- Windows 11 obliga a vincular una cuenta de Microsoft, lo que hace que la clave de cifrado de BitLocker se respalde automáticamente en la nube
- Microsoft confirmó que entrega esa clave al FBI cuando existe una orden legal válida, lo que permite descifrar y acceder a los datos del PC
- De hecho, en una investigación por fraude de beneficios por desempleo en Guam en 2025, el FBI recibió de Microsoft una clave de BitLocker y logró desbloquear un dispositivo
- Microsoft indicó que recibe unas 20 solicitudes de claves al año, pero en la mayoría de los casos no puede responder porque la clave no fue subida a la nube
- Se advierte que las claves subidas existen sin cifrado del lado de la nube, lo que implica un alto riesgo para la privacidad del usuario
La estructura de cuentas de Windows 11 y el respaldo de claves de BitLocker
- Windows 11 impone como configuración predeterminada el uso de una cuenta de Microsoft, y a esa cuenta se vincula automáticamente la clave de recuperación de BitLocker
- Cuando el usuario vincula su cuenta, la clave se guarda en la nube de Microsoft sin necesidad de una configuración adicional
- Esta función fue diseñada para que el usuario pueda recuperar sus datos si tiene problemas al desbloquear el equipo
- El usuario puede desactivar esta función y guardar la clave en almacenamiento local, pero el valor predeterminado es subirla a la nube
Casos en los que se entregan claves de cifrado ante solicitudes del FBI
- Microsoft confirmó en una declaración oficial a Forbes que entrega claves de BitLocker al FBI cuando hay una orden legal válida
- Esa clave permite descifrar y acceder a los datos del dispositivo con Windows
- Según el reporte de Forbes, a inicios de 2025, en una investigación por fraude de beneficios por desempleo realizada en Guam, el FBI obtuvo la clave de Microsoft y consiguió acceder al dispositivo
- En ese caso, la clave de BitLocker del equipo estaba guardada en la nube
La postura de Microsoft y el volumen anual de solicitudes
- El vocero de Microsoft, Charles Chamberlayne, señaló que “la recuperación de claves es conveniente, pero conlleva el riesgo de accesos no deseados, y los clientes deben decidir por sí mismos cómo administrarlas”
- Microsoft dijo que recibe aproximadamente 20 solicitudes de claves de BitLocker al año por parte del FBI
- Sin embargo, en la mayoría de los casos no puede entregarlas porque la clave no fue subida a la nube
Comparación con otras empresas tecnológicas
- Apple ha tenido casos en los que se negó a dar acceso a datos cifrados pese a solicitudes de las autoridades
- En el pasado rechazó públicamente la exigencia del FBI de crear una puerta trasera para el iPhone
- Algunas empresas como Meta usan una arquitectura de zero-knowledge, de modo que ni siquiera del lado del servidor se puedan ver las claves
Riesgos de privacidad y acciones del usuario
- Las claves de BitLocker subidas a la nube de Microsoft se almacenan sin cifrado del lado del servidor, lo que genera un riesgo de vulneración de privacidad
- El usuario puede comprobar en el sitio web de la cuenta de Microsoft si su dispositivo está guardando la clave en los servidores de Microsoft
- En esa página también se ofrece una opción para eliminar la clave
- El artículo describe esta situación como una “pesadilla de privacidad” y subraya que los usuarios deberían replantearse el respaldo en la nube
1 comentarios
Comentarios de Hacker News
El título del artículo lleva a confusión
En realidad, el artículo de Forbes aclara que Microsoft no entrega la clave simplemente si se la piden, sino solo cuando recibe una orden legal válida (valid legal order)
Una simple solicitud de las fuerzas del orden puede rechazarse, pero negarse a una orden legal puede acarrear sanciones penales
Aun así, que Microsoft pueda acceder por defecto a las claves de los usuarios implica una gran vulnerabilidad de seguridad
“legal order” es un concepto amplio que puede abarcar desde una citación administrativa hasta una orden judicial. Una simple “request” no tiene fuerza legal
Microsoft dice que recibe unas 20 solicitudes al año y responde a 9 o menos. Apple recibe más solicitudes y responde con más frecuencia (Informe de transparencia de Apple)
También resulta extraño que la portavoz de Microsoft citada por Forbes sea una consultora externa de comunicación de crisis
Algunos países afirman que sus leyes se aplican a nivel mundial. En una situación así, para que Microsoft pueda cumplir con las exigencias de todos los países, haría falta una separación legal respecto de ciertos Estados
Algunas agencias gubernamentales sostienen, basándose en lineamientos internos, que pueden arrestar y detener a ciudadanos incluso sin una orden judicial
Si hubieran aplicado un cifrado de extremo a extremo real, podrían simplemente haber respondido a las solicitudes de las fuerzas del orden que era “imposible”
Más allá del debate sobre la arquitectura de cifrado, no entiendo por qué alguien pensaría que Microsoft puede negarse a una solicitud legal
La ley puede exigir la entrega de pruebas, así que ¿cómo podría existir una norma que diga que “puede incumplirse por una obligación contractual”?
