Pontos principais
- O BitLocker no Windows 11 oferece suporte a vários algoritmos de criptografia (XTS-AES, AES-CBC) com chaves de 128 ou 256 bits, permitindo ajustar a proteção dos dados.
- Dá para alterar o método de criptografia do BitLocker antes de criptografar a unidade usando o Editor de Política de Grupo, o Editor do Registro, o PowerShell ou um arquivo .reg.
- O XTS-AES de 256 bits oferece mais segurança para unidades fixas, enquanto os métodos AES-CBC continuam úteis em dispositivos legados ou removíveis.
- Alterar o método de criptografia ajuda a atender aos padrões de segurança corporativos, aos requisitos de conformidade e a otimizar o desempenho.
- Só unidades não criptografadas podem ter o método de criptografia do BitLocker alterado; volumes já criptografados permanecem inalterados.
A criptografia é uma ferramenta de segurança essencial, principalmente em ambientes corporativos. O BitLocker é um recurso nativo do Windows 11 que oferece suporte a vários algoritmos de criptografia, entre eles AES-CBC e AES-XTS, com chaves de 128 ou 256 bits.
No BitLocker, dá para alterar o método de criptografia conforme a necessidade. O padrão é XTS-AES de 128 bits, mas talvez seja preciso usar outro método dependendo do hardware ou dos requisitos de segurança.
Para ver o tema explicado em vídeo, assista a Como alterar o método de criptografia de unidade do BitLocker no Windows 11.
Formas de alterar o método de criptografia de unidade do BitLocker
Usuários avançados podem alterar o método de criptografia pelo Editor de Política de Grupo Local ou pelo Editor do Registro. Em ambientes gerenciados, dá para implantar um script com o Windows PowerShell ou criar um arquivo .reg.
📌 Pré-requisitos:
- Este guia se aplica ao Windows 11 Pro, Enterprise e Education.
- É necessário acesso de administrador.
- A mudança vale apenas para novos volumes do BitLocker. A unidade ainda não pode estar criptografada.
- É preciso ter acesso ao Editor de Política de Grupo ou ao Editor do Registro do Windows.
⚠️ Importante: se o BitLocker já estiver ativado na unidade de destino, será preciso desativar o BitLocker (descriptografar a unidade) para que essas mudanças tenham efeito.
As configurações de método de criptografia do BitLocker valem somente para novas criptografias — os volumes existentes continuam usando o algoritmo atual até serem descriptografados e criptografados de novo.
📌 Estratégias de implantação recomendadas:
| Clique para escolher um método | 💻 Melhor para usuários individuais |
💻💻💻 Melhor para empresas |
| Método 1: definir o método de criptografia pelo Editor de Política de Grupo | ✓ | ✓ |
| Método 2: definir o método de criptografia pelo Editor do Registro | ✓ | ✓ |
| Método 3: script do PowerShell para automação | ✓ | |
| Método 4: criar um arquivo .reg | ✓ |
Método 1: definir o método de criptografia pelo Editor de Política de Grupo
📌 Caso de uso: serve para ambientes corporativos ou usuários avançados.
- Abra o Menu Iniciar e pesquise por Editar política de grupo para abrir o programa.
- Vá até Configuração do Computador > Modelos Administrativos > Componentes do Windows > Criptografia de Unidade de Disco BitLocker.
- Clique duas vezes em Escolher método de criptografia de unidade e intensidade de codificação (Windows 10 [Versão 1511] e posterior).
- Selecione Ativado.
- Na seção Opções, ajuste as configurações conforme a necessidade.
- Dá para alterar as configurações de criptografia para unidades de dados fixas, unidades do sistema operacional e unidades de dados removíveis.
- O padrão é XTS-AES de 128 bits. As outras opções são:
- AES-CBC de 128 bits
- AES-CBC de 256 bits
- XTS-AES de 256 bits
- Clique em Aplicar e depois em OK. Agora pode fechar o Editor de Política de Grupo.
- Abra o Menu Iniciar e pesquise por Prompt de Comando para abrir o programa.
- Digite gpupdate /force e pressione Enter. Isso aplica as mudanças feitas nas políticas de grupo.
Método 2: definir o método de criptografia pelo Editor do Registro
📌 Caso de uso: serve para ambientes corporativos ou usuários avançados.
