La quantitat de dades sensibles que acumulem en ordinadors, portàtils i USB no ha parat de créixer: informes de treball, documentació legal, informació financera, historials mèdics, còpies de DNI… Tot això sol estar en discos que qualsevol podria llegir si s'emporta l'equip o si obté accés físic al dispositiu. I els exemples reals abunden: robatoris de portàtils amb desenes de milers de registres de pacients , memòries USB extraviades amb dades de mig municipi o empreses que acaben filtrant dades per no tenir els discos protegits.
La bona notícia és que avui el xifratge de disc és una mesura de seguretat bàsica, madura i relativament senzilla d'aplicar. Al Windows, BitLocker és l'opció nativa més coneguda, però ni és l'única ni sempre és la millor per a tots els escenaris. Anem a veure amb detall com funciona, què ofereix a nivell de seguretat, rendiment i gestió, i com es compara amb alternatives com VeraCrypt, FileVault, solucions empresarials (Symantec, ESET, ZENworks, Kaspersky) i altres eines de xifratge de fitxers i contenidors.
Què és el xifratge de disc i per què importa tant?
El xifratge de disc complet (FDE) consisteix a protegir tot el contingut d'una unitat (sistema, dades o discos externs) de manera que, si algú roba el dispositiu o el connecta a un altre ordinador, les dades segueixin sent il·legibles sense la clau adequada. És especialment útil per a portàtils, discos externs i memòries USB , que són els que més fàcilment es perden o roben.
Quan activem un sistema de FDE, el disc roman totalment xifrat mentre l'equip està apagat o bloquejat . Només en passar una autenticació (contrasenya, PIN, token, TPM, etc.) es carreguen les claus en memòria i el sistema pot llegir i escriure dades amb normalitat. Això sí, una vegada desbloquejat, el xifratge no et protegeix contra malware, spyware o intrusos que ja tenen sessió oberta , per això necessites igualment antivirus, antimalware i bones pràctiques.
A més de l'FDE, hi ha el xifratge a nivell d'arxiu (FLE o FBE) , que només xifra fitxers o carpetes concretes. Aquest enfocament és útil quan no compensa xifrar un disc sencer, o quan volem utilitzar contrasenyes o claus diferents en diferents conjunts de fitxers sensibles (per exemple, documentació legal separada de fitxers personals). L'inconvenient és la gestió de claus: és més flexible, però també és més fàcil embolicar-se i perdre el control.
Com funciona BitLocker a Windows?
BitLocker és la solució de xifrat de disc inclosa a les edicions professionals, empresarials i educatives de Windows (Windows 10/11 Pro, Enterprise, Education). Permet xifrar la unitat del sistema operatiu, discos de dades internes i unitats extraïbles (BitLocker To Go) usant principalment l'algorisme XTS-AES.
Un cop xifrada una unitat amb BitLocker, el contingut queda totalment ofuscat sense la clau de xifrat o la clau de recuperació . En arrencar el sistema o connectar el disc, es fa el procés d'autenticació previst; superat aquest punt, el sistema treballa “com si res”: llegeixes, escrius i executes programes amb normalitat, mentre el xifrat i desxifrat es fa en temps real en segon pla.
BitLocker pot emmagatzemar una clau de recuperació que serveix com a últim recurs si la contrasenya es perd o si alguna cosa canvia a l'equip (per exemple, modificacions de BIOS/UEFI, TPM o arrencada segura) i entra en mode de recuperació. En entorns domèstics aquesta clau sol guardar-se al compte Microsoft , mentre que a organitzacions s'emmagatzema a Active Directory o serveis com Microsoft Endpoint Manager per a una gestió centralitzada.
Integració de BitLocker amb TPM, UEFI i arrencada segura
Part de la força de BitLocker ve de la seva integració amb el TPM (Trusted Platform Module), UEFI i Secure Boot . Aquests elements treballen junts perquè les claus de xifratge estiguin protegides fins i tot davant d'atacs avançats amb accés físic a l'equip.
- TPM: és un xip dedicat, soldat a la placa base, pensat per a operacions criptogràfiques segures i emmagatzematge de claus. BitLocker “segella” la clau de xifrat al TPM, associada a un conjunt de mesuraments d'integritat (PCR). Si algú intenta modificar el microprogramari, el carregador o certs fitxers crítics, els mesuraments no quadren i el TPM es nega a alliberar la clau, fent que l'equip entri en mode de recuperació.
