Cómo copiar la clave de inicio de la unidad del SO cifrada con BitLocker en Windows

Como función de cifrado integrada de Windows, BitLocker protege tus datos si pierdes o retiras una unidad: los cifra para que ningún usuario no autorizado pueda acceder a la unidad sin conexión. Para arrancar una unidad bloqueada necesitas una clave de inicio. En esta guía te explicamos cómo copiar la clave de inicio de la unidad del SO cifrada con BitLocker en Windows 10/11, por qué este proceso es importante para la seguridad de los datos y cuáles son las buenas prácticas para guardar y manejar tu clave de inicio de BitLocker.

Métodos para copiar la clave de inicio de la unidad del SO

Ya hemos definido qué es la clave de inicio y enumerado varias formas de acceder a volúmenes cifrados. La siguiente pregunta es: «¿Dónde se guarda la clave de inicio de BitLocker en Windows?». Veamos las distintas maneras de localizar y copiar la clave de BitLocker en las guías paso a paso que siguen.

Copiar la clave de inicio desde la interfaz de administración de BitLocker

1. Abre el Panel de control. Puedes buscarlo en el menú Inicio o pulsar la tecla Windows + R, escribir «control» y pulsar Intro.
2. Haz clic en el icono de Cifrado de unidad BitLocker y elige la unidad del SO que quieras cifrar.
3. Junto a la unidad del SO elegida, haz clic en Copiar clave de inicio.
4. Conecta una memoria USB al ordenador. Selecciona la unidad que aparece en la ventana y haz clic en Guardar.

Además de en una memoria USB, puedes hacer una copia de seguridad de tu clave de inicio con estas opciones:

• Archivo: la clave de inicio puede guardarse como archivo BEK y almacenarse en cualquier dispositivo o unidad sin conexión; asegúrate solo de que esa ubicación sea segura e incluso de que esté protegida con contraseña.
• Cuenta de Microsoft: también puede guardarse automáticamente en tu cuenta de Microsoft si has iniciado sesión en ella desde tu dispositivo.
• Active Directory: por último, si tu dispositivo tiene habilitado Active Directory Domain Services (AD DS), la clave de inicio puede guardarse ahí.

Recuperar la clave de inicio de BitLocker desde el símbolo del sistema

1. Abre un símbolo del sistema con permisos de administrador. Para ello, pulsa la tecla Windows + X y selecciona Símbolo del sistema (administrador).
2. Escribe el comando «manage-bde -protectors -get [letra de unidad]». Sustituye [letra de unidad] por la letra real de la unidad del SO cuya clave de inicio quieras copiar.
3. En External Key File Name aparecerá el nombre del archivo de tu clave de inicio. A partir de ahí puedes guardarla siguiendo los pasos de la sección anterior.

Hacer una copia de seguridad de la clave de inicio de BitLocker con PowerShell

1. Abre PowerShell con permisos de administrador: pulsa la tecla Windows + S, escribe «powershell» y haz clic en Ejecutar como administrador.
2. Comprueba el estado de BitLocker de la unidad cuya clave de inicio quieras copiar. Para ello, escribe «Manage-BDE -Status [letra de unidad]:» y sustituye [letra de unidad] por la letra real de tu unidad cifrada con BitLocker. Recuerda hacer esta sustitución también en los siguientes pasos.
3. A continuación, escribe «Manage-BDE -Protectors -Get [letra de unidad]:» para ver todos los protectores de BitLocker de esa unidad, incluida la clave de inicio.
4. Conecta una memoria USB al ordenador. Después escribe «Manage-BDE -Protectors -Add [letra de unidad]: -StartupKey [letra del USB]:\» y asegúrate de sustituir [letra del USB] por la letra de la memoria USB conectada.

Cuando hay muchos dispositivos y unidades con información confidencial (por ejemplo, historiales de pacientes de una clínica o los datos de contacto de los clientes de una empresa), la automatización de la copia de seguridad de las claves de BitLocker garantiza que esos datos sigan protegidos y que nadie acceda sin autorización a los volúmenes cifrados con BitLocker.