Pero durante la configuración de Windows fuerza el uso de una cuenta de Microsoft y sube la clave automáticamente
En sistemas como LUKS esto no ocurre, y eso representa un fallo de seguridad
Tal vez la intención sea facilitar la recuperación cuando el usuario olvida la contraseña, pero el resultado es una estructura que cualquiera puede abusar
La verdadera libertad empieza en un espacio donde se puede pensar con seguridad
A medida que se expande la sociedad de vigilancia, la gente ya no puede pensar ni expresarse con tranquilidad
La lógica de “si no tienes nada que esconder, no pasa nada” termina sofocando el pensamiento libre
No se puede confiar en el poder del Estado a largo plazo, y la tecnología de cifrado es una herramienta clave para proteger la libertad de pensamiento
Me daba miedo que alguien en la frontera viera esa foto y me perjudicara
Cuando esa autocensura se acumula, la libertad desaparece. Se siente como volver a la época soviética
No intento defender a Microsoft, pero desde la perspectiva del usuario común, la configuración por defecto puede ser razonable
Aun así, el usuario debería poder rechazar el almacenamiento de la clave en la nube (opt-out) desde el principio
En Intel Panther Lake, BitLocker tendrá aceleración total por hardware mediante un SoC dedicado, lo que reducirá las vulnerabilidades del cifrado de disco completo (FDE)
Pero todavía hay aspectos por mejorar
Cuando llega una solicitud legal, Microsoft no tiene más opción que cumplir
El diseño mismo de BitLocker está pensado para que las empresas puedan administrar dispositivos de forma remota
Porque si un empleado es despedido o pierde una laptop, la empresa debe poder desbloquearla directamente
Este tipo de estructura no es nueva, y responde igual a todas las solicitudes gubernamentales, vengan del FBI, de China o de Europa
Si alguien es arrestado, la policía puede registrar su casa con una orden judicial (warrant)
¿Debería permitirse el mismo nivel de acceso a los datos digitales que a la evidencia física?
La diferencia de expresión entre “solicitud” y “orden legal”, y la falta de uniformidad en la interpretación legal dentro de EE. UU., son el centro de la polémica
Queda la duda de si en el ámbito digital hace falta una protección total de la privacidad o si existe un punto intermedio
Si el usuario no utiliza directamente una contraseña o un dispositivo de clave para desbloquear el disco, entonces ese secreto existe en algún otro lugar
Es decir, existe la posibilidad de que un tercero acceda a él
El problema es que el usuario no necesariamente tiene claro que eso está ocurriendo
Según la Third Party Doctrine (doctrina del tercero), Microsoft podría entregar los datos incluso sin una orden legal
Eso es solo una práctica habitual y podría cambiar en cualquier momento
En una realidad donde usamos a diario innumerables servicios de terceros, esta doctrina debería abolirse
(Wiki sobre la Third-party doctrine)
El título del artículo dice “los entrega si se los piden”, pero el contenido real es “los entrega cuando existe una orden legal válida”
En otras palabras, el título no es más que clickbait
Recomiendan VeraCrypt (veracrypt.io)
Linux Mint, Ubuntu, Arch Linux, Kali Linux, Fedora