KomuraSoft LLC
Contatti
Menu

Guida pratica a BitLocker — La cifratura del drive a partire dalla gestione della chiave di ripristino

· · BitLocker, Windows, Sicurezza, Cifratura, TPM, Sistemi informativi, Gestione degli asset IT, PMI

«Ho reimpostato il PC e al successivo avvio è apparsa una schermata blu che non avevo mai visto, che chiedeva una chiave a 48 cifre», «Ho solo aggiornato il BIOS e sono finito nella schermata della chiave di ripristino — una chiave del genere non me l’ha data nessuno», «Ho guardato le impostazioni di un PC nuovo e «Crittografia dispositivo» si era accesa da sola. Sembra che rallenterà le app aziendali, quindi la possiamo spegnere?» — Nell’ultimo anno circa, le consulenze di questo tipo da parte dei clienti sono aumentate in modo visibile.

Lo sfondo è chiaro. Da Windows 11 versione 24H2 in poi, su un PC installato pulito «Crittografia dispositivo» (l’attivazione automatica di BitLocker) gira per default. Anche i requisiti hardware sono stati allentati, quindi il bacino dei PC interessati si è allargato di molto. In altre parole BitLocker non è più «qualcosa che le grandi aziende introducono di proposito» — è diventato «qualcosa che entra in silenzio anche nei PC delle PMI». In questa situazione l’unica linea di vita è la chiave di ripristino, e lo stato più pericoloso di tutti è quello in cui la cifratura procede mentre quella chiave non sta sotto la gestione di nessuno.

Questo articolo è rivolto al personale IT e ai titolari delle PMI, e agli sviluppatori che hanno in carico app aziendali e PC di apparato, e organizza BitLocker non come «qualcosa da spegnere» ma come «qualcosa da saper usare». Sulla base di fonti primarie come Microsoft Learn ad agosto 2026, copre le differenze tra edizioni, il minimo indispensabile del rapporto tra TPM e chiavi, la tabella di decisione su dove salvare la chiave di ripristino, l’attivazione e l’operatività in organizzazione, la risposta agli incidenti e il rapporto con lo smaltimento.

1. Prima di tutto, la conclusione

  • BitLocker è la funzione di Windows che cifra un intero drive e previene la fuga di dati per smarrimento, furto o smaltimento inappropriato. Anche contro un attacco in cui si estrae il disco e lo si collega a un altro PC, se è cifrato i dati non si possono leggere.1
  • Il BitLocker completo si può attivare su Pro, Enterprise, Pro Education ed Education. La controparte semplificata, «Crittografia dispositivo», è disponibile su tutte le edizioni, Home compresa.1
  • Da Windows 11 24H2 in poi i requisiti della Crittografia dispositivo automatica sono stati allentati. Il requisito HSTI/Modern Standby e il requisito «assenza di interfacce DMA non autorizzate» sono stati aboliti, quindi al completamento dell’OOBE (configurazione iniziale) dopo un’installazione pulita la cifratura viene inizializzata per default su molti PC che soddisfano TPM + Avvio protetto UEFI.2
  • «Iniziare» la cifratura e «attivare» la protezione sono cose distinte. Finché il backup della chiave di ripristino su un account Microsoft, Entra ID o (con il criterio di ripristino configurato) AD DS non ha successo, la protezione non viene attivata (armata). Un PC usato solo con un account locale, senza un posto in cui fare backup, resta non protetto anche se è cifrato.12
  • I posti in cui salvare la chiave di ripristino (la password di ripristino a 48 cifre) sono di fatto quattro: Entra ID, AD DS, account Microsoft, o una copia stampata/su file. Il flusso predefinito è: Entra ID se il dispositivo è unito a Entra ID, AD DS se è unito a un dominio AD, altrimenti l’account Microsoft dell’amministratore.13
  • Che venga chiesta la chiave di ripristino non è solo segno di qualcosa di anomalo. Un aggiornamento del firmware, una modifica delle impostazioni di Avvio protetto, l’azzeramento del TPM, la sostituzione della scheda madre, lo spostamento del drive su un’altra macchina — qualsiasi cambiamento dell’ambiente di avvio può innescare. La pratica standard prima di un lavoro pianificato è sospendere prima la protezione.3
  • Il metodo di cifratura predefinito è XTS-AES a 128 bit. Per cambiare metodo in seguito servono decifratura e poi ricifratura, quindi conviene chiuderlo alla prima volta. Su un drive nuovo, «cifrare solo lo spazio usato» accorcia di molto il tempo della cifratura iniziale.45
  • Se un PC chiede la chiave di ripristino e non la si può produrre, i dati vanno considerati persi. Nemmeno il supporto Microsoft può recuperare una chiave persa. Proprio per questo il tema di questo articolo non è «se cifrare o no» ma «dove salvare la chiave di ripristino e chi può recuperarla».6

Mappa della conoscenza di questo articolo

BitLocker cifra l’intero drive e previene la fuga di dati per smarrimento o furto, e per proteggere la chiave di cifratura di solito usa il TPM. Da Windows 11 24H2 in poi, con «Crittografia dispositivo» la cifratura viene inizializzata in automatico su molti PC, quindi il centro della pratica diventa gestire dove salvare la chiave di ripristino — la linea di vita — tra Entra ID, AD DS e account Microsoft, e chi può recuperarla.

Mappa della conoscenza della guida pratica a BitLockerDiagramma che mostra le relazioni tra BitLocker, TPM, Crittografia dispositivo, chiave di ripristino, modalità di ripristino e i suoi inneschi (aggiornamento del firmware, modifica dell'avvio protetto, sostituzione dell'hardware), destinazioni di salvataggio (Entra ID, AD DS, account Microsoft, copia manuale), condizioni di edizione, chiave chiara e stato di cifratura non protetto, e l'operatività in riparazione e smaltimentousausaprevieneautomatizzarichiederichiedesalvato insalvato insalvato inrichiedepuò causareconfigurato daconfigurato dausausaprevieneprevieneconfigurato dapuò causareverificato darichiedeusausapuò causarepuò causarepuò causarepuò causarepuò causaresalvato inusapuò causaremitigarichiedeprevienepuò causaredeve precederedeve precedereconsigliato perrichiedeverificato dasconsigliato perpuò causareverificato daverificato dadeve precedereincompatibile consconsigliato perconsigliato perBitLockerChiave di ripristino (password di ripristino)TPMXTS-AESFuga di dati per smarrimento o furtoCrittografia dispositivoAvvio protetto UEFIMicrosoft Entra IDActive Directory (AD DS)Account MicrosoftModalità di ripristino BitLockerAggiornamento del firmwareCriteri di gruppoMicrosoft IntunePIN all'avvio (TPM+PIN)Chiave di avvioSospensione della protezioneCriterio di backup obbligatorio delle informazioni di ripristinoPerdita di dati per assenza della chiave di ripristinomanage-bdeEdizioni Windows Pro/EnterpriseEdizione Windows HomeChiave chiara (clear key)Account localeStato di cifratura non protettoSostituzione dell'hardwareCopia cartacea o su fileCifratura solo dello spazio usatoRiparazione e manutenzioneFuga della chiave di ripristinoRiemissione (rotazione) della password di ripristinoSmaltimento del PCProcedura di cancellazione dei datiImpatto della cifratura sulle prestazionimsinfo32 (Informazioni di sistema)Metodo con passwordConservazione della chiave di ripristino nell'account personale del responsabileID della chiave di ripristinoScelta del metodo di cifraturaPC di apparato senza presidioCopia di un'immagine con protezione già attivaDistribuzione da cloneDPAPIInformazioni segrete dell'app