Este breve vídeo muestra cómo copiar tu clave de inicio de forma segura: «Cómo copiar la clave de inicio de la unidad del SO cifrada con BitLocker en Windows».

Qué es la clave de inicio de BitLocker

Antes de ver cómo exportar la clave de inicio de BitLocker, definamos qué es esta clave y qué papel juega en los distintos métodos de autenticación del cifrado de Windows.

¿Qué es la clave de inicio de BitLocker?

La clave de inicio de BitLocker es un archivo BEK que suele guardarse en una memoria USB extraíble. Se conecta al ordenador para arrancar el dispositivo, igual que se usa una llave para abrir un candado. Junto con el chip TPM (Trusted Platform Module) del ordenador, que actúa como criptoprocesador, la clave de inicio de BitLocker de Windows aporta un nivel de protección considerable a tus datos.

Métodos de autenticación: solo TPM, TPM+PIN y clave de inicio de BitLocker

El TPM es otra función de seguridad integrada en la mayoría de dispositivos, y puede usarse solo o con un número de identificación personal (PIN). En la autenticación previa al arranque, un TPM íntegro y una clave de inicio de BitLocker son dos mitades que trabajan juntas para dar acceso seguro y automático a un volumen bloqueado.

Estas son algunas diferencias clave entre los métodos de autenticación solo TPM, TPM+PIN y clave de inicio de BitLocker para unidades cifradas.

• Solo TPM: este método únicamente necesita el TPM para autorizar el acceso a la unidad, sin que el usuario tenga que hacer nada más.
• TPM+PIN: junto con el TPM, la unidad pide al usuario que introduzca un PIN, normalmente de 4 a 20 caracteres, para poder acceder a los datos.
• Clave de inicio de BitLocker: con este método, el usuario solo tiene que conectar al ordenador una memoria USB que contenga la clave de inicio cifrada con BitLocker; el TPM hace el resto automáticamente.

«¿Puedo usar el TPM, un PIN y la clave de inicio de BitLocker para la autenticación previa al arranque?». La respuesta es sí y, de hecho, conviene combinar todos los métodos posibles para lograr la máxima seguridad de los datos, siempre que guardes y manejes correctamente estos datos y herramientas (hablaremos de ello más adelante).

Buenas prácticas para manejar las claves de inicio de BitLocker

Además de saber cómo exportar tu clave de cifrado de BitLocker con los pasos adecuados, seguir las buenas prácticas de manejo resulta fundamental en cualquier operación de copia de seguridad de unidades. Piensa en estas prácticas como llaveros fiables que evitan que pierdas de vista tus herramientas de acceso. A continuación enumeramos algunas.

Recomendaciones para guardar de forma segura tu clave de inicio de BitLocker

Lo primero: guarda tu clave de inicio de BitLocker de Windows en un lugar bien protegido, como por ejemplo:

• USB externo: si decides guardar la clave de inicio en un soporte USB externo, como una memoria portátil, te aconsejamos llevarla siempre encima (por ejemplo, colgada de un cordón junto a tu tarjeta de empresa) o en un compartimento oculto y fresco (como un cajón con llave), lejos de miradas ajenas y de la luz solar directa.
• Gestor de contraseñas: los gestores de contraseñas de terceros son cada vez más fiables en una época de ciberataques constantes, así que recomendamos usar uno también para mantener a salvo tu clave de inicio de BitLocker.
• Seguridad del almacenamiento en el cloud: también puedes subir tu clave de inicio al cloud mediante un servicio de almacenamiento de confianza, preferiblemente con una cuenta protegida con contraseña.

Guarda varias copias de tu clave de inicio de BitLocker en ubicaciones distintas

Igual que recomendamos usar la autenticación multifactor para acceder a la clave de inicio de BitLocker y copiarla, también aconsejamos conservar varias copias de esta clave por si se pierde o la roban. Para guardar esas copias en ubicaciones distintas, aplica la regla de copia de seguridad 3-2-1: tres copias de tu clave de inicio almacenadas en dos tipos de soporte diferentes (por ejemplo, dos discos duros externos distintos) y una en una ubicación externa (por ejemplo, almacenamiento en el cloud).