- Abra o Menu Iniciar e pesquise por Editor do Registro para abrir o programa.
- Vá até HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\FVE
- Selecione o valor da unidade que precisa modificar:
- EncryptionMethodWithXtsOs (para unidades do sistema operacional)
- EncryptionMethodWithXtsFdv (para unidades de dados fixas)
- EncryptionMethodWithXtsRdv (para unidades removíveis)
- Altere o valor conforme a necessidade.
- AES de 128 bits (CBC) = 0
- AES de 256 bits (CBC) = 1
- Criptografia de hardware (se houver suporte) = 2
- AES de 128 bits (CBC – legado) = 3
- AES de 256 bits (CBC – legado) = 4
- (Reservado/Não usado) = 5
- XTS-AES de 128 bits = 6
- XTS-AES de 256 bits = 7
- Reinicie o computador para aplicar as mudanças.
Método 3: script do PowerShell para automação
📌 Caso de uso: ideal para ambientes gerenciados. Dá para alterar essas configurações remotamente com o Windows PowerShell.
- Abra o Menu Iniciar, pesquise por Windows PowerShell, clique com o botão direito e selecione Executar como administrador.
- Digite o comando a seguir e pressione Enter. Isso define o método de criptografia como XTS-AES de 256 bits.
New-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\FVE" -Force | Out-Null
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\FVE" -Name "EncryptionMethodWithXtsOs" -Value 5
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\FVE" -Name "EncryptionMethodWithXtsFdv" -Value 5
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\FVE" -Name "EncryptionMethodWithXtsRdv" -Value 5
Para alterar apenas uma unidade específica, remova as linhas desnecessárias.
-
- EncryptionMethodWithXtsOs – unidades do sistema operacional
- EncryptionMethodWithXtsFdv – unidades de dados fixas
- EncryptionMethodWithXtsRdv – unidades removíveis
Para definir outro método de criptografia, altere o valor.
-
- AES de 128 bits (CBC) = 0
- AES de 256 bits (CBC) = 1
- Criptografia de hardware (se houver suporte) = 2
- AES de 128 bits (CBC – legado) = 3
- AES de 256 bits (CBC – legado) = 4
- (Reservado/Não usado) = 5
- XTS-AES de 128 bits = 6
- XTS-AES de 256 bits = 7
- Agora pode fechar o Windows PowerShell. Reinicie o computador para aplicar as mudanças.
Método 4: criar um arquivo .reg
📌 Caso de uso: funciona melhor em ambientes corporativos. Dá para fazer isso com a ferramenta de gerenciamento de endpoints de sua preferência.
- Abra o Menu Iniciar e pesquise por Bloco de Notas para abrir o programa.
- Digite o seguinte:
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\FVE]
"EncryptionMethodWithXtsOs"=dword:00000005
"EncryptionMethodWithXtsFdv"=dword:00000005
"EncryptionMethodWithXtsRdv"=dword:00000005
Para alterar apenas uma unidade específica, exclua as linhas desnecessárias.
-
- EncryptionMethodWithXtsOs – unidades do sistema operacional
- EncryptionMethodWithXtsFdv – unidades de dados fixas
- EncryptionMethodWithXtsRdv – unidades removíveis
Para definir outro método de criptografia, altere o valor dword.
-
- AES de 128 bits (CBC) = 0
- AES de 256 bits (CBC) = 1
- Criptografia de hardware (se houver suporte) = 2
- AES de 128 bits (CBC – legado) = 3
- AES de 256 bits (CBC – legado) = 4
- (Reservado/Não usado) = 5
- XTS-AES de 128 bits = 6
- XTS-AES de 256 bits = 7
- Clique em Arquivo > Salvar como.
- Dê o nome BitLocker_EncryptionMethod.reg.
- Abra o menu suspenso Tipo > Todos os arquivos.
- Agora pode fechar o Bloco de Notas.
- Vá até a pasta onde salvou o arquivo .reg e clique duas vezes nele. Isso executa o arquivo e aplica as mudanças no Registro do Windows.
- Reinicie o computador para aplicar as mudanças ao sistema.
