Cifrado de disco BitLocker normalmente requiere un TPM en Windows. De Microsoft Cifrado EFS nunca puede usar un TPM. El nuevo Función de "cifrado de dispositivo" en Windows 10 y 8.1 también requiere un TPM moderno, por lo que solo está habilitado en hardware nuevo. Pero, ¿qué es un TPM?
TPM son las siglas de "Trusted Platform Module". Es un chip en la placa base de su computadora que ayuda a habilitar el cifrado de disco completo a prueba de manipulaciones sin requerir frases de contraseña extremadamente largas.
¿Qué es exactamente?
RELACIONADO: Cómo configurar el cifrado de BitLocker en Windows
El TPM es un chip que forma parte de la placa base de su computadora; si compró una PC lista para usar, está soldado a la placa base. Si construyó su propia computadora, puede compre uno como módulo adicional si su placa base lo admite. El TPM genera claves de cifrado, manteniendo parte de la clave para sí mismo. Por lo tanto, si está utilizando el cifrado de BitLocker o el cifrado de dispositivo en una computadora con el TPM, parte de la clave se almacena en el propio TPM, en lugar de solo en el disco. Esto significa que un atacante no puede simplemente quitar la unidad de la computadora e intentar acceder a sus archivos en otro lugar.
Este chip proporciona autenticación basada en hardware y detección de manipulación, por lo que un atacante no puede intentar quitar el chip y colocarlo en otra placa base, o manipular la placa base para intentar evitar el cifrado, al menos en teoría.
Cifrado, cifrado, cifrado
Para la mayoría de las personas, el caso de uso más relevante aquí será el cifrado. Las versiones modernas de Windows usan el TPM de forma transparente. Simplemente inicie sesión con una cuenta de Microsoft en una PC moderna que se envía con el "cifrado de dispositivo" habilitado y utilizará el cifrado. Habilite el cifrado de disco BitLocker y Windows utilizará un TPM para almacenar la clave de cifrado.
Normalmente, solo obtiene acceso a una unidad encriptada escribiendo su contraseña de inicio de sesión de Windows, pero está protegida con una clave de encriptación más larga que esa. Esa clave de cifrado se almacena parcialmente en el TPM, por lo que en realidad necesita su contraseña de inicio de sesión de Windows y la misma computadora desde la que es la unidad para obtener acceso. Es por eso que la "clave de recuperación" para BitLocker es un poco más larga; necesita esa clave de recuperación más larga para acceder a sus datos si mueve la unidad a otra computadora.
Ésta es una de las razones por las que la antigua tecnología de cifrado EFS de Windows no es tan buena. No tiene forma de almacenar claves de cifrado en un TPM. Eso significa que tiene que almacenar sus claves de cifrado en el disco duro y lo hace mucho menos seguro. BitLocker puede funcionar en unidades sin TPM, pero Microsoft hizo todo lo posible por ocultar esta opción para enfatizar lo importante que es un TPM para la seguridad.
Por qué TrueCrypt evitó los TPM
RELACIONADO: 3 alternativas a TrueCrypt, ahora desaparecido, para sus necesidades de cifrado
Por supuesto, un TPM no es la única opción viable para el cifrado de disco. Las preguntas frecuentes de TrueCrypt, ahora eliminadas, solían enfatizar por qué TrueCrypt no usaba y nunca usaría un TPM. Criticó las soluciones basadas en TPM por proporcionar una falsa sensación de seguridad. Por supuesto, el sitio web de TrueCrypt ahora indica que TrueCrypt en sí es vulnerable y recomienda que use BitLocker, que usa TPM, en su lugar. Entonces es un poco confuso en la tierra de TrueCrypt .
Sin embargo, este argumento todavía está disponible en el sitio web de VeraCrypt. VeraCrypt es una bifurcación activa de TrueCrypt. Preguntas frecuentes de VeraCrypt insiste en que BitLocker y otras utilidades que dependen de TPM lo usan para prevenir ataques que requieren que un atacante tenga acceso de administrador o acceso físico a una computadora. "Lo único que casi se garantiza que TPM proporcionará es una falsa sensación de seguridad", dice la sección de preguntas frecuentes. Dice que un TPM es, en el mejor de los casos, "redundante".
Hay un poco de verdad en esto. Ninguna seguridad es completamente absoluta. Un TPM es posiblemente una característica más conveniente. El almacenamiento de las claves de cifrado en hardware permite que una computadora descifre automáticamente la unidad o la descifre con una simple contraseña. Es más seguro que simplemente almacenar esa clave en el disco, ya que un atacante no puede simplemente quitar el disco e insertarlo en otra computadora. Está vinculado a ese hardware específico.
En última instancia, un TPM no es algo en lo que tenga que pensar mucho. Su computadora tiene un TPM o no, y las computadoras modernas generalmente lo tienen. Las herramientas de cifrado como BitLocker de Microsoft y el "cifrado del dispositivo" utilizan automáticamente un TPM para cifrar sus archivos de forma transparente. Eso es mejor que no utilizar ningún cifrado, y es mejor que simplemente almacenar las claves de cifrado en el disco, como lo hace el EFS (Sistema de cifrado de archivos) de Microsoft.
En lo que respecta a TPM frente a soluciones no basadas en TPM, o BitLocker frente a TrueCrypt y soluciones similares, bueno, ese es un tema complicado que no estamos realmente calificados para abordar aquí.
Credito de imagen: Paolo Attivissimo en Flickr
