Criptarea datelor pe computer

De ce vă protejează în realitate criptarea

Criptarea discului rezolvă în primul rând situațiile în care cineva obține acces fizic la dispozitivul dumneavoastră oprit sau blocat. Poate fi vorba despre un laptop furat, un disc extern pierdut, un computer predat la service sau un SSD scos din uz pe care au rămas date.

Fără criptare, un atacator poate scoate discul, îl poate conecta la un alt computer și îi poate citi conținutul. Nu contează cât de puternică este parola de autentificare pe care o folosiți în Windows. Parola de autentificare protejează accesul la sesiunea utilizatorului, nu datele propriu-zise stocate pe disc.

La fel de important este să știți ce nu rezolvă criptarea. Atunci când computerul este pornit și deblocat, sistemul decriptează datele în mod continuu. Prin urmare, acestea pot fi accesate și de un program rău intenționat care rulează în contul dumneavoastră.

Criptarea discului nu vă protejează împotriva ransomware-ului, phishingului sau pătrunderii de la distanță într-un sistem deblocat. Ea protejează datele stocate atunci când dispozitivul nu este utilizat. Dacă confundați aceste două situații, puteți căpăta un fals sentiment de siguranță. Chiar și un computer criptat poate fi infectat cu ransomware, care poate cripta din nou fișierele din acesta.

Prin urmare, criptarea are cea mai mare utilitate practică pe laptopuri, discuri externe și alte medii de stocare pe care le transportați sau care pot ieși de sub controlul dumneavoastră. În cazul unui computer desktop păstrat acasă, riscul pierderii fizice este mai redus, deși furtul rămâne posibil. În acest caz, o parte mai mare a riscului este reprezentată de obicei de atacurile software și de pierderea datelor, probleme pe care criptarea singură nu le poate preveni.

Ilustrație: AI-generated

Windows 11 24H2 modifică starea implicită

În cazul Windows 11 nu mai este valabilă împărțirea simplă potrivit căreia doar edițiile Pro și Enterprise aveau BitLocker, iar utilizatorii ediției Home trebuiau să recurgă la un instrument de la o terță parte.

Începând cu versiunea Windows 11 24H2, funcția Device Encryption se poate activa automat pe dispozitivele compatibile. Este o formă simplificată de criptare bazată pe tehnologia BitLocker, disponibilă și în ediția Home.

Activarea automată vizează în principal instalările curate și reinstalările sistemului. Ea este legată și de tipul contului de utilizator, deoarece cheia de recuperare este salvată în mod standard în contul Microsoft.

În practică, trebuie să acordați atenție în special la două situații. Dacă folosiți un cont local atunci când configurați computerul, este posibil ca procesul de criptare să nu se finalizeze sau să nu se activeze automat în același mod ca în cazul unui cont Microsoft. De asemenea, nu puteți presupune că discul s-a criptat automat doar pentru că ați actualizat un sistem existent de la versiunea 23H2 la 24H2.

De aceea, este recomandat să verificați direct în setările sistemului starea criptării. Nu vă bazați doar pe versiunea Windows sau pe faptul că dispozitivul este nou.

Criptarea automată pornește de la un principiu rezonabil: dispozitivul ar trebui să fie protejat încă din configurația implicită. Majoritatea utilizatorilor obișnuiți nu ar activa singuri această funcție. Cealaltă față a acestui avantaj este însă gestionarea cheii de recuperare.

O cheie pierdută poate reprezenta un risc mai mare

În cazul criptării se aplică un principiu simplu, dar neplăcut: ceea ce este inaccesibil unui hoț fără cheie poate deveni inaccesibil și pentru dumneavoastră.

Dacă pierdeți cheia de recuperare, iar sistemul începe să o solicite, nu există o procedură obișnuită de tipul „mi-am uitat parola, trimiteți-mi una nouă”. Dacă criptarea funcționează corect, nu veți putea accesa datele fără cheie. Aceasta nu este o eroare, ci o caracteristică fundamentală a protecției.

