Aprende a cifrar un pendrive USB o disco duro externo con la herramienta gratuita nativa de Windows BitLocker (sin TPM) o programas de terceros como VeraCrypt (sucesor de TrueCrypt), o bien usando LUKS en Linux y FileVault en MacOS. Varios soluciones usando software, aunque recordemos que también  algunas memorias USB, (varios modelos) utilizan cifrado por hardware, aunque no es lo más habitual.

Los discos duros externos y los dispositivos USB son la manera perfecta de poder llevarnos en nuestros viajes todos nuestros archivos importantes. Pero cuando estos archivos son personales y privados es posible que no quieras que nadie pueda acceder a ellos en caso de que se te pierda el USB o te lo quiten de alguna manera.

Debemos evitar almacenar información sensible sin cifrar que pueda perjudicar nuestra privacidad o la de otros, ¿qué pasaría si el servicio en la nube sufriese un “hackeo”? Por ello, es tan importante que mantengamos la información cifrada.

Introducción

¿Qué es el cifrado?

Cifrar un fichero consiste en hacer ilegible un fichero haciendo uso de un algoritmo (procedimiento o método) y una clave secreta que solo nosotros conocemos. De este modo, si alguien consigue el fichero, no podrá ver su contenido si no está en posesión de la clave de descifrado.

Este tipo de procedimiento, cifrar la información, es muy común que lo utilicen organizaciones tanto privadas como públicas para salvaguardar la privacidad de los datos que manejan ya que en caso de que se produzca una fuga de información, ésta será inaccesible para cualquiera sin la clave de descifrado.

¿Por qué se debe cifrar la información?

• Proteger nuestra información personal. En nuestros dispositivos hay una serie de datos almacenados que son muy importantes tanto a nivel personal como financiero, empresarial, etc. y como no es posible garantizar al 100% que nadie acceda a nuestro sistema y los coja, la forma de que sigan siendo privados es tenerlos cifrados.
• Almacenamiento externo. Hoy día no es extraño tener un móvil, tablet o portátil, en los cuales tenemos almacenada información privada importante. Además, muchos de estos dispositivos tienen memorias extraíbles como microSD o unidades de almacenamiento USB, lo que facilita que otras personas puedan robar ese soporte de memoria sin que nosotros nos percatemos, poniendo en riesgo la información almacenada ahí.
• Almacenamiento en la nube. Los servicios de almacenamiento en la nube, a cambio de aceptar sus políticas y condiciones de uso, que generalmente los usuarios no leemos, nos permite alojar gratuitamente información en sus sistemas de almacenamiento. Algunos de estos sistemas puede que no protejan nuestra privacidad tanto como nos gustaría (no cifran la información). A esto le podemos sumar el riesgo de posibles fugas de información (intrusiones no autorizadas en sus sistemas). ¿Cuál es la solución? Cifrar la información antes de subirla a la nube, así aunque caiga en malas manos, nadie podrá acceder a su contenido.

Diferencias entre cifrado simétrico y asimétrico

Herramientas para cifrar con contraseña un disco duro externo o pendrive

• VeraCrypt
• DiskCryptor
• RoHos Mini Drive
• USB Safeguard

Protege los datos de tus pendrives USB cifrándolos con Windows Bitlocker

Un pendrive USB es una herramienta muy útil para llevar nuestros datos de un sitio para otro cómodamente, pero lamentablemente debido a su tamaño es muy fácil perderlo o que nos lo roben, por lo que los datos que contiene estarán siempre en peligro. En este artículo vamos a enseñarte a cifrar un pendrive o disco duro USB, de manera que los datos no puedan ser accesibles por terceras personas, y así salvaguardar la información.

La manera nativa de cifrar unidades externas en Windows tiene un nombre: BitLocker. Se trata de una herramienta desarrollada por Microsoft que suele venir preinstalada en casi todas las versiones de su sistema operativo, pero que de no ser así puedes conseguir en su página de descarga, donde tienes para bajarte sus versiones de 32 y 64 bits. 

• https://www.microsoft.com/es-es/download/details.aspx?id=7806

BitLocker

Windows 10 Pro (la versión Home no lo tiene) integra una herramienta llamada Bitlocker, y que nos permitirá de manera gratuita cifrar los datos de un pendrive USB. Vamos a ver los pasos a seguir para proceder con el cifrado, que es válido para pendrives USB, discos duros externos o incluso el disco del sistema (aunque nos vamos a centrar en un pendrive USB en este caso).

