Generalmente consideramos que los archivos almacenados en nuestros discos duros están seguros ya que están protegidos por la contraseña de inicio de sesión. No obstante, si nos roban el ordenador o el disco duro podrían estar en peligro. Así, por ejemplo, retirando ese disco duro y conectándolo a otro equipo podría ver el contenido que tenemos almacenado. Una de las herramientas gratuitas que podemos utilizar para esta tarea es VeraCrypt, aunque hay que señalar que Windows también tiene 2  sistemas de cifrado nativos que son BitLocker y EFS, con sus respectivas características y diferencias.

Los sistemas operativos más recientes de Microsoft como Windows 7, 8.1, 10 y 11 y Windows Server 2008 en adelante poseen dos tipos de cifrado diferentes. Uno es el EFS, un sistema de cifrado que puede cifrar tanto archivos individuales como carpetas dentro del disco duro. El otro es BitLocker, y se trata de un software capaz de cifrar toda una unidad para impedir que los usuarios no autorizados puedan acceder a los datos que contengan. Ahora vamos a ir conociendo estas dos formas de cifrado en Windows que tenemos disponibles.

El sistema de cifrado EFS en Windows

EFS viene de las siglas en inglés Encrypting File System que traducido significa sistema de cifrado de archivos. Esta función se introdujo desde la versión NTFS 3.0 y la vimos por primera vez en Windows 2000. Lo que hace es permitir a los archivos ser cifrados en las particiones NTFS para proteger datos confidenciales y también hay que señalar que EFS es incompatible con la compresión de carpetas. En resumen, EFS es una forma rápida de cifrar archivos y carpetas. También hay que señalar que hay que estar muy atentos a la hora de cifrar esos archivos y carpetas porque sólo los que seleccionemos manualmente en ese momento van a ser cifrados. Si añadimos uno posteriormente no va ser cifrado.

Una cuestión importante es que el cifrado de EFS va a estar vinculado a una cuenta de usuario. Esto significa que los datos cifrados únicamente serán accesibles para ese usuario y para el resto estarán bloqueados. También hay que señalar que el cifrado es transparente, eso quiere decir que si un usuario no autorizado accede a esa cuenta que hemos utilizado para cifrar esos datos, estos estarán totalmente disponibles para él, sin ni siquiera necesitar una contraseña.

Cómo cifrar archivos con EFS en Windows

El cifrado en Windows con EFS es muy sencillo ya que no necesitas instalar nada ni configurar nada para utilizarlo. Pongamos que queremos cifrar nuestra carpeta,

•  Entonces haremos clic sobre ella desde el explorador de archivos y con el botón derecho iremos a Propiedades. Luego en la pestaña General iremos a Opciones avanzadas.
• Aquí lo que tenemos que hacer es habilitar la casilla Cifrar contenido para proteger datos y luego pulsar en Aceptar.

BitLocker en el sistema operativo de Microsoft

Ejemplo proteger datos de tus pendrives USB cifrándolos con Windows Bitlocker

Cómo activar BitLocker en Windows

Si queremos activar el cifrado en Windows 10 de BitLocker seguiremos estos pasos:

1. Vamos al Menú de inicio de Windows.
2. Panel de control.
3. Hacemos clic en Sistema y seguridad, y seguidamente, en Cifrado de unidad BitLocker, selecciona Administrar BitLocker.

Un pendrive USB es una herramienta muy útil para llevar nuestros datos de un sitio para otro cómodamente, pero lamentablemente debido a su tamaño es muy fácil perderlo o que nos lo roben, por lo que los datos que contiene estarán siempre en peligro. En este artículo vamos a enseñarte a cifrar un pendrive o disco duro USB, de manera que los datos no puedan ser accesibles por terceras personas, y así salvaguardar la información.

La manera nativa de cifrar unidades externas en Windows tiene un nombre: BitLocker. Se trata de una herramienta desarrollada por Microsoft que suele venir preinstalada en casi todas las versiones de su sistema operativo, pero que de no ser así puedes conseguir en su página de descarga, donde tienes para bajarte sus versiones de 32 y 64 bits. 

• https://www.microsoft.com/es-es/download/details.aspx?id=7806

BitLocker

Windows 10 Pro (la versión Home no lo tiene) integra la herramienta llamada Bitlocker, y que nos permitirá de manera gratuita cifrar los datos de un pendrive USB. Vamos a ver los pasos a seguir para proceder con el cifrado, que es válido para pendrives USB, discos duros externos o incluso el disco del sistema (aunque nos vamos a centrar en un pendrive USB en este caso).

Tras seleccionar «Activar BitLocker» se iniciará un asistente que primero analizará la unidad para ver si es compatible, y acto seguido nos preguntará por el método de cifrado que queremos utilizar. En este caso lo más normal es utilizar una protección mediante contraseña, así que hay que seleccionar esta opción e introducir la contraseña que queramos dos veces.

