Cómo usar una llave USB para desbloquear una PC cifrada con BitLocker
Habilite el cifrado de BitLocker, y Windows desbloqueará automáticamente su unidad cada vez que inicie su computadora usando el TPM integrado en la mayoría de las computadoras modernas. Pero puede configurar cualquier unidad flash USB como una "clave de inicio" que debe estar presente en el arranque antes de que su computadora pueda descifrar su unidad e iniciar Windows.
Esto agrega efectivamente la autenticación de dos factores al cifrado de BitLocker. Cada vez que inicie su computadora, deberá proporcionar la llave USB antes de que se descifre. Esto sería particularmente útil con un pequeño dispositivo USB que llevas contigo en un llavero..
Paso uno: habilitar BitLocker (si aún no lo has hecho)
Esto, obviamente, requiere el cifrado de la unidad BitLocker, lo que significa que solo funciona en las ediciones Professional y Enterprise de Windows. Antes de poder seguir cualquiera de los pasos a continuación, deberá habilitar el cifrado de BitLocker en la unidad de su sistema desde el Panel de control..
Si se sale de su camino para habilitar BitLocker en una PC sin un TPM, puede elegir crear una clave de inicio USB como parte del proceso de configuración. Esto se utilizará en lugar del TPM. Los siguientes pasos solo son necesarios al habilitar BitLocker en computadoras con TPM, que la mayoría de las computadoras modernas tienen.
Si tiene una versión Home de Windows, no podrá usar BitLocker. Es posible que tenga la función de cifrado de dispositivo en su lugar, pero esto funciona de manera diferente a BitLocker y no le permite proporcionar una clave de inicio.
Paso dos: habilitar la clave de inicio en el editor de políticas de grupo
Una vez que haya habilitado BitLocker, deberá habilitar el requisito de la clave de inicio en la política de grupo de Windows. Para abrir el Editor de políticas de grupo, presione Windows + R en su teclado, escriba "gpedit.msc" en el cuadro de diálogo Ejecutar y presione Entrar.
Configuración de la computadora a la computadora> Plantillas administrativas> Componentes de Windows> Cifrado de unidad BitLocker> Unidades del sistema operativo en la ventana Directiva de grupo.
Haga doble clic en la opción "Requerir autenticación adicional al inicio" en el panel derecho.
Seleccione "Habilitado" en la parte superior de la ventana aquí. Luego, haga clic en el cuadro debajo de "Configurar clave de inicio de TPM" y seleccione la opción "Requerir clave de inicio con TPM". Haga clic en "Aceptar" para guardar sus cambios.
Paso tres: configura una clave de inicio para tu unidad
Ahora puedes usar el administrar-bde comando para configurar una unidad USB para su unidad cifrada con BitLocker.
Primero, inserte una unidad USB en su computadora. Tenga en cuenta la letra de la unidad USB-D: en la captura de pantalla a continuación. Windows guardará un pequeño archivo .bek en la unidad y así se convertirá en su clave de inicio.
A continuación, inicie una ventana del símbolo del sistema como administrador. En Windows 10 u 8, haga clic con el botón derecho en el botón Inicio y seleccione "Símbolo del sistema (Admin)". En Windows 7, busque el acceso directo "Símbolo del sistema" en el menú Inicio, haga clic derecho y seleccione "Ejecutar como administrador"
Ejecute el siguiente comando. El siguiente comando funciona en su unidad C :, por lo que si desea solicitar una clave de inicio para otra unidad, ingrese su letra de unidad en lugar de do: . También deberá ingresar la letra de la unidad USB conectada que desea usar como clave de inicio en lugar de X: .
manage-bde -protectors -add c: -TPMAndStartupKey x:
La clave se guardará en la unidad USB como un archivo oculto con la extensión de archivo .bek. Se puede ver si se muestran archivos ocultos..
Se le pedirá que inserte la unidad USB la próxima vez que arranque su computadora. Tenga cuidado con la clave: alguien que copia la clave de su unidad USB puede usar esa copia para desbloquear su unidad cifrada con BitLocker.
Para verificar si el protector TPMAndStartupKey se agregó correctamente, puede ejecutar el siguiente comando:
administrar-bde -estatus
(El protector de clave de "Contraseña numérica" que se muestra aquí es su clave de recuperación).
Cómo eliminar el requisito de clave de inicio
Si cambia de opinión y desea dejar de requerir la clave de inicio más tarde, puede deshacer este cambio. Primero, vuelva al editor de políticas de grupo y cambie la opción de nuevo a "Permitir clave de inicio con TPM". No puede dejar la opción configurada en "Requerir clave de inicio con TPM" o Windows no le permitirá eliminar el requisito de clave de inicio de la unidad.
A continuación, abra una ventana del símbolo del sistema como Administrador y ejecute el siguiente comando (nuevamente, reemplazando do: Si está utilizando un disco diferente):
administrar-bde -protectores -add c: -TPM
Esto reemplazará el requisito de "TPMandStartupKey" con un requisito de "TPM", eliminando el PIN. Su unidad BitLocker se desbloqueará automáticamente a través del TPM de su computadora cuando arranque.
Para verificar que esto se haya completado correctamente, ejecute el comando de estado nuevamente
manage-bde -status c:
Intenta reiniciar tu computadora primero. Si todo funciona correctamente y su computadora no requiere la unidad USB para arrancar, puede formatear la unidad o simplemente eliminar el archivo BEK. También puedes dejarlo en tu disco; ese archivo ya no hará nada..
Si pierde la clave de inicio o elimina el archivo .bek de la unidad, deberá proporcionar el código de recuperación de BitLocker para la unidad del sistema. Debería haber guardado en un lugar seguro cuando habilitó BitLocker para la unidad del sistema.
Crédito de la imagen: Tony Austin / Flickr