Cheia de recuperare BitLocker este un cod numeric format din 48 de cifre. În cazul Device Encryption, aceasta poate fi salvată automat în contul dumneavoastră Microsoft. Pentru un utilizator obișnuit, acest lucru este util, deoarece cheia există chiar dacă acesta nu a observat că a fost creată.

Problema apare atunci când contul Microsoft este singurul loc în care ați salvat cheia. Dacă pierdeți accesul la cont, dacă acesta este blocat sau dacă îl închideți, contul poate deveni un punct unic de defecțiune.

Prin urmare, cea mai importantă recomandare este următoarea: salvați cheia de recuperare și în afara dispozitivului criptat, precum și în afara unui singur cont online.

O puteți tipări și păstra într-un loc sigur, o puteți salva într-un manager de parole de încredere, accesibil de pe un alt dispozitiv, sau o puteți păstra pe un mediu offline separat. Desigur, nici copia cheii nu ar trebui să fie ușor accesibilă persoanelor cărora nu doriți să le permiteți accesul la date.

Deosebit de riscantă este situația în care aveți toate datele importante pe un singur disc criptat, nu dispuneți de o copie de rezervă actualizată, iar singura copie a cheii se află într-un cont la care nu vă mai puteți autentifica.

Prin urmare, criptarea nu înlocuiește realizarea copiilor de rezervă. Criptarea protejează confidențialitatea datelor, în timp ce copia de rezervă protejează disponibilitatea acestora.

BitLocker în practică: ce oferă și ce costuri implică

Opțiunile avansate de administrare a BitLocker rămân disponibile în principal în edițiile Windows Pro și Enterprise. În acestea puteți configura mai detaliat modul de deblocare, puteți cripta unități suplimentare sau puteți impune introducerea unui PIN înainte de pornirea sistemului.

BitLocker folosește algoritmul AES în modul XTS. În configurațiile obișnuite puteți alege o cheie de 128 sau 256 de biți. Pentru majoritatea utilizatorilor, diferența dintre acestea nu va fi decisivă în practică. Atunci când este utilizat corect, AES cu o cheie de 128 de biți nu este considerat realist de spart printr-un atac de tip brute force. Lungimea mai mare a cheii este relevantă în special în mediile în care aceasta este impusă de politica internă de securitate sau de cerințele de reglementare.

Temerile privind încetinirea computerului sunt, pe hardware-ul modern, de obicei mai puțin justificate decât în trecut. Procesoarele actuale includ accelerare hardware pentru operațiunile criptografice, iar în activitatea obișnuită de birou este posibil să nu observați nicio diferență.

Impactul concret depinde însă de procesor, de mediul de stocare și de tipul activității. O scădere mai mare a performanței poate apărea pe hardware mai vechi sau în timpul operațiunilor solicitante care implică un număr mare de scrieri. Prin urmare, nu este corect nici să afirmăm că criptarea încetinește întotdeauna vizibil computerul, nici că impactul său este nul în toate situațiile.

La activarea BitLocker puteți alege între criptarea întregului disc și criptarea doar a spațiului utilizat. Criptarea spațiului utilizat este mai rapidă și are sens în cazul unui disc nou și gol.

Dacă însă discul a fost folosit înainte de activarea criptării, alegerea mai sigură este criptarea întregii unități. În spațiul pe care sistemul îl marchează drept liber pot rămâne fragmente ale unor date șterse anterior.

Pe computerele moderne, BitLocker este de obicei deblocat cu ajutorul modulului TPM. Acesta eliberează automat cheia de criptare dacă procesul de pornire a sistemului se desfășoară în modul așteptat. Prin urmare, în utilizarea de zi cu zi este posibil să nici nu observați criptarea.

TPM singur nu înseamnă însă că, după pornire, computerul este accesibil fără restricții. Utilizatorul trebuie în continuare să se autentifice în Windows. Totuși, deblocarea automată a discului transferă o parte a securității către integritatea procesului de pornire și a mecanismului de autentificare.

