Microsoft: afinal as chaves do BitLocker podem ser entregues às autoridades

A Microsoft confirmou que colabora com as autoridades quando recebe uma ordem judicial ou um mandado válido. Vai ao ponto de fornecer chaves de recuperação do BitLocker a estas agências. A informação foi agora revelada, após uma investigação federal de fraude em Guam.

Chaves do BitLocker entregues às autoridades

O FBI utilizou com sucesso chaves fornecidas pela Microsoft para desbloquear três PCs encriptados ligados a um esquema de subsídio de desemprego durante a pandemia de COVID-19. A gigante de Redmond revelou que recebe anualmente cerca de 20 pedidos de chaves BitLocker. Não é novidade que a Microsoft atende a pedidos legais do governo e entrega chaves que estão na sua infraestrutura de cloud.

No entanto, este é o primeiro caso confirmado publicamente de que a empresa entregou chaves às autoridades. Para quem não conhece, a encriptação BitLocker vem ativada por defeito na maioria dos PCs modernos com Windows e encripta os discos rígidos para proteger os dados. O Windows recomenda frequentemente que os utilizadores façam cópias de segurança das suas chaves de recuperação de 48 dígitos numa conta da Microsoft.

Esta opção permite à Microsoft manter o acesso técnico às chaves, tornando-as acessíveis caso as autoridades o solicitem. No caso de Guam, o FBI utilizou as chaves recebidas da Microsoft para contornar a encriptação que os peritos forenses federais tinham anteriormente descrito como “impenetrável”.

Microsoft admitiu que fez esta partilha

Os documentos judiciais referem que agências não possuíam as ferramentas necessárias para quebrar o BitLocker sem as chaves de recuperação específicas. A decisão da Microsoft de entregar as chaves às autoridades policiais contrasta com a dos seus concorrentes. A Apple e a Meta, utilizam arquiteturas de conhecimento zero, em que as chaves de recuperação são encriptadas de ponta a ponta ou armazenadas no dispositivo.

Isto significa que a empresa não pode atender a pedidos, mesmo sob intimação. Os especialistas jurídicos preveem agora um aumento dos pedidos de chaves do BitLocker por parte das autoridades policiais, após a divulgação da conformidade da Microsoft. Os utilizadores que não pretendam permitir que a Microsoft armazene as suas chaves podem auditar as suas contas.

Aí, é possível verificar se as chaves estão armazenadas na cloud. Para maior segurança, recomenda-se a migração para um armazenamento de chaves local, como uma pen drive física ou um documento impresso, de forma a recuperar o controlo total sobre os dados encriptados.