Recuperación de archivos de la unidad cifrada BitLocker

La tecnología BitLocker Drive Encryption ayuda a proteger los datos en sus unidades locales y externas mediante el cifrado del contenido de los volúmenes lógicos. En este artículo, veremos dos formas de extraer datos de una partición cifrada con BitLocker. El primero consiste en descifrar la partición protegida por BitLocker utilizando las herramientas estándar de Windows. La segunda forma sugiere que el sistema de archivos de la unidad cifrada está dañado (el área de la unidad donde BitLocker almacena sus metadatos está dañada) o que Windows no arranca.

Requisitos para la recuperación de datos de un volumen de BitLocker

Para recuperar datos de una unidad cifrada con BitLocker, debe tener al menos uno de los elementos de protección de BitLocker:

Contraseña de BitLocker (la que ingresa en la GUI de Windows para desbloquear la unidad cifrada);
La clave de recuperación de BitLocker;
Clave de inicio del sistema (.bek): un archivo de clave en una unidad flash USB que le permite descifrar automáticamente la partición de arranque sin que el usuario ingrese una contraseña.

La clave de recuperación de BitLocker es una secuencia única de 48 caracteres. La clave de recuperación se genera antes de que Bitlocker inicie el cifrado de la partición. Puede imprimir la clave de recuperación, guardarla como un archivo de texto en un medio externo o guardarla en su cuenta de Microsoft.

Puede encontrar la clave de recuperación de Bitlocker en su cuenta en el sitio web de Microsoft https://onedrive.live.com/recoverykey.

Para las computadoras que están unidas a un dominio de Active Directory, un administrador puede configurar GPO para guardar automáticamente las claves de recuperación de BitLocker en el atributo de cuenta de la computadora en AD.

Si no tiene una clave de recuperación, no podrá acceder a sus datos.

¿Cómo desbloquear una unidad cifrada BitLocker en Windows?

La forma más fácil de desbloquear una unidad cifrada con BitLocker es desde la GUI de Windows.

Conecte la unidad a su computadora y vaya al Panel de control -> Sistema y seguridad -> Cifrado de unidad BitLocker (disponible en las ediciones Professional y Enterprise Windows). Seleccione el disco cifrado con BitLocker y haga clic en Desbloquear unidad.

No es posible cifrar o descifrar un volumen de BitLocker en una computadora que ejecuta Windows Home Edition.

Según el método de seguridad, especifique la contraseña, el PIN o conecte la tarjeta inteligente para desbloquear la unidad. Si no conoce la contraseña, puede usar la clave de recuperación para descifrar el volumen. Selecciona Configuración avanzada -> Introducir clave de recuperación.

Si tiene más de una clave de recuperación, puede identificar la que necesita por la parte ID de clave que se muestra en la ventana de solicitud. Si ingresó la clave correcta, la unidad se desbloqueará y podrá acceder a los archivos en la unidad BitLocker.

También puede usar PowerShell para deshabilitar la protección de BitLocker para un volumen específico:

Disable-BitLocker -MountPoint "C:"

Espere a que se complete el descifrado de la partición. Compruebe que la unidad se ha descifrado:

Get-BitlockerVolume -MountPoint "C:"

VolumeStatus: FullyDecrypted

Deshabilite el cifrado de BitLocker para la unidad del sistema en el entorno de recuperación de Windows

Si la unidad de su sistema está encriptada por BitLocker y Windows ya no arranca (debido a actualizaciones incorrectas, pantalla azul de la muerte, bloqueos al iniciar, etc.), puede usar el Entorno de recuperación de Windows (Windows RE) para descifrar la unidad.

El entorno de recuperación de WinRE debería iniciarse automáticamente si Windows no se inicia 3 veces seguidas. También puede iniciar su computadora desde cualquier unidad flash USB de instalación de Windows, imagen de recuperación de MS DaRT u otro LiveCD. Si está utilizando un medio de instalación de Windows, presione

Shift+F10

en la etapa de selección de idioma (o en WinRE seleccione Solucionar problemas -> Opciones avanzadas -> Símbolo del sistema).

Debería aparecer el símbolo del sistema de WinPE.