Tras pulsar en siguiente, nos preguntará que cómo queremos realizar una copia de seguridad de la clave de recuperación. La recomendación es imprimirla y guardarla en un lugar seguro, pero también podemos guardarla en la cuenta de Microsoft o en un archivo TXT. Tras hacer la opción que queramos, pulsamos siguiente para continuar.

Tras hacerlo, el asistente nos preguntará qué cantidad de la unidad deseamos cifrar, pudiendo escoger entre cifrar solo el espacio ocupado o cifrar la unidad entera. Cifrar solo el espacio ocupado es más rápido inicialmente, pero luego tardará más cuando queramos hacer modificaciones a la unidad, así que la recomendación es cifrar la unidad entera.

Elegir entre dos opciones de cifrado. 

• Cifrar sólo el espacio utilizado (más rápido)
• Cifra por completo el disco duro más lento. La diferencia fundamental es que la opción más lenta y completa cifrará también los datos que puedas haber borrado pero aún pueden ser recuperados. Elige la que prefieras y pulsa Siguiente.

Esto te llevará a una nueva ventana con otras dos opciones más para elegir el modo de cifrado.

1. a. Modo de cifrado nuevo. Está pensado para unidades fijas de un único dispositivo como puedan ser discos duros que están en el interior de tu portátil.
2. b. Modo Compatible. Tendrás que elegir si quieres que el USB que vas a cifrar pueda utilizarse en otros ordenadores Windows. y por lo tanto Es la opción más recomendable.

• Modo de cifrado nuevo El primero está pensado para unidades fijas de un único dispositivo, como puedan ser discos duros que están en el interior de tu portátil o torre. 
• Modo Compatible es el que tendrás que elegir si quieres que el USB o disco duro que vas a cifrar pueda utilizarse en otros ordenadores con Windows, y por lo tanto es el más recomendable. 

Ahora nos preguntará por el modo de cifrado. El modo de cifrado nuevo requiere cierta versión de Windows (es XTS-AES) y la recomiendan solo si vamos a usar ese pendrive USB en ese ordenador, así que lo mejor es usar el modo compatible por si queremos llevar el pendrive USB con nosotros y poder utilizarlo en cualquier parte.

Incompatibilidades

Por defecto, Windows 10 utiliza un algoritmo XTS-AES para cifrar los datos con Bitlocker. Este algoritmo ofrece un alto rendimiento y cuenta con funciones y sistemas para garantizar la integridad de los datos. El problema de este algoritmo es que no es compatible con las versiones anteriores de Windows. Por ello, si queremos la máxima compatibilidad es necesario cambiar el cifrado de Bitlocker para usar otros algoritmos diferentes, como AES-CBC.

Una vez que termine, cada vez que introduzcamos el pendrive en un PC nos pedirá la contraseña para poder acceder a él. Si en algún momento queremos desactivar Bitlocker para dejar la unidad sin proteger, tan solo tendremos que volver a pulsar sobre Bitlocker en el menú del principio, seleccionar «Administrar BitLocker» y seleccionar «Descifrar unidad».

Herramientas como Bitlocker en plataformas Microsoft, Bestcrypt, Mcafee Endpoint Encryption y algunas otras, soportan el uso de TPM. En cambio, en el caso de TrueCrypt, el desarrollador ha optado por no soportarlo. 

En caso de utilizar TPM sin PIN, es decir, que el sistema operativo arranque de forma transparente, debemos tener en cuenta que podemos ser potencialmente vulnerables a mecanismos de recuperación de la clave como pueden ser Cold Boot, Secuestro del Arranque o ataques mediante vulnerabilidades de Firewire (que pueden llevar a que un potencial intruso consiga nuestras claves directamente de la memoria del ordenador).

No olvidemos que estos problemas son comunes a prácticamente todas las herramientas de cifrado de disco y no son exclusivas de Bitlocker.

En caso de no contar con TPM en el equipo siempre podríamos introducir la contraseña cada vez que el sistema operativo inicie (cosa que es incluso recomendable desde el punto de vista de mayor confidencialidad)

Diferencias entre BitLocker y EFS

Sin lugar a dudas el mejor cifrado en Windows que podemos utilizar es BitLocker. Gracias a él se va a encargar de cifrar el disco duro completo, por lo que activándolo ya podemos olvidarnos de todo lo demás. A partir de ese momento todos nuestros datos tanto antiguos como nuevos, se cifrarán automáticamente. En ese aspecto nos ofrece la ventaja que no tendremos que estar pendientes de comprobar si un archivo se ha cifrado o no. Además BitLocker es más recomendable porque utiliza algoritmos más seguros.

