Imagine o caso em que um laptop com Windows 10 habilitado para BitLocker é roubado e o ladrão deseja ler os dados no disco rígido. Ele sabe que não é possível retirar e ler o disco rígido em outro computador porque o BitLocker está presente. Mas ele pode simplesmente tentar forçar a senha de login do Windows para entrar no sistema operacional para que ele ainda possa ler os dados.
Se for uma conta local, parece muito viável. Mesmo no caso da conta da Microsoft, se bem me lembro, o usuário ainda pode fazer login sem conexão com a Internet, então posso presumir que o hash da senha também está no disco rígido, o método de quebra de senha bruteforce também pode ser aplicado.
Então, o BitLocker é útil no caso de laptop roubado?
Geralmente é útil. Se você tiver desbloqueio automático, alguns sistemas podem permitir que um determinado invasor o ignore, mas seria necessário muito mais habilidade do que apenas inicializar um pendrive. No entanto, você deve ter um PIN do BitLocker para realmente bloqueá-lo.
Sim, mas eles não podem ler, porque o disco rígido está criptografado.
O BitLocker em novos laptops usa o chip TPM para implementar o desbloqueio automático. Uma chave é armazenada no TPM de modo que possa ser lida novamente apenas se o sistema estiver inicializando exatamente da mesma maneira – mesmas configurações de firmware, mesmo hardware PCI, mesmo dispositivo de inicialização, mesmo BOOTMGR assinado digitalmente.
(Isso significa que sua senha de login não é usada para desbloquear o disco; no momento em que você está olhando para a tela de login, o disco já está desbloqueado, para que o sistema operacional possa ser carregado a partir dele. Tudo na partição do sistema, incluindo o próprio sistema operacional - exceto para BOOTMGR - é criptografado.)
Se você tentar inicializar a partir de um stick USB (ou fizer qualquer outra alteração, por exemplo, desativar a verificação de assinatura do Secure Boot), o disco do sistema não será mais desbloqueado automaticamente, mesmo que ainda seja o mesmo laptop; a única maneira de acessá-lo é conhecendo a chave de recuperação.
Portanto, o ladrão não pode obter o hash da senha do Windows (o que seria bastante fácil de força bruta) e está limitado a cutucar a tela de login real do Windows ou executar algum tipo de ataque de hardware (por exemplo, "inicialização a frio" e ler o BitLocker chave fora da RAM).
Observação: se o laptop tiver um chip TPM discreto (em oposição ao fTPM), eles poderão interceptar facilmente os sinais reais entre o TPM e a CPU e descobrir a chave do BitLocker dessa maneira. Acredito que o modo "TPM + PIN" do BitLocker protege contra isso, porque o PIN é exigido pelo TPM para revelar a chave (e o próprio TPM possui um mecanismo de bloqueio).
Por fim, o BitLocker não impedirá que o laptop seja apagado ou reutilizado. O TPM é, por design, sempre possível de limpar e reinicializar por qualquer pessoa que possa acessar a tela de configurações do firmware. (A menos que o fabricante também armazene a senha do firmware no TPM, como a HP faz ... mas aparentemente isso não impede que as pessoas desbloqueiem laptops substituindo todo o chip.)
Este é o cenário de design do chip TPM.
Um ataque contra a segurança do Bitlocker apoiado pelo TPM (que é se ele inicializar automaticamente) deve ser inerentemente um ataque contra o barramento do sistema ou RAM.
Em desktops, o TPM caiu devido à adição de dispositivos PCI (espere o quê? Verificações de hash TPM ...; bem, não realmente), mas você não pode adicionar dispositivos PCI a laptops de maneira razoável. Existe o ataque de RAM fria que deve funcionar contra laptops, mas é só isso.
O ataque contra o TPM no desktop custa algumas centenas de dólares quando olhamos há seis meses; o ataque contra o TPM em laptops estava além do nosso alcance e uma estimativa justa é provavelmente algumas dezenas de milhares.
É útil se você não deseja que seus dados sejam acessados. No entanto, para impedir o uso do laptop real, não fará muita diferença. Eles podem simplesmente trocar o disco rígido ou apenas limpá-lo e achatá-lo e configurá-lo como se fosse novo. Ainda assim, é uma boa ideia fazer isso para que ninguém possa acessar seus dados.