Punti chiave
- In Windows 11, BitLocker supporta diversi algoritmi di crittografia (XTS-AES, AES-CBC) con chiavi a 128 o 256 bit, per una protezione dei dati personalizzabile.
- Puoi modificare il metodo di crittografia di BitLocker prima di crittografare un’unità tramite l’Editor Criteri di gruppo, l’Editor del Registro di sistema, PowerShell o un file .reg.
- XTS-AES a 256 bit offre una sicurezza maggiore per le unità fisse, mentre i metodi AES-CBC restano utili per i dispositivi legacy o rimovibili.
- Modificare il metodo di crittografia aiuta a rispettare gli standard di sicurezza enterprise e i requisiti di conformità, oltre a ottimizzare le prestazioni.
- Il metodo di crittografia di BitLocker può essere modificato solo sulle unità non crittografate: i volumi già crittografati restano invariati.
La crittografia è uno strumento di sicurezza essenziale, soprattutto negli ambienti enterprise. BitLocker è una caratteristica nativa di Windows 11 che supporta diversi algoritmi di crittografia, tra cui AES-CBC e AES-XTS, con chiavi a 128 o 256 bit.
Con BitLocker puoi modificare il metodo di crittografia in base alle tue esigenze. Il metodo predefinito è XTS-AES a 128 bit, ma potresti aver bisogno di un’alternativa a seconda del tuo hardware o dei tuoi requisiti di sicurezza.
Per una spiegazione visiva dell’argomento, guarda Come modificare il metodo di crittografia unità BitLocker in Windows 11.
I diversi modi per modificare il metodo di crittografia unità di BitLocker
Se sei un utente esperto, puoi modificare il metodo di crittografia tramite l’Editor Criteri di gruppo locali o l’Editor del Registro di sistema. Negli ambienti gestiti puoi distribuire uno script con Windows PowerShell oppure creare un file .reg.
📌 Prerequisiti:
- Questa guida si applica a Windows 11 Pro, Enterprise ed Education.
- Ti servono i privilegi di amministratore.
- La modifica vale solo per i nuovi volumi BitLocker. L’unità non deve essere ancora crittografata.
- Ti serve l’accesso all’Editor Criteri di gruppo o all’Editor del Registro di sistema di Windows.
⚠️ Importante: se hai già attivato BitLocker sull’unità di destinazione, devi disattivare BitLocker (decrittografare l’unità) prima che queste modifiche possano avere effetto.
Le impostazioni del metodo di crittografia di BitLocker si applicano solo alle nuove crittografie: i volumi esistenti continueranno a usare l’algoritmo di crittografia attuale finché non li decrittografi e li crittografi di nuovo.
📌 Strategie di distribuzione consigliate:
| Fai clic per scegliere un metodo | 💻 Ideale per utenti singoli | 💻💻💻 Ideale per le aziende |
| Metodo 1: impostare il metodo di crittografia con l’Editor Criteri di gruppo | ✓ | ✓ |
| Metodo 2: impostare il metodo di crittografia con l’Editor del Registro di sistema | ✓ | ✓ |
| Metodo 3: script PowerShell per l’automazione | ✓ | |
| Metodo 4: creare un file .reg | ✓ |
Metodo 1: impostare il metodo di crittografia con l’Editor Criteri di gruppo
📌 Situazione d’uso: questo metodo è adatto agli ambienti enterprise o agli utenti esperti.
- Apri il menu Start e cerca Modifica criteri di gruppo per aprire il programma.
- Vai a Configurazione del computer > Modelli amministrativi > Componenti di Windows > Crittografia unità BitLocker.
- Fai doppio clic su Scegliere il metodo di crittografia unità e il livello di complessità della crittografia (Windows 10 [versione 1511] e successivi).
- Seleziona Abilitato.
- Nella sezione Opzioni, modifica le impostazioni in base alle tue esigenze.
- Puoi modificare le impostazioni di crittografia per le unità dati fisse, le unità del sistema operativo e le unità dati rimovibili.
- L’impostazione predefinita è XTS-AES a 128 bit. Le altre opzioni disponibili sono:
- AES-CBC a 128 bit
- AES-CBC a 256 bit
- XTS-AES a 256 bit
- Fai clic su Applica, poi su OK. Ora puoi chiudere l’Editor Criteri di gruppo.
- Apri il menu Start e cerca Prompt dei comandi per aprire il programma.
- Digita gpupdate /force e premi Invio. In questo modo applicherai le modifiche apportate ai criteri di gruppo.