- UEFI + Arrencada segura: reemplaça la BIOS clàssica amb un entorn d'arrencada més avançat. Amb Secure Boot habilitat, només s'executa firmware, bootloaders i components signats i de confiança. BitLocker mesura (PCR, entre d'altres) components de l'arrencada segura per detectar canvis no autoritzats, impedint que bootkits o rootkits es colin a la cadena d'arrencada per robar les claus.
- Mitigació d'atacs de reinici (bit MOR): abans de carregar les claus en memòria, BitLocker aprofita les recomanacions de TCG per minimitzar el risc d'atacs que aprofiten la romanència de memòria RAM després d'un reinici brusc o apagat.
En resum, BitLocker està dissenyat perquè, encara que algú obri l'equip, canviï discos, manipuli la UEFI o intenti arrencar un SO alternatiu , no pugui enganyar el TPM perquè deixi anar la clau de xifrat associada a aquest entorn fiable original.
Mètodes d'autenticació de BitLocker i polítiques de seguretat
BitLocker suporta diversos models d'autenticació per desbloquejar la unitat del sistema en dispositius amb TPM compatible:
- Només TPM: l'escenari més còmode; l'usuari no introdueix res addicional. Si la validació del TPM i l'entorn d'arrencada és correcta, Windows arrenca i només cal introduir la contrasenya habitual de Windows. És còmode, però menys robust davant d'atacs amb accés físic, perquè no hi ha un segon factor.
- TPM + clau d'inici (USB): una part de la clau s'emmagatzema en un pendrive configurat com a “clau d'inici”. Sense aquest USB, no és possible desxifrar la unitat, encara que l'atacant té l'equip sencer.
- TPM + PIN: a més del TPM, l'usuari ha d'introduir un PIN a la fase de pre-arrencada. El TPM té proteccions davant de força bruta, de manera que el nombre d'intents de PIN és limitat. Aquest mode fa un salt important en seguretat davant d'accessos físics.
- TPM + USB + PIN: combinació multifactor: TPM, dispositiu físic i coneixement (PIN). És l'opció més resistent a atacs dirigits, molt interessant per a estacions de treball crítiques.
En equips sense TPM (o en certes configuracions), BitLocker permet també l' autenticació només amb contrasenya , especialment per a unitats de dades i dispositius externs. Tot i així, l'opció ideal en equips moderns és fer servir TPM i afegir un factor addicional (PIN o USB).
Per millorar la usabilitat en empreses amb molts dispositius protegits amb PIN, Microsoft ofereix Network Unlock : en xarxes preparades amb WDS, els equips amb BitLocker i TPM+PIN es poden desbloquejar automàticament en arrencar dins de la xarxa corporativa sense que l'usuari escrigui el PIN, reduint molèsties sense sacrificar tant la seguretat.
Protecció davant d'atacs físics i DMA a BitLocker
BitLocker aborda un ventall ampli de vectors d'atac físic, i la combinació de la configuració amb les polítiques de Windows permet reforçar o relaxar la seguretat segons el perfil de risc.
Entre les amenaces contemplades destaquen els atacs DMA (a través de ports que permeten accés directe a memòria, com Thunderbolt), la romanència de memòria , els bootkits/rootkits , l'intent d'enganyar el carregador, o l'explotació d' arxius de paginació, bolcats de memòria i hibernació.
- Ports DMA: Windows inclou directives per a bloquejar nous dispositius DMA mentre lequip està bloquejat. Això complica molt els atacs que intenten accedir a la RAM amb el sistema encara desbloquejat però sense supervisió. És recomanable activar la política “Deshabilitar nous dispositius DMA quan aquest ordinador estigui bloquejat” en entorns exigents.
- Remanència de memòria i suspensió: per defecte Windows utilitza el mode suspensió (S3), en què el contingut de la memòria es conserva i l'usuari no torna a passar per l'autenticació de BitLocker en reprendre. Per a equips d'alta seguretat és preferible forçar l'ús d'hibernació (S4) i desactivar els estats de suspensió clàssics mitjançant directives denergia; en hivernar, el disc torna a bloquejar-se i, en reprendre, s'exigeix PIN o clau d'inici.