Dacă transportați frecvent laptopul, lucrați cu date sensibile sau aveți cerințe mai ridicate de protecție împotriva unui atac fizic, puteți adăuga la TPM un PIN solicitat înainte de pornirea Windows. Astfel creșteți nivelul de securitate, dar adăugați încă o informație pe care trebuie să o rețineți și să o administrați.

VeraCrypt: când merită să alegeți o altă soluție

Deși Windows Home poate oferi acum criptare integrată, VeraCrypt nu și-a pierdut utilitatea. Este un instrument gratuit și open-source derivat din proiectul TrueCrypt. Codul său sursă este public, iar proiectul a trecut prin audituri de securitate.

VeraCrypt acceptă mai mulți algoritmi de criptare, inclusiv AES, Serpent și Twofish, precum și combinații ale acestora. Funcționează în Windows, macOS și Linux, deși opțiunile concrete pot varia de la un sistem la altul.

Cel mai frecvent este utilizat pentru crearea unui container criptat. Acesta este un fișier pe care, după introducerea parolei, îl montați ca disc virtual. Cât timp containerul este montat, lucrați cu el într-un mod similar unei unități obișnuite. După demontare, conținutul său apare din nou ca un bloc de date imposibil de citit.

VeraCrypt poate cripta și partiții întregi, iar în configurațiile compatibile chiar și discul de sistem. De asemenea, oferă volume ascunse, destinate situațiilor specifice în care utilizatorul are nevoie de negarea plauzibilă a existenței unor date suplimentare. Pentru majoritatea utilizatorilor casnici, această funcție nu va fi însă relevantă.

VeraCrypt poate fi mai potrivit decât BitLocker atunci când nu doriți să legați administrarea cheilor de un cont Microsoft. Vă administrați singuri parola și eventualele fișiere-cheie. Obțineți mai mult control, dar și mai multă responsabilitate. Nimeni nu vă va putea recupera parola uitată.

Un alt avantaj este compatibilitatea cu mai multe platforme. Dacă trebuie să transferați date criptate între Windows, macOS și Linux, un container VeraCrypt poate fi mai practic decât o unitate protejată cu BitLocker.

Un alt motiv poate fi codul sursă deschis. BitLocker este un produs Microsoft cu sursă închisă. Pentru utilizatorii care solicită posibilitatea unei verificări independente a codului sau care nu doresc să depindă de încrederea într-un singur furnizor, VeraCrypt poate fi o alegere mai potrivită.

VeraCrypt are sens și atunci când nu doriți să criptați întregul computer, ci doar un anumit grup de fișiere. De exemplu, puteți crea un container pentru documente contabile, contracte de muncă sau înregistrări personale.

Prețul unui control mai mare este o complexitate operațională mai ridicată. Containerele trebuie montate și demontate, configurarea este mai puțin automată, iar utilizatorul trebuie să înțeleagă mai bine ce face. Pentru protejarea integrală a unui laptop de serviciu, BitLocker este de obicei mai comod. Pentru separarea unui anumit grup de fișiere sensibile, VeraCrypt poate fi mai practic.

Suprascrierea repetată a datelor pe SSD nu ajută

Unele ghiduri mai vechi recomandă ca fișierele șterse să fie suprascrise în mod repetat cu date aleatorii. Acestea pot menționa trei, șapte sau chiar 35 de treceri.

Această procedură provine în principal din perioada discurilor magnetice. Pe SSD-urile moderne, suprascrierea anumitor blocuri este nesigură din cauza mecanismului de wear-leveling, a capacității de rezervă și a mapării interne a datelor. Sistemul de operare nu controlează complet în ce celule fizice de memorie scrie SSD-ul noile date.

Dacă trebuie să protejați datele de pe un SSD, o strategie mai potrivită este să criptați dispozitivul de la început, să administrați în siguranță cheia și, atunci când scoateți discul din uz, să folosiți procedura recomandată de producător sau funcția de ștergere securizată. Suprascrierea repetată a fișierelor individuale nu este un înlocuitor sigur pentru criptare.