Nel diagramma, una linea continua indica una relazione che vale sempre e una linea tratteggiata indica una relazione condizionale (le condizioni sono nella spiegazione di ciascuna relazione nella pagina di dettaglio). L’elenco completo delle relazioni (in totale 48, con evidenza e livello di certezza) e le definizioni dei concetti principali sono raccolti nella pagina di dettaglio della mappa della conoscenza (in giapponese). Dati: JSON-LD / Turtle

2. BitLocker e Crittografia dispositivo — Che cosa si può usare per edizione

Prima si sistemano le parole. «BitLocker» e «Crittografia dispositivo» sono due volti della stessa tecnologia di cifratura.

  • BitLocker (completo): si attiva per drive, ed è la forma rivolta all’amministratore della tecnologia — metodi di autenticazione come TPM+PIN e chiavi di avvio, controllo tramite Criteri di gruppo/Intune, gestione con manage-bde.exe o PowerShell.
  • Crittografia dispositivo (Device Encryption): un meccanismo che attiva BitLocker in automatico sui PC che soddisfano i requisiti. Nell’app Impostazioni compare un interruttore «Crittografia dispositivo», e cifra solo il drive del sistema operativo e i drive fissi interni (i drive esterni/USB sono esclusi).1

Il supporto per edizione è il seguente.1

Edizione Attivazione del BitLocker completo Crittografia dispositivo
Home No Sì (sui modelli che soddisfano i requisiti)
Pro / Pro Education Sì Sì
Enterprise / Education Sì Sì

Che cosa è cambiato in Windows 11 24H2

La Crittografia dispositivo automatica c’era già prima, ma il bersaglio era soprattutto i PC mobili relativamente recenti che soddisfacevano condizioni come «Modern Standby o conformità HSTI» e «nessuna porta accessibile in DMA dall’esterno». Windows 11 versione 24H2 ha abolito questi due requisiti, restringendo le condizioni principali rimanenti a cose come «ha un TPM (1.2 o 2.0)» e «l’Avvio protetto UEFI è attivo». Anche la pratica degli OEM di registrare nel Registro i bus DMA non autorizzati (AllowedBuses) non serve più, e quella chiave stessa da 24H2 in poi viene ignorata. Si noti che questo allentamento dei requisiti non si applica alle edizioni Windows IoT.2

Di conseguenza, completando l’OOBE dopo un’installazione pulita (reset o riconfigurazione compresi) la cifratura viene ora inizializzata per default anche su un desktop del tutto ordinario. Quel che conta qui è la distinzione tra «inizializzare» la cifratura e «attivare» la protezione.

  • Al momento in cui l’OOBE si completa, il drive è cifrato con una chiave chiara (una chiave temporanea non protetta). Esplora risorse mostra un’icona di avviso.1
  • Quando ha successo l’accesso con un account Microsoft o Entra ID — o, per un PC unito al dominio, il backup su AD DS (con il criterio di ripristino configurato) — viene creato un protettore TPM e la chiave chiara viene rimossa. Solo a quel punto la protezione diventa attiva.12
  • Un PC usato solo con un account locale resta non protetto anche se è cifrato.1

Questo flusso, messo in un diagramma, è il seguente.

Non soddisfaSoddisfaAccount Microsoft / Entra ID /AD DS (criterio di ripristino configurato)Solo account locale(nessuna destinazione di backup)Installazione pulita / reset(Windows 11 24H2 e successive)Soddisfa i requisiti comeTPM+Avvio protetto UEFI?Non viene cifratoAll'OOBE completato si inizializza la cifratura(chiave chiara = chiave temporanea non protetta)Dove viene fatto il backupdella chiave di ripristino?Backup della chiave di ripristino riuscitoCreazione del protettore TPM e rimozione della chiave chiara= la protezione viene attivata (armata)Resta cifrato ma la protezione è disattiva(compare l'icona di avviso)

L’identità di «ci si è accorti che era già cifrato» è questo meccanismo. Le organizzazioni che, per la fine del supporto di Windows 10, stanno sostituendo i PC con Windows 11 (Opzioni realistiche dopo la fine del supporto di Windows 10) devono incorporare la gestione della chiave di ripristino nella procedura di kitting partendo dal presupposto che i PC nuovi arrivino già in questo stato.

Lo stato di idoneità della propria macchina si conferma aprendo Informazioni di sistema (msinfo32.exe) come amministratore e guardando la riga «Supporto per la crittografia del dispositivo». Se c’è «Soddisfa i prerequisiti», è nel bersaglio.1

3. Il minimo del meccanismo — Il rapporto tra TPM e chiavi

Chi protegge la chiave di BitLocker è il TPM (Trusted Platform Module). Il TPM ha il ruolo di confermare che il dispositivo non è stato manomesso mentre il sistema operativo era offline, e rende usabile la chiave di cifratura solo quando la verifica all’avvio passa. Proprio per questo possono coesistere le due cose: se Windows legittimo si avvia normalmente l’utente non inserisce nulla, e se si estrae solo il disco non si può leggere.1 Il meccanismo del TPM in sé (la struttura che non fa uscire le chiavi, i PCR, l’avvio misurato) è illustrato in «Che cos’è il TPM di Windows».

Messo in un diagramma, ciò che avviene a ogni avvio è così.