Debe encontrar una letra de unidad cifrada con Bitlocker. Para comprobar el estado de todas las unidades disponibles en WinPE, ejecute:

manage-bde -status

El resultado del comando para una (o varias) de las unidades debe contener el siguiente texto: “BitLocker Drive Encryption: Volume D”. Entonces tiene el disco D encriptado.
Desbloquee la unidad ejecutando el comando:

manage-bde -unlock D: -pw

El comando solicita una contraseña de BitLocker:

Enter the password to unlock this volume:

Si la contraseña es correcta, aparecerá un mensaje:

The password successfully unlocked volume D:.<p/re>

Si no conoce la contraseña de BitLocker, puede usar la clave de recuperación para desbloquear el volumen:

manage-bde -unlock D: -RecoveryKey J:\1234567...987ABCDE4564.bek

Su unidad está desbloqueada y puede comenzar a reparar el cargador de arranque de Windows o solucionar otros problemas.

Para desbloquear la unidad y deshabilitar la protección de la unidad BitLocker por completo, ejecute:

manage-bde -protectors -disable D:

Reinicia tu computadora. La unidad ahora no está cifrada.

Uso de la herramienta de reparación de BitLocker (reparación-bde) para recuperar la unidad cifrada

Para recuperar datos de un volumen de BitLocker dañado o inaccesible, debe utilizar la herramienta de consola Repair-bde (herramienta de reparación de BitLocker).

Intente descifrar y extraer los datos a una nueva unidad con la contraseña de BitLocker. La utilidad repair-bde le permite restaurar datos de un volumen dañado a una nueva partición. Tenga en cuenta que la partición de destino debe ser más grande que el volumen de BitLocker de origen y que los datos existentes en el volumen de destino se eliminarán (!).

Abra el símbolo del sistema como administrador;
Ejecute el siguiente comando:
```
repair-bde D: F: -pw -Force
```
, donde D: es un disco con los datos de BitLocker y E: es una unidad vacía (partición) para extraer los datos descifrados;
Especifique la contraseña de Bitlocker (utilizada por el usuario para desbloquear el volumen cifrado mediante la GUI de Windows).

La utilidad repair-bde intentará recuperar metadatos críticos de su volumen cifrado y los utilizará para descifrar.

Si los datos se han descifrado con éxito, aparecerá el siguiente mensaje:

Decrypting: 100 completed
Finished decryption.
ACTION REQUIRED: run chkdsk E: /f before viewing decrypted data

Puede usar la clave de recuperación o la clave de arranque del sistema para descifrar el volumen si no conoce la contraseña de BitLocker (si la partición del sistema está cifrada).

Use una clave de recuperación para comenzar a recuperar datos de la partición de BitLocker:

repair-bde D: E: -rp 288209-513086-417508-646412-162954-590672-167552-664563 -Force

Si se utiliza BitLocker para cifrar la partición del sistema de Windows y se utiliza una clave de inicio especial en una unidad flash USB para iniciar el sistema operativo, puede descifrar el volumen de la siguiente manera:

repair-bde D: E: -rk I:\2F538474-923D-4330-4549-61C32BA53345.BEK -Force

donde 2F538474-923D-4330-4549-61C32BA53345.BEK es la clave de inicio de cifrado de la unidad BitLocker en la unidad flash USB I: (este archivo está oculto de forma predeterminada).

Después de desbloquear el volumen, debe verificar la unidad de destino con el comando:

Chkdsk E: /f

Nota. Si no ha podido recuperar datos de una unidad encriptada usando los métodos anteriores, debe intentar hacer una copia sector por sector de la partición dañada usando la herramienta DDRescue Linux (u otra utilidad similar para recuperar datos de particiones dañadas). Luego intente recuperar los datos de la copia resultante de acuerdo con el escenario descrito.

¿Cómo acceder a la unidad cifrada BitLocker en Linux?

También puede abrir una unidad cifrada con BitLocker desde Linux. Para hacer esto, necesitará la herramienta DisLocker y una contraseña o clave de recuperación de BitLocker.

Use su administrador de paquetes para instalar la herramienta. Si está ejecutando Ubuntu/Debian, use el comando:

$ sudo apt-get install dislocker

Vaya al directorio mnt y cree dos directorios (uno para la partición cifrada y otro para la descifrada):

$ cd /mnt
$ mkdir encrypted
$ mkdir decrypted

Localice la partición cifrada (

fdisk -l

comando) y descifrarlo usando la contraseña de BitLocker:

$ sudo dislocker -V /dev/sdb1 -u -- /mnt/encrypted

Si tiene una clave de recuperación, use este comando:

$ sudo dislocker -r -V /dev/sdb1 -p your_bitlocker_recovery_key /mnt/encrypted

La utilidad DisLocker utiliza el controlador Filesystem in Userspace (FUSE) para acceder a una partición cifrada en modo de solo lectura.

El archivo de desbloqueo aparecerá en el directorio de destino. Este archivo contiene su partición de datos NTFS.

Para ver todos los archivos en la partición sin cifrar, puede montarlo: