BitLocker su Windows 11: quando la “sicurezza di default” diventa un rischio per la disponibilità dei dati

Con l’introduzione di Windows 11 24H2, Microsoft ha scelto di puntare su una strategia che cerca di mettere al centro gli aspetti legati alla sicurezza. Crittografia dispositivo è una tecnologia a sua volta basata su BitLocker che intende rafforzare la protezione dei dati, crittografando il contenuto dell’unità di Windows. Il fatto è che tanti utenti sono così esposti a un nuovo rischio: la perdita permanente dei propri file.

Durante il processo di configurazione iniziale (OOBE, Out Of Box Experience) su nuove installazioni o dispositivi preinstallati con Windows 11 24H2, la tecnologia BitLocker è attivata automaticamente quando si effettua l’accesso con un account Microsoft, senza richiedere un consenso esplicito. La chiave di ripristino, sequenza di caratteri utilizzata per sbloccare un dispositivo protetto da crittografia BitLocker, è salvata nell’account online, senza che l’utente ne sia adeguatamente informato. Questo approccio, che punta a massimizzare la riservatezza dei dati, trascura però un principio fondamentale della sicurezza informatica: la disponibilità.

BitLocker abilitato di default su Windows 11: un rischio reale e sottovalutato

Si pensi all’utente che acquista un nuovo PC o esegue un’installazione pulita di Windows 11 24H2. Durante la fase finale dell’installazione, specificando le credenziali di un account Microsoft, Windows 11 attiva automaticamente la tecnologia BitLocker senza esporre alcuna informativa chiara e dettagliata.

Il sistema, collegato alla rete Internet, memorizza la chiave di ripristino BitLocker nel cloud, appoggiandosi al profilo dell’account Microsoft specificato. Provate ad accedere alla pagina Chiavi di ripristino di BitLocker: qui troverete le chiavi associate a ciascun sistema ove avete installato Windows e BitLocker risulta abilitato.

In un momento successivo, l’utente può decidere di passare a un account locale o, peggio ancora, eliminare l’account Microsoft per motivi di privacy. Nessun avviso è mostrato per informarlo che i dati critici di recupero (chiave di ripristino BitLocker) sono collegati a quell’account.

In caso di guasto, reinstallazione o sostituzione di hardware, per accedere all’unità Windows crittografata, il sistema chiederà l’inserimento della chiave di ripristino. Se l’account Microsoft non esiste più o è inaccessibile, il recupero diventa impossibile!

Non viene mostrato alcun avviso né durante l’attivazione iniziale, né durante la cancellazione dell’account Microsoft, lasciando gli utenti del tutto inconsapevoli del pericolo.

Il paradosso della triade CIA: quando l’”A” viene sacrificata

Nel mondo della cybersecurity, si fa spesso riferimento al modello CIA Triad:

• Confidentiality (Confidenzialità): proteggere i dati da accessi non autorizzati;
• Integrity (Integrità): garantire che i dati non subiscano alterazioni;
• Availability (Disponibilità): assicurare che i dati siano accessibili quando necessari.

Nella pratica quotidiana, per l’utente medio la disponibilità dei propri dati — foto di famiglia, documenti importanti, archivi personali — ha spesso un valore ben superiore alla semplice protezione della riservatezza. Perdere l’accesso a causa di un problema di account o di sistema può essere devastante, ben più che subire un rischio teorico di accesso non autorizzato.

Eppure, l’attuale implementazione di BitLocker in Windows 11 sembra privilegiare esclusivamente la confidenzialità, mettendo a serio rischio la disponibilità dei dati personali.

BitLocker senza backup non è sicurezza: è la ricetta di un disastro

L’obiettivo dichiarato di Microsoft, con l’attivazione automatica di Crittografia dispositivo, è garantire sistemi più sicuri per tutti. Tuttavia, senza meccanismi di backup chiari, obbligatori e facilmente comprensibili per la chiave di ripristino, BitLocker può trasformarsi in una trappola.

Per come il sistema è attualmente implementato, i dati restano potenzialmente esposti a perdite totali in caso di problematiche di vario genere (si pensi, appunto, alla cancellazione dell’account Microsoft o alla perdita dell’accesso). Inoltre, il meccanismo non offre strumenti di verifica periodica per controllare la presenza e l’integrità delle chiavi di ripristino, aumentando ulteriormente il rischio.

Per verificare se BitLocker o Crittografia dispositivo fossero abilitati sul proprio sistema, suggeriamo di digitare cmd nella casella di ricerca, scegliere Esegui come amministratore quindi scrivere quanto segue:

manage-bde -status

Quand’è che BitLocker può richiedere l’inserimento della chiave di ripristino all’avvio del PC

Sino ad oggi abbiamo visto tanti (troppi) utenti che hanno perso i loro dati personali non avendo consapevolezza del fatto che BitLocker fosse attivato sui loro sistemi.

BitLocker può richiedere l’inserimento della chiave di ripristino all’avvio del PC in diverse situazioni legate a cambiamenti nella configurazione del sistema o a potenziali rischi di sicurezza. Ecco i casi principali in cui ciò avviene:

• Se sono state apportate modifiche hardware, come l’inserimento o la rimozione di dispositivi USB o cambiamenti nella configurazione del BIOS UEFI, incluso l’aggiornamento del firmware TPM o della ROM.
• Se si dimentica o si inserisce più volte un PIN errato o si perde l’unità USB contenente la chiave di avvio, BitLocker chiede la chiave di ripristino per sbloccare l’unità.
• In caso di modifiche sul BIOS, come disattivazioni o aggiornamenti, che alterano i valori del registro di configurazione della piattaforma (PCR).
• In caso di variazioni software legate a Secure Boot o comunque alla procedura di avvio del sistema.
• Dopo l’installazione di alcuni aggiornamenti ufficiali Microsoft distribuiti tramite Windows Update, come accaduto in passato.

Se non si fosse in possesso della chiave di ripristino e non si avesse modo di recuperarla (ad esempio perché non si ha accesso all’account Microsoft corrispondente), i dati memorizzati nell’unità saranno persi per sempre.

Una proposta di miglioramento per BitLocker in Windows 11

Per conciliare la sicurezza con la reale fruibilità dei dati, sarebbe sufficiente implementare alcune modifiche di buon senso:

• Consenso esplicito: durante la configurazione iniziale (OOBE), l’attivazione automatica di BitLocker dovrebbe essere chiaramente comunicata, con la possibilità di scegliere se attivarla o meno, dopo aver compreso rischi e benefici.
• Avvisi in caso di modifica o eliminazione dell’account: quando l’utente passa a un account locale o elimina il proprio account Microsoft, Windows dovrebbe mostrare un chiaro avvertimento riguardo la perdita di accesso alle chiavi di ripristino associate.
• Controlli periodici delle chiavi: il sistema operativo dovrebbe eseguire controlli regolari per confermare che le chiavi di ripristino siano salvate correttamente e notificare l’utente in caso di rischio di perdita.
• Backup multipli delle chiavi: sarebbe opportuno incentivare il salvataggio della chiave di ripristino su dispositivi esterni “fidati” o su altri supporti, per scongiurare qualunque possibile perdita.

Queste semplici aggiunte permetterebbero di mantenere alto il livello di protezione garantito da BitLocker, senza sacrificare la disponibilità dei dati personali.

Gli aspetti da tenere in considerazione, compresa l’installazione senza account Microsoft

Ciò che lascia perplessi è che Microsoft sta facendo di tutto per spingere sull’installazione di Windows 11 con account Microsoft. Di default, la procedura d’installazione standard (OOBE) non accetta più l’uso di account locali (che possono essere comunque creati dopo il primo login con un account Microsoft).

Inoltre, affinché Crittografia dispositivo si attivi automaticamente, è necessario che il dispositivo supporti Modern Standby e disponga di un chip TPM. Che è comunque un requisito minimo per l’installazione di Windows 11.

Procedendo con l’installazione di Windows 11 senza account Microsoft o usando il trucco per installare Windows 11 anche senza connessione e senza passaggi aggiuntivi, Crittografia dispositivo o BitLocker non si attiveranno mai automaticamente. La stessa utilità Rufus permette di creare un supporto d’installazione di Windows 11 che disattiva per default BitLocker durante l’installazione del sistema operativo.

In un altro articolo, infine, abbiamo spiegato come disattivare BitLocker in Windows 11, se si preferisse fare a meno di questa funzionalità di protezione.