Unde are criptarea limite

Criptarea discului este o protecție eficientă, dar nu este impenetrabilă. A o supraevalua este o greșeală similară cu ignorarea ei completă.

În cazul unui acces fizic suficient de îndelungat, pot exista atacuri asupra procesului de pornire, a mediului de recuperare, a hardware-ului sau a comunicației dintre componentele de securitate. Fezabilitatea lor practică depinde de dispozitivul concret, de tipul TPM, de configurația BitLocker și de nivelul de competență al atacatorului.

În 2025 au apărut, de exemplu, informații despre instrumentul BitUnlocker, care ar fi exploatat o vulnerabilitate din Windows Recovery și ar fi ocolit anumite configurații BitLocker bazate exclusiv pe TPM. Astfel de cazuri arată de ce sistemul trebuie actualizat periodic și de ce un PIN introdus la pornire poate spori protecția dispozitivelor care conțin date sensibile.

Pentru o persoană obișnuită, care încearcă să se protejeze în principal de cel care găsește întâmplător un laptop pierdut sau de un hoț obișnuit, atacurile hardware avansate reprezintă mai degrabă un risc marginal. Pentru un jurnalist, un administrator de infrastructură critică, o persoană publică sau o companie cu date valoroase, modelul de amenințare poate fi diferit.

De asemenea, este important să nu confundați criptarea cu parola de BIOS sau UEFI. O astfel de parolă poate limita modificarea setărilor și pornirea dispozitivului, dar nu criptează în sine datele de pe disc. Pe unele dispozitive, aceasta poate fi în plus ocolită prin resetare sau prin intervenții asupra hardware-ului.

Situația este similară și în cazul parolei ATA a discului. Aceasta poate împiedica accesul obișnuit la unitate, dar nu poate fi considerată automat un înlocuitor echivalent al criptării criptografice a datelor. Nivelul concret de protecție depinde de implementarea discului.

Aceste măsuri pot reprezenta un complement, nu un înlocuitor pentru criptarea configurată corect.

Ce soluție este potrivită pentru dumneavoastră

Folosiți laptopul în afara locuinței, transportați documente de serviciu pe un disc extern sau aveți date personale pe computer? În acest caz, criptarea are un raport favorabil între beneficii și costuri. Instrumentele integrate sunt disponibile fără costuri suplimentare, iar impactul asupra performanței unui computer modern este de obicei redus.

Costul principal nu este reprezentat de bani. Acesta constă în configurarea inițială, în înțelegerea metodei de recuperare și în disciplina necesară pentru păstrarea cheilor.

Atunci când alegeți o soluție, vă puteți ghida după următoarele principii:

• Laptop și stocare externă: criptarea are o valoare practică ridicată, deoarece puteți pierde dispozitivul sau acesta poate fi furat.

• Windows Home și cont Microsoft: verificați starea Device Encryption și salvați imediat cheia de recuperare și în afara contului și a dispozitivului.

• Windows Pro: BitLocker oferă o protecție comodă a întregului disc. În cazul unui risc mai ridicat, luați în considerare și utilizarea unui PIN înainte de pornirea sistemului.

• Cont local, mai multe sisteme de operare sau cerința unui cod sursă deschis: luați în considerare VeraCrypt, mai ales sub forma unui container pentru anumite date sensibile.

• Computer desktop de acasă, fără date sensibile: beneficiul este mai redus decât în cazul unui laptop, dar dacă criptarea este deja activată și cheia este păstrată în siguranță, de obicei nu există niciun motiv să o dezactivați.

Compromisul principal rămâne același: mecanismul care ține datele departe de persoanele străine le poate ține și departe de dumneavoastră dacă pierdeți cheia.

Prin urmare, verificați mai întâi dacă discul este criptat și păstrați cheia de recuperare într-un loc sigur. Abia apoi decideți dacă BitLocker, Device Encryption sau VeraCrypt se potrivește mai bine nevoilor dumneavoastră.