In questo articolo Indice dei contenuti 2 sezioni
La Crittografia dispositivo di Windows 11 è una di quelle funzioni che lavorano nell’ombra, si attivano da sole e si fanno notare soltanto nel momento peggiore, cioè quando serve recuperare i file da un disco che sembra perfettamente sano. Un utente di Reddit lo ha scoperto qualche mese fa nel modo più brutale: laptop rotto, SSD estratto e collegato a un altro PC, e al posto delle cartelle una richiesta di codice di recupero a 48 cifre mai visto prima. Nessuna impostazione toccata a mano, nessun avviso ricordato. Solo un disco cifrato e inaccessibile.
Il meccanismo è più semplice di quanto sembri. La Crittografia dispositivo, che nella versione inglese si chiama Device Encryption, cifra automaticamente il disco di sistema e tutti gli altri drive interni fissi. Sotto il cofano è la stessa tecnologia di BitLocker, con una differenza che cambia tutto: BitLocker va attivato manualmente e riguarda le edizioni Pro, Enterprise ed Education, mentre la Crittografia dispositivo è la variante pensata per Windows Home e parte da sola durante la configurazione iniziale del computer.
Perché con Windows 11 24H2 il problema riguarda molti più PC
Fino a poco tempo fa questa protezione scattava solo su hardware che rispettava requisiti piuttosto stretti. Con l’aggiornamento Windows 11 24H2 Microsoft ha rimosso alcuni prerequisiti tecnici legati alla modalità di standby e al TPM, e da quel momento la platea di dispositivi che si cifrano da soli a ogni installazione pulita o reset si è allargata enormemente. Il risultato è che moltissime persone stanno usando un PC con il disco cifrato senza averne la minima idea.
Chi accede con un account Microsoft, scolastico o aziendale in teoria è coperto, perché la chiave di recupero viene salvata automaticamente su quell’account e può essere consultata da qualsiasi altro dispositivo. La zona grigia è quella degli account locali. In quel caso la cifratura automatica non si attiva, però può capitare che un produttore consegni il PC già cifrato, oppure che sia l’utente stesso ad attivare la funzione a mano. In entrambe le situazioni la chiave non viene archiviata da nessuna parte.
E non serve smontare un SSD per ritrovarsi davanti alla schermata di recupero. Basta molto meno: aggiornare il firmware del BIOS o dell’UEFI, sostituire il chip TPM, modificare la configurazione del boot manager. Operazioni di manutenzione ordinaria, niente di esotico, che possono chiudere la porta di casa lasciando le chiavi dentro.
Cosa controllare adesso, prima di toccare qualsiasi cosa
La ragione tecnica è che BitLocker non usa il TPM come semplice cassaforte. La chiave viene sigillata contro misurazioni precise dell’ambiente di avvio, e in particolare il registro PCR 7 del TPM tiene traccia dello stato del Secure Boot. Se quello stato cambia, la catena di fiducia si rompe, il TPM trattiene la chiave e non la rilascia finché non arriva il codice di recupero. Il disco può essere integro e funzionante al 100%, i dati restano comunque fuori portata.
Se il blocco è già scattato, il margine di manovra è ridotto. Con un account Microsoft collegato la chiave è quasi sempre archiviata lì e si recupera dal sito ufficiale da un altro dispositivo qualsiasi. Con un account locale e nessuna copia salvata in precedenza, invece, i dati sono definitivamente irrecuperabili.
Molto meglio muoversi prima. La verifica richiede pochi secondi: Impostazioni, poi Privacy e sicurezza, quindi la voce Crittografia dispositivo. Da quel pannello si vede lo stato della funzione e, se si preferisce, si può disattivarla del tutto. Se risulta attiva, la prima mossa è recuperare la chiave e annotarla in un posto sicuro, prima di qualunque altra operazione.
Fonte: TecnoAndroid
