Microsoft admite fornecer chaves criptográficas do Windows a autoridades

Microsoft admite fornecer chaves criptográficas do Windows a autoridades

Microsoft admite fornecer chaves criptográficas do Windows a autoridades (Imagem: Vitor Pádua/Tecnoblog)

Resumo

Microsoft salva backup de chaves criptográficas do Windows 11 em seus servidores; essas chaves podem ser repassadas a autoridades mediante ordem judicial;
BitLocker, recurso nativo de segurança do Windows, criptografa unidades inteiras. A posse das chaves criptográficas do recurso pode dar acesso total aos dados protegidos;
Para evitar o backup automático de chaves nas nuvens, usuários podem optar por salvar chave localmente no Windows 11 Pro ou usar uma conta local no Windows 11 Home.

Quando você usa uma conta Microsoft pela primeira vez para fazer login no Windows 11, uma cópia da chave de criptografia do sistema operacional é enviada aos servidores da companhia. Essa é uma informação confidencial, mas a Microsoft reconhece: chaves podem ser repassadas a autoridades em caso de ordem judicial.

As tais chaves criptográficas dizem respeito principalmente ao BitLocker. Trata-se de um mecanismo de segurança introduzido no Windows Vista e no Windows Server 2008. A ferramenta é oferecida como um recurso nativo do Windows desde então.

Um recurso nativo importante: o BitLocker criptografa unidades inteiras de armazenamento de dados, não somente pastas ou arquivos específicos. É por isso que a posse das chaves criptográficas em questão pode dar acesso a tudo o que estiver protegido no computador.

Por padrão, o Windows 11 exige login com uma conta Microsoft. Quando isso é feito pela primeira vez em um computador, o sistema vincula a chave criptográfica do BitLocker a essa conta e faz backup dela nas nuvens para que o usuário possa recuperar o acesso se tiver algum problema com isso. O backup só não é feito quando o usuário ativa a opção de salvamento local de chave.

Então, a Microsoft pode fornecer as chaves a autoridades?

Não só pode como já forneceu. A Forbes revelou que, no início de 2025, a Microsoft forneceu as chaves criptográficas de três notebooks com Windows após uma solicitação do FBI, nos Estados Unidos.

Na ocasião, as autoridades americanas investigavam se responsáveis pelo programa de assistência a desempregados da ilha de Guam desviaram fundos durante a pandemia de covid-19. Os computadores usados por eles estavam protegidos com o BitLocker.

Ao veículo, a Microsoft confirmou que fornece chaves criptográficas a autoridades quando há ordem judicial para isso e ainda informou que recebe cerca de 20 solicitações do tipo por ano. Obviamente, a companhia só atende às solicitações que envolvem chaves armazenadas nas nuvens.

Diante disso, à Forbes, a companhia deu a entender que o próprio usuário precisa agir se quiser se resguardar de um eventual repasse de chaves, independentemente das circunstâncias:

Embora a recuperação de chaves [a partir das nuvens] ofereça conveniência, também acarreta o risco de acesso indesejado, portanto, a Microsoft acredita que os clientes estão em melhor posição para decidir… como gerenciar suas chaves [com backup nas nuvens ou local].

Charles Chamberlayne, representante da Microsoft

Para especialistas em segurança e privacidade ouvidos pela Forbes, a Microsoft deveria oferecer uma proteção mais robusta às chaves. Um exemplo que veio à tona foi o FileVault (sistema de criptografia do macOS), que permite que chaves sejam armazenadas nas nuvens, mas dentro de arquivos também criptografados, de modo que nem a Apple consegue acessá-las.

Modo escuro no Windows 11 (imagem: Emerson Alecrim/Tecnoblog)

Como desativar o backup de chaves nas nuvens?

No Windows 11 Pro, versão normalmente usada por organizações, a configuração de backup de chaves deve ser feita indo em Painel de Controle / Sistema e Segurança / Criptografia de Unidade BitLocker. Ali, escolha a opção de salvar o backup em um arquivo, não na conta Microsoft.

Já o Windows 11 Home tem uma proteção baseada na tecnologia de criptografia do BitLocker, mas sem uma interface direta de configuração. Por isso, uma alternativa está em ajustar o sistema para fazer login com uma conta local, de modo que o backup automático em nuvens deixe de existir, inclusive para as chaves. Para isso:

vá em Configurações / Contas / Suas informações;

clique em Entrar com uma conta local;

uma caixa de alerta pedirá para você fazer backup local da chave; clique em Fechar e fazer backup;

siga as orientações para salvar a cópia em um local seguro.

Acesse a sua conta Microsoft para apagar eventuais chaves que já estejam armazenadas por lá, se for esta a sua intenção.
Microsoft admite fornecer chaves criptográficas do Windows a autoridades

Microsoft admite fornecer chaves criptográficas do Windows a autoridades
Fonte: Tecnoblog