У 2024 році, за даними Forbes, Microsoft уперше публічно надала правоохоронним органам ключі відновлення BitLocker для розблокування зашифрованих ноутбуків Windows, вилучених у підозрюваних у справі про шахрайство на Гуамі. Цей інцидент показав, що за стандартних налаштувань шифрування диска в Windows провайдер операційної системи може мати технічну можливість відкрити доступ до даних користувачів за законним запитом.
Розслідування на Гуамі: як правоохоронці отримали доступ до зашифрованих ноутбуків
Кримінальна справа стосувалася схеми незаконного отримання допомоги з безробіття в період пандемії COVID‑19. Під час обшуків слідчі вилучили ноутбуки, захищені повнодисковим шифруванням BitLocker. За відсутності ключа відновлення зламати такий захист технічно вкрай складно та економічно невигідно.
Однак, за інформацією Forbes, слідство пішло не технічним, а юридичним шляхом. Microsoft надала правоохоронним органам ключі відновлення BitLocker, які раніше були автоматично збережені в хмарній інфраструктурі компанії. Тобто було використано штатний механізм відновлення доступу, а не будь-яку вразливість у криптоалгоритмах.
Як працює шифрування диска в Windows: BitLocker та Device Encryption
Екосистема шифрування Microsoft включає два основні механізми: спрощений Device Encryption (на частині споживчих пристроїв) і більш гнучкий BitLocker Drive Encryption (у корпоративних редакціях Windows). В обох випадках використовується симетричне шифрування всього диска з апаратною підтримкою TPM, PIN‑кодами, паролями або прив’язкою до облікового запису Microsoft.
Ключовий аспект — де зберігається ключ відновлення. Якщо шифрування вмикається під обліковим записом Microsoft, Windows за замовчуванням пропонує зберегти recovery key у хмарі. У результаті копія ключа опиняється на серверах Microsoft і прив’язується до профілю користувача, звідки її можна відновити через веб‑інтерфейс у разі втрати пароля.
Альтернативно ключ можна зберегти у файл, на USB‑носій або роздрукувати. Однак інтерфейс системи явно промотує хмарний варіант як «найзручніший». З погляду кібербезпеки це створює компроміс: зручність відновлення проти повного контролю над доступом до даних.
Порівняння з Apple: FileVault, iCloud та end‑to‑end шифрування
У екосистемі Apple схожа логіка реалізована через FileVault та iCloud. У стандартному режимі компанія зберігає ключі для більшості категорій даних в iCloud (окрім паролів і зв’язки ключів), що дозволяє за законними запитами надавати расшифровані дані правоохоронним органам.
У розширеному режимі зі end‑to‑end шифруванням ключі для більшості типів користувацького контенту залишаються тільки на пристроях клієнта. Apple офіційно заявляє, що технічно не має доступу до цих ключів і, відповідно, не може їх передати державним структурам. У документації для правоохоронців це сформульовано прямо: дані зі сквозним шифруванням недоступні навіть самій компанії.
У випадку з BitLocker ситуація інша: якщо користувач погодився на збереження ключа відновлення в хмарі, Microsoft може надати цей ключ за судовим рішенням. Це не обхід шифрування, а використання спроєктованого каналу відновлення доступу.
Позиція Microsoft і статистика запитів державних органів
У офіційних настановах для правоохоронних органів Microsoft наголошує, що не створює бекдорів і не ділиться власними криптографічними ключами. Водночас компанія визнає, що «в більшості випадків за замовчуванням безпечно зберігає ключі шифрування клієнтів», оскільки багато організацій обирають саме таку модель для мінімізації ризику втрати доступу до критичних даних.
У звіті про урядові запити за період липень–грудень 2024 року Microsoft вказує 128 запитів, пов’язаних із доступом до даних, із них 77 — зі США. Лише у чотирьох випадках (три в Бразилії та один у Канаді) це призвело до видачі інформації. Хоча частка задоволених запитів відносно невелика, сам прецедент із BitLocker демонструє: можливість доступу через хмарні ключі існує й реально використовується.
Практичні рекомендації: як безпечніше налаштувати BitLocker для користувачів і бізнесу
1. Визначити власну модель загроз. Якщо головний ризик — крадіжка ноутбука чи втрата пристрою, хмарне зберігання ключа відновлення BitLocker може бути прийнятним компромісом. Якщо ж важлива стійкість до доступу з боку державних органів чи іноземних юрисдикцій, ключі не повинні потрапляти в хмару виробника ОС.
2. Зберігати ключі відновлення локально. Під час увімкнення BitLocker варто зберігати recovery key на окремому USB‑носії, у зашифрованому файлі або в офлайн‑сховищі, а не в обліковому записі Microsoft. У корпоративному середовищі доцільно централізовано керувати ключами через Active Directory або спеціалізовані системи керування ключами, уникаючи розміщення ключів у публічних хмарних сервісах без критичної необхідності.
3. Перевірити наявні налаштування BitLocker. Власникам пристроїв Windows варто авторизуватися в обліковому записі Microsoft і перевірити, чи не збережені там автоматично ключі відновлення. За потреби їх можна видалити, а шифрування перебудувати з локальним зберіганням ключів.
4. Посилити аутентифікацію. Незалежно від обраної моделі зберігання ключів слід застосовувати складні паролі, PIN‑коди, комбінації TPM+PIN та дотримуватися рекомендацій авторитетних стандартів (наприклад, NIST щодо захисту даних, що зберігаються).
Історія з передачею ключів BitLocker наочно доводить: надійність шифрування визначається не лише стійкістю алгоритмів, а насамперед тим, хто контролює ключі. Щоб уникнути неприємних сюрпризів — як від кіберзлочинців, так і внаслідок державних запитів, — користувачам і організаціям варто критично переглянути свою політику шифрування дисків, відмовитися від бездумних налаштувань «за замовчуванням» і усвідомлено обрати модель керування ключами, яка відповідає їхнім реальним ризикам і вимогам до конфіденційності.