UgualeDiversoAccensioneIl TPM misura l'ambiente di avvio(firmware, configurazione di avvio ecc.)Il risultato della misuraè come al solito?Il TPM rilascia la chiave di cifraturaAvvio normale(l'utente non inserisce nulla)Modalità di ripristinoviene chiesta la chiave di ripristino a 48 cifreSe si inserisce la chiave di ripristino, si avviaSe non si può inserire,i dati non si recuperano

Oltre al TPM si può scegliere anche una configurazione a più fattori che all’avvio rende obbligatori l’inserimento di un PIN o l’inserimento di una chiave di avvio (un file di chiave in una chiavetta USB). Anche un PC senza TPM può cifrare il drive del sistema operativo con il metodo della chiave di avvio, ma il metodo con password non ha un meccanismo di blocco e è debole alla forza bruta, quindi è disattivato per default.1

Quando viene chiesta la chiave di ripristino

Poiché il TPM guarda se «l’ambiente di avvio è come al solito», quando l’ambiente cambia anche il proprietario legittimo entra in modalità di ripristino. I trigger rappresentativi elencati da Microsoft sono i seguenti.3

  • Aggiornamento di un componente della fase iniziale di avvio, come un aggiornamento del firmware BIOS/UEFI
  • TPM spento, disattivato o azzerato, oppure fallimento dell’autotest del TPM
  • Modifica di un PCR (registro di configurazione della piattaforma) usato dal profilo di verifica del TPM — la modifica delle impostazioni di Avvio protetto atterra qui
  • Sostituzione della scheda madre (sostituzione con un TPM nuovo)
  • Spostamento di un drive protetto da BitLocker su un altro PC
  • Innesto o distacco da una docking station, modifica della tabella delle partizioni NTFS, modifica del boot manager, avvio PXE
  • Inserimenti ripetuti di un PIN errato, (sui modelli con TPM 1.2) modifica dell’ordine dei dispositivi di avvio

In altre parole «dopo l’aggiornamento del BIOS è stata chiesta la chiave di ripristino» non è un guasto né un attacco: è il comportamento previsto dal progetto. Prima di un lavoro pianificato (aggiornamento del firmware o sostituzione dell’hardware) si sospende la protezione — è la pratica standard — e anche in sospensione il drive resta cifrato; dopo il lavoro si può riprendere senza inserire la chiave di ripristino. Per default al riavvio la protezione riprende in automatico (si può anche specificare il numero di riavvii).3

# Sospendere prima dell'aggiornamento del firmware. Per default la protezione
# riprende in automatico dopo un riavvio; in un aggiornamento che riavvia più
# volte, il secondo riavvio e i successivi possono fermarsi sulla schermata di ripristino.
# Con -RebootCount 0 si ferma la ripresa automatica e si incorpora nella procedura
# la ripresa dopo il completamento del lavoro
Suspend-BitLocker -MountPoint C: -RebootCount 0
# Dopo il lavoro riprendere sempre (con -RebootCount 0 la protezione non riprende
# in automatico, quindi questa esecuzione è obbligatoria)
Resume-BitLocker -MountPoint C:

Una nota sulla terminologia. Nei documenti tecnici si distingue il «password di ripristino» (il numero a 48 cifre) dalla «chiave di ripristino» (il file .bek salvato su una chiavetta USB),3 ma nelle schermate rivolte al pubblico, e in questo articolo, si segue l’uso diffuso e si chiama «chiave di ripristino» il numero a 48 cifre.

4. Tabella di decisione su dove salvare la chiave di ripristino — Come scegliere tra le quattro opzioni

Questo è il cuore dell’articolo. I posti in cui salvare la chiave di ripristino sono di fatto quattro, e la scelta è quasi automaticamente determinata da come il PC accede. Prima la tabella di decisione.

Situazione dell’organizzazione Destinazione consigliata Che cosa succede per default Come recuperarla
Usa Microsoft 365 ecc. e ha i PC uniti a Entra ID Entra ID All’accesso a Entra ID la password di ripristino viene creata e salvata in automatico, e la chiave chiara viene rimossa1 Utente: aka.ms/aadrecoverykey → «Dispositivi» → «Visualizza chiavi BitLocker». Amministratore: centro di amministrazione Entra / Intune / Microsoft Graph63
Unito a un dominio Active Directory on-premises AD DS Se il criterio di ripristino è configurato, all’unione al dominio la password di ripristino viene creata in automatico e salvata in AD DS1 Un amministratore consulta l’oggetto ms-FVE-RecoveryInformation sotto l’oggetto computer3
Non unito a nessuno dei due (piccola scala o libero professionista) Account Microsoft Accedendo con un account Microsoft con privilegi di amministratore, la chiave di ripristino viene salvata su quell’account1 L’interessato accede a aka.ms/myrecoverykey6
Operato solo con un account locale Copia stampata / file (manuale) Non avviene un backup automatico, e con la Crittografia dispositivo la protezione non viene attivata1 Carta, chiavetta USB o file salvati al momento dell’attivazione

Su un dispositivo in join ibrido (sia AD sia Entra ID), la password di ripristino viene salvata su entrambi.4

I punti che un’organizzazione deve fissare sono tre.

  1. Decidere un solo «posto di salvataggio dell’organizzazione». Se l’unione a Entra ID è in corso, è Entra ID; per l’AD on-premises, è AD DS. Uno stato in cui la chiave di ripristino di un PC aziendale sta solo nell’account Microsoft personale di un responsabile collassa nel momento in cui quella persona si dimette o viene trasferita.
  2. Non dare per scontato che AD DS «entri da solo». Il backup su AD DS presuppone la configurazione del criterio (più avanti). Inoltre Active Directory conserva la cronologia delle password di ripristino, e le chiavi vecchie non spariscono in automatico finché non si elimina l’oggetto computer.3
  3. Se si sceglie il salvataggio su file, essere rigorosi sul posto. Il file della chiave di ripristino va salvato in un posto diverso dal PC stesso (una cartella di rete ecc.).5 Chi ha la chiave di ripristino può accedere a tutti i dati del drive, quindi è indispensabile conservarla separata dal PC protetto e controllare l’accesso.3

Confermare come sta adesso il proprio PC

Da un terminale con privilegi di amministratore si esegue uno dei seguenti.5

# PowerShell: confermare lo stato della cifratura e i tipi di protettore
Get-BitLockerVolume C: | Format-List
# Confermare la password di ripristino (48 cifre) e il suo ID
(Get-BitLockerVolume -MountPoint C).KeyProtector

:: Prompt dei comandi: conferma dello stato
manage-bde -status
:: Elenco dei protettori (TPM, password di ripristino ecc.) e il valore a 48 cifre
manage-bde -protectors -get C:

