga clic en Aceptar.

   Ha cambiado la configuración de la directiva, de forma que puede utilizar una clave de inicio en lugar de un TPM.

6. Cierre el Editor de objetos de directiva de grupo.

7. Para que la directiva de grupo se aplique inmediatamente, haga clic en Inicio, escriba gpupdate.exe /force en el cuadro Iniciar búsqueda y, a continuación, presione ENTRAR.Espere a que el proceso finalice.

8. Haga clic en Inicio, en Panel de control, en Seguridad y, a continuación, en Cifrado de unidad BitLocker

9. Si aparece el mensaje Control de cuentas de usuario, compruebe que la acción propuesta es la que necesita y, a continuación, haga clic en Continuar. Para obtener más información, consulte Recursos adicionales más adelante en este documento.

10. En la página Cifrado de unidad BitLocker, haga clic en Activar BitLocker en el volumen del sistema operativo.

11. En la página Establecer preferencias de inicio de BitLocker, active la opción Requerir llave de inicio USB en cada inicio. Esta es la única opción disponible para configuraciones sin TPM. Se debe insertar esta clave todas las veces que se inicie el equipo.

12. Inserte la unidad flash USB en el equipo, si aún no lo ha hecho.

13. En la página Guardar la clave de inicio, elija la ubicación de la unidad flash USB y, a continuación, haga clic en Guardar.

14. En la página Guardar la contraseña de recuperación, encontrará las siguientes opciones:

    • Guardar contraseña en una unidad USB. Guarda la contraseña en una unidad flash USB.
      
      
    • Guardar la contraseña en una carpeta. Guarda la contraseña en una unidad de red u otra ubicación.
      
      
    • Imprimir la contraseña. Imprime la contraseña.
      
      

    Use una o más de estas opciones para conservar la contraseña de recuperación. Seleccione las opciones que desee y siga los pasos del asistente para establecer la ubicación donde se guarda o imprime la contraseña de recuperación.

    Cuando haya terminado de guardar la contraseña de recuperación, haga clic en Siguiente.

    Importante

    La contraseña de recuperación es obligatoria en el momento de mover una unidad cifrada a otro equipo o cuando se realizan cambios en la información de arranque del sistema. Esta contraseña es tan importante que se recomienda hacer copias adicionales de la misma almacenadas en lugares protegidos para asegurar el acceso a los datos. Necesitará la contraseña de recuperación para desbloquear los datos cifrados en el volumen si BitLocker pasa a estado bloqueado (consulte Escenario 4: Recuperación de datos protegidos con Cifrado de unidad BitLocker). Esta contraseña de recuperación es única y solo sirve para este cifrado de BitLocker concreto. No se puede usar para recuperar datos cifrados procedentes de otra sesión de cifrado de BitLocker.

    Importante
    Para una mayor seguridad, guarde las contraseñas de recuperación en un lugar diferente del equipo.

15. En la página Cifrar el volumen de disco seleccionado, confirme que la casilla Ejecutar la comprobación del sistema de BitLocker está activada y después haga clic en Continuar.

    Confirme que desea reiniciar el equipo haciendo clic en Reiniciar ahora. El equipo se reinicia y BitLocker comprueba que el equipo es compatible con BitLocker y está preparado para cifrar. De no ser así, se muestra un mensaje de error que alerta del problema antes de comenzar el cifrado.

16. Si está preparado para cifrar, aparece la barra de estado Cifrado en curso. Puede observar cómo progresa el estado de finalización del cifrado del volumen de disco arrastrando el cursor del mouse sobre el icono de Cifrado de unidad BitLocker en la barra de herramientas situada en la parte inferior de la pantalla o haciendo clic en el globo de Cifrado.

    Una vez terminado este procedimiento, se ha cifrado el volumen del sistema operativo y se ha creado una contraseña de recuperación única para este volumen. La próxima vez que encienda el equipo, la unidad flash USB debe estar conectada en un puerto USB del equipo. Si no lo está, no podrá obtener acceso a los datos del volumen cifrado. Para aumentar la seguridad, almacene la clave de inicio fuera del equipo.

    Si no tiene una unidad flash USB con la clave de inicio, necesitará entrar en el modo de recuperación y proporcionar una contraseña de recuperación para poder tener acceso a los datos.

1. Haga clic en Inicio, escriba gpedit.msc en el cuadro Iniciar búsqueda y a continuación presione ENTRAR.

2. Si aparece el cuadro de diálogo Control de cuentas de usuario, compruebe que la acción propuesta es la que necesita y, a continuación, haga clic en Continuar. Para obtener más información, consulte Recursos adicionales más adelante en este documento.

3. En el árbol de consola Editor de objetos de directiva de grupo, haga clic en Directiva de equipo local, en Plantillas administrativas, en Componentes de Windows y, a continuación, haga doble clic en Cifrado de unidad BitLocker.

4. Haga doble clic en el parámetro Configuración del panel de control: Habilitar opciones de inicio avanzadas. El cuadro de diálogo Configuración del Panel de control: Habilitar opciones de inicio avanzadas se abre.

5. Seleccione la opción Habilitado. Para configuraciones de TPM con NIP o clave de inicio, no necesita cambiar más configuraciones, pero puede elegir que los usuarios tengan permiso o no para crear una clave de inicio o NIP. Haga clic en Aceptar.

