BitLocker To Go utiliza el mismo motor de cifrado que BitLocker para la unidad del sistema, aplicado a medios extraíbles: discos duros externos, SSD y memorias USB. El proceso de desbloqueo es el mismo que se describe en nuestra guía para recuperar datos de un volumen interno cifrado con BitLocker, pero, en la práctica, las unidades extraíbles presentan fallos distintos: no disponen de un TPM como mecanismo alternativo, pueden mostrar una partición FAT32 que se confunde con la unidad completa y tienen una mayor probabilidad de desconectarse físicamente durante la operación. Esta guía aborda los aspectos específicos de los discos externos y las unidades USB.
Contenido
- Qué diferencia a BitLocker To Go
- Diagnóstico del problema
- Cuándo es posible recuperar los datos y cuándo no
- Dónde encontrar la clave de recuperación
- Recuperación de datos con RS Partition Recovery
| Situación | Qué hacer | Dificultad |
|---|---|---|
| Se ha olvidado la contraseña, pero la clave de recuperación o el archivo BEK están disponibles | Desbloquear directamente con la clave durante la recuperación | Baja |
| La unidad se desconectó o perdió la alimentación durante el cifrado | Desbloquearla con la clave y analizarla; reanudar el cifrado por separado si es necesario | Media |
| Solo se muestra una pequeña partición FAT32 y el resto de la unidad parece vacío | El volumen cifrado se encuentra en una partición independiente y oculta; no se ha perdido | Baja |
| Windows solicita formatear la unidad, pero todavía no se ha formateado | No hacer clic en «Formatear»; buscar directamente la firma FVE | Alta |
| La unidad ya se ha formateado, mediante un formateo rápido o completo | Ninguna: el formateo destruye los metadatos FVE a los que está vinculada la clave | Irrecuperable |
| La clave de recuperación de esta unidad concreta nunca se guardó en ningún lugar | No es posible recuperar los datos; el cifrado está cumpliendo su función | Irrecuperable |
Qué diferencia a BitLocker To Go
La estructura del volumen y los metadatos de FVE (cifrado de volumen completo) son idénticos a los de una unidad interna. Lo que cambia es el conjunto de protectores disponibles, ya que una unidad extraíble no está vinculada al hardware de un equipo específico. El desbloqueo automático mediante TPM no se aplica en este caso: un protector TPM solo existe para el volumen de arranque del propio equipo, por lo que una unidad externa requiere una contraseña explícita, una tarjeta inteligente o una clave de recuperación cada vez que se conecta a un equipo diferente. Al activar BitLocker To Go, el Explorador de archivos de Windows utiliza de forma predeterminada un protector basado en contraseña y genera el mismo formato de clave de recuperación de 48 dígitos que se usa para los volúmenes internos. Esta clave se puede guardar en una cuenta de Microsoft, imprimir o almacenar como archivo.
El desbloqueo automático también está disponible para las unidades externas, pero se configura por equipo y no por unidad: cuando un equipo Windows desbloquea la unidad mediante la contraseña, la guarda y omite la solicitud en conexiones posteriores. Esta información se almacena en el equipo, no en la unidad. Por lo tanto, la misma unidad seguirá solicitando la contraseña la primera vez que se conecte a cualquier otro equipo: otro PC, un entorno Linux Live o una estación de trabajo de recuperación. En la práctica, esto significa que una clave de recuperación o una contraseña nunca son realmente opcionales en una unidad externa, aunque puedan parecerlo en una unidad del sistema con el desbloqueo automático operativo. Tarde o temprano, en algún equipo, será necesario utilizar una de ellas. Los protectores configurados en una unidad conectada se pueden consultar mediante la letra asignada:
manage-bde -protectors -get E:
Diagnóstico del problema
Si en el Explorador de archivos una unidad solo muestra una pequeña partición FAT32 y no aparece el resto de los datos, no significa que se hayan perdido. Las unidades cifradas mediante configuraciones antiguas de Windows incluyen una segunda partición FAT32 de pequeño tamaño junto al volumen cifrado. Esta partición contiene BitLocker To Go Reader, una herramienta independiente que permitía desbloquear la unidad en sistemas de la era de Windows 7 que no ofrecían compatibilidad nativa con BitLocker. El volumen cifrado es una partición independiente que Windows solo monta después de desbloquearla; no ha desaparecido. Administración de discos o una herramienta de recuperación compatible con particiones muestra ambas particiones, incluso cuando Windows solo asigna automáticamente una letra de unidad a la partición FAT32.