Por contra, EFS está especializado en el cifrado de los datos en concreto que seleccionamos. Las ventajas que nos aporta es que es más rápida y consume menos recursos que la anterior. No obstante los algoritmos no son tan seguros como los de BitLocker y tenemos que estar muy atentos a que hemos seleccionado los archivos correctamente.

AES (Advanced Encryption Standard)

Hoy en día, DES se considera inseguro para muchas aplicaciones. Esto se debe principalmente a que el tamaño de clave de 56 bits es corto; las claves de DES se han roto en menos de 24 horas. El Triple DES ha desaparecido lentamente, siendo reemplazado por el algoritmo AES. Sin embargo, la mayoría de las tarjetas de crédito y otros medios de pago electrónicos tienen como estándar el algoritmo Triple DES (anteriormente usaban el DES). Por su diseño, el DES y por lo tanto el TDES son algoritmos lentos. AES puede llegar a ser hasta 6 veces más rápido y a la fecha no se ha encontrado ninguna vulnerabilidad.

Es un algoritmo de cifrado simétrico desarrollado por los estudiantes Vincent  Rijmen y Joan Daemen de la Katholieke Universiteit Leuven en Bélgica, bajo el nombre "Rijndael" fue presentado en 1997 al concurso organizado por el Instituto Nacional de Normas y Tecnologías (NIST) para elegir el mejor algoritmo de cifrado; el algoritmo gano el concurso transformándose en un estándar en el año 2002, con algunos cambios fue posteriormente renombrado AES (Advanced Encryption Standard) y se convirtió en uno de los algoritmos más utilizados en la actualidad.

AES es un algoritmo de cifrado por bloques, inicialmente fue diseñado para tener longitud de bloque variable pero el estándar define un tamaño de bloque de 128 bits, por lo tanto los datos a ser encriptados se dividen en segmentos de 16 bytes (128 bits) y cada segmento se lo puede ver como un bloque o matriz de 4x4 bytes al que se lo llama estado.

Por ser simétrico, se utiliza la misma clave para encriptar como para desencriptar, la  longitud de la clave puede ser de 128, 192 o 256 bits según especifica el estándar, esto  permite tres implementaciones conocidas como AES-128, AES-192 y AES-256.

BitLocker de Microsoft utiliza por defecto AES-128 que puede ser cambiado a AES-256 usando las directivas de grupo (gpedit.msc). Windows 10 utiliza un nuevo método de cifrado basado en XTS-AES

• AES-CBC 128-bit
• AES-CBC 256-bit
• XTS-AES 128-bit
• XTS-AES 256-bit

Para que nos hagamos una idea la NSA considera las claves de 128 bits lo suficientemente bueno sólo para los datos sean "SECRET". Pero para que puedan ser "TOP SECRET", se requiere que las claves sean de 256 bits.

Cómo funciona BitLocker

BitLocker utiliza cifrado simétrico. De forma predeterminada, AES-128 se usa para cifrar datos en modo XTS (nuevo) o CBC (heredado). Los datos están encriptados con VMK (Volume Master Key), que a su vez se puede obtener de una de las siguientes formas:

•     Descifrado con la contraseña de cifrado del usuario, si este protector está habilitado para un volumen determinado.
•     Descifrado con una clave de recuperación. La clave de recuperación se genera automáticamente una vez que se habilita el cifrado por primera vez. Luego, la clave se almacena en un archivo, se carga en la cuenta de Microsoft del usuario o se guarda en Active Directory.
•     (Estás aquí) Extraído del módulo TPM cuando se cumplen determinadas condiciones.

Así es como Bitlocker se comunica con TPM:

El principio básico de TPM es muy similar al blockchain. Durante el arranque, el sistema crea una cadena de confianza, que se almacena en los registros PCR (Platform Configuration Register).

Recordemos que también podemos usar algún fork de TrueCrypt antes que fuera "comprometido" (no seguro) (7.1a, aunque tiene dos bugs graves (CVE-2015-7358, CVE-2015-7359) ) como una de sus variantes más conocidas, como VeraCrypt (Mounir Idrassi) para cifrar el contenido o una parte de nuestro ordenador. O usar las soluciones nativas de Microsoft (anteriormente (EFS) sólo soportaba cifrar carpetas, ficheros, BitLocker (AES-CBC) cifras la unidad entera, FileVault en Mac (GPGTools), o  LUKS (Linux Unified Key Setup) para GNU/Linux.

• Cifrar el ordenador entero (todo el disco duro, o usar dos particiones , una cifrada y otra no)
• Crear un contenedor (Container) o crear un volumen (como si fuera una unidad de red)

TrueCrypt también se encuentra disponible en GNU Linux y Mac OS.

Fuentes consultadas:

https://www.redeszone.net/tutoriales/seguridad/diferencias-cifrado-windows-bitlocker-efs/