Come consentire o impedire agli utenti standard di modificare il PIN o la password di BitLocker in Windows

La crittografia dei dati è uno dei tanti modi in cui gli amministratori IT proteggono i dati aziendali. Nella maggior parte dei casi, questo significa attivare BitLocker e configurarlo in modo da impedire agli utenti standard di modificare il PIN o la password di BitLocker senza autorizzazione. Puoi effettuare questa configurazione tramite l’Editor Criteri di gruppo, PowerShell o il Registro di sistema di Windows.

Il vantaggio principale di BitLocker rispetto ai software di sicurezza di terze parti è la sua integrazione nel sistema. Configurarlo e gestirlo è semplice, anche per i singoli utenti. Ad esempio, quando l’autenticazione pre-avvio di BitLocker è attiva, l’accesso al computer e ai suoi file viene protetto da un PIN. Ma cosa succede se il PIN viene compromesso?

💡Se preferisci una spiegazione visiva, guarda il nostro video su Come impedire agli utenti di modificare il PIN o la password di BitLocker in Windows

Come funziona la gestione di PIN e password di BitLocker

Il PIN di BitLocker viene utilizzato per l’autenticazione pre-avvio. Senza il PIN corretto, il sistema non si avvia. La password, invece, impedisce l’accesso non autorizzato all’unità o al volume anche dopo l’avvio del sistema. In genere, il PIN è un codice numerico composto da almeno quattro e fino a venti caratteri, mentre le password sono alfanumeriche e molto più lunghe.

Gli amministratori possono voler limitare la modifica delle password di BitLocker su Windows per imporre credenziali uniformi o più complesse in tutta l’organizzazione. Consentire agli utenti di modificare la crittografia in modo arbitrario può aprire diverse falle nella sicurezza. Allo stesso modo, lasciare agli utenti degli endpoint l’unica responsabilità di aggiornare regolarmente il PIN o la password non garantisce la conformità.

Metodi per impedire agli utenti standard di modificare il PIN o la password di BitLocker

Data l’importanza del PIN o della password, gli amministratori possono impedire agli utenti di apportare modifiche avventate che indeboliscono il livello di sicurezza. Organizzare le password aggiunge un ulteriore livello di protezione e rende la gestione degli endpoint più coerente e più semplice da attuare. Detto questo, ecco tre modi per impedire la modifica del PIN di BitLocker:

Metodo 1: utilizzare l’Editor Criteri di gruppo locali (GPO)

L’Editor Criteri di gruppo è uno strumento potente per gestire il comportamento del PC in scenari specifici. Ecco come usare Criteri di gruppo (GPO) per disattivare la modifica del PIN di BitLocker per gli utenti non amministratori:

Passaggio 1: apri l’Editor Criteri di gruppo locali (come amministratore):

Prima di iniziare, tieni presente che lo snap-in GPO è disponibile solo nelle edizioni Windows 10 Pro, Enterprise ed Education. Se non hai accesso a GPO, puoi saltare questo metodo.

Per aprire l’Editor Criteri di gruppo locali, premi Win + R per aprire la finestra di dialogo Esegui come amministratore. Digita quindi gpedit.msc e premi Invio. L’editor si aprirà in una nuova finestra.

Passaggio 2: vai alle impostazioni di Crittografia unità BitLocker:

Da Configurazione del computer, vai su Modelli amministrativi e poi su Componenti di Windows. Cerca quindi Crittografia unità BitLocker e fai clic su Unità del sistema operativo. Nel pannello di sinistra, fai doppio clic su Non consentire agli utenti standard di modificare il PIN o la password per aprirne le impostazioni.

Scegli poi se impostare il criterio su Abilitato o Disabilitato. Fai clic su Applica e poi su OK per salvare le modifiche.

Metodo 2: utilizzare il Prompt dei comandi o PowerShell

Imparare a usare PowerShell è utile per configurare alcune impostazioni di BitLocker. Ecco la riga di comando per impedire agli utenti di modificare il PIN o la password di BitLocker:

Passaggio 1: apri PowerShell come amministratore

Usa la ricerca di Windows e digita PowerShell. Fai clic con il tasto destro su Windows PowerShell ed esegui come amministratore.

Passaggio 2: impedisci agli utenti standard di modificare il PIN o la password

Esegui il comando seguente per impedire la modifica del PIN di BitLocker agli utenti non amministratori:
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\FVE" -Name "DisallowStandardUserPINChanges" -Value 1

Premi Invio per eseguire il comando, che crea o aggiorna una chiave di registro per applicare la restrizione.

