Users Guide
Módulo de plataforma segura y compatibilidad
con BitLocker
Un módulo de plataforma segura (TPM) es una microcontroladora segura con capacidades criptográcas diseñado para proporcionar
funciones básicas relacionadas con la seguridad que incluyen claves de cifrado. Se instala en la placa base del sistema y se comunica con el
resto del sistema mediante el bus del hardware. Puede establecer la propiedad del sistema y su TPM a través de los comandos de
conguración del BIOS.
El TPM almacena la conguración de la plataforma como un conjunto de valores en un grupo de registros de conguración de plataforma
(PCR). Por lo tanto, un registro puede almacenar, por ejemplo, el fabricante de la placa base; otro, el fabricante del procesador y un tercero,
la versión de rmware para la plataforma, etc. Los sistemas que incorporan un TPM crean una clave que está vinculada a las mediciones de
la plataforma. La clave solo puede abrirse cuando esas mediciones de plataforma tienen los mismos valores que tenían cuando se creó la
clave. Este proceso se denomina sellado de la clave para el TPM. El descifrado se denomina apertura. Cuando una clave sellada se crea por
primera vez, el TPM registra una imagen instantánea de los valores de conguración y de los algoritmos hash de los archivos. Una clave
sellada solo se
abre o libera cuando esos valores actuales del sistema coinciden con los valores de la imagen instantánea. BitLocker utiliza
las claves selladas para detectar ataques contra la integridad del sistema. Los datos se bloquean hasta que se cumplan condiciones
especícas del hardware o del software.
BitLocker mitiga el acceso no autorizado a los datos mediante la combinación de dos procedimientos principales de protección de datos:
• Cifrado de todo el volumen del sistema operativo Windows en el disco duro: BitLocker cifra todos los archivos de usuario y del
sistema en el volumen del sistema operativo.
• Comprobación de la integridad de los componentes de inicio temprano y de los datos de conguración de inicio: en sistemas que
tienen la versión 1.2 de TPM, BitLocker aprovecha las capacidades de seguridad mejoradas del TPM y asegura que los datos estén
disponibles solo si los componentes de inicio del sistema no están alterados y el disco cifrado se ubica en el sistema original.
BitLocker está diseñado para sistemas que tienen un microcódigo y un BIOS de TPM compatibles. Un TPM compatible se dene como un
TPM con versión 1.2. Un BIOS compatible admite el TPM y la raíz estática de medición de conanza. BitLocker sella la clave de cifrado
maestra en el TPM y solo permite que la clave se libere cuando las mediciones de código no hayan cambiado desde un reinicio seguro
anterior. Lo obliga a proporcionar una clave de recuperación para seguir con el arranque si alguna medición ha cambiado. Uno de los varios
escenarios posibles de actualización del BIOS hace que BitLocker detenga la actualización y solicite una clave de recuperación antes de
completar el arranque.
BitLocker protege los datos almacenados en un sistema mediante el cifrado de volumen completo y el inicio seguro. Garantiza que los datos
almacenados en un sistema sigan cifrados, incluso si el sistema se manipula cuando el sistema operativo no está en ejecución, e impide que
el sistema operativo se inicie y descifre la unidad hasta que se presente la clave de BitLocker.
TPM interactúa con BitLocker para ofrecer protección cuando se inicia el sistema. TPM debe estar habilitado y activado antes de que
BitLocker lo utilice. Si se ha cambiado la información de inicio, BitLocker entra en modo de recuperación y necesita una contraseña de
recuperación para volver a acceder a los datos.
NOTA
: Para obtener información sobre cómo activar BitLocker, consulte el sitio web de Microsoft TechNet. Para obtener
instrucciones sobre cómo activar el TPM, consulte la documentación que se incluye con el sistema. El TPM es no es necesario
para BitLocker; no obstante, solo un sistema con TPM puede proporcionar la seguridad adicional de vericación de la integridad
del sistema de inicio. Sin el TPM, BitLocker puede utilizarse para cifrar volúmenes pero no para un inicio seguro.
NOTA: La forma más segura de congurar BitLocker está en un sistema que tenga la versión 1.2 de TPM y una implementación
de BIOS compatible con Trusted Computing Group (TCG), con una clave de inicio o un PIN. Estos métodos ofrecen
autenticación adicional; para ello, se requiere una clave física adicional (una unidad ash USB con clave legible por el sistema
escrita en ella) o un PIN que congure el usuario.
7
Módulo de plataforma segura y compatibilidad con BitLocker 39