⚠️ Pontos de atenção
| Riscos | Possíveis consequências | Como reverter |
| O usuário define um método de criptografia menos seguro que o recomendado. | Isso pode expor a unidade a vulnerabilidades de segurança. | Escolha o melhor método de criptografia de acordo com o hardware. O XTS-AES é a opção mais segura para unidades fixas e é o recomendado. |
| O usuário faz alterações incorretas no Registro do Windows. | Isso pode gerar configurações erradas ou instabilidade no sistema. | Faça um backup do Registro do Windows antes de qualquer alteração. Assim dá para restaurar o estado anterior se algo sair errado. |
Combinações de criptografia com suporte
O BitLocker no Windows 11 oferece suporte às seguintes opções de criptografia:
- XTS-AES de 128 bits (padrão)
- XTS-AES de 256 bits
- AES-CBC de 128 bits (usado apenas em unidades removíveis)
- AES-CBC de 256 bits (usado apenas em unidades removíveis)
O XTS-AES é mais seguro e é a opção recomendada para unidades fixas. Já o AES-CBC é compatível com sistemas legados e pode ser usado em unidades USB.
Outros pontos a considerar antes de alterar o método de criptografia de unidade do BitLocker
- Só dá para fazer isso antes de criptografar a unidade, ou seja, antes de ativar o BitLocker.
- Alterar essas configurações não afeta os volumes existentes. Se a unidade já foi criptografada, ela não será criptografada novamente.
- A criptografia de 256 bits é mais segura que a de 128 bits, mas deixa o sistema um pouco mais lento.
- Para verificar qual criptografia está em uso, abra o Prompt de Comando, digite
manage-bde -statuse pressione Enter.
Motivos para alterar o método de criptografia do BitLocker
Alterar o método de criptografia do BitLocker garante que todos os dispositivos gerenciados estejam em conformidade com os padrões de segurança da organização. Também ajuda a atender a leis locais e normas federais.
O método de criptografia ainda influencia o desempenho do dispositivo. Alterá-lo pode otimizar o desempenho e garantir compatibilidade com ferramentas externas de descriptografia ou recuperação.
Guia de início rápido
NinjaOne ajuda a gerenciar a criptografia do BitLocker, inclusive a alterar o método de criptografia, destas formas:
1. Implantação de scripts
Use o Script Management do NinjaOne para implantar scripts do PowerShell ou em lote que modificam as configurações do BitLocker.
2. Gerenciamento de política de grupo
Se o seu plano NinjaOne inclui Group Policy Management, é possível:
implantar objetos de política de grupo (GPOs) que configuram as definições do BitLocker.
Usar GPOs para impor métodos de criptografia (por exemplo, XTS-AES de 256 bits) em unidades do sistema operacional e de dados.
3. Gerenciamento de patches
O Windows Patch Management do NinjaOne pode aplicar atualizações que habilitam ou dão suporte a métodos de criptografia mais recentes, quando necessário.
NinjaOne tem um script chamado “Suspend BitLocker” que:
- suspende a proteção do BitLocker até depois da próxima reinicialização;
- pode reiniciar o computador depois da suspensão, se preferir;
- precisa ser executado com privilégios administrativos;
- oferece uma forma de desativar temporariamente a proteção por criptografia do BitLocker;
- é útil quando é preciso fazer mudanças no sistema que podem ser afetadas pela criptografia ativa do BitLocker.
Reforce a segurança alterando o método de criptografia do BitLocker
Dá para alterar o método de criptografia do BitLocker pelo Editor de Política de Grupo Local ou pelo Editor do Registro. Em ambientes corporativos, os administradores também podem usar scripts do Windows PowerShell ou criar um arquivo .reg.
Alterar o método de criptografia ajuda a cumprir os padrões de segurança da organização, além de leis locais e normas federais. O hardware do dispositivo também pode pesar nessa decisão. Lembre-se, porém: a mudança só é possível em unidades não criptografadas e não pode ser feita em dispositivos já criptografados.
Links relacionados:
- Como ativar ou desativar a criptografia de dispositivo no Windows 11
- Como bloquear unidades criptografadas com BitLocker no Windows
- Como desbloquear uma unidade do sistema operacional criptografada pelo BitLocker no Windows 10
- Como encontrar a chave de recuperação do BitLocker no Windows
- Como desbloquear uma unidade do BitLocker (fixa ou removível) no Windows
Vale assistir a este breve guia em vídeo: ‘Como bloquear unidades criptografadas com BitLocker no Windows’.