Tras seleccionar «Activar BitLocker» se iniciará un asistente que primero analizará la unidad para ver si es compatible, y acto seguido nos preguntará por el método de cifrado que queremos utilizar. En este caso lo más normal es utilizar una protección mediante contraseña, así que hay que seleccionar esta opción e introducir la contraseña que queramos dos veces.

Tras pulsar en siguiente, nos preguntará que cómo queremos realizar una copia de seguridad de la clave de recuperación. La recomendación es imprimirla y guardarla en un lugar seguro, pero también podemos guardarla en la cuenta de Microsoft o en un archivo TXT. Tras hacer la opción que queramos, pulsamos siguiente para continuar.

Tras hacerlo, el asistente nos preguntará qué cantidad de la unidad deseamos cifrar, pudiendo escoger entre cifrar solo el espacio ocupado o cifrar la unidad entera. Cifrar solo el espacio ocupado es más rápido inicialmente, pero luego tardará más cuando queramos hacer modificaciones a la unidad, así que la recomendación es cifrar la unidad entera.

Elegir entre dos opciones de cifrado. 

• Cifrar sólo el espacio utilizado (más rápido)
• Cifra por completo el disco duro más lento. La diferencia fundamental es que la opción más lenta y completa cifrará también los datos que puedas haber borrado pero aún pueden ser recuperados. Elige la que prefieras y pulsa Siguiente.

Esto te llevará a una nueva ventana con otras dos opciones más para elegir el modo de cifrado.

1. a. Modo de cifrado nuevo. Está pensado para unidades fijas de un único dispositivo como puedan ser discos duros que están en el interior de tu portátil.
2. b. Modo Compatible. Tendrás que elegir si quieres que el USB que vas a cifrar pueda utilizarse en otros ordenadores Windows. y por lo tanto Es la opción más recomendable.

• Modo de cifrado nuevo El primero está pensado para unidades fijas de un único dispositivo, como puedan ser discos duros que están en el interior de tu portátil o torre. 
• Modo Compatible es el que tendrás que elegir si quieres que el USB o disco duro que vas a cifrar pueda utilizarse en otros ordenadores con Windows, y por lo tanto es el más recomendable. 

Ahora nos preguntará por el modo de cifrado. El modo de cifrado nuevo requiere cierta versión de Windows (es XTS-AES) y la recomiendan solo si vamos a usar ese pendrive USB en ese ordenador, así que lo mejor es usar el modo compatible por si queremos llevar el pendrive USB con nosotros y poder utilizarlo en cualquier parte.

Incompatibilidades

Por defecto, Windows 10 utiliza un algoritmo XTS-AES para cifrar los datos con Bitlocker. Este algoritmo ofrece un alto rendimiento y cuenta con funciones y sistemas para garantizar la integridad de los datos. El problema de este algoritmo es que no es compatible con las versiones anteriores de Windows. Por ello, si queremos la máxima compatibilidad es necesario cambiar el cifrado de Bitlocker para usar otros algoritmos diferentes, como AES-CBC.

Una vez que termine, cada vez que introduzcamos el pendrive en un PC nos pedirá la contraseña para poder acceder a él. Si en algún momento queremos desactivar Bitlocker para dejar la unidad sin proteger, tan solo tendremos que volver a pulsar sobre Bitlocker en el menú del principio, seleccionar «Administrar BitLocker» y seleccionar «Descifrar unidad».

Herramientas como Bitlocker en plataformas Microsoft, Bestcrypt, Mcafee Endpoint Encryption y algunas otras, soportan el uso de TPM. En cambio, en el caso de TrueCrypt, el desarrollador ha optado por no soportarlo. 

En caso de utilizar TPM sin PIN, es decir, que el sistema operativo arranque de forma transparente, debemos tener en cuenta que podemos ser potencialmente vulnerables a mecanismos de recuperación de la clave como pueden ser Cold Boot, Secuestro del Arranque o ataques mediante vulnerabilidades de Firewire (que pueden llevar a que un potencial intruso consiga nuestras claves directamente de la memoria del ordenador).

No olvidemos que estos problemas son comunes a prácticamente todas las herramientas de cifrado de disco y no son exclusivas de Bitlocker.

