Recuperación del sistema
Recuperación del sistema
Existen diversos escenarios que pueden desencadenar un proceso de recuperación, por ejemplo:
- Traslado de la unidad protegida con BitLocker a un equipo nuevo.
- Instalación de una nueva placa base con un nuevo TPM.
- Desactivación, deshabilitación o retirada del TPM.
- Actualización del BIOS
- Actualización de componentes de arranque iniciales básicos que provoca errores en la comprobación de integridad del sistema.
- Olvido del NIP cuando la autenticación con NIP está habilitada.
- Pérdida de la unidad flash USB que contiene la clave de inicio cuando la autenticación con clave de inicio está habilitada.
Un administrador también puede desencadenar la recuperación como mecanismo de control de acceso (por ejemplo, mientras se vuelve a implementar un equipo). Un administrador puede decidir bloquear una unidad cifrada y requerir que los usuarios obtengan información de recuperación de BitLocker para desbloquear la unidad.
Si BitLocker pasa al modo de recuperación, los datos del volumen cifrado se pueden recuperar mediante un proceso que requiere una configuración mínima. Para obtener información detallada, consulte la Guía paso a paso del Cifrado de unidad BitLocker de Windows (https://go.microsoft.com/fwlink/?LinkID=53779, puede estar en inglés)
Configuración para la recuperación
Mediante la directiva de grupo, un administrador de TI puede elegir los métodos de recuperación que se requerirán, negarán o harán opcionales para los usuarios que habiliten BitLocker. La contraseña de recuperación se puede almacenar en los Servicios de dominio de Active Directory (AD DS), y el administrador puede hacer que esta opción sea obligatoria, prohibida u opcional para cada usuario del equipo. Asimismo, los datos de recuperación se pueden almacenar en una unidad flash USB.
Escenarios de recuperación
En BitLocker, la recuperación consiste en descifrar una copia de la clave maestra de volumen por medio de una clave de recuperación almacenada en una unidad flash USB o una clave criptográfica derivada de una contraseña de recuperación. El TPM no está involucrado en ningún escenario de recuperación, de modo que ésta sigue siendo posible si el TPM no se puede validar durante la comprobación de los componentes de arranque, no funciona correctamente o se quita.
Contraseña de recuperación
La contraseña de recuperación es un número de 48 dígitos generado aleatoriamente que se puede crear durante la configuración de BitLocker. Si el equipo pasa al modo de recuperación, se solicitará al usuario que escriba esta contraseña con las teclas de función (F0 a F9). La contraseña de recuperación se puede administrar y copiar después de habilitar BitLocker. Mediante el panel de control de BitLocker, la contraseña de recuperación se puede imprimir o guardar en un archivo para usarla más adelante.
Un administrador de dominio puede configurar la directiva de grupo para que genere contraseñas de recuperación automáticamente y cree copias de seguridad de las mismas de forma transparente en AD DS tan pronto como se habilite BitLocker. El administrador de dominio también puede elegir impedir que BitLocker cifre una unidad a menos que el equipo esté conectado a la red y que la copia de seguridad de la contraseña de recuperación en AD DS sea correcta.
Clave de recuperación
La clave de recuperación se puede crear y guardar en una unidad flash USB durante la configuración de BitLocker; también se puede administrar y copiar después de habilitar BitLocker. Si el equipo pasa al modo de recuperación, se solicitará al usuario que inserte la clave de recuperación en el equipo.