A Microsoft criptografa automaticamente seu novo dispositivo Windows e armazena a Chave de Criptografia de Dispositivo do Windows 10 no OneDrive, quando você faz login usando sua Conta da Microsoft. Este post fala do porquê a Microsoft faz isso. Também veremos como excluir essa chave de criptografia e gerar sua própria chave, sem precisar compartilhá-la com a Microsoft.
Chave de criptografia de dispositivos do Windows 10
Se você comprou um novo computador com Windows 10 e entrou usando sua conta da Microsoft, seu dispositivo será criptografado pelo Windows e a chave de criptografia será armazenada automaticamente no OneDrive. Isso não é nada novo, na verdade, e já existe desde o Windows 8, mas algumas questões relacionadas à sua segurança foram levantadas recentemente.
Para que esse recurso esteja disponível, seu hardware deve oferecer suporte ao modo de espera conectado que atenda aos requisitos do Kit de Certificação de Hardware do Windows (HCK) para TPM e Modo de segurança em ConnectedStandby sistemas. Se o seu dispositivo suportar esse recurso, você verá a configuração em Configurações> Sistema> Sobre. Aqui você pode desativar ou ativar a Criptografia do dispositivo.
Criptografia de disco ou dispositivo no Windows 10 é um recurso muito bom que é ativado por padrão no Windows 10. O que esse recurso faz é que ele criptografa seu dispositivo e, em seguida, armazena a chave de criptografia no OneDrive, na sua conta da Microsoft.
A criptografia do dispositivo é ativada automaticamente para que o dispositivo esteja sempre protegido, diz o TechNet. A lista a seguir descreve a maneira como isso é feito:
- Quando uma instalação limpa do Windows 8.1 / 10 é concluída, o computador é preparado para o primeiro uso. Como parte dessa preparação, a criptografia do dispositivo é inicializada na unidade do sistema operacional e nas unidades de dados fixas no computador com uma chave limpa.
- Se o dispositivo não tiver ingressado no domínio, será necessária uma Conta da Microsoft que tenha recebido privilégios administrativos no dispositivo. Quando o administrador usa uma conta da Microsoft para entrar, a chave limpa é removida, uma chave de recuperação é carregada na conta da Microsoft on-line e o protetor do TPM é criado. Se um dispositivo exigir a chave de recuperação, o usuário será orientado a usar um dispositivo alternativo e navegar até um URL de acesso à chave de recuperação para recuperar a chave de recuperação usando as credenciais da Conta da Microsoft.
- Se o usuário fizer login usando uma conta de domínio, a chave desmarcada não será removida até que o usuário ingresse no dispositivo em um domínio e a chave de recuperação tenha sido salva em backup nos Serviços de Domínio Active Directory.
Portanto, isso é diferente do BitLocker, no qual é necessário iniciar o Bitlocker e seguir um procedimento, enquanto tudo isso é feito automaticamente sem o conhecimento ou interferência dos usuários do computador. Quando você ativa o BitLocker, você é forçado a fazer um backup da sua chave de recuperação, mas tem três opções: Salve-o em sua conta da Microsoft, salve-o em um dispositivo USB ou imprima-o.
Diz um pesquisador:
As soon as your recovery key leaves your computer, you have no way of knowing its fate. A hacker could have already hacked your Microsoft account and can make a copy of your recovery key before you have time to delete it. Or Microsoft itself could get hacked, or could have hired a rogue employee with access to user data. Or a law enforcement or spy agency could send Microsoft a request for all data in your account, which would legally compel it to hand over your recovery key, which it could do even if the first thing you do after setting up your computer is delete it.
Em resposta, a Microsoft tem isso a dizer:
When a device goes into recovery mode, and the user doesn’t have access to the recovery key, the data on the drive will become permanently inaccessible. Based on the possibility of this outcome and a broad survey of customer feedback we chose to automatically backup the user recovery key. The recovery key requires physical access to the user device and is not useful without it.
Assim, a Microsoft decidiu fazer o backup automático das chaves de criptografia em seus servidores para garantir que os usuários não percam seus dados se o dispositivo entrar no modo de recuperação e não tiverem acesso à chave de recuperação.
Assim, você vê que, para que esse recurso seja explorado, o invasor deve poder obter acesso a ambos, a chave de criptografia do backup, bem como obter acesso físico ao dispositivo do computador. Como isso parece uma possibilidade muito rara, eu acho que não há necessidade de ficar paranoico com isso. Apenas certifique-se de ter protegido totalmente sua conta da Microsoft e deixe as configurações de criptografia do dispositivo com seus padrões.
No entanto, se você quiser remover essa chave de criptografia dos servidores da Microsoft, veja como você pode fazer isso.
Como remover a chave de criptografia
Não há como evitar que um novo dispositivo Windows carregue sua chave de recuperação na primeira vez que você efetua login na sua conta da Microsoft, mas você pode excluir a chave carregada.
Se você não quiser que a Microsoft armazene sua chave de criptografia na nuvem, você terá que visitar essa página do OneDrive e excluir a chave. Então você terá que Desativar criptografia de disco característica. Lembre-se de que, se você fizer isso, você não poderá usar esse recurso de proteção de dados integrado caso seu computador seja perdido ou roubado.
Quando você exclui sua chave de recuperação de sua conta neste site, ela é excluída imediatamente e as cópias armazenadas em suas unidades de backup também são excluídas logo depois disso.
The recovery key password is deleted right away from the customer’s online profile. As the drives that are used for failover and backup are sync’d up with the latest data the keys are removed, says Microsoft.
Como gerar sua própria chave de criptografia
Os usuários do Windows 10 Pro e Enterprise podem gerar novas chaves de criptografia que nunca são enviadas à Microsoft. Para isso, você precisará primeiro desabilitar o BitLocker para descriptografar o disco e, em seguida, ativar o BitLocker novamente. Ao fazer isso, você será perguntado onde deseja fazer o backup da Chave de Recuperação de Criptografia de Unidade de Disco BitLocker. Essa chave não será compartilhada com a Microsoft, mas mantenha-a em segurança, pois, se a perder, você poderá perder o acesso a todos os seus dados criptografados.