Nell’output di manage-bde -protectors -get C:, quella visualizzata come «password numerica» (Numerical Password) è la chiave di ripristino a 48 cifre; le prime 8 cifre dell’ID mostrato insieme sono l’indizio per confrontare «quale chiave è» sulla schermata di ripristino.6

Si può anche, a posteriori, fare il backup su Entra ID o AD DS della password di ripristino di un PC già cifrato.5

# Confermare prima l'ID della password di ripristino, poi eseguire
# Backup su Entra ID
BackupToAAD-BitLockerKeyProtector -MountPoint C: -KeyProtectorId "{ID}"
# Backup su AD DS
Backup-BitLockerKeyProtector -MountPoint C: -KeyProtectorId "{ID}"

:: Con manage-bde
manage-bde -protectors -aadbackup C: -id {ID}
manage-bde -protectors -adbackup C: -id {ID}

L’inventario «la chiave di ripristino di tutti i PC è nel posto di salvataggio dell’organizzazione?» è, come le misure di base di sicurezza delle informazioni di cui parla la linea guida IPA per le PMI, una cosa da mettere in un’operazione di registro, non da fare una volta e basta («Da dove iniziare con la sicurezza per le PMI? — Guida alla ‘Linea guida per la sicurezza informatica delle PMI’ dell’IPA, 4ª edizione»).

5. Attivazione e operatività in organizzazione — Criteri, comandi e metodo di cifratura

5.1. Vietare con un criterio «l’attivazione senza chiave di ripristino»

Le impostazioni di BitLocker si possono configurare sia dai Criteri di gruppo (GPO) sia da MDM (il BitLocker CSP di Intune e simili).4 Dal punto di vista della gestione della chiave di ripristino, il criterio più importante è «Scegliere come è possibile recuperare le unità del sistema operativo protette da BitLocker». Qui si configura quanto segue.43

  • Salvare le informazioni di ripristino in AD DS (solo la password di ripristino, oppure anche il pacchetto di chiavi)
  • Attivare «Non abilitare BitLocker finché le informazioni di ripristino non vengono archiviate in AD DS» — il perno della prevenzione degli incidenti, che non fa partire la cifratura finché il backup non ha successo. Con questa configurazione la password di ripristino viene generata in automatico

Lo stesso ragionamento vale quando i dispositivi uniti a Entra ID sono gestiti con Intune: si rende obbligatorio il backup della chiave di ripristino e solo allora si attiva la cifratura. Le chiavi di ripristino su Entra ID si possono ottenere dal centro di amministrazione Entra, dal centro di amministrazione Intune, da PowerShell o da Microsoft Graph, e si può anche delegare all’help desk.3

5.2. Metodo di cifratura — Il default è XTS-AES 128

Se non si configura un metodo di cifratura, BitLocker usa per default XTS-AES a 128 bit. Anche la Crittografia dispositivo ha per default XTS-AES 128. Con il criterio «Scegliere il metodo di crittografia unità e la forza di crittografia» si può cambiare in XTS-AES 256 ecc., ma la raccomandazione di Microsoft è XTS-AES su tutti i drive e, per la lunghezza della chiave, 128 o 256 in base alle prestazioni del dispositivo (e ai requisiti di regolamentazione del settore).41

Quel che va tenuto presente è che il metodo di un drive già cifrato non si può cambiare in seguito. Per cambiare metodo o lunghezza della chiave serve decifrare e poi ricifrare.1 Se c’è una ragione del tipo «i requisiti di regolamentazione chiedono 256 bit», si chiude alla prima distribuzione.

5.3. Cifrare solo lo spazio usato contro l’intero drive

All’attivazione si sceglie anche l’ambito della cifratura. La guida di Microsoft su come distinguere è chiara.5

  • Cifrare solo lo spazio usato: per un drive nuovo che non ha mai ospitato dati. La cifratura iniziale è veloce
  • Cifrare l’intero drive: per un drive già usato — uno che ha ospitato dati, e in cui possono restare file eliminati

La ragione è che l’area dei file eliminati al file system appare come «spazio libero», quindi con «solo lo spazio usato» non viene cifrata e, finché non viene sovrascritta, può essere ricostruita con strumenti forensi.5 In pratica basta ricordare: su un PC nuovo appena kittato «solo lo spazio usato» va bene; se lo si applica in seguito a un PC già usato, cifratura dell’intero drive.

5.4. Attivazione da PowerShell

La forma di base per una distribuzione a script è la seguente.5

# 1. Aggiungere prima il protettore della password di ripristino (48 cifre)
#    (a questo punto la cifratura non è ancora iniziata). Anche se da tentativi
#    precedenti restano più password di ripristino, si sceglie solo quella
#    appena aggiunta dalla differenza di ID prima e dopo l'aggiunta
$before = (Get-BitLockerVolume -MountPoint C).KeyProtector.KeyProtectorId
Add-BitLockerKeyProtector -MountPoint C: -RecoveryPasswordProtector | Out-Null
$rpId = (Get-BitLockerVolume -MountPoint C).KeyProtector |
    Where-Object { $_.KeyProtectorType -eq 'RecoveryPassword' -and $_.KeyProtectorId -notin $before } |
    Select-Object -ExpandProperty KeyProtectorId

# 2. Fare il backup della password di ripristino aggiunta nel posto di
#    salvataggio dell'organizzazione. Se questo fallisce non si deve
#    procedere con la cifratura, quindi -ErrorAction Stop ferma l'elaborazione
#    in caso di errore (questa procedura include confermare che la chiave
#    è visibile nel centro di amministrazione Entra / AD)
BackupToAAD-BitLockerKeyProtector -MountPoint C: -KeyProtectorId $rpId -ErrorAction Stop
# Per AD DS: Backup-BitLockerKeyProtector -MountPoint C: -KeyProtectorId $rpId -ErrorAction Stop

# 3. Avviare la cifratura solo dopo che il backup è riuscito. 3a e 3b sono
#    mutuamente esclusivi — eseguirne solo uno (anche il metodo e l'ambito
#    si chiudono qui)

# 3a. Configurazione standard: solo TPM (per i PC che richiedono riavvii senza presidio)
Enable-BitLocker C: -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector

# 3b. Configurazione TPM+PIN (per PC fissi ad alta sicurezza). Si esegue al
#     posto di 3a.
#     Il PIN si inserisce sul posto, un valore diverso per ogni PC. Incorporarlo
#     in chiaro nello script darebbe a tutti i PC lo stesso PIN, e lo script
#     stesso diventerebbe un punto di fuga
$Pin = Read-Host -AsSecureString -Prompt "PIN di questo PC"
Enable-BitLocker C: -EncryptionMethod XtsAes256 -UsedSpaceOnly -Pin $Pin -TPMandPinProtector

