Cómo permitir o impedir que los usuarios estándar cambien el PIN o la contraseña de BitLocker en Windows

El cifrado de datos es una de las muchas formas que tienen los administradores de TI de proteger los datos corporativos. En la mayoría de los casos, esto se traduce en activar BitLocker y configurarlo para impedir que los usuarios estándar cambien el PIN o la contraseña de BitLocker sin autorización. Puedes aplicar esta configuración con el Editor de directivas de grupo, PowerShell o el Registro de Windows.

La gran ventaja de BitLocker frente al software de seguridad de terceros es que está integrado en el sistema. Configurarlo y gestionarlo es sencillo, incluso para usuarios particulares. Por ejemplo, cuando se activa la autenticación previa al arranque de BitLocker, el acceso al ordenador y a sus archivos queda protegido con un PIN. Pero ¿qué ocurre si ese PIN se ve comprometido?

💡Si prefieres una explicación visual, mira nuestro vídeo sobre cómo impedir que los usuarios cambien el PIN o la contraseña de BitLocker en Windows

Cómo funciona la gestión del PIN y la contraseña de BitLocker

El PIN de BitLocker se utiliza para la autenticación previa al arranque. Sin el PIN correcto, el sistema no arranca. La contraseña, en cambio, impide el acceso no autorizado a la unidad o al volumen incluso después de que el sistema se haya iniciado. Normalmente, el PIN es un código numérico de entre cuatro y veinte caracteres, mientras que las contraseñas son alfanuméricas y mucho más largas.

Los administradores pueden querer restringir los cambios de contraseña de BitLocker en Windows para imponer credenciales unificadas o más complejas en toda la organización. Permitir que los usuarios modifiquen el cifrado sin criterio puede abrir distintas brechas de seguridad. Del mismo modo, dejar que los usuarios de los endpoints sean los únicos responsables de actualizar periódicamente el PIN o la contraseña no garantiza el cumplimiento.

Métodos para impedir que los usuarios estándar cambien el PIN o la contraseña de BitLocker

Dada la importancia del PIN o la contraseña, los administradores pueden impedir que los usuarios hagan cambios poco acertados que debiliten el nivel de seguridad. Organizar las contraseñas añade una capa extra de protección y hace que la gestión de endpoints sea más coherente y fácil de aplicar. Dicho esto, aquí tienes tres formas de impedir que se modifique el PIN de BitLocker:

Método 1: usar el Editor de directivas de grupo local (GPO)

El Editor de directivas de grupo es una herramienta muy potente para controlar el comportamiento del PC en situaciones concretas. Así puedes usar las directivas de grupo (GPO) para desactivar el cambio del PIN de BitLocker en el caso de los usuarios sin permisos de administrador:

Paso 1: abre el Editor de directivas de grupo local (como administrador):

Antes de empezar, ten en cuenta que el complemento GPO solo está disponible en las ediciones Pro, Enterprise y Education de Windows 10. Si no tienes acceso a GPO, puedes saltarte este método.

Para abrir el editor de directivas de grupo local, pulsa Windows + R para ejecutar el cuadro de diálogo como administrador. Después, escribe gpedit.msc y pulsa Intro. Con esto se abrirá el editor en una ventana nueva.

Paso 2: ve a la configuración de Cifrado de unidad BitLocker:

Desde Configuración del equipo, ve a Plantillas administrativas y después a Componentes de Windows. A continuación, busca Cifrado de unidad BitLocker y haz clic en Unidades del sistema operativo. En el panel izquierdo, haz doble clic en No permitir que los usuarios estándar cambien el PIN o la contraseña para abrir su configuración.

Después, elige si quieres Habilitar o Deshabilitar esta directiva. Haz clic en Aplicar y luego en Aceptar para guardar los cambios.

Método 2: usar el símbolo del sistema o PowerShell

Aprender PowerShell resulta útil para configurar algunos ajustes de BitLocker. Esta es la línea de comandos para impedir que los usuarios cambien el PIN o la contraseña de BitLocker:

Paso 1: abre PowerShell como administrador

Usa la búsqueda de Windows y escribe PowerShell. Haz clic con el botón derecho en Windows PowerShell y ejecútalo como administrador.

Paso 2: impide que los usuarios estándar cambien el PIN o la contraseña

Ejecuta el siguiente comando para impedir que los usuarios sin permisos de administrador modifiquen el PIN de BitLocker:
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\FVE" -Name "DisallowStandardUserPINChanges" -Value 1

Pulsa Intro para ejecutar el comando y crear o actualizar una clave del registro que aplique la restricción.