Otro escenario se produce cuando el cifrado o el descifrado se interrumpe a mitad del proceso, normalmente porque la unidad se desconectó, se interrumpió el suministro eléctrico o se perdió la conexión USB durante la operación. El volumen queda en un estado mixto: una parte se ha procesado y otra no. Se trata de un problema distinto de un daño real en la unidad, por lo que conviene diferenciar ambas situaciones antes de realizar cualquier otra acción.
Cuando Windows indica que la unidad no se puede leer o solicita formatearla, pueden existir dos causas muy diferentes: una tabla de particiones dañada sobre un volumen cifrado que, por lo demás, permanece intacto, o un fallo físico real. Los golpes, el fallo del chip puente de USB a SATA y las averías del controlador son más frecuentes en las unidades portátiles que en las que permanecen instaladas dentro de una carcasa. Por ello, conviene descartar primero los daños físicos —detección irregular en distintos puertos USB, ruidos inusuales o desconexiones de la unidad durante una transferencia— antes de asumir que la solución es exclusivamente lógica.
También conviene reconocer otro escenario que no requiere realizar un diagnóstico convencional: una unidad configurada para el desbloqueo automático en un equipo se conecta a otro ordenador que nunca la ha utilizado. En ese caso, solicita la contraseña o la clave de recuperación como si fuera la primera vez, porque para ese equipo efectivamente lo es.
Compruebe el estado antes de realizar cualquier otra acción:
manage-bde -status E:
Este comando muestra el porcentaje de cifrado y el estado de bloqueo. Esta información ayuda a distinguir un proceso de cifrado interrumpido de una unidad con otro problema subyacente antes de decidir los pasos siguientes.
Cuándo es posible recuperar los datos y cuándo no
Una vez identificado el problema, la posibilidad de recuperación depende de un único factor: ¿los metadatos de FVE —la estructura que vincula el volumen cifrado con su VMK y, a través de este, con la contraseña, la clave de recuperación o el archivo BEK— siguen intactos? En la práctica, la mayoría de los casos se puede encuadrar en las siguientes situaciones:
- Se han eliminado o perdido archivos, pero el volumen sigue desbloqueándose con normalidad. Es el caso más sencillo: los metadatos de FVE no se han modificado y solo se han eliminado las entradas del sistema de archivos correspondientes a determinados archivos. Una contraseña, una clave de recuperación o un archivo BEK válidos permiten desbloquear el volumen exactamente igual que antes.
- El volumen aparece como RAW, sin asignar o con el mensaje «es necesario formatear». Siempre que no se hayan escrito datos en la unidad desde que apareció el problema, los metadatos de FVE y los sectores cifrados suelen mantenerse intactos, aunque la tabla de particiones se haya perdido. La tabla de particiones y el encabezado de FVE son estructuras independientes, por lo que la pérdida de una no implica necesariamente la pérdida de la otra.
- El cifrado o descifrado se interrumpió antes de completarse. El volumen queda en un estado mixto: una parte se ha procesado y otra no. Sin embargo, una interrupción no afecta al encabezado de FVE. Si se dispone de un protector válido, es posible desbloquear el volumen y analizarlo, independientemente del punto en el que se interrumpió el proceso.
- La unidad se trasladó a un equipo que no dispone de un estado de desbloqueo automático para ella. El volumen no ha cambiado; simplemente, el nuevo equipo no tiene almacenado en caché el estado de desbloqueo. La clave de recuperación o la contraseña funcionan igual que en el equipo original.
- El disco se formateó, pero contenía más de una partición. Si se eliminó la primera partición y después se volvió a formatear el disco, normalmente el nuevo formato solo sobrescribe la región seleccionada. Los metadatos de FVE de una segunda o tercera partición situada más adelante en el disco pueden permanecer intactos. Es posible que esas particiones todavía se puedan recuperar, aunque la primera ya no sea recuperable. Por ello, conviene analizar el disco físico completo en lugar de dar por perdida toda la unidad.
