Cloudrisico met BitLocker: Microsoft overhandigt af en toe BitLocker-sleutels aan de FBI

Apple en Google benadrukken regelmatig dat ze technisch niet in staat zijn om de versleutelde smartphones of tablets van hun klanten te ontgrendelen, zelfs niet als de autoriteiten daarom vragen. Bij Microsoft en zijn Windows-encryptiefunctie BitLocker ligt de situatie genuanceerder. Als de gebruiker de herstelsleutel in de cloud opslaat, kan het bedrijf deze aan de wetshandhaving verstrekken.

BitLocker is de schijfversleutelingsfunctie die in Windows is geïntegreerd en die gegevens op harde schijven beschermt tegen ongeoorloofde toegang, bijvoorbeeld bij diefstal van het apparaat. Om in geval van nood weer toegang tot het systeem te krijgen, wordt tijdens de installatie een herstelsleutel gegenereerd. Windows biedt hiervoor verschillende back-upmethoden: de code kan worden afgedrukt, opgeslagen op een USB-station of rechtstreeks in het Microsoft-account in de cloud worden opgeslagen.

Als u ervoor kiest om uw gegevens op te slaan in uw Microsoft-account, dan worden deze gegevens opgeslagen op de servers van het bedrijf uit Redmond. Zoals Microsoft op heeft bevestigd aan Forbes, worden deze BitLocker-sleutels vrijgegeven wanneer er een geldig gerechtelijk bevel wordt ingediend. De FBI doet jaarlijks ongeveer 20 van dergelijke verzoeken. Dit betekent dat Microsoft toegang heeft tot de sleutelgegevens, hoewel het onduidelijk blijft of deze gegevens in platte tekst of versleuteld op de servers zijn opgeslagen.

Cloud-opslag betekent echter niet noodzakelijk dat de provider leestoegang tot de gegevens heeft. Technisch gezien zouden de herstelsleutels zodanig op de servers kunnen worden opgeslagen dat ze versleuteld zijn, bijvoorbeeld met een apart wachtwoord of hash van de gebruiker. In dit scenario zou Microsoft de gegevens kunnen hosten, maar geen mogelijkheid hebben om ze in platte tekst te bekijken of te delen met autoriteiten. Aangezien het bedrijf de sleutels op gerechtelijk bevel kan vrijgeven, is een dergelijke beveiliging hier duidelijk niet van toepassing. Dit roept ook vragen op over de algemene veiligheid van herstelsleutels die in de cloud zijn opgeslagen.

Microsoft-woordvoerder Charles Chamberlayne merkte op dat cloud-herstel weliswaar gemak biedt, maar ook het risico van ongeautoriseerde toegang met zich meebrengt. Gebruikers moeten daarom afwegen of dit gemak het waard is of dat ze de sleutel lokaal moeten bewaren.