| BitLocker | |
|---|---|
| Outros nomes | Criptografia de dispositivo |
| Desenvolvedor | Microsoft |
| Lançamento inicial | 30 de novembro de 2006 |
| Sistema operacional | Windows Vista e seguintes |
| Tipo | Criptografia de disco |
O BitLocker é um recurso de criptografia de disco incluído nas versões do Microsoft Windows a partir do Windows Vista, sendo projetado para proteger os dados da memória interna de computadores, fornecendo criptografia para volumes inteiros. Por padrão, ele usa o algoritmo Advanced Encryption Standard (AES) em cipher-block chainin (CBC) ou no modo "xor-encrypt-xor (XEX)" com uma chave de 128 bits ou 256 bits. O CBC não é usado em todo o disco, ele é aplicado a cada setor individual.
A ideia do BitLocker foi publicada como parte do "Next-Generation Secure Computing Base" da Microsoft em 2004, como um recurso provisoriamente denominado "Cornerstone" e foi projetado para proteger informações em dispositivos, especialmente em caso de perda ou roubo. Outro recurso, intitulado "Code Integrity Rooting", foi projetado para validar a integridade do sistema de inicialização do Microsoft Windows e dos arquivos do sistema. Quando usado em conjunto com um Trusted Platform Module (TPM) compatível, o BitLocker pode validar a integridade da inicialização e do sistema de arquivos antes de descriptografar um volume protegido; uma validação malsucedida impedirá o acesso a um sistema protegido. O BitLocker foi brevemente chamado de "Secure Startup" antes do lançamento do Windows Vista para fabricação.
O BitLocker está disponível em:
No começo, a interface gráfica do BitLocker no Windows Vista só podia criptografar o volume do sistema operacional. A partir do Windows Vista com Service Pack 1 e do Windows Server 2008, volumes diferentes do volume do sistema operacional podiam ser criptografados usando a ferramenta gráfica. Mesmo assim, algumas funcionalidades do BitLocker (como ativar ou desativar o bloqueio automático) tinham que ser gerenciados por meio de uma ferramenta de linha de comando chamada manage-bde.wsf.
A versão do BitLocker incluída no Windows 7 e no Windows Server 2008 2° versão adiciona a capacidade de criptografar unidades removíveis. No Windows XP ou Windows Vista, o acesso somente leitura a essas unidades pode ser feito por meio de um programa chamado BitLocker To Go Reader, se a unidade estiver usando o sistema de arquivos FAT16, FAT32 ou exFAT. Além disso, uma nova ferramenta de linha de comando chamada manage-bde substituiu o manage-bde.wsf.
A partir do Windows Server 2012 e do Windows 8, a Microsoft adicionou ao BitLocker a especificação Microsoft Encrypted Hard Drive, que permite que as operações de criptografia do BitLocker sejam transferidas para o hardware do dispositivo de armazenamento, por exemplo, unidades de criptografia automática. Além disso, o BitLocker agora pode ser gerenciado por meio do Windows PowerShell. Finalmente, o Windows 8 introduziu o Windows To Go em sua edição Enterprise, que pode ser protegido pelo BitLocker.
O Windows Mobile 6.5, o Windows RT e as edições principais do Windows 8.1 incluem criptografia de dispositivo, uma versão com recursos limitados do BitLocker que criptografa todo o sistema. Fazer login com uma conta Microsoft com privilégios administrativos inicia automaticamente o processo de criptografia. A chave de recuperação é armazenada na conta Microsoft ou no Active Directory (o Active Directory requer edições Pro do Windows), permitindo que ela seja recuperada de qualquer computador. Embora a criptografia de dispositivo seja oferecida em todas as edições do Windows 8.1, diferentemente do BitLocker, ela exige que o dispositivo atenda às especificações do InstantGo (anteriormente Connected Standby ), que requerem unidades de estado sólido e um chip TPM 2.0.
A partir do Windows 10 1703, os requisitos para criptografia de dispositivos mudaram, exigindo um módulo TPM 1.2 ou 2.0 com suporte a PCR 7, UEFI Secure Boot e que o dispositivo atenda aos requisitos da Modern Standby ou a validação HSTI.
Os requisitos para a criptografia do dispositivo foram simplificados no Windows 11 24H2, com o Modern Standby, HSTI e o Secure Boot não mais necessários e o bloqueio de interfaces DMA removido. E a criptografia de dispositivo será ativada por padrão numa instalação limpa do Windows 11 24H2, chamada de auto device encryption.
Em setembro de 2019 uma nova atualização foi lançada (KB4516071) mudando a configuração padrão do BitLocker quando encriptanzdo uma unidade. Agora, o padrão é usar criptografia de software para os novas unidades, sendo isso devido a falhas com a ciptografia de hardware e preocupações de segurança relacionadas a esses problemas.
3 mecanismos de autenticação podem ser usados para construir os blocos implementados na criptografia do BitLocker:
As seguintes combinações dos mecanismos de autenticação acima são suportados, todas com uma chave de recuperação escrow opcional.
A proteção BitLocker pode ser contornada colocando arquivos FsTx especialmente criados em uma unidade USB ou partição EFI, também conhecida como CVE-2026-45585: YellowKey BitLocker Bypass.