Arquitectura de BitLocker
Arquitectura de BitLocker
BitLocker ayuda a proteger el volumen del sistema operativo del disco duro ante accesos no autorizados mientras el equipo está sin conexión. Para ello, BitLocker utiliza el cifrado completo de volúmenes y las mejoras de seguridad que ofrece el TPM. En los equipos que tienen un TPM, BitLocker también admite la autenticación multifactor.
BitLocker usa el TPM para realizar comprobaciones de integridad del sistema en componentes de arranque iniciales básicos. El TPM recopila y almacena mediciones de varios componentes de arranque iniciales y datos de la configuración de arranque para crear un identificador del sistema para el equipo, muy parecido a una huella digital. Si los componentes de arranque iniciales se modifican o alteran, como mediante cambios en el BIOS, cambios en el registro de arranque maestro (MBR) o el traslado del disco duro a otro equipo, el TPM impide que BitLocker desbloquee el volumen cifrado y el equipo pasa al modo de recuperación. Si el TPM logra comprobar la integridad del sistema, BitLocker desbloquea el volumen protegido. A continuación, el sistema operativo se inicia y la protección del sistema pasa a ser responsabilidad del usuario y el sistema operativo.
La ilustración 1 muestra cómo se cifra el volumen protegido por BitLocker con una clave de cifrado del volumen completo, que se cifra a su vez con una clave maestra de volumen. Proteger la clave maestra de volumen constituye un método indirecto de protección de los datos del volumen: la adición de la clave maestra de volumen permite regenerar claves para el sistema fácilmente cuando se pierden o se ven comprometidas las claves que se encuentran en una posición superior dentro de la cadena de confianza. Esta capacidad de regenerar claves para el sistema evita tener que descifrar y cifrar de nuevo todo el volumen.
.gif)
Una vez que BitLocker autentica el acceso al volumen del sistema operativo protegido, un controlador de filtro de la pila del sistema de archivos de Windows Vista cifra y descifra sectores del disco de forma transparente a medida que se escriben y se leen datos del volumen protegido. Cuando el equipo hiberna, el archivo de hibernación se guarda cifrado en el volumen protegido. Cuando se reanuda el uso después de la hibernación, el archivo de hibernación cifrado se descifra. Después de que BitLocker cifra el volumen protegido durante la instalación, el impacto sobre el rendimiento diario del sistema para el cifrado y el descifrado suele ser mínimo.
Si deshabilita BitLocker temporalmente (por ejemplo, para actualizar el BIOS), el volumen del sistema operativo sigue cifrado, pero la clave maestra de volumen se cifrará con una "clave sin cifrado" que se almacena sin cifrar en el disco duro. La disponibilidad de esta clave sin cifrar deshabilita la protección de datos que ofrece BitLocker. Cuando BitLocker se vuelve a habilitar, la clave sin cifrar se quita del disco, la clave maestra de volumen se regenera y se cifra de nuevo, y se reanuda la protección de BitLocker.
Los administradores de TI pueden configurar BitLocker de forma local a través del Asistente para la instalación de BitLocker, o de forma tanto local como remota con las interfaces que ofrece el proveedor de WMI Win32_EncryptableVolume del sistema operativo Windows Vista. Estas interfaces incluyen funciones de administración para iniciar, pausar y reanudar el cifrado del volumen y para configurar el modo de protección del mismo.
El script de administración manage-bde.wsf, disponible en Windows Vista y Windows Server 2008, ofrece a los administradores de TI una interfaz de línea de comandos sencilla para administrar y comprobar el estado de BitLocker. Este script se programa según los proveedores de WMI disponibles y se puede modificar para ayudar a construir soluciones personalizadas para distintas necesidades administrativas empresariales. Para obtener más información acerca del proveedor de Cifrado de unidad BitLocker, consulte https://go.microsoft.com/fwlink/?LinkId=80600 (puede estar en inglés).
Diagrama de arquitectura
La ilustración 2 muestra la arquitectura general de BitLocker, incluidos sus diversos subcomponentes. Muestra los componentes del modo usuario y el modo kernel de BitLocker, incluido el TPM, y el modo en que se integran con los distintos niveles del sistema operativo.
.gif)
Modos de autenticación en la secuencia de arranque
BitLocker admite cuatro modos de autenticación diferentes, dependiendo de las capacidades de hardware del equipo y del nivel de seguridad deseado:
- BitLocker con un TPM (sin factores de autenticación adicionales)
- BitLocker con un TPM y un NIP
- BitLocker con un TPM y una clave de inicio USB
- BitLocker sin un TPM (se requiere una clave de inicio USB)
Cada vez que se inicia Windows Vista con BitLocker habilitado, el código de arranque realiza una secuencia de pasos basados en el conjunto de protecciones del volumen. Estos pasos pueden incluir comprobaciones de integridad del sistema y otros pasos de autenticación (NIP o clave de inicio USB) que se deben comprobar antes de desbloquear el volumen protegido.
Para la recuperación, BitLocker utiliza una clave de recuperación (almacenada en un dispositivo USB) o una contraseña de recuperación (contraseña numérica), como se muestra en la ilustración 1. El usuario crea la clave de recuperación o la contraseña de recuperación durante la inicialización de BitLocker. En el caso de que se produzca un intento de infracción de seguridad o un error del sistema, el usuario autorizado puede recuperar el acceso al volumen cifrado tras insertar la clave de recuperación o escribir la contraseña de recuperación.
BitLocker busca claves en el siguiente orden:
- Clave sin cifrado: se deshabilitó la comprobación de integridad del sistema y se puede obtener acceso a la clave maestra de volumen de BitLocker libremente. No es necesaria la autenticación.
- Clave de recuperación o clave de inicio (si está presente): si hay una clave de recuperación o una clave de inicio presente, BitLocker usará esta clave inmediatamente y no intentará desbloquear el volumen de otra manera.
- Autenticación
- TPM: el TPM valida correctamente los componentes de arranque iniciales para quitar el sello de la clave maestra de volumen.
- TPM y clave de inicio: el TPM valida correctamente los componentes de arranque iniciales y se ha insertado una unidad flash USB que contiene la clave de inicio correcta.
- TPM y NIP: el TPM valida correctamente los componentes de arranque iniciales y el usuario escribe el NIP correcto.
- TPM: el TPM valida correctamente los componentes de arranque iniciales para quitar el sello de la clave maestra de volumen.
- Recuperación
- Contraseña de recuperación: el usuario debe escribir la contraseña de recuperación correcta.
- Clave de recuperación: si ninguno de los pasos anteriores consigue desbloquear correctamente la unidad, se solicita al usuario que inserte una unidad flash USB con la clave de recuperación y que reinicie el equipo.
- Contraseña de recuperación: el usuario debe escribir la contraseña de recuperación correcta.
Volúmenes externos
Los volúmenes externos son volúmenes del sistema operativo que tenían BitLocker habilitado en otro equipo y que se han transferido a otro equipo con Windows Vista. Transferir un volumen externo a otro equipo con Windows Vista constituye un procedimiento rápido y sencillo para recuperar datos protegidos por BitLocker de un equipo averiado. La única operación de autenticación disponible en estos volúmenes es la recuperación, que requiere una clave de recuperación o una contraseña de recuperación. Para obtener más información acerca de la recuperación, consulte Recuperación del sistema.