En caso de no contar con TPM en el equipo siempre podríamos introducir la contraseña cada vez que el sistema operativo inicie (cosa que es incluso recomendable desde el punto de vista de mayor confidencialidad)

Protección TPM de BitLocker

La protección que brindan los chips TPM a los volúmenes de BitLocker y analizaremos las vulnerabilidades que se encuentran en los módulos TPM actuales.

¿Qué es TPM?

Trusted Platform Module (TPM) es un estándar para un criptoprocesador seguro, un microcontrolador dedicado diseñado para proteger el hardware a través de claves criptográficas integradas. A nivel físico, el TPM puede implementarse como un chip integrado, un módulo adicional que se puede instalar en una ranura de la placa base del escritorio o como un emulador virtual (la tecnología Intel PTT).

Ejemplos:

• Fichas Infineon Optiga TPM:
• Módulo TPM independiente para placas base Asus:

La plataforma consta de un criptoprocesador seguro y una pequeña cantidad de memoria incorporada. Las principales funciones de TPM son la generación, almacenamiento y gestión segura de claves criptográficas; en particular, las claves de BitLocker. El sistema operativo debe proporcionar API para que los desarrolladores accedan al TPM y usa TPM para administrar las claves de cifrado.

Cuando los desarrolladores de Windows estaban diseñando el esquema de cifrado de disco, intentaron contrarrestar las siguientes amenazas:

•     Iniciar sesión en la cuenta del usuario sin credenciales de autenticación válidas
•     Mover el disco duro a un sistema diferente para su análisis
•     Alterar la configuración de la computadora para obtener acceso a los datos
•     Ejecutar un sistema operativo alternativo para obtener acceso a los datos

Sin embargo, la máxima prioridad era que la protección fuera lo más transparente y discreta posible para el usuario. Idealmente, el usuario nunca notaría el cifrado; este objetivo se ha logrado. Para aquellos que necesitan protección adicional contra amenazas adicionales, los desarrolladores permitieron especificar un código PIN previo al inicio o agregar otros tipos de protectores (por ejemplo, una tarjeta inteligente física o una unidad USB).

Cómo funciona BitLocker

BitLocker utiliza cifrado simétrico. De forma predeterminada, AES-128 se usa para cifrar datos en modo XTS (nuevo) o CBC (heredado). Los datos están encriptados con VMK (Volume Master Key), que a su vez se puede obtener de una de las siguientes formas:

•     Descifrado con la contraseña de cifrado del usuario, si este protector está habilitado para un volumen determinado.
•     Descifrado con una clave de recuperación. La clave de recuperación se genera automáticamente una vez que se habilita el cifrado por primera vez. Luego, la clave se almacena en un archivo, se carga en la cuenta de Microsoft del usuario o se guarda en Active Directory.
•     (Estás aquí) Extraído del módulo TPM cuando se cumplen determinadas condiciones.

Así es como Bitlocker se comunica con TPM:

El principio básico de TPM es muy similar al blockchain. Durante el arranque, el sistema crea una cadena de confianza, que se almacena en los registros PCR (Platform Configuration Register).

Cifrar con contraseña un disco duro o pendrive en Windows con VeraCrypt

Algunas de las principales características de VeraCrypt son:

• El cifrado es automático, en tiempo real y transparente sin afectar el comportamiento del sistema.
• Permite crear un disco virtual encriptado dentro de un archivo y luego este puede ser montado como un disco real.
• VeraCrypt permite cifrar particiones completas, dispositivos de almacenamiento y más.
• Permite cifrar una partición o unidad donde está instalado el sistema operativo Windows.
• El cifrado de VeraCrypt es compatible con la función de acelerado por hardware.
• Compatible con los algoritmos Hash RIPEMD-160, SHA-256, SHA-512, Whirlpool y Streebog.
• Soporta los sistemas de encriptación AES, Camellia, Kuznyechik, Serpent, Twofish y más.

VeraCrypt es una de las opciones que tenemos para poder cifrar con contraseña un pendrive o disco duro externo. Es gratuito y además es portable, por lo que no necesitamos instalarlo. Cuenta con varias opciones, entre las que se encuentra cifrar una partición que puede ser un disco duro o memoria USB.