- Bootkits i rootkits: es recomana utilitzar Secure Boot habilitat, contrasenya de BIOS/UEFI i, quan es pugui, tecnologies com Intel Boot Guard o AMD Hardware Verified Boot, que endureixen encara més la cadena d'arrencada. BitLocker comprova criptogràficament que el sistema operatiu que s'arrencarà és el previst; fins i tot si un atacant modifica la BCD per afegir un altre SO, no obtindrà la clau de BitLocker perquè les PCR i certs registres (com PCR11) no coincidiran.
- Arxius de paginació i bolcats: en xifrar la unitat del sistema, BitLocker protegeix automàticament el pagefile, els bolcats de memòria i el fitxer d'hibernació. A més, impedeix que el fitxer de paginació es mogui a volums no xifrats, reduint l'exposició de dades sensibles que s'hi puguin bolcar.
Depenent del tipus d'atacant a qui vulguem defensar-nos, podem ajustar la configuració: per a un atacant poc qualificat i amb accés físic limitat , n'hi ha prou amb el mode “només TPM”; per a un atacant amb temps, recursos i capacitat de soldar o utilitzar eines forenses , és molt més adequat un perfil amb TPM+PIN, sense suspensió, només hibernació o apagat quan l'equip no està sota control.
Disponibilitat, versions de Windows i xifratge de dispositiu
No tots els usuaris del Windows tenen accés ple a BitLocker. Les funcionalitats completes es troben a Windows 10/11 Pro, Enterprise i Education , tant per xifrar la unitat del sistema com unitats de dades internes i dispositius extraïbles. En canvi, Windows Home no inclou BitLocker complet.
En molts portàtils moderns amb Windows 10/11 Home hi ha una característica anomenada “Xifratge de dispositiu” . Aquesta funció, si el maquinari ho permet (TPM, UEFI, Secure Boot, etc.), xifra automàticament el dispositiu durant la configuració inicial , normalment associant les claus al compte Microsoft. No ofereix les mateixes opcions avançades que BitLocker (p. ex. autenticació de pre-arrencada), però proporciona una capa de seguretat bàsica en cas de robatori.
Per saber si el vostre equip suporta el xifratge de dispositiu podeu executar msinfo32 i revisar l'apartat “Device Encryption Support” per veure si tots els requisits apareixen com a “Meet”. Si no, és probable que necessitis una edició Pro o superior i configurar BitLocker manualment, o recórrer a solucions de tercers.
BitLocker i rendiment: impacte en SSD i Windows 11
El xifratge no surt de franc: requereix operacions criptogràfiques constants per llegir i escriure dades, i això, inevitablement, consumeix recursos. En equips moderns amb CPU que suporten acceleració per maquinari d'AES , l'impacte sol ser moderat, però els tests independents assenyalen que hi pot haver pèrdues notables de rendiment, especialment a SSD ràpids.
Proves recollides per mitjans especialitzats indiquen que, amb BitLocker habilitat, alguns SSD veuen reduccions de fins a un 40-50% en velocitats de lectura/escriptura seqüencials . Això és més visible en discos NVMe de gamma alta , on el coll d'ampolla es trasllada de la unitat al processador que xifra/desxifra les dades. A HDD tradicionals l'impacte existeix, però el mateix disc ja és molt més lent, així que la pèrdua relativa es nota menys.
En el context de Windows 11, i especialment amb la branca 24H2, hi ha hagut força soroll per caigudes de rendiment en SSD xifrades amb BitLocker . Microsoft ha anat introduint actualitzacions per optimitzar aquest comportament , però molts usuaris segueixen reportant penalitzacions clares. Qui prioritzi el màxim rendiment per a jocs, edició de vídeo o càrregues molt intensives d'E/S es pot plantejar desactivar el xifratge o fer-lo servir només en discs de dades concrets, valorant sempre el risc d'exposició de la informació.
BitLocker que s'activa “només” i problemes amb claus de recuperació
Un escenari més comú del que sembla és el d'usuaris que, després de canviar la configuració d'arrencada a BIOS/UEFI (per exemple, de Legacy a UEFI) o reinstal·lar Windows, es troben que un disc extern ha aparegut com a “xifrat amb BitLocker” sense que ells ho recordin haver activat . En alguns casos és perquè l'equip tenia habilitat el xifratge de dispositiu o es va activar alguna política durant una actualització.
El problema gros arriba quan no hi ha clau de recuperació disponible : ni al compte Microsoft, ni a còpies impreses ni a Active Directory. BitLocker està dissenyat precisament perquè, sense aquesta clau, el xifratge sigui irrompible a la pràctica. No hi ha cap comanda màgica, script generador de claus ni eina secreta de Microsoft que permeti recuperar les dades sense la clau correcta.
