Panoramica di Bitlocker

BitLocker è una funzionalità di sicurezza di Windows che fornisce la crittografia per interi volumi, risolvendo le minacce di furto o esposizione di dati da dispositivi smarriti, rubati o inappropriati.

I dati in un dispositivo smarrito o rubato sono vulnerabili all'accesso non autorizzato, sia attraverso l'esecuzione di uno strumento di attacchi al software sia tramite il trasferimento del disco rigido del dispositivo in un altro dispositivo. BitLocker aiuta a ridurre l'accesso non autorizzato ai dati potenziando la protezione dei file e del sistema, rendendo i dati inaccessibili quando i dispositivi protetti con BitLocker vengono disattivati o riciclati.

BitLocker e TPM

BitLocker offre la massima protezione se usato con un Trusted Platform Module (TPM), un componente hardware comune installato nei dispositivi Windows. Il TPM interagisce con BitLocker per garantire che un dispositivo non sia stato manomesso mentre il sistema è offline.

Oltre al TPM, BitLocker può bloccare il normale processo di avvio finché l'utente non fornisce un PIN o non inserisce un dispositivo rimovibile contenente una chiave di avvio. Queste misure di sicurezza consentono l'autenticazione a più fattori e garantiscono che il dispositivo non possa avviarsi o riprendere l'esecuzione dallo stato di ibernazione fino a quando non viene fornito il PIN corretto o la chiave di avvio appropriata.

Nei dispositivi senza un TPM, è comunque possibile usare BitLocker per crittografare il volume del sistema operativo. Questa implementazione richiede che l'utente sia:

• Usa una chiave di avvio, ossia un file archiviato in un'unità rimovibile usato per avviare il dispositivo o riprenderlo dall'ibernazione.
• Usa una password. Questa opzione non è sicura perché è soggetta ad attacchi di forza bruta perché non esiste una logica di blocco della password. Di conseguenza, l'opzione della password è sconsigliata e disabilitata per impostazione predefinita.

Entrambe le opzioni non forniscono la verifica dell'integrità del sistema prima dell'avvio assicurata da BitLocker con un TPM.

Gli screenshot seguenti mostrano la schermata di preavvio di BitLocker quando è necessaria una chiave di avvio, un PIN o una password per avviare il dispositivo:

Requisiti di sistema

I requisiti di BitLocker sono i seguenti:

• Perché BitLocker possa usare il controllo dell'integrità del sistema fornito da un TPM, il dispositivo deve avere un TPM 1.2 o versioni successive. Se un dispositivo non ha un TPM, il salvataggio di una chiave di avvio in un'unità rimovibile è obbligatorio quando si abilita BitLocker.

• Un dispositivo con un TPM deve avere anche un firmware UEFI o BIOS conforme a TGC ( Trusted Computing Group ). Il firmware BIOS o UEFI stabilisce una catena di certificati per l'avvio prima dell'avvio e deve includere il supporto per la misurazione della radice di attendibilità statica specificata da TCG. Un computer senza un TPM non richiede firmware conforme a TCG.

• Il firmware BIOS o UEFI (per dispositivi TPM e non TPM) deve supportare la classe di dispositivi di archiviazione di massa USB e la lettura di file in un'unità USB nell'ambiente prima dell'avvio.

  Nota

  TPM 2.0 non è supportato nelle modalità Legacy e Compatibility Support Module (CSM) del BIOS. I dispositivi con TPM 2.0 devono avere la modalità BIOS configurata solo come UEFI nativo. Le opzioni Legacy e CSM (Compatibility Support Module) devono essere disabilitate. Per una maggiore sicurezza, abilitare la funzionalità di avvio protetto .

  Il sistema operativo installato nell'hardware in modalità legacy impedisce l'avvio del sistema operativo quando si cambia la modalità BIOS in UEFI. Prima di modificare la modalità BIOS usare lo strumento mbr2gpt.exe , che prepara il sistema operativo e il disco per supportare UEFI.

• Il disco rigido deve essere partizionato con almeno due unità:

  • L'unità del sistema operativo (o unità di avvio) contiene il sistema operativo e i relativi file di supporto. Questa unità deve essere formattata con il file system NTFS.

  • L'unità di sistema contiene i file necessari per avviare, decrittografare e caricare il sistema operativo. BitLocker non è abilitato in questa unità. Per il funzionamento di BitLocker, l'unità di sistema:

    • Non deve essere crittografato.
    • Deve essere diverso dall'unità del sistema operativo.
    • deve essere formattato con il file system FAT32 nei computer che usano firmware UEFI o con il file system NTFS nei computer che usano firmware BIOS.
    • è consigliabile avere una dimensione di circa 350 MB. Dopo l'attivazione di BitLocker, l'unità dovrebbe avere circa 250 MB di spazio libero.

    Importante

    Se è installato in un nuovo dispositivo, Windows crea automaticamente le partizioni necessarie per BitLocker.

    Se l'unità è stata preparata come un singolo spazio contiguo, BitLocker richiede un nuovo volume per contenere i file di avvio. BdeHdCfg.exe può creare il volume. Per altre informazioni sull'uso dello strumento, vedere Bdehdcfg nella Guida di riferimento Command-Line.

