Come abilitare e disabilitare BitLocker con TPM in Windows

Panoramica

Questo articolo spiega come abilitare e disabilitare la crittografia dell'unità BitLocker di Windows utilizzando un TPM (Trusted Platform Module) sui computer Dell che eseguono Windows 10 o Windows 11. Tratta l'attivazione del TPM nel BIOS, la configurazione di BitLocker, la verifica dello stato, la sospensione e la decrittografia. Le configurazioni USB-as-TPM, le modifiche ai Criteri di gruppo dei domini e le implementazioni di BitLocker gestite dalla rete non rientrano nell'ambito di questo articolo.

Riferimento rapido

Utilizzare la tabella seguente per individuare rapidamente la sezione pertinente in base alla domanda o all'esigenza.

Concetti chiave e definizioni

Crittografia dell'unità BitLocker

Funzionalità di crittografia dell'intero volume integrata in Windows che protegge i dati crittografando interi volumi del disco. Quando è abilitata, BitLocker esegue la crittografia dei dati inattivi, impedendo l'accesso non autorizzato nel caso in cui l'unità venga rimossa o il computer venga rubato.

Trusted Platform Module (TPM)

Chip hardware dedicato alla sicurezza, integrato nella scheda madre, che archivia le chiavi crittografiche. BitLocker utilizza il TPM per proteggere le chiavi di crittografia, assicurando che l'unità possa essere decrittografata solo sul computer originale con la stessa configurazione hardware. Esistono due versioni:

• TPM 1.2. Richiesto nei sistemi che utilizzano la modalità di avvio Legacy (non UEFI).
• TPM 2.0. Supportato nella modalità di avvio UEFI. Richiesto da Windows 11. Alcuni modelli (ad esempio, Latitude 5175 e Latitude 7275) dispongono esclusivamente di TPM 2.0.

Chiave di ripristino

Chiave numerica di 48 cifre generata durante la configurazione di BitLocker. È l'unico modo per accedere a un'unità crittografata con BitLocker se non è possibile verificare il TPM (ad esempio, dopo modifiche hardware). La perdita della chiave di ripristino rende i dati crittografati permanentemente inaccessibili: è necessario reinstallare il sistema operativo.

Stati di BitLocker

• Attivato (crittografato). L'unità è completamente crittografata e protetta.
• Crittografia in corso. La crittografia BitLocker è in corso.
• Sospeso. BitLocker è temporaneamente in pausa; l'unità è accessibile senza la verifica del TPM. È necessario per alcune attività di manutenzione.
• Disattivato (decrittografato). BitLocker è disattivato e l'unità è stata decrittografata.

Prerequisiti e compatibilità

Compatibilità tra versione del TPM e modalità di avvio

Sezione 1. Abilitazione del TPM nel BIOS

1. Accendere il computer.
2. Durante il POST, premere il tasto F2 per accedere alla schermata di configurazione del BIOS.
3. Passare alla sezione Security.
4. In Security, individuare l'opzione TPM.
5. Nel pannello a sinistra, selezionare la sezione TPM 2.0 o TPM 1.2.
6. Selezionare la casella di controllo TPM a destra per attivare il TPM.
7. Selezionare Activate o Enable per abilitare il TPM (se l'opzione è disponibile).
8. Cliccare su Save Changes and Exit per salvare le modifiche e uscire dal BIOS. Il computer viene riavviato.

Sezione 2. Abilitazione di BitLocker in Windows

Passaggio 1. Aprire la console Gestione BitLocker

Utilizzare uno dei metodi seguenti:

Metodo A - Ricerca dal menu Start (consigliato)

1. 1. Cliccare sul pulsante del menu Start di Windows.
   2. Nella casella di ricerca, digitare Gestione BitLocker (Windows 10) oppure Crittografia dispositivo (Windows 11).
   3. Premere INVIO o cliccare sull'icona dei risultati.

Metodo B. Pannello di controllo

1. 1. Cliccare sul menu Start di Windows → Pannello di controllo.
   2. Cliccare su Sistema e sicurezza.
   3. Cliccare su una qualsiasi opzione in Crittografia unità BitLocker.

