Microsoft almacena su clave de cifrado de dispositivo de Windows 10 en OneDrive

Microsoft encripta automáticamente su nuevo dispositivo Windows y almacena la clave de cifrado de dispositivo de Windows 10 en OneDrive, cuando inicia sesión con su cuenta de Microsoft. Este post habla de por qué Microsoft hace esto. También veremos cómo eliminar esta clave de cifrado y generar su propia clave, sin tener que compartirla con Microsoft.

Clave de cifrado de dispositivo de Windows 10

Si compró una nueva computadora con Windows 10 e inició sesión con su cuenta de Microsoft, su dispositivo será cifrado por Windows y la clave de cifrado se almacenará automáticamente en OneDrive. Esto no es nada nuevo y se ha presentado desde Windows 8, pero recientemente se han planteado ciertas cuestiones relacionadas con su seguridad.

Para que esta característica esté disponible, su hardware debe admitir el modo de espera conectado que cumple con el Kit de certificación de hardware de Windows (HCK) requisitos para TPM y SecureBoot en sistemas ConnectedStandby. Si su dispositivo admite esta característica, verá la configuración en Configuración> Sistema> Acerca de. Aquí puede apagar o activar el cifrado del dispositivo.

El cifrado del disco o del dispositivo en Windows 10 es una muy buena característica que está activada por defecto en Windows 10. Lo que hace esta característica es que encripta su dispositivo y luego almacene la clave de cifrado en OneDrive, en su cuenta de Microsoft.

El cifrado del dispositivo se habilita automáticamente para que el dispositivo esté siempre protegido, dice TechNet. La siguiente lista describe la forma en que se realiza esto:

1. Cuando se completa una instalación limpia de Windows 8.1 / 10, la computadora está preparada para su primer uso. Como parte de esta preparación, el cifrado del dispositivo se inicializa en la unidad del sistema operativo y se fijan las unidades de datos en la computadora con una tecla clara.
2. Si el dispositivo no está unido al dominio, una cuenta de Microsoft que tiene privilegios administrativos en el dispositivo es requerido. Cuando el administrador usa una cuenta de Microsoft para iniciar sesión, se elimina la clave de borrar, se carga una clave de recuperación a la cuenta de Microsoft en línea y se crea el protector de TPM. Si un dispositivo requiere la clave de recuperación, el usuario será guiado para usar un dispositivo alternativo y navegar a una URL de acceso de clave de recuperación para recuperar la clave de recuperación usando sus credenciales de cuenta de Microsoft.
3. Si el usuario inicia sesión con una cuenta de dominio, la clave clara no se elimina hasta que el usuario se une al dispositivo a un dominio y la clave de recuperación se respalda correctamente en Servicios de dominio de Active Directory.

Esto es diferente de BitLocker, donde se requiere iniciar Bitlocker y seguir un procedimiento, mientras que todo esto se hace automáticamente sin el conocimiento o la interferencia del usuario de la computadora. Cuando activa BitLocker, se ve obligado a realizar una copia de seguridad de su clave de recuperación, pero tiene tres opciones: guardarla en su cuenta de Microsoft, guardarla en una memoria USB o imprimirla.

Según un investigador:

Tan pronto como su clave de recuperación abandone su computadora, no podrá saber su destino. Un hacker podría haber pirateado su cuenta de Microsoft y puede hacer una copia de su clave de recuperación antes de que tenga tiempo para eliminarla. O Microsoft podría ser hackeado, o podría haber contratado a un empleado deshonesto con acceso a los datos del usuario. O una agencia policial o de espionaje podría enviar a Microsoft una solicitud de todos los datos en su cuenta, lo que obligaría legalmente a entregar su clave de recuperación, lo que podría hacer incluso si lo primero que hace después de configurar su computadora es eliminarla.

En respuesta, Microsoft tiene esto que decir:

Cuando un dispositivo entra en modo de recuperación y el usuario no tiene acceso a la clave de recuperación, los datos en la unidad se volverán permanentemente inaccesibles. De acuerdo con la posibilidad de este resultado y una amplia encuesta de comentarios de los clientes, elegimos hacer una copia de seguridad automática de la clave de recuperación del usuario. La clave de recuperación requiere acceso físico al dispositivo del usuario y no es útil sin ella.

Por lo tanto, Microsoft decidió respaldar automáticamente las claves de cifrado en sus servidores para garantizar que los usuarios no pierdan sus datos si el dispositivo ingresa al modo de Recuperación y no tienen acceso a la clave de recuperación.

Entonces, para que esto ocurra característica que se va a explotar, un atacante debe poder obtener acceso tanto a la clave de cifrado respaldada como a obtener acceso físico a su dispositivo informático. Dado que esto parece una posibilidad muy rara, creo que no hay necesidad de volverse paranoico sobre esto. Solo asegúrate de haber protegido completamente tu cuenta de Microsoft y de dejar la configuración de encriptación del dispositivo en sus valores predeterminados.

Sin embargo, si deseas eliminar esta clave de cifrado de los servidores de Microsoft, aquí tienes cómo hacerlo.

Cómo eliminar la clave de cifrado

No hay forma de evitar que un nuevo dispositivo Windows cargue su clave de recuperación la primera vez que inicie sesión en su cuenta Microsoft, pero puede eliminar la clave cargada.

Si no quiere que Microsoft almacene su clave de cifrado en la nube, tendrá que visitar esta página de OneDrive y eliminar la clave . Luego deberá desactivar la función de cifrado de disco . Tenga en cuenta que, si hace esto, no podrá usar esta función integrada de protección de datos en caso de extravío o robo de su computadora.

Cuando elimine su clave de recuperación de su cuenta en este sitio web, se eliminará inmediatamente, y las copias almacenadas en sus unidades de copia de seguridad también se eliminan en breve también.

La contraseña de la clave de recuperación se elimina inmediatamente del perfil en línea del cliente. A medida que las unidades que se utilizan para conmutación por error y copia de seguridad se sincronizan con los datos más recientes, las claves se eliminan, dice Microsoft.

Cómo generar su propia clave de codificación

Los usuarios de Windows 10 Pro y Enterprise pueden generar nueva encriptación claves que nunca se envían a Microsoft. Para eso, primero deberá desactivar BitLocker para descifrar el disco y luego volver a encender BitLocker. Al hacer esto, se le preguntará dónde desea hacer una copia de seguridad de la Clave de Recuperación de Cifrado de Unidad BitLocker. Esta clave no se compartirá con Microsoft, pero asegúrese de mantenerla de manera segura, ya que si la pierde, puede perder acceso a todos sus datos encriptados.