En altres paraules: si un disc apareix xifrat amb BitLocker i no hi ha clau de recuperació vàlida, contrasenya o mètode de desbloqueig conegut , la informació està perduda. Qualsevol servei o programa que prometi trencar el xifrat per força bruta en un temps raonable no és creïble , llevat que la contrasenya original fos absurdament feble. Per això és crucial, quan s'activa BitLocker, desar la clau de recuperació a diversos llocs segurs (compte Microsoft, impressió física guardada, gestor de contrasenyes corporatiu, etc.).
Alternatives a BitLocker per a usuaris domèstics i avançats
Encara que BitLocker és còmode i està integrat a Windows, no és l'única manera de protegir les dades. Hi ha solucions gratuïtes i de pagament, de codi obert i propietàries , que cobreixen des del xifratge de discos complets fins al xifratge de fitxers individuals o contenidors virtuals.
VeraCrypt: l'alternativa oberta i ultra flexible
VeraCrypt és un dels successors espirituals de TrueCrypt i, per a molts, la millor alternativa oberta a BitLocker . Està disponible a Windows, macOS i Linux i permet:
- Xifra unitats de sistema, discs de dades i unitats extraïbles, similar a BitLocker.
- Crear volums i contenidors xifrats que es munten com a unitats virtuals, on només el que es guarda dins està protegit.
- Configura volums ocults i sistemes operatius ocults, oferint plausibilitat de negació si algú força el lliurament duna contrasenya.
- triar entre múltiples algorismes de xifrat i hash, amb paràmetres molt ajustables.
La seva principal carta és que és open source i ha passat per nombroses auditories de seguretat , cosa que dóna tranquil·litat a usuaris paranoics o que desconfien del codi tancat de Microsoft. La part negativa és que la seva interfície pot resultar poc amigable al principi, i que no s'integra tan còmodament amb les eines d'administració corporativa com ara BitLocker. Tot i així, per a ús personal o de petits equips tècnics, és una opció potentíssima.
Eines senzilles de xifratge de fitxers i compressió xifrada
Si no necessites FDE, sinó protegir uns quants arxius o carpetes concretes , hi ha programes més lleugers i directes que BitLocker o VeraCrypt, com a alternatives modernes a WinRAR i 7-Zip :
- Cripta AES: integra una opció al menú contextual per xifrar/desencriptar un fitxer amb un xifrat AES-256 simplement indicant una contrasenya. Disponible per a Windows, macOS i Linux, és extremadament senzill per a usuaris que volen una mica de “clic dret i llest”.
- Compressors amb contrasenya (WinRAR, 7-Zip, WinZip, PeaZip…): permeten crear fitxers comprimits protegits amb contrasenya. En realitat el que fan és xifrar els continguts del fitxer comprimit. No és la solució més robusta ni la millor per a grans volums de dades, però és molt útil per a enviar fitxers puntuals xifrats per correu o pujar-los al núvol sense massa complicacions.
- Cryptomator: pensat per als que usen intensivament el núvol (OneDrive, Dropbox, Google Drive…). Crea una carpeta vinculada al servei on tots els fitxers es xifren localment amb AES-256 abans de pujar-hi. Al núvol només es veuen noms i continguts ofuscats, i es desxifren al client de Cryptomator amb la teva contrasenya.
- File Lock PEA, Easy File Locker, AxCrypt, Folder Guard, MyLockbox: cadascun amb el seu enfocament (xifrat fort, ocultació de fitxers, integració amb el núvol, control d'accés a carpetes o aplicacions…), ofereixen opcions addicionals quan vols més control granular que amb un simple xifrat de disc.
A la franja d'usuaris molt preocupats per la seguretat o amb coneixements avançats, GnuPG (GPG) destaca com a motor criptogràfic universal. Encara que per defecte es maneja des de la línia d'ordres, ofereix xifratge i signatura de dades i comunicacions molt versàtils , i amb frontends com GPG4Win es pot fer servir a Windows amb una interfície més amigable.