Errores habituales al copiar y guardar la clave de inicio

Ser proactivo con la copia de seguridad de las claves de BitLocker pasa por evitar estos errores:

• No proteger la ubicación de la clave de inicio: evita dejar la clave de inicio de la unidad del SO donde otros puedan robarla fácilmente. Usa un almacenamiento en el cloud protegido con contraseña o PIN. Guarda la memoria USB con tu clave de inicio en una caja con llave o en un cajón oculto.
• No usar la clave correcta para cada unidad: comprueba que la clave de inicio de BitLocker que utilizas corresponde a la unidad que quieres arrancar. Resulta práctico, por ejemplo, anotar la letra de la unidad cifrada en la memoria USB con un rotulador permanente.
• No hacer varias copias de la clave de inicio: perder la única clave de inicio con la que arrancas tu unidad cifrada puede significar perder por completo el acceso a los datos de esa unidad. Puedes evitarlo guardando varias copias de la clave en ubicaciones distintas.

Resolución de problemas habituales al copiar la clave de BitLocker

Qué hacer si no puedes acceder a la clave de inicio

Antes de crear una clave de inicio para una unidad del SO, comprueba siempre que BitLocker esté activado y que el Cifrado de unidad BitLocker esté habilitado. Esta clave de cifrado se genera automáticamente al conectar una memoria USB a tu dispositivo. Por si acaso, asegúrate de que la memoria pueda formatearse con el sistema de archivos NTFS, FAT o FAT32.

Si no consigues acceder a la clave de inicio en tu memoria USB, prueba a hacerlo manualmente desde el Explorador de archivos con estos pasos:

1. Abre el Explorador de archivos en tu ordenador y después abre Opciones de carpeta.
2. Selecciona Mostrar archivos, carpetas y unidades ocultos y desmarca Ocultar archivos protegidos del sistema operativo (recomendado). Haz clic en Aceptar.
3. Conecta tu memoria USB y ábrela en el Explorador de archivos.
4. El archivo de la clave de inicio debería aparecer ya en pantalla. Puedes hacer una copia de seguridad de este archivo en cualquier otra ubicación y restaurar las opciones de carpeta predeterminadas si lo prefieres.

Recuperar una clave de inicio de BitLocker perdida

Primero, revisa todas tus opciones de almacenamiento, tanto en línea como sin conexión, para confirmar si tu clave de cifrado de BitLocker ha desaparecido realmente: desde tus objetos personales y el almacenamiento físico (cajones, cajas con llave) hasta tus gestores de contraseñas, tu cuenta de Microsoft, la cuenta de tu organización y la cuenta de tu servicio en el cloud.

Si la clave de inicio no está en ninguna de esas ubicaciones, puede que tengas que recurrir al modo de recuperación de BitLocker para acceder a los archivos de tu unidad cifrada. Esto implica localizar y utilizar una clave de recuperación de BitLocker para descifrar el volumen.

Solucionar errores de inicio de BitLocker tras cambiar la clave

Después de cualquier cambio en los métodos de autenticación de una unidad cifrada con BitLocker, reinicia siempre la unidad y protege tus datos y herramientas de acceso. Para los PIN y las contraseñas, aprovecha al máximo tus gestores de contraseñas y el almacenamiento en el cloud. Para los dispositivos de almacenamiento externo, sigue las recomendaciones indicadas más arriba.

Sobre una buena copia de seguridad de las claves de BitLocker

Hacer una copia de seguridad de la clave de inicio de tu unidad del SO (desde la interfaz de administración de BitLocker, el símbolo del sistema, PowerShell o la función de ubicación de archivos) contribuye mucho a mantener segura tu unidad cifrada. Guarda varias copias de tu clave de cifrado en ubicaciones distintas y bien protegidas, y casi nunca tendrás que preocuparte por perder el acceso a esas claves ni a tus datos confidenciales. No poder acceder a archivos críticos puede provocar tiempos de inactividad, así que saber cómo copiar la clave de inicio de la unidad del SO cifrada con BitLocker en Windows 11 ayuda a mejorar la eficiencia de TI.