Metodo 2: impostare il metodo di crittografia con l’Editor del Registro di sistema
📌 Situazione d’uso: questo metodo è adatto agli ambienti enterprise o agli utenti esperti.
- Apri il menu Start e cerca Editor del Registro di sistema per aprire il programma.
- Vai a HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\FVE
- Seleziona il valore relativo all’unità che vuoi modificare:
- EncryptionMethodWithXtsOs (per le unità del sistema operativo)
- EncryptionMethodWithXtsFdv (per le unità dati fisse)
- EncryptionMethodWithXtsRdv (per le unità rimovibili)
- Modifica il valore in base alle tue esigenze.
- AES a 128 bit (CBC) = 0
- AES a 256 bit (CBC) = 1
- Crittografia hardware (se supportata) = 2
- AES a 128 bit (CBC – legacy) = 3
- AES a 256 bit (CBC – legacy) = 4
- (Riservato/Non utilizzato) = 5
- XTS-AES a 128 bit = 6
- XTS-AES a 256 bit = 7
- Riavvia il computer per applicare le modifiche.
Metodo 3: script PowerShell per l’automazione
📌 Situazione d’uso: è la soluzione ideale per gli ambienti gestiti. Puoi modificare queste impostazioni da remoto con Windows PowerShell.
- Apri il menu Start, cerca Windows PowerShell, fai clic con il pulsante destro del mouse e seleziona Esegui come amministratore.
- Digita il comando seguente e premi Invio. In questo modo imposterai il metodo di crittografia su XTS-AES a 256 bit.
New-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\FVE" -Force | Out-Null
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\FVE" -Name "EncryptionMethodWithXtsOs" -Value 5
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\FVE" -Name "EncryptionMethodWithXtsFdv" -Value 5
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\FVE" -Name "EncryptionMethodWithXtsRdv" -Value 5
Se vuoi modificare solo un’unità specifica, rimuovi le righe che non ti servono.
- EncryptionMethodWithXtsOs – unità del sistema operativo
- EncryptionMethodWithXtsFdv – unità dati fisse
- EncryptionMethodWithXtsRdv – unità rimovibili
Se vuoi impostare un metodo di crittografia diverso, modifica il valore.
- AES a 128 bit (CBC) = 0
- AES a 256 bit (CBC) = 1
- Crittografia hardware (se supportata) = 2
- AES a 128 bit (CBC – legacy) = 3
- AES a 256 bit (CBC – legacy) = 4
- (Riservato/Non utilizzato) = 5
- XTS-AES a 128 bit = 6
- XTS-AES a 256 bit = 7
- Ora puoi chiudere Windows PowerShell. Riavvia il computer per applicare le modifiche.
Metodo 4: creare un file .reg
📌 Situazione d’uso: questo metodo è il più adatto agli ambienti enterprise. Puoi eseguirlo con il tuo strumento di gestione degli endpoint preferito.
- Apri il menu Start e cerca Blocco note per aprire il programma.
- Digita quanto segue:
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\FVE]
"EncryptionMethodWithXtsOs"=dword:00000005
"EncryptionMethodWithXtsFdv"=dword:00000005
"EncryptionMethodWithXtsRdv"=dword:00000005
Se vuoi modificare solo un’unità specifica, elimina le righe che non ti servono.
- EncryptionMethodWithXtsOs – unità del sistema operativo
- EncryptionMethodWithXtsFdv – unità dati fisse
- EncryptionMethodWithXtsRdv – unità rimovibili
Se vuoi impostare un metodo di crittografia diverso, modifica il valore dword.
- AES a 128 bit (CBC) = 0
- AES a 256 bit (CBC) = 1
- Crittografia hardware (se supportata) = 2
- AES a 128 bit (CBC – legacy) = 3
- AES a 256 bit (CBC – legacy) = 4
- (Riservato/Non utilizzato) = 5
- XTS-AES a 128 bit = 6
- XTS-AES a 256 bit = 7
- Fai clic su File > Salva con nome.
- Assegna il nome BitLocker_EncryptionMethod.reg.
- Apri il menu a discesa Salva come > Tutti i file.
- Ora puoi chiudere il Blocco note.
- Vai alla cartella in cui hai salvato il file .reg e fai doppio clic su di esso. Il file .reg verrà eseguito e le modifiche verranno applicate al Registro di sistema di Windows.
- Riavvia il computer per applicare le modifiche al sistema.
