Perché Microsoft archivia la chiave di crittografia del dispositivo Windows su OneDrive

Microsoft crittografa automaticamente il tuo nuovo dispositivo Windows e archivia la chiave di crittografia del dispositivo Windows 11/10 su OneDrive quando accedi utilizzando il tuo account Microsoft. Questo post parla del motivo per cui Microsoft fa questo. Vedremo anche come eliminare questa chiave di crittografia e generare la propria chiave, senza doverla condividere con Microsoft.

Se acquisti un nuovo computer Windows 11/10 e accedi utilizzando il tuo account Microsoft, Windows crittograferà il tuo dispositivo e la chiave di crittografia verrà archiviata automaticamente su OneDrive. Questa non è una novità, in realtà; esiste da Windows 8, ma recentemente sono state sollevate alcune domande relative alla sua sicurezza.

Affinché questa funzionalità sia disponibile, l'hardware deve supportare lo standby connesso che soddisfi i requisiti del kit di certificazione hardware di Windows (HCK) per TPM eSecureBootSUConnessoStandbysistemi. Se il tuo dispositivo supporta questa funzione, vedrai l'impostazione in Impostazioni > Sistema > Informazioni. Qui puoi disattivare o.

Crittografia del disco o del dispositivo in Windows 11/10è un'ottima funzionalità attivata per impostazione predefinita su Windows 10. Ciò che fa questa funzionalità è crittografare il tuo dispositivo e quindi archiviare la chiave di crittografia su OneDrive, nel tuo account Microsoft.

La crittografia del dispositivo viene abilitata automaticamente in modo che il dispositivo sia sempre protetto, afferma TechNet. L'elenco seguente illustra il modo in cui ciò viene realizzato:

1. Una volta completata un'installazione pulita di Windows 8.1/10, il computer è pronto per il primo utilizzo. Nell'ambito di questa preparazione viene inizializzata la crittografia del dispositivo sull'unità del sistema operativo e sulle unità dati fisse del computer con una chiave in chiaro.
2. Se il dispositivo non fa parte di un dominio, è necessario un account Microsoft a cui siano stati concessi privilegi amministrativi sul dispositivo. Quando l'amministratore utilizza un account Microsoft per accedere, la chiave di cancellazione viene rimossa, una chiave di ripristino viene caricata su un account Microsoft online e viene creata la protezione TPM. Se un dispositivo richiede la chiave di ripristino, l'utente verrà guidato a utilizzare un dispositivo alternativo e a passare all'URL di accesso della chiave di ripristino per recuperare la chiave di ripristino utilizzando le credenziali dell'account Microsoft.
3. Se l'utente accede utilizzando un account di dominio, la chiave di cancellazione non viene rimossa finché l'utente non aggiunge il dispositivo a un dominio e non viene eseguito correttamente il backup della chiave di ripristino in Servizi di dominio Active Directory.

Quindi questo è diverso da BitLocker, dove ti viene richiesto di avviare Bitlocker e seguire una procedura, mentre tutto questo viene fatto automaticamente senza la conoscenza o l'interferenza dell'utente del computer. Quando attivi BitLocker sei costretto a fare un backup della chiave di ripristino, ma hai tre opzioni: salvarla nel tuo account Microsoft, salvarla su una chiavetta USB o stamparla.

Diceun ricercatore:

Non appena la chiave di ripristino lascia il computer, non hai modo di conoscerne il destino. Un hacker potrebbe aver già violato il tuo account Microsoft e creare una copia della chiave di ripristino prima che tu abbia il tempo di eliminarla. Oppure la stessa Microsoft potrebbe essere vittima di un attacco informatico o potrebbe aver assunto un dipendente disonesto con accesso ai dati degli utenti. Oppure le forze dell'ordine o un'agenzia di spionaggio potrebbero inviare a Microsoft una richiesta per tutti i dati nel tuo account, cosa che la obbligherebbe legalmente a consegnare la chiave di ripristino, cosa che potrebbe fare anche se la prima cosa che fai dopo aver configurato il computer è eliminarlo.

In risposta, Microsoft ha questo da dire:

Quando un dispositivo entra in modalità di ripristino e l'utente non ha accesso alla chiave di ripristino, i dati sull'unità diventeranno permanentemente inaccessibili. Sulla base della possibilità di questo risultato e di un ampio sondaggio sul feedback dei clienti, abbiamo scelto di eseguire il backup automatico della chiave di ripristino dell'utente. La chiave di ripristino richiede l'accesso fisico al dispositivo dell'utente e non è utile senza di essa.

Pertanto, Microsoft ha deciso di eseguire automaticamente il backup delle chiavi di crittografia sui propri server per garantire che gli utenti non perdano i propri dati se il dispositivo entra in modalità di ripristino e non abbiano accesso alla chiave di ripristino.

Quindi, affinché questa funzionalità possa essere sfruttata, un utente malintenzionato deve essere in grado di accedere sia alla chiave di crittografia di cui è stato eseguito il backup che al dispositivo del tuo computer. Poiché questa sembra una possibilità molto rara, penso che non sia necessario diventare paranoici al riguardo. Assicurati solo di averloe lasciare le impostazioni di crittografia del dispositivo sui valori predefiniti.

Tuttavia, se desideri rimuovere questa chiave di crittografia dai server Microsoft, ecco come farlo.

Come rimuovere la chiave di crittografia del dispositivo Windows

Non esiste un modo per impedire a un nuovo dispositivo Windows di caricare la chiave di ripristino la prima volta che accedi al tuo account Microsoft, ma puoi eliminare la chiave caricata.

Se non desideri che Microsoft memorizzi la tua chiave di crittografia nel cloud, dovrai visitare il sitoquesta pagina di OneDriveEeliminare la chiave. Allora dovrai farlodisattivare la crittografia del discocaratteristica. Tieni presente che, se lo fai, non sarai in grado di utilizzare questa funzionalità di protezione dei dati integrata nel caso in cui il tuo computer venga smarrito o rubato.

Quando elimini la chiave di ripristino dal tuo account su questo sito Web, questa viene eliminata immediatamente e anche le copie archiviate sulle sue unità di backup vengono eliminate poco dopo.

La password della chiave di ripristino viene immediatamente eliminata dal profilo online del cliente. Poiché le unità utilizzate per il failover e il backup vengono sincronizzate con i dati più recenti, le chiavi vengono rimosse, afferma Microsoft.

Come generare la chiave di crittografia del dispositivo Windows

Gli utenti di Windows 10 Pro ed Enterprise possono generare nuove chiavi di crittografia che non verranno mai inviate a Microsoft. Per fare ciò, devi prima disattivare BitLocker per decrittografare il disco e quindi riaccenderlo.

Quando lo fai, ti verrà chiesto dove vuoi. Questa chiave non verrà condivisa con Microsoft, ma assicurati di tenerla al sicuro, perché se la perdi, potresti perdere l'accesso a tutti i tuoi dati crittografati.