A Microsoft armazena sua Chave de Criptografia de Dispositivo do Windows 10 no OneDrive

A Microsoft criptografa automaticamente seu novo dispositivo Windows e armazena a Chave de Criptografia de Dispositivo do Windows 10 no OneDrive, quando você faz login usando sua Conta da Microsoft. Este post fala do porquê a Microsoft faz isso. Também veremos como excluir essa chave de criptografia e gerar sua própria chave, sem precisar compartilhá-la com a Microsoft.

Chave de criptografia de dispositivo do Windows 10

Se você comprou um novo computador Windows 10 e entrou usando sua conta da Microsoft, seu dispositivo será criptografado pelo Windows e a chave de criptografia será armazenada automaticamente no OneDrive. Isso não é nada novo atualmente e existe desde o Windows 8, mas algumas questões relacionadas à sua segurança foram levantadas recentemente.

Para que esse recurso esteja disponível, seu hardware deve suportar o modo de espera conectado que se encontra com o Windows Hardware Certification Kit (HCK) para os sistemas TPM e SecureBoot em ConnectedStandby. Se o seu dispositivo suportar esse recurso, você verá a configuração em Configurações> Sistema> Sobre. Aqui você pode desativar ou ativar a Criptografia do dispositivo.

Criptografia de disco ou dispositivo no Windows 10 é um recurso muito bom ativado por padrão no Windows 10. O que esse recurso faz é que ele criptografa seu dispositivo e em seguida, armazene a chave de criptografia no OneDrive, na sua conta da Microsoft.

A criptografia do dispositivo é habilitada automaticamente para que o dispositivo esteja sempre protegido, diz o TechNet. A lista a seguir descreve como isso é feito:

1. Quando uma instalação limpa do Windows 8.1 / 10 é concluída, o computador é preparado para o primeiro uso. Como parte dessa preparação, a criptografia do dispositivo é inicializada na unidade do sistema operacional e nas unidades de dados fixas no computador com uma chave clara.
2. Se o dispositivo não tiver ingressado no domínio, uma Conta da Microsoft que tenha privilégios administrativos no dispositivo É necessário. Quando o administrador usa uma conta da Microsoft para entrar, a chave limpa é removida, uma chave de recuperação é carregada na conta da Microsoft on-line e o protetor do TPM é criado. Se um dispositivo exigir a chave de recuperação, o usuário será orientado a usar um dispositivo alternativo e navegar até um URL de acesso à chave de recuperação para recuperar a chave de recuperação usando as credenciais da Conta da Microsoft.
3. Se o usuário fizer login usando uma conta de domínio, a chave limpa não é removida até que o usuário ingresse o dispositivo em um domínio e a chave de recuperação tenha sido salva em backup nos Serviços de Domínio Active Directory.

Portanto, isso é diferente do BitLocker, em que é necessário iniciar o Bitlocker e seguir um procedimento, enquanto tudo isso é feito automaticamente sem o conhecimento ou interferência dos usuários de computador. Quando você liga o BitLocker, você é forçado a fazer um backup da sua chave de recuperação, mas você tem três opções: Salve-o em sua conta da Microsoft, salve-o em um pendrive ou imprima-o.

Diz um pesquisador:

Assim que a sua chave de recuperação deixa o seu computador, você não tem como saber o seu destino. Um hacker já pode ter hackeado sua conta da Microsoft e fazer uma cópia da sua chave de recuperação antes que você tenha tempo de excluí-la. Ou a própria Microsoft poderia ser hackeada, ou poderia ter contratado um funcionário desonesto com acesso a dados do usuário. Ou uma agência de aplicação da lei ou de espionagem poderia enviar uma solicitação à Microsoft para todos os dados da sua conta, o que obrigaria legalmente a entregar sua chave de recuperação, o que poderia ser feito mesmo se a primeira coisa que você fizer depois de configurar o computador for excluí-la.

Em resposta, a Microsoft tem o seguinte:

Quando um dispositivo entra no modo de recuperação e o usuário não tem acesso à chave de recuperação, os dados na unidade ficarão permanentemente inacessíveis. Com base na possibilidade desse resultado e em uma ampla pesquisa de feedback do cliente, optamos por fazer backup automaticamente da chave de recuperação do usuário. A chave de recuperação requer acesso físico ao dispositivo do usuário e não é útil sem ela.

Assim, a Microsoft decidiu automaticamente fazer o backup das chaves de criptografia em seus servidores para garantir que os usuários não perdessem seus dados se o dispositivo entrasse no modo Recuperação e não tivessem acesso à chave de recuperação.

Então você vê que para isso Para que o recurso seja explorado, o invasor deve poder obter acesso a ambas, a chave de criptografia do backup, bem como obter acesso físico ao dispositivo do computador. Como isso parece uma possibilidade muito rara, eu acho que não há necessidade de ficar paranoico com isso. Apenas certifique-se de ter protegido totalmente sua Conta da Microsoft e deixe as configurações de criptografia do dispositivo com seus padrões.

No entanto, se você quiser remover essa chave de criptografia dos servidores da Microsoft, veja como você pode fazê-lo. > Como remover a chave de criptografia

Não é possível impedir que um novo dispositivo Windows carregue sua chave de recuperação na primeira vez que você efetua login na sua conta da Microsoft, mas você pode excluir a chave carregada.

não deseja que a Microsoft armazene sua chave de criptografia na nuvem, você terá que visitar essa página do OneDrive e

excluir a chave . Então você terá que desativar o recurso Criptografia de disco . Se você fizer isso, você não poderá usar este recurso de proteção de dados embutido caso seu computador seja perdido ou roubado. Quando você exclui sua chave de recuperação de sua conta neste site, ela é excluída imediatamente, e as cópias armazenadas em suas unidades de backup também são excluídas logo em seguida.

A senha da chave de recuperação é excluída imediatamente do perfil on-line do cliente. Como as unidades usadas para failover e backup são sincronizadas com os dados mais recentes, as chaves são removidas, diz Microsoft

Como gerar sua própria chave de criptografia

Os usuários do Windows 10 Pro e Enterprise podem gerar nova criptografia chaves que nunca são enviadas para a Microsoft. Para isso, primeiro você precisará desativar o BitLocker para descriptografar o disco e, em seguida, ativar o BitLocker novamente. Ao fazer isso, você será perguntado onde deseja fazer o backup da Chave de Recuperação de Criptografia de Unidade de Disco BitLocker. Esta chave não será compartilhada com a Microsoft, mas certifique-se de mantê-la com segurança, porque se você a perder, poderá perder o acesso a todos os seus dados criptografados.