Metodo 3: utilizzare l’Editor del Registro di sistema (utenti esperti)

Infine, vediamo i passaggi per modificare il PIN o la password di BitLocker con l’Editor del Registro di sistema:

Passaggio 1: apri l’Editor del Registro di sistema

Per iniziare, premi Win + R per aprire la finestra di dialogo. Digita regedit e premi Invio.

Nell’Editor del Registro di sistema, cerca il percorso seguente: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\FVE. Se la chiave FVE non è presente, devi aggiungerla manualmente. Fai clic con il tasto destro sulla chiave Microsoft e crea una sottochiave denominata FVE.

Passaggio 2: aggiungi DisallowStandardUserPINReset

Con la chiave FVE selezionata, fai clic con il tasto destro su un’area vuota del riquadro di destra, crea un valore DWORD (32 bit) denominato DisallowStandardUserPINReset e imposta i dati valore su 1.

Chiudi l’Editor del Registro di sistema.

Prima di apportare modifiche, è consigliabile eseguire un backup del registro. Ecco una guida su come eseguire il backup e il ripristino del Registro di sistema di Windows.

Verificare e testare le restrizioni

Puoi verificare manualmente se le restrizioni sono state applicate passando a un account utente standard.

• Accedi con un account utente standard (non amministratore) sullo stesso computer. Per crearne uno, vai su Impostazioni > Account > Famiglia e altri utenti > Aggiungi un altro utente a questo PC.
• Apri il Pannello di controllo e vai su Crittografia unità BitLocker.
• Se le restrizioni funzionano, l’opzione per modificare il PIN dovrebbe apparire in grigio. Quando l’utente prova a modificare il PIN dovrebbe inoltre comparire un messaggio di errore.

In alternativa, puoi controllare i registri eventi per confermare le modifiche.

• Premi Win + R, digita eventvwr e premi Invio.
• Controlla gli eventi di BitLocker andando su Registri applicazioni e servizi > Microsoft > Windows > BitLocker-API > Management.
• Cerca i registri eventi relativi alle modifiche di configurazione di BitLocker o ai tentativi di accesso.

Inoltre, prova a modificare il PIN o la password come amministratore per verificare se le nuove restrizioni sono state applicate come previsto.

Risoluzione dei problemi più comuni con PIN o password di BitLocker

Se le restrizioni non funzionano, procedi così:

• Ricontrolla i valori del registro per assicurarti che siano corretti. DisallowStandardUserPINChanges deve avere valore 1.
• Se non l’hai ancora fatto, riavvia il computer per verificare se le modifiche sono state applicate.
• Apri di nuovo la finestra di dialogo Esegui e digita gpupdate /force per assicurarti che le modifiche ai criteri siano state distribuite.

Per precauzione, puoi anche controllare se BitLocker è attivo e configurato correttamente. Assicurati inoltre che all’account standard non siano stati concessi privilegi amministrativi mentre testi le modifiche ai criteri.

Altre considerazioni sulla sicurezza nell’uso di BitLocker

L’Editor Criteri di gruppo locali non è la soluzione migliore se devi configurare decine o centinaia di asset. Puoi invece usare Criteri di gruppo di Windows in Active Directory per gestire dispositivi e policy in blocco.

Meglio ancora, puoi usare il software di gestione degli endpoint di NinjaOne per ottenere visibilità e controllo completi sui tuoi asset. Una soluzione centralizzata ti permette di gestire e monitorare i dispositivi, migliorando allo stesso tempo la sicurezza e la conformità all’interno dell’organizzazione.

Le aziende hanno bisogno di policy di monitoraggio efficienti, con avvisi e report sullo stato complessivo dei dispositivi e delle implementazioni. Per questo è comune che le organizzazioni di grandi dimensioni unifichino le strategie di gestione IT ricorrendo a software o fornitori di servizi di terze parti.

Aumenta il livello di sicurezza dei dati con monitoraggio e reporting automatizzati

BitLocker è un’opzione valida per i singoli utenti e per le piccole imprese che necessitano di un ulteriore livello di sicurezza per i propri asset. Tuttavia, le aziende pronte a crescere ulteriormente possono trovare più complesso gestire e monitorare in modo costante BitLocker e gli altri software nativi di gestione e protezione dei dati. Per questo vale la pena considerare una soluzione di gestione centralizzata più potente, in grado di automatizzare le attività ripetitive, monitorare le chiavi di crittografia e applicare le policy essenziali per rete e dati.