Pontos principais
- A criptografia de dados com o BitLocker ajuda a proteger dados corporativos ao impedir acessos não autorizados. Os administradores podem reforçar a segurança restringindo a alteração do PIN ou da senha do BitLocker por usuários padrão com ferramentas nativas do Windows, como a Política de Grupo, o PowerShell ou o Editor do Registro.
- Método do Editor de Política de Grupo Local: vá em Configuração do Computador > Modelos Administrativos > Componentes do Windows. Em Criptografia de Unidade de Disco BitLocker, clique em Unidades do Sistema Operacional e dê dois cliques em Não permitir que usuários padrão alterem o PIN ou a senha para ativar ou desativar a configuração.
- PowerShell: execute o comando Set-ItemProperty -Path “HKLM:\SOFTWARE\Policies\Microsoft\FVE” -Name “DisallowStandardUserPINChanges” -Value 1
- Editor do Registro: vá até HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\FVE e altere o valor de DisallowStandardUserPINReset para 1 para impedir que os usuários alterem o PIN ou a senha do BitLocker.
A criptografia de dados é uma das muitas formas que os administradores de TI têm para proteger dados corporativos. Na maioria dos casos, isso significa ativar o BitLocker e configurá-lo para impedir que usuários padrão alterem o PIN ou a senha do BitLocker sem autorização. Essa configuração pode ser feita pelo Editor de Política de Grupo, pelo PowerShell ou pelo Registro do Windows.
A grande vantagem do BitLocker sobre softwares de segurança de terceiros é a integração com o sistema. Configurar e gerenciar é simples, até mesmo para usuários individuais. Por exemplo, com a autenticação de pré-inicialização do BitLocker ativada, o acesso ao computador e aos arquivos fica protegido por um PIN. Mas e se o PIN for comprometido?
💡Se preferir uma explicação visual, assista ao nosso vídeo Como impedir que usuários alterem o PIN ou a senha do BitLocker no Windows
Como funciona o gerenciamento de PIN e senha do BitLocker
O PIN do BitLocker serve para a autenticação de pré-inicialização. Sem o PIN correto, o sistema não inicia. Já a senha impede o acesso não autorizado à unidade ou ao volume mesmo depois que o sistema foi iniciado. Em geral, o PIN é um código numérico de quatro a vinte caracteres, enquanto as senhas são alfanuméricas e bem mais longas.
Os administradores podem querer restringir as alterações de senha do BitLocker no Windows para padronizar ou reforçar as credenciais em toda a organização. Permitir que os usuários mexam na criptografia sem critério abre brechas de segurança. Da mesma forma, deixar a atualização periódica do PIN ou da senha nas mãos dos usuários dos endpoints não garante conformidade.
Formas de impedir que usuários padrão alterem o PIN ou a senha do BitLocker
Dada a importância do PIN ou da senha, os administradores podem impedir que os usuários façam mudanças inadequadas e enfraqueçam a segurança. Organizar as senhas acrescenta uma camada extra de proteção e deixa o gerenciamento de endpoints mais consistente e fácil de implementar. Dito isso, veja três formas de bloquear a alteração do PIN do BitLocker:
Método 1: pelo Editor de Política de Grupo Local (GPO)
O Editor de Política de Grupo é uma ferramenta poderosa para controlar o comportamento do PC em cenários específicos. Veja como usar a Política de Grupo (GPO) para desativar a alteração do PIN do BitLocker por usuários sem privilégios de administrador:
Passo 1: abra o Editor de Política de Grupo Local (como administrador):
Antes de começar, lembre-se de que o snap-in de GPO só existe nas edições Windows 10 Pro, Enterprise e Education. Pule este método se não tiver acesso ao GPO.
Para abrir o editor de política de grupo local, pressione Win + R para executar a caixa de diálogo como administrador. Depois, digite gpedit.msc e pressione Enter. O editor abrirá em uma nova janela.
Passo 2: vá até as configurações de Criptografia de Unidade de Disco BitLocker:
Em Configuração do Computador, acesse Modelos Administrativos e depois Componentes do Windows. Em seguida, procure Criptografia de Unidade de Disco BitLocker e clique em Unidades do Sistema Operacional. No painel esquerdo, dê um duplo clique em Não permitir que usuários padrão alterem o PIN ou a senha para abrir as configurações.
Então, escolha Ativado ou Desativado para essa política. Clique em Aplicar e depois em OK para salvar as alterações.
Método 2: pelo Prompt de Comando ou PowerShell
Aprender PowerShell ajuda bastante na hora de configurar algumas opções do BitLocker. Veja a linha de comando para impedir que os usuários alterem o PIN ou a senha do BitLocker:
Passo 1: abra o PowerShell como administrador
Use a Pesquisa do Windows e digite PowerShell. Clique com o botão direito em Windows PowerShell e execute como administrador.
