BitLocker endurecido: XTS-AES 256, TPM+PIN y custodia

BitLocker convierte un dispositivo perdido o robado de una fuga de datos en un gasto de hardware. La mayoría de las organizaciones lo activan; muchas menos lo configuran contra algo más que un robo ocasional. La diferencia está en cuatro decisiones: el método de cifrado, cómo se libera la clave en el arranque, dónde residen las claves de recuperación y si la cadena de arranque alrededor de BitLocker está a su vez protegida.

El modelo de amenazas en una tabla

Solo TPM es un valor por defecto razonable para la mayoría de los portátiles de oficina. Directivos, administradores, personas que viajan y dispositivos con datos sensibles justifican TPM+PIN.

Paso 1: elegir la configuración de cifrado

Ruta de GPO: Computer Configuration > Administrative Templates > Windows Components > BitLocker Drive Encryption.

Los volúmenes existentes conservan su cifrado original. Cambiar la directiva solo afecta a los volúmenes cifrados después; para pasar un volumen antiguo AES-128 a XTS-AES 256 hay que descifrarlo y volver a cifrarlo.

Paso 2: configurar la autenticación de inicio

En Operating System Drives > Require additional authentication at startup:

• Enabled.
• Allow BitLocker without a compatible TPM: desmarcado.
• Configure TPM startup: Allow TPM.
• Configure TPM startup PIN: Allow startup PIN with TPM (o Require para los grupos de alto riesgo mediante una GPO independiente).
• Deje las opciones de clave de inicio en Do not allow salvo que tenga un motivo para usar llaves USB.

Configuraciones relacionadas:

Para añadir un PIN a un dispositivo ya cifrado:

$pin = Read-Host -AsSecureString "Startup PIN"
Add-BitLockerKeyProtector -MountPoint C: -TpmAndPinProtector -Pin $pin

Paso 3: custodiar primero las claves de recuperación

Un dispositivo cifrado sin una clave de recuperación custodiada es un futuro incidente de pérdida de datos. En Operating System Drives > Choose how BitLocker-protected operating system drives can be recovered:

• Allow data recovery agent: opcional.
• Save BitLocker recovery information to AD DS: Enabled, almacenar contraseñas de recuperación y paquetes de claves.
• Do not enable BitLocker until recovery information is stored to AD DS: Enabled.
• Omit recovery options from the setup wizard: Enabled (los usuarios no pueden elegir imprimir la clave ni guardarla en un archivo).

Para los dispositivos unidos a Entra, el perfil de BitLocker de Intune hace lo equivalente y guarda las claves en Entra ID. En los dispositivos existentes, haga la copia de seguridad de la clave de forma explícita:

$kp = (Get-BitLockerVolume -MountPoint C:).KeyProtector |
      Where-Object KeyProtectorType -eq 'RecoveryPassword'
Backup-BitLockerKeyProtector -MountPoint C: -KeyProtectorId $kp.KeyProtectorId    # AD DS
BackupToAAD-BitLockerKeyProtector -MountPoint C: -KeyProtectorId $kp.KeyProtectorId  # Entra ID

Restrinja quién puede leer las claves de recuperación. En AD, las claves se guardan en objetos secundarios msFVE-RecoveryInformation del equipo; revise qué grupos pueden leerlos, igual que con las contraseñas de LAPS. Configure la rotación de claves tras su uso (Intune admite rotar la contraseña de recuperación cuando se ha mostrado a un usuario).

Paso 4: proteger la cadena de arranque

BitLocker confía en el TPM, y el TPM confía en lo que midió durante el arranque. Asegúrese de que esa cadena está intacta:

• UEFI con Secure Boot en todos los dispositivos. Compruébelo con Confirm-SecureBootUEFI (devuelve True).
• TPM 2.0 con el firmware actualizado (Get-Tpm).
• Vinculación a PCR 7: manage-bde -protectors -get C: muestra el perfil de validación de PCR; msinfo32 muestra PCR7 Configuration: Bound en los dispositivos modernos. Así BitLocker depende del estado de Secure Boot en lugar de los hash de cada componente de arranque, y las actualizaciones de firmware provocan menos solicitudes de recuperación.
• Kernel DMA Protection (visible en msinfo32) en los dispositivos con Thunderbolt o USB4. En hardware antiguo que no la tiene, lo compensan TPM+PIN o la desactivación de los puertos DMA externos en el firmware.
• Contraseña de firmware definida en los dispositivos que la admiten, para que el orden de arranque y Secure Boot no se puedan cambiar a la ligera.
• Hibernación en lugar de suspensión para los dispositivos de alto riesgo: establezca Allow standby states (S1-S3) when sleeping (on battery) y (plugged in) en Disabled en System > Power Management > Sleep Settings, para que las claves no estén en la RAM con la tapa cerrada.

Paso 5: verificar en todo el parque

En un dispositivo:

Get-BitLockerVolume | Select-Object MountPoint, VolumeStatus, EncryptionMethod,
  EncryptionPercentage, ProtectionStatus, KeyProtector
manage-bde -status C:

Lo que busca es ProtectionStatus: On, EncryptionMethod: XtsAes256 y los protectores Tpm o TpmPin más RecoveryPassword.

ProtectionStatus: Off con un volumen totalmente cifrado significa que BitLocker está suspendido (por ejemplo, un resto de un script de actualización de firmware con Suspend-BitLocker), y la clave está guardada en claro en el disco. Reanúdelo con Resume-BitLocker -MountPoint C: y busque los scripts que suspenden sin un número de reinicios.

A escala de parque, genere informes desde el informe de cifrado de Intune, la administración de BitLocker de Configuration Manager o un script de cumplimiento que recopile los valores anteriores. Alerte sobre los dispositivos sin clave custodiada y los volúmenes que se quedaron suspendidos.

Registros útiles: Applications and Services Logs > Microsoft > Windows > BitLocker-API > Management registra los cambios de protectores, el inicio y la detención del cifrado y las copias de seguridad de claves.

Cifrado automático de dispositivos

En hardware moderno, Windows 11 habilita automáticamente el cifrado de dispositivo durante la instalación cuando el usuario inicia sesión con una cuenta Microsoft o profesional, y las versiones recientes lo aplican a más dispositivos. Usa XTS-AES 128 y protección solo con TPM, y la clave va a la cuenta con la que se ha iniciado sesión. En los dispositivos gestionados, aplique su directiva de BitLocker durante el aprovisionamiento para que la configuración gestionada (cifrado, destino de custodia, PIN) sustituya a la automática; de lo contrario, puede heredar volúmenes AES-128 cuyas claves están en una cuenta personal.

Lista de comprobación

• XTS-AES 256 para las unidades del sistema operativo y fijas; cifrado completo para el hardware reutilizado
• Solo TPM para los dispositivos estándar, TPM+PIN (PIN mejorado) para los usuarios de alto riesgo
• Cifrado bloqueado hasta que la clave de recuperación esté custodiada
• Acceso a las claves de recuperación restringido y auditado
• Secure Boot activado, TPM 2.0, vinculación a PCR 7, Kernel DMA Protection verificada
• Suspensión desactivada en favor de la hibernación en los portátiles de alto riesgo
• Informe del parque sobre estado de protección, cifrado y custodia de claves; alertas sobre volúmenes suspendidos

La solidez de BitLocker depende de la cadena de arranque sobre la que se asienta. La misma seguridad basada en virtualización que protege la cadena de arranque también sustenta Credential Guard, así que ambos pertenecen al mismo proyecto de preparación del hardware.