Requisiti di licenza ed edizione di Windows

Nella tabella seguente sono elencate le edizioni di Windows che supportano l'abilitazione di BitLocker:

I diritti di licenza di abilitazione di BitLocker sono concessi dalle licenze seguenti:

Per ulteriori informazioni sulle licenze di Windows, vedi Panoramica delle licenze di Windows.

Crittografia dispositivo

Crittografia dispositivo è una funzionalità di Windows che consente ad alcuni dispositivi di abilitare in modo semplice la crittografia BitLocker automaticamente. La crittografia dispositivo è disponibile in tutte le versioni di Windows e richiede che il dispositivo soddisfi i requisiti di sicurezza Modern Standby o HSTI. La crittografia del dispositivo non può avere porte accessibili esternamente che consentono l'accesso DMA. La crittografia del dispositivo crittografa solo l'unità del sistema operativo e le unità fisse, non crittografa le unità esterne/USB.

A differenza di un'implementazione di BitLocker standard, la crittografia del dispositivo viene abilitata automaticamente in modo che il dispositivo sia sempre protetto. Quando viene completata un'installazione pulita di Windows e viene completata l'esperienza predefinita, il dispositivo viene preparato per il primo utilizzo. Come parte di questa preparazione, la crittografia del dispositivo viene inizializzata nell'unità del sistema operativo e nelle unità dati fisse nel computer con una chiave non crittografata equivalente allo stato di sospensione di BitLocker standard. In questo stato, l'unità viene visualizzata con un'icona di avviso in Esplora risorse. L'icona di avviso gialla viene rimossa dopo la creazione della protezione TPM e il backup della chiave di ripristino.

• Se il dispositivo è aggiunto a Microsoft Entra o a un dominio di Active Directory, la chiave non crittografata viene rimossa dopo aver eseguito correttamente il backup della chiave di ripristino in Microsoft Entra ID o Active Directory Domain Services (AD DS). Per eseguire il backup della chiave di ripristino, è necessario abilitare le seguenti impostazioni dei criteri: Scegli come ripristinare le unità del sistema operativo protette con BitLocker.
  • Per i dispositivi aggiunti a Microsoft Entra: la password di ripristino viene creata automaticamente quando l'utente esegue l'autenticazione in Microsoft Entra ID, quindi viene eseguito il backup della chiave di ripristino in Microsoft Entra ID, viene creata la protezione TPM e la chiave di cancellazione viene rimossa.
  • Per i dispositivi aggiunti a Servizi di dominio Active Directory: la password di ripristino viene creata automaticamente quando il computer viene aggiunto al dominio. Viene quindi eseguito il backup della chiave di ripristino in Servizi di dominio Active Directory, viene creata la protezione TPM e la chiave non crittografata viene rimossa.
• Se il dispositivo non è aggiunto a Microsoft Entra o a un dominio Active Directory, è necessario un account Microsoft con privilegi amministrativi sul dispositivo. Quando l'amministratore usa un account Microsoft per accedere, la chiave di cancellazione viene rimossa, una chiave di ripristino viene caricata nell'account Microsoft online e viene creata una protezione TPM. Se un dispositivo richiede la chiave di ripristino, l'utente viene guidato a usare un dispositivo alternativo e passare a un URL di accesso con chiave di ripristino per recuperare la chiave di ripristino usando le credenziali dell'account Microsoft.
• Se un dispositivo usa solo account locali, non è protetto anche se i dati sono crittografati.

Se un dispositivo inizialmente non è idoneo per la crittografia, ma poi viene apportata una modifica che causa la qualifica del dispositivo (ad esempio, attivando l'avvio protetto), la crittografia del dispositivo abilita automaticamente BitLocker non appena lo rileva.

È possibile verificare se un dispositivo soddisfa i requisiti per la crittografia dispositivo nell'app System Information (msinfo32.exe). Se il dispositivo soddisfa i requisiti, System Information mostra una riga che recita:

Differenza tra BitLocker e crittografia dispositivo

• La crittografia dispositivo attiva automaticamente BitLocker nei dispositivi idonei per la crittografia dispositivo, con backup automatico della chiave di ripristino in Microsoft Entra ID, AD DS o nell'account Microsoft dell'utente.
• La crittografia del dispositivo aggiunge un'impostazione di crittografia del dispositivo nell'app Impostazioni, che può essere usata per attivare o disattivare la crittografia del dispositivo.
  • L'interfaccia utente delle impostazioni non mostra la crittografia del dispositivo abilitata fino al completamento della crittografia.

Disabilitare la crittografia del dispositivo

È consigliabile mantenere attiva la crittografia per tutti i sistemi che la supportano. Tuttavia, puoi impedire il processo di crittografia automatica del dispositivo modificando la seguente impostazione del Registro di sistema:

Per altre informazioni sulla crittografia del dispositivo, vedere Requisiti hardware per la crittografia del dispositivo BitLocker.

Passaggi successivi