Quest’ordine — «depositare la password di ripristino e poi iniziare la cifratura» — è importante. Se si parte da Enable-BitLocker -TpmProtector, nel momento in cui l’elaborazione si ferma a metà resta un PC in cui è attiva solo la protezione TPM senza una copia del mezzo di ripristino, e al successivo aggiornamento del firmware o cambio di hardware si rischia di perdere i dati insieme. Con la sequenza sopra, se si ferma a metà la cifratura non è ancora partita e basta ricominciare. In una distribuzione organizzativa, se si fa agire prima il criterio di 5.1 «Non abilitare BitLocker finché le informazioni di ripristino non vengono archiviate», questo stato a metà si previene anche dal lato dei criteri. «Non iniziare la cifratura prima di aver confermato il successo del backup» è la regola d’oro della distribuzione organizzativa.

6. Risposta agli incidenti — Quando «viene chiesta la chiave di ripristino» o «non si trova»

6.1. Quando compare la schermata di ripristino, prima le 8 cifre iniziali dell’ID della chiave

Nella schermata blu di ripristino viene mostrato l’ID della chiave di ripristino. Anche se le copie sono più d’una, incrociando le prime 8 cifre dell’ID si identifica la chiave giusta.6 I posti in cui cercare sono quelli della tabella del capitolo 4, e si colpiscono in ordine.

  1. Il posto di salvataggio dell’organizzazione (centro di amministrazione Entra / Intune, oppure AD DS) — tramite amministratore o help desk
  2. L’account dell’utente stesso — se è un account di lavoro aka.ms/aadrecoverykey, se è un account Microsoft personale aka.ms/myrecoverykey6
  3. La copia del momento dell’attivazione — carta stampata, file in una chiavetta USB, file di testo salvato6
C'è una chiave con ID coincidenteNon si trovaC'è una chiave coincidenteNon si trovaC'è una chiave coincidenteNon si trovaSchermata blu di ripristinoviene mostrato l'ID della chiave di ripristinoSi annotano le prime 8 cifre dell'ID della chiave1. Posto di salvataggio dell'organizzazione(centro di amministrazione Entra, Intune / AD DS)Si inseriscono le 48 cifre e si avvia2. Account dell'utente stessoaka.ms/aadrecoverykey / aka.ms/myrecoverykey3. Copia del momento dell'attivazione(carta stampata, chiavetta USB, file)Non resta che la reimpostazione (perdita di tutti i dati)Nemmeno Microsoft può recuperarlaSi conferma la causa e la chiave di ripristino usatasi invalida e si riemette (sezione 6.3)

Insieme, si prenda l’abitudine di confermare «perché si è entrati in modalità di ripristino». Se c’è un indizio come «ieri ho aggiornato il BIOS» o «ho toccato le impostazioni di Avvio protetto», è il comportamento previsto dal progetto. Se si ripete senza indizi, vale la pena indagare fino al malfunzionamento dell’hardware o alla possibilità di una modifica da accesso fisico.3

6.2. Se proprio non si trova

È un discorso duro, ma se la chiave di ripristino non si trova, non c’è modo di recuperare i dati di quel drive cifrato. Per un PC gestito dall’organizzazione, la conferma con l’IT è l’ultima trincea; se nemmeno quella, non resta che la reimpostazione del dispositivo (perdita di tutti i dati). Il supporto Microsoft non può fornire o ricreare una chiave di ripristino persa.6

Prendere questo come «i dati sono spariti a causa della cifratura» inverte il nesso causale. La causa è non aver fatto della gestione della chiave di ripristino un meccanismo, e la stessa lacuna di gestione, in caso di furto, sarebbe emersa come fuga di informazioni.

6.3. La chiave di ripristino usata si tratta come monouso — Operatività in riparazione, smarrimento e dimissioni

  • Quando si manda in riparazione: se si è data (o si potrebbe aver dato) la chiave di ripristino al riparatore, al ritorno si aggiunge prima una nuova password di ripristino, si conferma il successo del backup su Entra ID / AD DS, e solo allora si elimina la password di ripristino data. Se si elimina prima, nel momento in cui l’aggiunta o il backup falliscono quel drive resta senza mezzo di ripristino, quindi l’ordine è importante. Anche Microsoft raccomanda di invalidare la password di ripristino dopo l’uso, e la sequenza aggiunta → backup → eliminazione si chiude con i comandi.5 Sui dispositivi uniti a Entra ID c’è anche un criterio che ruota in automatico la password di ripristino usata. Il valore predefinito è attivo sui dispositivi uniti a Entra ID, ma funziona solo quando è configurato il criterio (5.1) che rende obbligatorio il backup delle informazioni di ripristino. Prima di affidarsi alla rotazione automatica, si confermino questa configurazione di premessa e il fatto che la chiave viene davvero sostituita.4
  • Quando si smarrisce un PC: si conferma se la protezione era attiva (protettore TPM creato, chiave chiara rimossa) dai record dell’output dei comandi del capitolo 4 o dagli strumenti di gestione, e se era cifrato si è nella condizione di poter spiegare «i dati sul disco non si possono leggere». Questa è la ragione più grande per fare l’inventario in tempo di pace.
  • Quando ci sono dimissioni o restituzione del PC: la prima cosa è non creare uno stato in cui la chiave di ripristino del PC restituito sta solo nell’account Microsoft personale di chi se ne va. Se il concentramento nel posto di salvataggio dell’organizzazione (capitolo 4) è fatto, il lavoro alla restituzione si riduce al rikitting e alla riemissione della password di ripristino.

Per esempio, il caso della riparazione messo in un flusso è il seguente.