Método 3: usar el Editor del Registro (usuarios avanzados)

Por último, veamos los pasos para modificar el PIN o la contraseña de BitLocker con el Editor del Registro:

Paso 1: abre el Editor del Registro

Para empezar, pulsa Windows + R para abrir el cuadro de diálogo. Escribe regedit y pulsa Intro.

En el Editor del Registro, busca esta ruta: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\FVE. Si no existe la clave FVE, tendrás que añadirla manualmente. Haz clic con el botón derecho en la clave Microsoft y crea una subclave con el nombre FVE.

Paso 2: añade DisallowStandardUserPINReset

Con la clave FVE seleccionada, haz clic con el botón derecho en una zona vacía del panel derecho, crea un valor DWORD (32 bits) llamado DisallowStandardUserPINReset y asígnale el valor 1.

Cierra el Editor del Registro.

Antes de hacer cambios, conviene crear una copia de seguridad del registro. Aquí tienes una guía sobre cómo hacer una copia de seguridad del Registro de Windows y restaurarlo.

Comprobar y probar las restricciones

Puedes comprobar manualmente si las restricciones se han aplicado cambiando a una cuenta de usuario estándar.

• Inicia sesión en una cuenta de usuario estándar (sin permisos de administrador) en el mismo ordenador. Para crear una, ve a Configuración > Cuentas > Familia y otros usuarios > Agregar otro usuario a este equipo.
• Abre el Panel de control y ve a Cifrado de unidad BitLocker.
• Si las restricciones funcionan, la opción de cambiar el PIN debería aparecer atenuada. También debería mostrarse un mensaje de error cuando el usuario intente cambiar el PIN.

También puedes revisar los registros de eventos para confirmar los cambios.

• Pulsa Windows + R, escribe eventvwr y pulsa Intro.
• Consulta los eventos de BitLocker en Registros de aplicaciones y servicios > Microsoft > Windows > BitLocker-API > Management.
• Busca registros de eventos relacionados con cambios de configuración de BitLocker o intentos de acceso.

Además, intenta cambiar el PIN o la contraseña como administrador para ver si las nuevas restricciones se han aplicado como esperabas.

Solución de problemas habituales con el PIN o la contraseña de BitLocker

Si las restricciones no funcionan, sigue estos pasos:

• Revisa de nuevo los valores del registro para asegurarte de que son correctos. DisallowStandardUserPINChanges debe tener el valor 1.
• Si aún no lo has hecho, reinicia el ordenador para ver si los cambios se han aplicado.
• Vuelve a abrir el cuadro de diálogo Ejecutar y escribe gpupdate /force para asegurarte de que los cambios de directiva se han implementado.

Como precaución, puedes comprobar también si BitLocker está activado y bien configurado. Asegúrate asimismo de que la cuenta estándar no tenga privilegios administrativos cuando pruebes los cambios de directiva.

Otras consideraciones de seguridad al usar BitLocker

El Editor de directivas de grupo local no es la mejor opción si tienes decenas o cientos de equipos que configurar. En su lugar, puedes usar las directivas de grupo de Windows en Active Directory para gestionar dispositivos y directivas de forma masiva.

Mejor aún, puedes usar el software de gestión de endpoints de NinjaOne para tener visibilidad y control totales de tus equipos. Una solución centralizada te permitirá gestionar y monitorizar tus dispositivos y, al mismo tiempo, mejorar la seguridad y el cumplimiento en la organización.

Las empresas necesitan políticas de monitorización eficaces, con alertas e informes sobre el estado general de los dispositivos y las implementaciones. Por eso es habitual que las grandes organizaciones unifiquen sus estrategias de gestión de TI con software o proveedores de servicios de terceros.

Eleva el nivel de seguridad de los datos con monitorización e informes automatizados

BitLocker es una opción válida para usuarios particulares y pequeñas empresas que necesitan una capa extra de seguridad para sus equipos. Sin embargo, las empresas que quieren crecer pueden encontrar más difícil gestionar y monitorizar de forma coherente BitLocker y otro software nativo de gestión y protección de datos. Teniendo esto en cuenta, valora una solución de gestión centralizada más potente para automatizar tareas repetitivas, monitorizar las claves de cifrado y aplicar las políticas esenciales de red y de datos.