Un portatile rubato in treno o un disco dimenticato in un ufficio dismesso sono tra le cause più banali di fuga di dati. Senza cifratura, chiunque può estrarre il disco, collegarlo a un altro computer e leggere documenti, email salvate, password memorizzate nel browser. La cifratura completa del disco chiude questa porta, ed è oggi disponibile senza costi su tutti i principali sistemi operativi.
Come funziona la cifratura completa del disco
L'idea è semplice: tutto ciò che viene scritto sul disco passa prima attraverso un algoritmo di cifratura simmetrica, quasi sempre AES, e viene decifrato al volo quando lo si legge. Per l'utente non cambia nulla: i file si aprono normalmente, e grazie alle istruzioni hardware dei processori moderni il calo di prestazioni è quasi impercettibile.
La struttura delle chiavi è a due livelli:
- una chiave di cifratura dei dati, casuale e molto robusta, cifra effettivamente il contenuto del disco;
- questa chiave viene a sua volta protetta da uno o più protettori: una password, un PIN, un chip TPM, una chiave di ripristino.
Questo schema permette di cambiare la password senza dover ricifrare l'intero disco: basta ricifrare la piccola chiave dei dati con il nuovo protettore. Allo stesso modo, si possono avere più modi per sbloccare lo stesso disco.
Per i dischi si usano modalità operative pensate apposta, come XTS, che permettono di cifrare e decifrare ogni settore in modo indipendente.
I tre strumenti principali
| Sistema | Strumento | Note principali |
|---|---|---|
| Windows | BitLocker | Integrato nelle edizioni Pro e superiori; su molti dispositivi con Windows Home è disponibile una versione semplificata chiamata crittografia del dispositivo |
| macOS | FileVault | Integrato, si attiva dalle impostazioni di sicurezza |
| Linux | LUKS | Standard di fatto, proposto da molte distribuzioni durante l'installazione |
Esistono anche soluzioni multipiattaforma come VeraCrypt, utili per cifrare dischi esterni o creare contenitori cifrati da usare su sistemi diversi.
Gli smartphone moderni, sia Android sia iPhone, cifrano la memoria interna per impostazione predefinita, legando la protezione al codice di sblocco.
Il ruolo del TPM e del chip di sicurezza
Molti computer includono un TPM (Trusted Platform Module) o un chip di sicurezza equivalente. Questo componente può custodire la chiave del disco e rilasciarla solo se il sistema si avvia in modo regolare, senza modifiche al processo di avvio.
Il vantaggio è la comodità: il disco si sblocca automaticamente all'accensione. Il limite è che, con il solo TPM, chi ruba il computer acceso o in sospensione si trova davanti la normale schermata di accesso, e la protezione dipende dalla password dell'account. Per i dispositivi che contengono dati sensibili è consigliabile aggiungere un PIN di preavvio, da digitare prima che il sistema operativo parta.
Cosa la cifratura del disco protegge davvero
La cifratura completa protegge i dati quando il dispositivo è spento. È lo scenario del furto, dello smarrimento, dello smaltimento di un vecchio disco o della riparazione in un laboratorio esterno.
Non protegge invece:
- un computer acceso e sbloccato: in quel momento il disco è accessibile a chiunque sieda davanti, e a qualsiasi malware in esecuzione;
- i file copiati altrove: una chiavetta USB, un allegato email o un backup non cifrato restano leggibili;
- le credenziali deboli: se la password che protegge la chiave è facile da indovinare, la cifratura è solo apparente.
Un dettaglio pratico importante: la sospensione lascia la chiave in memoria. Se porti con te il portatile in situazioni a rischio, spegnerlo del tutto, o usare l'ibernazione, offre una protezione più alta.
La chiave di ripristino: non perderla
Quando attivi la cifratura, il sistema genera una chiave di ripristino. BitLocker, per esempio, la presenta come un codice numerico di 48 cifre. Serve quando lo sblocco normale non funziona: un aggiornamento del firmware, la sostituzione della scheda madre, una password dimenticata.
Senza chiave di ripristino, i dati sono persi. Non esiste una "porta sul retro" per recuperarli: è proprio questo il senso della cifratura. Alcune indicazioni:
- conservala fuori dal computer cifrato, per esempio stampata in un luogo sicuro o in un gestore di password;
- se la salvi nell'account cloud del produttore del sistema operativo, sappi che chi accede a quell'account può recuperarla;
- annota a quale dispositivo si riferisce, soprattutto se ne gestisci più di uno.
Dischi esterni e backup
La cifratura del disco interno non si estende automaticamente ai dischi esterni. BitLocker To Go, le opzioni di formattazione cifrata di macOS e LUKS permettono di cifrare anche unità rimovibili. Un backup completo del computer lasciato in chiaro su un disco esterno vanifica la protezione del disco principale.
In sintesi
- La cifratura completa del disco rende illeggibili i dati di un dispositivo spento, rubato o smaltito.
- BitLocker, FileVault e LUKS sono integrati nei rispettivi sistemi e usano tipicamente AES.
- Il TPM rende lo sblocco comodo; un PIN di preavvio aumenta la protezione.
- La protezione non vale per un computer acceso e sbloccato, né per i file copiati altrove.
- La chiave di ripristino va conservata con cura: senza di essa i dati non si recuperano.