En nuestro caso hemos seleccionado esta opción. Hemos probado a cifrar un pendrive con contraseña con VeraCrypt. Simplemente tenemos que ejecutar la aplicación, seleccionar la unidad que queremos (en mi caso una memoria USB) y darle a continuar.

Posteriormente tendremos que elegir el tipo de cifrado e introducir la contraseña que queramos. Nos advierte de que es recomendable que sea una clave fuerte y compleja. Nuestro consejo es evitar datos que nos relacionen. De ahí que sea importante utilizar un gestor de contraseñas.

Cifrar unidad pendrive en GNU/Linux

En GNU/Linux tenemos múltiples opciones a la hora de cifrar nuestra información. GPG sobre ficheros, eCryptfs o EncFS sobre directorios, TrueCrypt o dm-crypt sobre dispositivos,  loop-AES para ficheros loop, etc. De todas las opciones mi preferida es LUKS (Linux Unified Key Setup), que podemos usar sobre discos, particiones, volúmenes lógicos (LVs) o ficheros loop. 

GnuPG es la base para toda la encriptación que se maneja en Linux. Pero GnuPG no es sólo una herramienta que trabaja como otras. Lo creas o no, puedes fácilmente cifrar un archivo con GnuPG desde la línea de comandos.

Crypsetup es la utilidad con la que podemos cifrar una partición (ya sea de nuestro pendrive como un HDD) y utiliza volúmenes LUKS, loop-AES y formato compatible con TrueCrypt.

• cryptsetup
• LUKS
• Encriptar directorios con eCryptfs

A lo largo de este artículo se han tratado distintas formas de cifrar nuestras carpetas, ficheros, dispositivos USB y dispositivos móviles con las herramientas que ya vienen preinstaladas en nuestros sistemas operativos. Sin embargo, existen otras herramientas de cifrado muy útiles, tanto gratuitas como de pago, que podríamos utilizar.

Asimismo, es importante que recordemos que, así como podemos mantener protegida la información almacenada en nuestros dispositivos mediante el cifrado, también podemos cifrar la información que almacenamos en la nube, e incluso la de aquellos correos que consideremos que deben ser protegidos por la información que recogen.

Para recuperar datos de archivos / volúmenes cifrados, haga una copia de seguridad de los siguientes archivos

•      archivo /etc/fstab
•      archivo /etc/crypttab
•      Encabezado LUKS

Cifrar unidad pendrive en MacOS con Apple FileVault

En las plataformas OSX de Apple podemos también cifrar el contenido de nuestros discos, aprovechando las ventajas que nos brindan herramientas tales como Filevault (en sus versiones anteriores a Lion) y Filevault 2 (en versiones a partir de Lion o Mountain Lion). 

La encriptación de disco completo FileVault (FileVault 2) usa la encriptación XTS-AES-128 de 256 bits para impedir el acceso no autorizado a la información del disco de arranque.

Si quieres realizar esta operación con un Mac, es suficiente con que conectes al equipo una unidad formateada y hacer click en el botón derecho sobre el correspondiente icono que aparecerá rápido en el escritorio. Cuando hayas realizado este sencillo gesto, solo deberás escoger de entre las opciones disponibles en el menú desplegable la de ‘Encriptar’, tras lo que solo restará introducir una buena contraseña. 

En el caso de que tengas un dispositivo Apple, con sistema operativo Mac OS, el proceso es más sencillo que en Windows.

1. Lo único que tienes que hacer es conectar el USB al equipo y hacer clic derecho sobre su icono cuando aparezca en el escritorio.
2. En el menú desplegable solo tendrás que elegir la opción "Encriptar" para introducir la contraseña con la que lo quieres bloquear.

¿Cómo podemos cifrar archivos y carpetas en macOS?

Si tu objetivo es cifrar ficheros en tu dispositivo Apple, deberás activar FileVault. De este modo, se requerirá de una contraseña para descifrar tus datos.

Para activarlo, sigue los siguientes pasos:

1. Selecciona el menú Apple > Preferencias del Sistema y, a continuación, haz clic en Seguridad y privacidad.
2. Haz clic en la pestaña FileVault.
3. Pulsa el botón del candado y, a continuación, introduce el nombre y la contraseña de administrador.
4. Finalmente, haz clic en Activar FileVault.

Los dispositivos móviles tienen un papel fundamental en nuestras vidas. Por ello, también es importante que conozcamos cómo cifrarlos y proteger la información almacenada en ellos.