Los casos realmente irreversibles son más concretos. Una unidad con una sola partición que ya se ha formateado —mediante un formato rápido o completo— no deja estructuras útiles para que una herramienta de recuperación de datos pueda trabajar: el formateo reemplaza las estructuras que contienen el VMK y el encabezado de FVE. Por tanto, ni siquiera la contraseña original ni la clave de recuperación correctas dispondrán ya de los metadatos necesarios para desbloquear el volumen. Lo mismo ocurre cuando se han perdido de forma permanente tanto la contraseña como la clave de recuperación y no queda ningún protector que probar, así como cuando los daños físicos son lo bastante graves como para destruir los sectores que contienen el propio encabezado de FVE, en lugar de limitarse a dañar la entrada de la tabla de particiones que apunta a él.
Un mensaje de Windows que pregunta «¿Desea formatear esta unidad?» no ha realizado ninguna acción por sí solo; rechazarlo no supone ningún riesgo. El problema comienza al aceptar y continuar. Si una unidad aparece como RAW, no se puede leer o figura como sin formato, analícela con un software de recuperación de datos antes de formatearla, no después.
Dónde encontrar la clave de recuperación
La clave de recuperación de una unidad suele encontrarse en uno de varios lugares. Si se inició sesión con una cuenta de Microsoft en el PC utilizado para configurar el cifrado, la clave normalmente se guarda automáticamente y puede consultarse en account.microsoft.com/devices/recoverykey. Si no aparece allí, conviene buscar una copia impresa o un archivo de texto guardado cuando se cifró la unidad por primera vez. De forma predeterminada, Windows asigna a estos archivos el nombre del identificador único de la unidad, lo que también facilita confirmar que la clave corresponde al dispositivo. En un equipo administrado por la empresa, un administrador del dominio o de Azure AD puede buscar la clave por dispositivo o mediante el identificador de clave (Key ID). Si el volumen se configuró para desbloquearse con un archivo de clave de inicio en lugar de una contraseña introducida manualmente, el propio archivo BEK es la credencial y no se necesita una clave de recuperación independiente.
Las claves de recuperación están vinculadas a una unidad específica, no a una cuenta de usuario en general: una clave guardada para una unidad externa no desbloqueará otra distinta, aunque ambas se hayan cifrado desde el mismo PC. Si se dispone de varias claves, hay que identificar la correspondiente mediante el identificador de clave (Key ID).
Recuperación de datos con RS Partition Recovery
RS Partition Recovery detecta un volumen BitLocker mediante su firma FVE y solicita la contraseña, la clave de recuperación o el archivo BEK antes de iniciar el análisis. El procedimiento es el mismo que para una unidad interna, aunque es necesario tener en cuenta algunos aspectos específicos de los dispositivos externos:
Conecte la unidad directamente al equipo, sin utilizar un concentrador USB ni una estación de acoplamiento de calidad dudosa. Una conexión USB inestable durante un análisis prolongado puede provocar que el análisis se reinicie antes de completarse.
Inicie un análisis de todo el dispositivo físico, no de una única letra de unidad lógica. Esto es importante por dos motivos mencionados anteriormente: permite que el programa detecte la partición cifrada junto con la partición de recuperación FAT32 y permite localizar una segunda o tercera partición que haya sobrevivido al formateo de todo el disco, incluso si la primera partición del mismo disco no lo ha hecho.
Si solo necesita comprobar que la unidad no presenta un fallo físico antes de localizar la clave de recuperación, puede ejecutar el análisis sin introducir ningún protector. Esto no descifrará el contenido de los archivos, pero indicará si existe un volumen BitLocker y si su estructura se mantiene intacta, lo que resulta útil para descartar rápidamente un fallo de la unidad.
Cuando esté listo para descifrar el volumen, introduzca la contraseña, la clave de recuperación de 48 dígitos o uno o varios archivos .bek. Puede añadir varios archivos BEK a la vez si no está claro cuál corresponde al volumen; el programa los identifica mediante el ID de clave, sin necesidad de probarlos manualmente.
Si la clave no es válida, el programa muestra directamente un error de desbloqueo, en lugar de continuar el análisis de forma silenciosa mediante la recuperación basada en firmas sobre datos que todavía están cifrados.
Una vez desbloqueado, el volumen se descifra sobre la marcha durante el análisis, igual que en una unidad interna.
Guarde los archivos recuperados en otra unidad física. Nunca los guarde en la misma unidad externa de la que se están recuperando los datos.