6. Haga clic en Inicio, escriba gpupdate.exe /force en el cuadro Buscar y, a continuación, presione ENTRAR.Espere a que el proceso finalice.

7. Haga clic en Inicio, en Panel de control, en Seguridad y, a continuación, en Cifrado de unidad BitLocker

8. Si aparece el mensaje Control de cuentas de usuario, compruebe que la acción propuesta es la que necesita y, a continuación, haga clic en Continuar. Para obtener más información, consulte Recursos adicionales más adelante en este documento.

9. En la página Cifrado de unidad BitLocker, haga clic en Activar BitLocker en el volumen del sistema.

10. En la página Establecer preferencias de inicio de BitLocker , active la opción de inicio que desee. Sólo puede elegir una de estas opciones:

    • Sin seguridad adicional.
      
      
    • Requerir un NIP en cada inicio. Aparecerá la página Establecer NIP de inicio. Escriba el NIP, confírmelo y, a continuación, haga clic en Establecer NIP.
      
      
    • Requerir llave de inicio USB en cada inicio. Aparecerá la página Guardar la clave de inicio. Inserte la unidad flash USB, elija la ubicación de la unidad y, a continuación, haga clic en Guardar.
      
      

    Nota

    El software de tecnología de asistencia que ejecuta Windows, por ejemplo el software de lectura de pantalla, no puede leer las pantallas de inicio de BitLocker porque se muestran cuando se ejecuta el administrador de arranque. El administrador de arranque es un código que se ejecuta antes de Windows. Están incluidas las pantallas que se muestran cuando se escribe un NIP o una contraseña de recuperación y cualquier mensaje de error de BitLocker.

11. En la página Guardar la contraseña de recuperación, encontrará las siguientes opciones:

    • Guardar contraseña en una unidad USB. Guarda la contraseña en una unidad flash USB.
      
      
    • Guardar la contraseña en una carpeta. Guarda la contraseña en una unidad de red u otra ubicación.
      
      
    • Imprimir la contraseña. Imprime la contraseña.
      
      

    Importante

    La contraseña de recuperación es obligatoria en el momento de mover una unidad cifrada a otro equipo o cuando se realizan cambios en la información de arranque del sistema. Esta contraseña es tan importante que se recomienda hacer copias adicionales de la misma almacenadas en lugares protegidos para asegurar el acceso a los datos. Necesitará la contraseña de recuperación para desbloquear los datos cifrados en el volumen si el Cifrado de unidad BitLocker pasa a estado bloqueado (consulte Escenario 4: Recuperación de datos protegidos con Cifrado de unidad BitLocker). Esta contraseña de recuperación es única y sólo sirve para este cifrado de BitLocker concreto. No se puede utilizar para recuperar datos cifrados procedentes de otra sesión de cifrado de BitLocker.

    Elija cualquiera de estas opciones para conservar la contraseña de recuperación. Para una mayor seguridad, guarde las contraseñas de recuperación en un lugar diferente del equipo. Para elegir más de un método de almacenamiento de contraseña de recuperación, siga los pasos del asistente para determinar la ubicación donde guardar o imprimir y, a continuación, haga clic en Siguiente. Puede repetir este paso para elegir más métodos de almacenamiento de contraseña de recuperación.

12. En la página Cifrar el volumen de disco seleccionado, confirme que la casilla Ejecutar la comprobación del sistema de BitLocker está activada y después haga clic en Continuar.

    Confirme que desea reiniciar el equipo haciendo clic en Reiniciar ahora. El equipo se reinicia y BitLocker comprueba que el equipo es compatible con BitLocker y está preparado para cifrar. De no ser así, se muestra un mensaje de error que alerta del problema antes de comenzar el cifrado.

13. Si está preparado para cifrar, aparece la barra de estado Cifrado en curso. Puede observar cómo progresa el estado de finalización del cifrado del volumen de disco arrastrando el cursor del mouse sobre el icono de Cifrado de unidad BitLocker en la barra de herramientas situada en la parte inferior de la pantalla o haciendo clic en el globo de Cifrado.

    Una vez terminado este procedimiento, se ha cifrado el volumen del sistema operativo y se ha creado una contraseña de recuperación única para este volumen. La próxima vez que encienda el equipo, la unidad flash USB debe estar conectada en un puerto USB del equipo o bien debe escribir un NIP. Si no lo está, no podrá obtener acceso a los datos del volumen cifrado. Para aumentar la seguridad, almacene la clave de inicio fuera del equipo. Si no tiene la clave de inicio o el NIP necesitará entrar en modo recuperación y proporcionar la contraseña de recuperación para acceder a los datos.

• Debe haber iniciado sesión como administrador.
  
  
• Se debe cifrar la unidad.
  
  

1. Haga clic en Inicio, en Panel de Control, en Seguridad y, a continuación, haga clic en Cifrado de unidad BitLocker.

2. Desde la página de Cifrado de unidad BitLocker, busque el volumen para el que desea desactivar BitLocker y haga clic en Desactivar Cifrado de unidad BitLocker.

3. Desde el cuadro de diálogo ¿Qué nivel de descifrado desea? haga clic en Deshabilitar Cifrado de unidad BitLocker o en Descifrar volumen, según sea necesario.

   Una vez terminado este procedimiento, o bien se ha deshabilitado BitLocker o se ha descifrado el volumen del sistema operativo.