Passo 2: não permita que usuários padrão alterem o PIN ou a senha
Execute o comando a seguir para bloquear a alteração do PIN do BitLocker por usuários sem privilégios de administrador:Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\FVE" -Name "DisallowStandardUserPINChanges" -Value 1
Pressione Enter para executar o comando e criar ou atualizar a chave de registro que aplica a restrição.
Método 3: pelo Editor do Registro (usuários avançados)
Por fim, veja os passos para alterar o PIN ou a senha do BitLocker pelo Editor do Registro:
Passo 1: abra o Editor do Registro
Para começar, pressione Win + R para abrir a caixa de diálogo. Digite regedit e pressione Enter.
No Editor do Registro, procure o seguinte caminho: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\FVE. Se não houver a chave FVE, será preciso adicioná-la manualmente. Clique com o botão direito na chave Microsoft e crie uma subchave chamada FVE.
Passo 2: adicione DisallowStandardUserPINReset
Com a chave FVE selecionada, clique com o botão direito em uma área vazia do painel direito, crie um valor DWORD (32 bits) chamado DisallowStandardUserPINReset e defina o valor como 1.
Feche o Editor do Registro.
Antes de fazer alterações, vale fazer um backup do registro. Veja um guia sobre como fazer backup e restaurar o Registro do Windows.
Verificação e teste das restrições
Dá para testar manualmente se as restrições foram aplicadas: basta mudar para uma conta de usuário padrão.
- Faça login em uma conta de usuário padrão (sem privilégios de administrador) no mesmo computador. Para criar uma, acesse Configurações > Contas > Família e outros usuários > Adicionar outra pessoa a este PC.
- Abra o Painel de Controle e vá até Criptografia de Unidade de Disco BitLocker.
- Se as restrições estiverem funcionando, a opção de alterar o PIN aparecerá esmaecida. Uma mensagem de erro também deve surgir quando o usuário tentar alterar o PIN.
Outra opção é conferir os logs de eventos para confirmar as alterações.
- Pressione Win + R, digite eventvwr e pressione Enter.
- Veja os eventos do BitLocker em Logs de Aplicativos e Serviços > Microsoft > Windows > BitLocker-API > Gerenciamento.
- Procure logs de eventos relacionados a alterações de configuração ou tentativas de acesso ao BitLocker.
Além disso, tente alterar o PIN ou a senha como administrador para ver se as novas restrições estão valendo como esperado.
Solução de problemas comuns com PIN e senha do BitLocker
Se as restrições não estiverem funcionando, siga estes passos:
- Confira novamente os valores do registro para garantir que estão corretos. DisallowStandardUserPINChanges deve ter o valor 1.
- Se ainda não fez isso, reinicie o computador para ver se as alterações foram aplicadas.
- Abra a caixa de diálogo Executar novamente e digite gpupdate /force para garantir que as mudanças de política foram distribuídas.
Por precaução, verifique também se o BitLocker está ativado e configurado corretamente. E confirme que a conta padrão não recebeu privilégios administrativos durante os testes das mudanças de política.
Outros cuidados de segurança ao usar o BitLocker
O Editor de Política de Grupo Local não é a melhor saída quando há dezenas ou centenas de ativos para configurar. Nesse caso, use a Política de Grupo do Windows no Active Directory para gerenciar dispositivos e políticas em massa.
Melhor ainda: use o software de gerenciamento de endpoints do NinjaOne para ter visibilidade e controle completos dos ativos. Uma solução centralizada permite gerenciar e monitorar os dispositivos e, ao mesmo tempo, elevar a segurança e a conformidade na organização.
As empresas precisam de políticas de monitoramento eficientes, com alertas e relatórios sobre o estado geral dos dispositivos e das implementações. Por isso, é comum que grandes organizações unifiquem as estratégias de gerenciamento de TI com software ou provedores de serviços terceirizados.
Eleve a segurança dos dados com monitoramento e relatórios automatizados
O BitLocker é uma opção viável para usuários individuais e pequenas empresas que precisam de uma camada extra de segurança nos seus ativos. Já as empresas prontas para crescer costumam ter mais dificuldade em gerenciar e monitorar o BitLocker e outros softwares nativos de gerenciamento e proteção de dados de forma consistente. Pensando nisso, considere uma solução centralizada mais robusta para automatizar tarefas repetitivas, monitorar chaves de criptografia e aplicar políticas essenciais de rede e dados.
Guia de início rápido
NinjaOne oferece soluções baseadas em scripts para gerenciar as configurações do BitLocker. Há, especificamente, um script chamado “Set Password Policy” que ajuda a controlar restrições relacionadas a senhas. Para alterar a restrição do PIN do BitLocker, há algumas opções:
- Usar o script “Set Password Policy” para definir requisitos mínimos e restrições de senha.
- Criar uma Política de Grupo ou um script para impedir que usuários padrão alterem o PIN ou a senha do BitLocker.
Para a configuração mais precisa, recomendo:
- revisar as configurações específicas de Política de Grupo para o BitLocker;
- usar os recursos de scripts do NinjaOne para aplicar as restrições desejadas.
