O BitLocker é um recurso de criptografia de disco incluído nas versões do Microsoft Windows a partir do Windows Vista, sendo projetado para proteger os dados da memória interna de computadores, fornecendo criptografia para volumes inteiros. Por padrão, ele usa o algoritmo Advanced Encryption Standard (AES) em cipher-block chainin (CBC) ou no modo "xor-encrypt-xor (XEX)" com uma chave de 128 bits ou 256 bits. O CBC não é usado em todo o disco, ele é aplicado a cada setor individual.

História A ideia do BitLocker foi publicada como parte do "Next-Generation Secure Computing Base" da Microsoft em 2004, como um recurso provisoriamente denominado "Cornerstone" e foi projetado para proteger informações em dispositivos, especialmente em caso de perda ou roubo. Outro recurso, intitulado "Code Integrity Rooting", foi projetado para validar a integridade do sistema de inicialização do Microsoft Windows e dos arquivos do sistema. Quando usado em conjunto com um Trusted Platform Module (TPM) compatível, o BitLocker pode validar a integridade da inicialização e do sistema de arquivos antes de descriptografar um volume protegido; uma validação malsucedida impedirá o acesso a um sistema protegido. O BitLocker foi brevemente chamado de "Secure Startup" antes do lançamento do Windows Vista para fabricação. O BitLocker está disponível em:

Edições Enterprise e Ultimate do Windows Vista e do Windows 7 Edições Pro e Enterprise do Windows 8 e 8.1 Windows Embedded Standard 7 e Windows Thin PC Windows Server 2008 e posteriores Edições Pro, Enterprise e Education do Windows 10 Edições Pro, Enterprise e Education do Windows 11

Funcionalidades No começo, a interface gráfica do BitLocker no Windows Vista só podia criptografar o volume do sistema operacional. A partir do Windows Vista com Service Pack 1 e do Windows Server 2008, volumes diferentes do volume do sistema operacional podiam ser criptografados usando a ferramenta gráfica. Mesmo assim, algumas funcionalidades do BitLocker (como ativar ou desativar o bloqueio automático) tinham que ser gerenciados por meio de uma ferramenta de linha de comando chamada manage-bde.wsf. A versão do BitLocker incluída no Windows 7 e no Windows Server 2008 2° versão adiciona a capacidade de criptografar unidades removíveis. No Windows XP ou Windows Vista, o acesso somente leitura a essas unidades pode ser feito por meio de um programa chamado BitLocker To Go Reader, se a unidade estiver usando o sistema de arquivos FAT16, FAT32 ou exFAT. Além disso, uma nova ferramenta de linha de comando chamada manage-bde substituiu o manage-bde.wsf. A partir do Windows Server 2012 e do Windows 8, a Microsoft adicionou ao BitLocker a especificação Microsoft Encrypted Hard Drive, que permite que as operações de criptografia do BitLocker sejam transferidas para o hardware do dispositivo de armazenamento, por exemplo, unidades de criptografia automática. Além disso, o BitLocker agora pode ser gerenciado por meio do Windows PowerShell. Finalmente, o Windows 8 introduziu o Windows To Go em sua edição Enterprise, que pode ser protegido pelo BitLocker.

Criptografia de dispositivo O Windows Mobile 6.5, o Windows RT e as edições principais do Windows 8.1 incluem criptografia de dispositivo, uma versão com recursos limitados do BitLocker que criptografa todo o sistema. Fazer login com uma conta Microsoft com privilégios administrativos inicia automaticamente o processo de criptografia. A chave de recuperação é armazenada na conta Microsoft ou no Active Directory (o Active Directory requer edições Pro do Windows), permitindo que ela seja recuperada de qualquer computador. Embora a criptografia de dispositivo seja oferecida em todas as edições do Windows 8.1, diferentemente do BitLocker, ela exige que o dispositivo atenda às especificações do InstantGo (anteriormente Connected Standby ), que requerem unidades de estado sólido e um chip TPM 2.0. A partir do Windows 10 1703, os requisitos para criptografia de dispositivos mudaram, exigindo um módulo TPM 1.2 ou 2.0 com suporte a PCR 7, UEFI Secure Boot e que o dispositivo atenda aos requisitos da Modern Standby ou a validação HSTI. Os requisitos para a criptografia do dispositivo foram simplificados no Windows 11 24H2, com o Modern Standby, HSTI e o Secure Boot não mais necessários e o bloqueio de interfaces DMA removido. E a criptografia de dispositivo será ativada por padrão numa instalação limpa do Windows 11 24H2, chamada de auto device encryption. Em setembro de 2019 uma nova atualização foi lançada (KB4516071) mudando a configuração padrão do BitLocker quando encriptanzdo uma unidade. Agora, o padrão é usar criptografia de software para os novas unidades, sendo isso devido a falhas com a ciptografia de hardware e preocupações de segurança relacionadas a esses problemas.

Modos de criptografia 3 mecanismos de autenticação podem ser usados para construir os blocos implementados na criptografia do BitLocker:

Modo de operação transparente: Esse modo usa as capacidades do hardware TPM 1.2 para prover uma experiência de usuário transparente — o usuário liga o computador e loga no Windows como sempre. A chave usada para a criptografia de disco é guardada (de forma criptografada) pelo chip TPM e será revelado apenas se os arquivos de boot parecerem não ter sido modificados. Os componentes pré-SO do BitLocker conseguem isso implementando um Medição Estática de Raiz de Confiança — uma metodologia especificada pelo Trusted Computing Group (TCG). Esse modo é vulnerável a um cold boot attack, já que isso permite atacante ligue uma máquina desligada. Ele também é vulnerável a um sniffing attack, já que a chave de criptografia do volume é transferida como texto simples da TPM para a CPU durante o processo de boot. Modo de autenticação: Esse modo requer que o usuário de algum tipo de autenticação pré-boot na forma de um PIN ou senha. Modo de chave USB: O usuário deve inserir um dispositivo USB que contém uma chave inicializadora no computador para poder ligá-lo. Note que esse modo requer que a BIOS na máquina protegida suporte ler dispositivos USB antes do sistema ligar. BitLocker não suporta cartões inteligentes como autenticação pré-boot. As seguintes combinações dos mecanismos de autenticação acima são suportados, todas com uma chave de recuperação escrow opcional.

TPM apenas TPM + PIN TPM + PIN + Chave USB TPM + Chave USB Chave USB Senha apenas

Problemas reportados A proteção BitLocker pode ser contornada colocando arquivos FsTx especialmente criados em uma unidade USB ou partição EFI, também conhecida como CVE-2026-45585: YellowKey BitLocker Bypass.

Referências