Si manda in riparazione(possibilità di aver dato la chiave di ripristino)Il PC tornaSi aggiunge una nuova password di ripristinoSi conferma il successo del backupsu Entra ID / AD DSSi invalida (elimina) la passworddi ripristino dataSi aggiorna il registro e si chiude

7. Il rapporto con lo smaltimento — Un disco già cifrato rende lo smaltimento più facile

L’effetto di BitLocker non è solo durante l’uso. Se il drive è cifrato fin dall’inizio, allo smaltimento sul disco resta solo testo cifrato. BitLocker è progettato, in partenza, come funzione che previene la fuga di dati non solo da smarrimento e furto ma anche da «dispositivi smaltiti in modo inappropriato», e tra gli scopi c’è rendere i dati illeggibili allo smaltimento o al riciclo di un dispositivo protetto.1

Tuttavia, il fatto che sia cifrato non autorizza a omettere la procedura di cancellazione allo smaltimento (reimpostazione, strumento di cancellazione dedicato, distruzione fisica). La cifratura è un’assicurazione che «abbassa il rischio che dal disco si legga testo in chiaro prima della cancellazione o se la cancellazione è impossibile», non un sostituto di una cancellazione verificabile. Su questo, alle organizzazioni che operano con la cifratura si aggiunge un lavoro proprio — l’ordine delle copie della chiave di ripristino (carta, file, registrazioni su AD o Entra ID). Anche se si cancella il disco, se resta la copia della chiave di ripristino lo smaltimento sul registro non è completo. Si includa nell’iter di smaltimento anche l’eliminazione delle chiavi vecchie.

Detto questo, nello smaltimento di un PC ci sono anche punti diversi dalla cifratura — disassociazione di account e licenze, registro degli asset, traccia. L’iter complessivo è raccolto come elenco di controllo in «Cose da fare prima di smaltire un PC Windows», quindi per allestire un flusso di smaltimento che presuppone la cifratura si usi anche quello.

8. Il punto di vista dello sviluppatore di app aziendali — Prestazioni, PC di apparato, distribuzione da clone

Infine, i punti di attenzione dalla posizione di chi ha in carico app aziendali o PC di controllo di apparato.

  • Sull’impatto sulle prestazioni la base è «prima si misura sul 128 bit predefinito». Microsoft stessa pone come criterio di scelta della lunghezza della chiave «a seconda delle prestazioni del dispositivo», e su drive e CPU performanti 256 bit, altrimenti 128 bit.4 A rovescio, su un PC moderno che il default XTS-AES 128 pesi sulla percezione di un’app aziendale è raro, e anche da noi, fuori dalle app con I/O su file particolarmente pesante, quasi non è mai stato un problema. Se si dubita, si dovrebbe giudicare dopo aver misurato l’I/O prima e dopo la cifratura con un volume di dati equivalente alla produzione; «sembra che rallenti, quindi si spegne» a sensazione è mettere il carro davanti ai buoi.
  • La cifratura è trasparente dall’app. BitLocker è cifratura dell’intero volume, e il comportamento delle API sui file non cambia. A rovescio, le informazioni segrete che l’app tratta sulla macchina in esecuzione (stringhe di connessione, chiavi API) BitLocker non le protegge. Su una macchina su cui si è già effettuato l’accesso, il drive si vede decifrato. Quello è il turno di DPAPI e simili («Memorizzazione di segreti nelle app Windows: evitare la configurazione in testo normale con DPAPI»).
  • Su PC di apparato e PC kiosk la configurazione si decide in base a «si può riavviare senza presidio?». Con la sola configurazione TPM anche il ritorno da un’interruzione di corrente si alza senza presidio, ma TPM+PIN o la chiave di avvio a ogni avvio chiedono una persona, e non vanno per un apparato senza presidio. D’altra parte la sola configurazione TPM porta il rischio di fermarsi sulla schermata di ripristino con i trigger del capitolo 3 (aggiornamento del firmware ecc.), quindi mettere la chiave di ripristino in un posto lontano dal campo (conservazione sotto chiave + registro) e scrivere nella procedura di manutenzione dell’apparato «Suspend-BitLocker prima del lavoro» diventa il perno dell’operatività. Il modo di irrigidire in generale un terminale senza presidio è trattato in «Irrigidire i terminali aziendali con la modalità kiosk». Si noti che l’allentamento dei requisiti della Crittografia dispositivo automatica di 24H2 non si applica alle edizioni Windows IoT,2 ma questo non significa «su IoT la cifratura automatica non avviene». Sui modelli che soddisfano i requisiti di prima dell’allentamento (HSTI/Modern Standby ecc.) la cifratura automatica può esserci come prima, quindi anche sui PC di apparato mettere nella procedura di kitting la conferma dello stato con manage-bde -status è la via sicura.
  • Nella distribuzione da clone non si fa «cifrare e poi fare l’immagine». La password di ripristino è propria del dispositivo su cui è stata creata.3 Non si prende una configurazione che duplica l’immagine di una macchina madre con la protezione già attiva: l’ordine è, dopo la distribuzione, attivazione per PC (o cifratura automatica in OOBE) → backup della chiave di ripristino. Se il kitting è già a script («Automatizzare il kitting dei PC con winget + PowerShell»), basta aggiungere come ultimo passo l’attivazione e la conferma del backup della sezione 5.4.

9. Conclusione

  • Nelle installazioni pulite di Windows 11 24H2 e successive, sui PC che soddisfano TPM+Avvio protetto UEFI la Crittografia dispositivo viene inizializzata per default. I requisiti HSTI/Modern Standby e DMA sono stati aboliti, e il bersaglio si è allargato fino ai desktop ordinari.
  • La risposta giusta a «è stato cifrato da solo» non è la disattivazione, ma la conferma di dove sta la chiave di ripristino. Spegnendola si perde la protezione in caso di smarrimento, furto o smaltimento, e una volta spenta non si riattiva in automatico.
  • I posti in cui salvare la chiave di ripristino sono quattro — Entra ID / AD DS / account Microsoft / copia stampata o su file — e sono quasi determinati dal modo di accesso. Si decida un posto dell’organizzazione e si faccia l’inventario se tutti i PC ci stanno.
  • La conferma si chiude con manage-bde -protectors -get C: o (Get-BitLockerVolume -MountPoint C).KeyProtector, il backup a posteriori con BackupToAAD-BitLockerKeyProtector / Backup-BitLockerKeyProtector.
  • La chiave di ripristino viene chiesta anche al proprietario legittimo per aggiornamento del firmware, modifica delle impostazioni di Avvio protetto, sostituzione dell’hardware ecc. Si metta nella procedura Suspend-BitLocker prima di un lavoro pianificato.
  • Il metodo predefinito è XTS-AES 128, e per cambiarlo in seguito servono decifratura e ricifratura. Su un drive nuovo, cifrare solo lo spazio usato basta.
  • La chiave di ripristino usata si invalida e si riemette, non si lascia la chiave nell’account di chi si dimette, allo smaltimento si seppellisce anche la copia della chiave — la chiave di ripristino non è «si emette e basta», è qualcosa da gestire nel ciclo di vita.
  • La cifratura è anche un’assicurazione allo smaltimento, ma non è un sostituto della procedura di cancellazione (reimpostazione, strumento di cancellazione, distruzione fisica). Per le PMI la soluzione realistica non è spegnere BitLocker, è saperlo usare in coppia con la gestione della chiave di ripristino.