⚠️ Aspetti a cui prestare attenzione
| Rischi | Possibili conseguenze | Come rimediare |
| Un utente imposta un metodo di crittografia meno sicuro di quello consigliato. | L’unità potrebbe essere esposta ad alcune vulnerabilità di sicurezza. | Assicurati di scegliere il metodo di crittografia più adatto al tuo hardware. XTS-AES è l’opzione più sicura per le unità fisse ed è quella consigliata. |
| Un utente apporta modifiche errate al Registro di sistema di Windows. | Questo può causare impostazioni errate o instabilità del sistema. | Crea un backup del Registro di sistema di Windows prima di apportare qualsiasi modifica. Potrai usarlo per ripristinare lo stato precedente in caso di modifiche indesiderate. |
Combinazioni di crittografia supportate
In Windows 11, BitLocker supporta le seguenti opzioni di crittografia:
- XTS-AES a 128 bit (predefinita)
- XTS-AES a 256 bit
- AES-CBC a 128 bit (solo per le unità rimovibili)
- AES-CBC a 256 bit (solo per le unità rimovibili)
XTS-AES è più sicuro ed è l’opzione consigliata per le unità fisse. AES-CBC, invece, è compatibile con i sistemi legacy e può essere usato sulle unità USB.
Altre considerazioni prima di modificare il metodo di crittografia unità di BitLocker
- L’operazione è possibile solo prima che l’unità venga crittografata. Devi quindi eseguirla prima di attivare BitLocker.
- La modifica di queste impostazioni non influisce sui volumi esistenti. Se un’unità è già stata crittografata, non verrà crittografata di nuovo.
- Una crittografia a 256 bit è più sicura di una a 128 bit, ma rende il sistema leggermente più lento.
- Per verificare quale crittografia è attualmente in uso, apri il Prompt dei comandi, digita
manage-bde -statuse premi Invio.
Perché modificare il metodo di crittografia di BitLocker?
Modificare il metodo di crittografia di BitLocker garantisce che tutti i dispositivi gestiti rispettino gli standard di sicurezza della tua organizzazione. Può servire anche per allinearsi alle normative locali e nazionali.
Il metodo di crittografia può inoltre incidere sulle prestazioni dei dispositivi. Modificarlo può aiutarti a ottimizzare le prestazioni e a garantire la compatibilità con strumenti esterni di decrittografia o ripristino.
Guida rapida
NinjaOne può aiutarti a gestire la crittografia BitLocker, compresa la modifica del metodo di crittografia, nei modi seguenti:
1. Distribuzione di script
Con la gestione degli script di NinjaOne puoi distribuire script PowerShell o batch che modificano le impostazioni di BitLocker.
2. Gestione dei criteri di gruppo
Se il tuo piano NinjaOne include la gestione dei criteri di gruppo, puoi:
distribuire oggetti Criteri di gruppo (GPO) che configurano le impostazioni di BitLocker;
usare i GPO per imporre determinati metodi di crittografia (ad esempio XTS-AES a 256 bit) per le unità del sistema operativo e le unità dati.
3. Patch management
Il patch management per Windows di NinjaOne può applicare gli aggiornamenti che abilitano o supportano metodi di crittografia più recenti, se necessario.
NinjaOne mette a disposizione uno script chiamato “Suspend BitLocker” che:
- sospende la protezione BitLocker fino al riavvio successivo
- può eventualmente riavviare il computer una volta sospesa la protezione
- deve essere eseguito con privilegi amministrativi
- offre un modo per disattivare temporaneamente la protezione tramite crittografia BitLocker
- è utile quando devi apportare modifiche al sistema che potrebbero essere ostacolate dalla crittografia BitLocker attiva
Migliora la sicurezza modificando il metodo di crittografia di BitLocker
Puoi modificare il metodo di crittografia di BitLocker tramite l’Editor Criteri di gruppo locali o l’Editor del Registro di sistema. Negli ambienti enterprise, gli amministratori possono anche usare script di Windows PowerShell o creare un file .reg.
Modificare il metodo di crittografia ti aiuta a rispettare gli standard di sicurezza della tua organizzazione, oltre alle normative locali e nazionali. Potresti voler gestire questa impostazione anche in base all’hardware dei tuoi dispositivi. È però fondamentale ricordare che l’operazione è possibile solo su un’unità non crittografata e non può essere eseguita su dispositivi già crittografati.
Link correlati:
- Come attivare o disattivare la crittografia dispositivo in Windows 11
- Come bloccare le unità crittografate con BitLocker in Windows
- Come sbloccare un’unità del sistema operativo crittografata con BitLocker in Windows 10
- Come trovare la chiave di ripristino BitLocker di Windows
- Come sbloccare un’unità BitLocker (fissa o rimovibile) in Windows
Ti consigliamo di guardare questa breve videoguida: “Come bloccare le unità crittografate con BitLocker in Windows”.