Xifrat nadiu a macOS, Linux i altres plataformes
No tot és Windows. En altres sistemes també hi ha opcions de xifrat de disc integrades i força madures que competeixen de tu a tu amb BitLocker:
- FileVault 2 (macOS): inclòs des de OS X 10.7, xifra el volum d'arrencada de Mac utilitzant XTS-AES-128 amb clau de 256 bits. Requereix credencials d'un compte autoritzat o el clau de recuperació, que es pot emmagatzemar a iCloud per facilitar el seu rescat. A més, les còpies de seguretat amb Time Machine poden heretar o complementar aquest xifratge.
- LUKS (Linux): estàndard de facto al món Linux per xifrat de disc complet (sovint combinat amb dm-crypt). Permet xifrar particions, discs complets o volums lògics, i s'integra bé amb carregadors com GRUB.
- EncFS + FUSE: crea sistemes de fitxers xifrats en espai d'usuari, muntables a Linux, BSD, macOS, Windows i fins i tot Android a través de FUSE. És còmode per crear directoris xifrats portàtils amb suport de comunitat activa a GitHub.
També hi ha solucions híbrides com LibreCrypt per a Windows (amb suport parcial a Linux), que ofereix un xifrat de disc transparent i creació de contenidors fàcil d'usar, i suporta targetes intel·ligents i tokens per a autenticació.
Solucions empresarials: més enllà de BitLocker
En entorns corporatius mitjans i grans, on cal gestió centralitzada de polítiques, claus i estats de xifrat , es recorre sovint a eines comercials que amplien o substitueixen BitLocker.
- ESET Full Disk Encryption (part d'ESET Protect Elite): permet xifrar discs durs, unitats portàtils i correus electrònics amb AES-256 i s'integra amb consoles d'administració per gestionar claus, estats i polítiques, tant a desplegaments locals com al núvol.
- Symantec Encryption (Broadcom): ofereix xifrat de disc complet amb integració TPM, autenticació prèvia a l'arrencada, xifrat de mitjans extraïbles i correu electrònic. Disposa de múltiples mètodes de recuperació, suport de targetes intel·ligents, SSO i funcionalitats de xifratge a nivell de fitxer per a una protecció d'extrem a extrem.
- ZENworks Full Disk Encryption (Micro Focus / OpenText): pensat per a organitzacions que volen gestionar AES-256 de forma centralitzada. Permet autenticació prèvia a l'arrencada amb usuari/contrasenya o targeta intel·ligent, polítiques remotes i una consola per a gestionar claus i desbloquejos sense necessitat dintervenció local.
- Kaspersky Endpoint Security – Xifrat de disc i BitLocker: Kaspersky ofereix el seu propi xifrat de disc amb Agent d'Autenticació (amb opcions de SSO, comptes d'agent, suport de tokens i targetes intel·ligents, etc.) i també la capacitat de gestionar BitLocker des de Kaspersky Security Center, incloent recuperació de claus mestres, polítiques de xifratge i modes d'autenticació.
En solucions com la de Kaspersky, és possible triar entre Xifratge de disc de Kaspersky i xifrat d'unitat BitLocker , ajustant paràmetres com: xifrar tots els discs o no canviar-los, xifrar només l'espai usat, utilitzar o no xifrat de maquinari, definir quins comptes es creen a l'agent d'autenticació, requerir molt PIN o contra. L'important en aquests casos és que la consola central guardi i gestioni bé les claus mestres per evitar bloquejos massius si els usuaris obliden les contrasenyes.
Al final, les organitzacions han d'avaluar per si mateixes, amb proves pilot, quina solució encaixa millor amb la infraestructura, les polítiques de compliment i la tolerància al bloqueig de proveïdor . BitLocker sol ser una aposta sòlida per a flotes Windows, però no sempre cobreix totes les casuístiques multiplataforma.
Vistes totes aquestes opcions, l'eina ideal depèn molt de l'escenari: per a usuaris de Windows amb edició Pro, BitLocker sol ser la forma més directa i transparent de blindar un portàtil o un disc extern ; per als que busquen control absolut i transparència del codi, VeraCrypt i altres solucions obertes aporten un plus de tranquil·litat; a empreses, les suites de xifrat corporatiu faciliten la gestió de milers d'equips i claus de recuperació sense tornar-se bojos.
En qualsevol cas, el que és clar és que deixar avui un disc ple de dades sensibles sense xifrar és, senzillament, donar massa facilitats a qualsevol que aconsegueixi posar-li les mans a sobre. Comparteix aquesta informació i ajuda a altres usuaris sàpiguen sobre el tema.