Articoli correlati

Aree di consulenza correlate

KomuraSoft LLC si occupa della progettazione dell’operatività di cifratura in ambienti Windows che includono app aziendali e PC di apparato (progettazione di dove salvare la chiave di ripristino, incorporazione nel kitting, configurazione di BitLocker sui PC di apparato) e della verifica delle prestazioni e dell’indagine dei guasti delle app aziendali in un ambiente cifrato. Si può partire da uno stadio del tipo «si può cifrare un PC di apparato?».

Riferimenti

  1. Microsoft Learn, BitLocker overview. Sul fatto che BitLocker è una funzione che cifra un intero volume e affronta la minaccia di fuga di dati per smarrimento, furto o smaltimento inappropriato; sul fatto che il TPM conferma che non c’è stata manomissione mentre il sistema è offline e che si può rendere a più fattori con PIN/chiave di avvio (il metodo con password non ha blocco e per default è disattivato); sul fatto che l’attivazione di BitLocker è supportata su Pro/Enterprise/Pro Education/Education; sul fatto che la Crittografia dispositivo è disponibile su tutte le versioni di Windows e cifra solo il drive del sistema operativo e i drive fissi; sul fatto che in Windows 11 24H2 i prerequisiti DMA e HSTI/Modern Standby sono stati aboliti; sul fatto che al completamento dell’OOBE dopo un’installazione pulita la cifratura viene inizializzata con una chiave chiara e che un protettore TPM viene creato e la chiave chiara rimossa solo dopo il successo del backup della chiave di ripristino su join Entra ID / join AD DS / account Microsoft; sul fatto che un dispositivo usato solo con un account locale resta non protetto; sul fatto che il metodo predefinito della Crittografia dispositivo è XTS-AES a 128 bit e che per cambiare metodo serve decifrare; sul fatto che lo stato di idoneità si conferma con «Supporto per la crittografia del dispositivo» in msinfo32.exe; sul fatto che una volta disattivata la Crittografia dispositivo non si riattiva in automatico. ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8 ↩9 ↩10 ↩11 ↩12 ↩13 ↩14 ↩15 ↩16 ↩17 ↩18 ↩19

  2. Microsoft Learn, BitLocker drive encryption in Windows 11 for OEMs. Sul fatto che la Crittografia dispositivo automatica cifra in automatico i drive interni dopo il completamento dell’OOBE; sul fatto che la protezione viene attivata (armata) dopo l’accesso con un account Microsoft o Entra ID (Azure AD) e non viene attivata con un account locale; sul fatto che da Windows 11 24H2 il requisito HSTI/Modern Standby è stato abolito, che l’attivazione avviene anche in presenza di un bus DMA non autorizzato e che la chiave di Registro AllowedBuses da 24H2 in poi viene ignorata; sul fatto che questa modifica non si applica alle edizioni Windows IoT; sul fatto che i requisiti rimanenti sono TPM (1.2/2.0) e Avvio protetto UEFI e simili; sul fatto che in un aggiornamento del firmware è raccomandata la procedura sospendere BitLocker → aggiornare → riavviare → riprendere. ↩ ↩2 ↩3 ↩4 ↩5

  3. Microsoft Learn, BitLocker recovery overview. Sui trigger rappresentativi per entrare in modalità di ripristino (inserimenti ripetuti di un PIN errato, aggiornamento di un componente della fase iniziale di avvio come un aggiornamento del firmware BIOS/UEFI, spegnimento/disattivazione/azzeramento del TPM o fallimento dell’autotest, modifica di un PCR, sostituzione della scheda madre, spostamento del drive su un altro PC, innesto o distacco da docking, modifica della tabella delle partizioni NTFS o del boot manager, avvio PXE, modifica dell’ordine di avvio su TPM 1.2 ecc.); sul fatto che con la sospensione prima di un lavoro pianificato si evita il ripristino e che per default al riavvio la protezione riprende in automatico (si può anche specificare il numero di riavvii); sul fatto che la password di ripristino è a 48 cifre e propria del dispositivo, che per i dispositivi uniti a Entra ID è raccomandato il salvataggio su Entra ID, per quelli uniti ad AD DS su AD DS, e che per i dispositivi non uniti a nessuno dei due il salvataggio su account Microsoft è la raccomandazione predefinita; sul fatto che in AD DS viene salvata nell’oggetto ms-FVE-RecoveryInformation sotto l’oggetto computer e che le password di ripristino vecchie non vengono eliminate in automatico; sul fatto che le chiavi di ripristino su Entra ID si ottengono dal centro di amministrazione Entra, dal centro di amministrazione Intune, da PowerShell o da Microsoft Graph e si possono delegare all’help desk; sul fatto che chi detiene la password di ripristino può accedere a tutti i dati, quindi servono una conservazione sicura separata dal dispositivo protetto e un controllo dell’accesso. ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8 ↩9 ↩10 ↩11 ↩12 ↩13

  4. Microsoft Learn, Configure BitLocker. Sul fatto che i criteri di BitLocker si possono configurare sia da CSP (MDM/Intune) sia dai Criteri di gruppo; sul fatto che, se non si configura il criterio «Scegliere il metodo di crittografia unità e la forza di crittografia», il default è XTS-AES a 128 bit, e la raccomandazione è XTS-AES su tutti i drive con lunghezza della chiave 128/256 in base alle prestazioni del dispositivo e ai requisiti di regolamentazione; sul fatto che il criterio «Scegliere come è possibile recuperare le unità del sistema operativo protette da BitLocker» configura il contenuto salvato in AD DS (solo password di ripristino / anche il pacchetto di chiavi) e «Non abilitare BitLocker finché le informazioni di ripristino non vengono archiviate in AD DS» (la password di ripristino viene generata in automatico); sul fatto che sui dispositivi uniti a Entra ID la password di ripristino viene salvata su Entra ID e sui dispositivi in join ibrido sia su AD sia su Entra ID; sul fatto che il valore predefinito della rotazione della password di ripristino all’uso è attivo (valore 1) sui dispositivi uniti a Entra ID e funziona solo se è configurato il criterio che rende obbligatorio il backup della password di ripristino; sul fatto che per cambiare metodo di cifratura o forza di cifratura servono decifratura e ricifratura. ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7