Metodo C. Esplora file (clic destro sull'unità)

1. 1. Aprire Esplora file e passare a Questo PC.
   2. Cliccare con il pulsante destro del mouse sull'unità C:\ (Windows).
   3. Cliccare su Attiva BitLocker. In questo modo viene ignorata la schermata iniziale di BitLocker.

Passaggio 2. Eseguire la procedura guidata di installazione di BitLocker

1. Nella schermata Gestione BitLocker cliccare su Attiva BitLocker. BitLocker esegue una breve inizializzazione.
2. Salvare la chiave di ripristino scegliendo una di queste opzioni:

• • Salvare la chiave nell'account Microsoft
  • Salvare la chiave in un'unità flash USB
  • Salvare la chiave in un file (su un'unità diversa)
  • Stampare la chiave di ripristino

3. Dopo aver salvato la chiave, cliccare su Next.
4. Selezionare un'opzione di crittografia:

• • Applica crittografia solo allo spazio utilizzato del disco. Più veloce; consigliata per i computer nuovi. Crittografa i dati man mano che lo spazio viene utilizzato, mentre lo spazio libero rimane non crittografato.
  • Applica crittografia all'intera unità. Più lenta; crittografa tutto lo spazio dell'unità, indipendentemente dal suo utilizzo. Consigliata per le unità già in uso.

5. Cliccare su Next.
6. Selezionare la modalità di crittografia. se richiesto:

• • Nuova modalità di crittografia (XTS-AES). Consigliata per le unità fisse su Windows 11/10.
  • Modalità compatibile. Utilizzarla per le unità rimovibili condivise con versioni precedenti di Windows.

7. Cliccare su Next.
8. Assicurarsi di aver selezionato la casella di controllo Esegui controllo sistema BitLocker, quindi clicca su Continua.
9. Riavviare il computer per avviare la crittografia.

Sezione 3. Verifica dello stato di BitLocker

Metodo A. Console Gestione BitLocker

1. 1. Aprire la console Gestione BitLocker utilizzando uno dei metodi descritti nella Sezione 2, Passaggio 1.
   2. Leggere lo stato visualizzato nella console:

• • • Crittografia in corso. La crittografia BitLocker è attualmente in corso.
    • BitLocker attivato (icona di blocco). L'unità è completamente crittografata e protetta.
    • BitLocker disattivato. L'unità è decrittografata e non protetta.
    • Sospeso. BitLocker è in pausa; la protezione è stata temporaneamente disabilitata.

Metodo B. Riga di comando

Da utilizzare per attività di automazione, scripting o amministrazione IT.

1. 1. Aprire un prompt dei comandi con privilegi elevati: nella casella di ricerca digitare cmd, quindi cliccare con il pulsante destro del mouse su Prompt dei comandi > Esegui come amministratore.
   2. Al prompt dei comandi digitare manage-bde -statuse premere INVIO.
   3. Esaminare l'output: per ogni volume vengono visualizzati lo stato di conversione, lo stato della protezione, le protezioni con chiavi e lo stato di blocco.

Principali campi dell'output

Sezione 4. Sospensione di BitLocker

La sospensione di BitLocker è uno stato temporaneo: l'unità non viene decrittografata. Utilizzare questa funzione prima di aggiornamenti del BIOS, modifiche al firmware o interventi sull'hardware.

1. Avviare Windows.
2. Aprire la console Gestione BitLocker (vedere la Sezione 2, Passaggio 1).
3. Cliccare su Sospendi protezione per l'unità interessata.
4. Leggere il prompt di avvertenza e cliccare su Sì per confermare l'operazione.
5. Dopo aver completato l'attività di manutenzione, tornare a Gestione BitLocker e cliccare su Riprendi protezione per riabilitare BitLocker.

Sezione 5. Disabilitazione (disattivazione) di BitLocker

La disabilitazione di BitLocker decrittografa completamente l'unità. Si tratta di un'operazione permanente che rimuove la crittografia. Nessun dato viene eliminato, ma l'unità non è più protetta.

1. Avviare Windows.
2. Aprire la console Gestione BitLocker (vedere la Sezione 2, Passaggio 1).
3. Cliccare su Disattiva BitLocker per l'unità interessata.
4. Confermare la scelta nel prompt.
5. Attendere che il computer completi la decrittografia. Non forzare l'arresto durante la decrittografia.

Risoluzione dei problemi