El cifrado de disco completo (FDE) cifra toda una unidad de almacenamiento, incluidos el sistema operativo, las aplicaciones y los archivos temporales, de modo que sus datos son ilegibles sin la clave o contraseña correcta.
Cómo funciona el cifrado de disco completo
El FDE opera por debajo del sistema de archivos: cada sector se cifra al escribirse y se descifra al leerse, de forma transparente para el usuario. Las implementaciones modernas suelen usar AES en modo XTS. Herramientas conocidas:
- BitLocker en Windows;
- FileVault 2 en macOS;
- LUKS/dm-crypt en Linux;
- VeraCrypt, el sucesor de código abierto de TrueCrypt;
- unidades con autocifrado (SED), que cifran en el propio hardware de la unidad.
La clave de cifrado de los datos está a su vez protegida por la contraseña del usuario, una clave de recuperación o un TPM, que solo la libera si la cadena de arranque no se ha modificado. Los iPhone y los dispositivos Android modernos cifran el almacenamiento por defecto.
Por qué importa
El FDE protege los datos en reposo. Un portátil perdido o robado con la unidad cifrada no provoca una brecha de datos, por lo que los reguladores y el RGPD consideran el cifrado una salvaguarda clave. Sin embargo, no protege un sistema encendido y desbloqueado: el malware y los atacantes remotos ven los datos descifrados como cualquier otro programa. Investigaciones como los ataques de arranque en frío (cold boot, 2008) demostraron que las claves pueden recuperarse de la RAM poco después del apagado, y los ataques «evil maid» se dirigen a dispositivos desatendidos.
Los atacantes también abusan del FDE: algunos ransomware usan el BitLocker integrado para dejar a las víctimas fuera de sus propios sistemas, como en el caso ShrinkLocker descrito por Kaspersky en 2024.
Buenas prácticas
- Activar el FDE en todos los portátiles y dispositivos móviles.
- Usar un PIN previo al arranque en equipos sensibles y apagarlos en lugar de suspenderlos durante los viajes.
- Guardar las claves de recuperación de forma segura y centralizada, y vigilar los cambios inesperados en BitLocker.
