Configuraciones de BCD y BitLocker

En este tema para profesionales de TI se describe la configuración de BCD que usa BitLocker.

Al proteger los datos en reposo en un volumen del sistema operativo, durante el proceso de arranque BitLocker comprueba que los ajustes de los datos de seguridad de la configuración de arranque no han cambiado desde la última vez que se habilitó, se reanudó o se recuperó BitLocker.

Configuraciones de BCD y BitLocker

En Windows 7 y Windows Server 2008 R2, BitLocker validó casi toda la configuración de BCD con los prefijos winload, winresume y memtest. Sin embargo, este alto grado de validación provocó que BitLocker entrase en el modo de recuperación para cambios de configuración no dañinos, por ejemplo, al aplicar un paquete de idiomas BitLocker entraría en recuperación.

En Windows 8, Windows Server 2012 y sistemas operativos posteriores BitLocker limita el conjunto de configuraciones de BCD validados para reducir la posibilidad de cambios no dañinos que causan un problema de validación de BCD. Si crees que existe un riesgo de exclusión de una determinada configuración de BCD desde el perfil de validación, puedes aumentar la cobertura de validación de BCD según tus preferencias de validación. Como alternativa, si una configuración de BCD predeterminada desencadena de forma persistente la recuperación de cambios no dañinos, entonces puedes excluir esa configuración de BCD desde el perfil de validación.

Cuando el arranque seguro está habilitado

Los equipos con firmware de UEFI pueden usar el Arranque seguro para proporcionar seguridad de arranque mejorada. Cuando BitLocker es capaz de usar el Arranque seguro para la validación de la integridad de BCD y de la plataforma, como se define en la configuración de la directiva de grupo Permitir Arranque seguro para validación de la integridad, la directiva de grupo Usar perfil de validación de datos de configuración de arranque mejorado se omite.

Una de las ventajas de usar el Arranque seguro es que puede corregir la configuración de BCD durante el arranque sin desencadenar eventos de recuperación. El Arranque seguro aplica la misma configuración de BCD que BitLocker. La aplicación de los BCD del Arranque seguro no es configurable desde dentro del sistema operativo.

Personalización de la configuración de validación de BCD

Para modificar la configuración de BCD que BitLocker valida, los profesionales de TI agregarán o excluirán la configuración de BCD del perfil de validación de la plataforma habilitando y ajustando la configuración de directiva de grupo Usar el perfil de validación de datos de configuración de arranque mejorado.

Para fines de validación de BitLocker, la configuración de BCD está asociada a un conjunto específico de aplicaciones de arranque de Microsoft. La configuración de BCD se asocia a una aplicación de arranque específica o se puede aplicar a todas las aplicaciones de arranque mediante la asociación de un prefijo a la configuración de BCD especificado en la configuración de directiva de grupo. Los valores de prefijo incluyen:

• winload

• winresume

• memtest

• all

Todas las configuraciones de BCD se especifican combinando el valor del prefijo con un valor hexadecimal (hex) o "nombre descriptivo".

El valor hexadecimal de configuración de BCD se notifica cuando BitLocker entra en modo de recuperación y se almacena en el registro de eventos (Id. de evento 523). El valor hexadecimal identifica de forma única qué configuración de BCD provocó el evento de recuperación.

Puedes obtener rápidamente el nombre descriptivo de configuración de BCD en el equipo mediante el comando "bcdedit.exe /enum all".

No todas las configuraciones de BCD tienen nombres descriptivos; para esas configuraciones el valor hexadecimal es la única forma de configurar una directiva de exclusión.

Al especificar valores de BCD en la configuración de la Directiva de grupo Usar el perfil de validación de datos de configuración de arranque mejorado, usa la sintaxis siguiente:

• Prefija la configuración con el prefijo de la aplicación de arranque

• Anexa dos puntos ":"

• Anexar el valor hexadecimal o el nombre descriptivo

• Si escribes más de una configuración de BCD, tendrás que escribir cada configuración de BCD en una nueva línea

Por ejemplo, "winload:hypervisordebugport"o"winload:0x250000f4" producen el mismo valor.

La configuración que se aplica a todas las aplicaciones de arranque solo se puede aplicar a una aplicación individual, pero no ocurre lo contrario. Por ejemplo, una puede especificar: "all:locale"o"winresume:locale", pero como la configuración de bcd "win-pe"no se aplica a todas las aplicaciones de arranque,"winload:winpe" es válida, pero "all:winpe" no lo es. La configuración que controla la depuración de arranque ("bootdebug" o 0x16000010) siempre se validará y carecerá de efecto si se incluye en los campos proporcionados.

Nota  

Ten cuidado al configurar las entradas de BCD en la configuración de directiva de grupo. El Editor de directivas de grupo local no valida la exactitud de la entrada de BCD. BitLocker no podrá habilitarse si la configuración de la directiva de grupo especificada no es válida.

Perfil de validación de BCD predeterminado

La tabla siguiente contiene el perfil de validación de BCD predeterminado usado por BitLocker en Windows 8, Windows Server 2012 y sistemas operativos posteriores:

Lista completa de nombres descriptivos para configuraciones de BCD omitidas

A continuación figura una lista completa de configuraciones de BCD con nombres descriptivos que se omiten de manera predeterminada. Estas configuraciones no forman parte del perfil de validación predeterminado de BitLocker, pero pueden agregarse si ves necesidad de validar cualquiera de estas opciones de configuración antes de permitir el desbloqueo de una unidad de sistema operativo protegida con BitLocker.

Nota  

Existen configuraciones de BCD adicionales que tienen valores hexadecimales pero no nombres descriptivos. Estas configuraciones no se incluyen en esta lista.