  5. Microsoft Learn, BitLocker operations guide. Sulla conferma dello stato con Get-BitLockerVolume e manage-bde -status; sull’elenco dei protettori con manage-bde -protectors -get C: e (Get-BitLockerVolume -MountPoint C).KeyProtector; sulla sintassi di Enable-BitLocker (-TpmProtector, -EncryptionMethod, -UsedSpaceOnly, -Pin/-TPMandPinProtector) e Add-BitLockerKeyProtector -RecoveryPasswordProtector; sul backup della password di ripristino su Entra ID/AD DS con BackupToAAD-BitLockerKeyProtector / Backup-BitLockerKeyProtector e manage-bde -protectors -aadbackup / -adbackup; sulla sospensione e ripresa con Suspend-BitLocker / Resume-BitLocker; sulla procedura per invalidare e riemettere una password di ripristino dopo l’uso; sul fatto che «cifrare solo lo spazio usato» va per un drive nuovo e «l’intero drive» per un drive che ha già dati; sul fatto che i file eliminati restano non cifrati come spazio libero e possono essere ricostruiti con strumenti forensi; sul fatto che il file della chiave di ripristino va salvato in un posto diverso dal dispositivo stesso. ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8

  6. Microsoft Support, Find your BitLocker recovery key. Sul fatto che una chiave di ripristino salvata su un account Microsoft personale si conferma su https://aka.ms/myrecoverykey; sul fatto che per un account di lavoro o scuola si conferma da «Visualizza chiavi BitLocker» su https://aka.ms/aadrecoverykey; sul fatto che può esserci una copia stampata o un file su chiavetta USB/file di testo; sul fatto che con le prime 8 cifre dell’ID della chiave di ripristino si confronta la chiave giusta; sul fatto che per un dispositivo gestito dall’organizzazione si dovrebbe confermare con l’IT; sul fatto che se la chiave di ripristino non si trova serve la reimpostazione del dispositivo (perdita di tutti i file) e che il supporto Microsoft non può recuperare una chiave di ripristino persa. ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8

Articoli correlati

Articoli recenti con gli stessi tag per approfondire argomenti vicini.

Argomenti correlati

Queste pagine collocano l’argomento in un contesto più ampio di servizi e decisioni.

Servizi collegati all’argomento

L’articolo è direttamente collegato ai servizi seguenti.

Domande frequenti

Domande che ricorrono nelle consulenze sull’argomento dell’articolo.

Mi sono accorto che «Crittografia dispositivo» si era attivata da sola. Va bene disattivarla?
La disattivazione non è consigliata. Nelle installazioni pulite di Windows 11 versione 24H2 e successive, sui PC che soddisfano condizioni come TPM e Avvio protetto la Crittografia dispositivo viene inizializzata per default, quindi «si è accesa da sola» è l'impressione che dà. È il meccanismo che protegge i dati in caso di smarrimento o furto: spegnerla fa perdere quella protezione e, una volta disattivata, non si riattiva in automatico. Quel che va fatto non è disattivarla, ma confermare la chiave di ripristino con un comando come manage-bde -protectors -get C: e far sì che finisca salvata nel posto deciso dall'organizzazione — account Microsoft, Entra ID o AD, per esempio.
Dov'è la chiave di ripristino di BitLocker?
Il posto in cui è salvata dipende da come il PC accede. Per un PC configurato con un account Microsoft personale, accedendo a https://aka.ms/myrecoverykey con lo stesso account la si elenca. Per un PC unito all'Entra ID dell'azienda (account di lavoro), si conferma in «Visualizza chiavi BitLocker» su https://aka.ms/aadrecoverykey. Per un PC unito a un dominio AD on-premises, se il criterio è configurato, un amministratore la può estrarre sotto l'oggetto computer. Possono esserci anche una copia stampata, una chiavetta USB o un file salvato. Incrociando le prime 8 cifre dell'ID della chiave di ripristino mostrato nella schermata di ripristino si identifica la chiave giusta.
Si può usare BitLocker su un PC Windows 11 Home?
Le funzioni disponibili dipendono dall'edizione. Il BitLocker completo, con aggiunta del PIN e gestione tramite criteri, si può attivare solo sulla famiglia Pro/Enterprise/Education; su Home non c'è. La controparte semplificata, Crittografia dispositivo, è disponibile su tutte le edizioni, Home compresa, e si attiva in automatico se si soddisfano i requisiti come TPM e Avvio protetto UEFI. Tuttavia per attivare la protezione serve l'accesso con un account Microsoft con privilegi di amministratore: un account locale da solo non protegge. Se lo si gestisce come PC aziendale, si raccomanda una configurazione che presupponga Pro e centralizzi le chiavi di ripristino tramite Entra ID o AD.
Dopo un aggiornamento del BIOS (firmware UEFI) mi è stata chiesta la chiave di ripristino. Perché?
BitLocker usa il TPM per verificare che l'ambiente di avvio non sia stato manomesso e, quando i valori misurati all'avvio cambiano — aggiornamento del firmware, modifica delle impostazioni di Avvio protetto, azzeramento del TPM, sostituzione della scheda madre e così via — giudica l'ambiente «diverso dal solito» ed entra in modalità di ripristino. Non è un guasto: è il comportamento previsto dal progetto. Prima di un aggiornamento pianificato, sospendendo la protezione con Suspend-BitLocker (o manage-bde -protectors -disable C:) si può lavorare senza inserire la chiave di ripristino. Il drive resta cifrato anche durante la sospensione e, per default, la protezione riprende in automatico al riavvio successivo.
Se la chiave di ripristino non si trova, i dati si possono ancora recuperare?
Senza la chiave di ripristino corretta (la password di ripristino a 48 cifre) o un altro metodo di sblocco, non c'è modo di recuperare i dati del drive cifrato. Anche il supporto Microsoft dichiara apertamente di non poter riemettere o recuperare una chiave di ripristino persa. Per un PC gestito dall'organizzazione, si chiede prima all'IT; per un PC personale si guarda la pagina delle chiavi di ripristino dell'account Microsoft, una copia stampata o un file .bek/.txt su una chiavetta USB. Se non viene fuori nulla, non resta che reimpostare (reinstallare) il PC, e i dati sono persi. Proprio per questo, prima di discutere se spegnere la cifratura, si dovrebbe prima confermare che la chiave di ripristino di ogni PC sia sotto il controllo dell'organizzazione.

Profilo dell’autore

Pagina di presentazione dell’autore dell’articolo.

Go Komura

Rappresentante di KomuraSoft LLC

Specializzato nello sviluppo di software Windows, nella consulenza tecnica e nell’analisi dei malfunzionamenti, soprattutto nei progetti con sistemi esistenti e guasti difficili da riprodurre.

Contattaci
Torna al blog