La notizia che Microsoft, nell’ambito di un’indagine federale, abbia fornito all’FBI le chiavi di recupero necessarie a sbloccare i dischi rigidi cifrati di tre laptop riporta al centro dell’attenzione un quesito che da anni accompagna l’evoluzione della sicurezza informatica: chi controlla davvero le chiavi di cifratura e quali sono le implicazioni concrete per utenti, aziende e istituzioni? Il caso, riportato da Forbes, riguarda un’inchiesta su presunte frodi legate al programma di Pandemic Unemployment Assistance a Guam (territorio statunitense nel Pacifico), sebbene la sua portata vada ben oltre il contesto locale.

Sui moderni PC Windows, la cifratura completa del disco tramite BitLocker è ormai una funzione standard, spesso attivata di default. In teoria, questa tecnologia dovrebbe garantire che i dati restino inaccessibili a chiunque non sia il legittimo proprietario del dispositivo, soprattutto quando il computer è spento o bloccato. È proprio questa promessa di protezione totale che ha reso la cifratura a riposo uno dei pilastri della sicurezza digitale contemporanea in ambito consumer ed enterprise.

La realtà operativa, tuttavia, è più sfumata. Nella configurazione predefinita, le chiavi di recupero di BitLocker vengono infatti caricate automaticamente nel cloud Microsoft (Azure) e associate all’account dell’utente. Questa scelta, pensata per evitare la perdita definitiva dei dati in caso di smarrimento della password o di guasti, introduce un intermediario centrale nella catena di fiducia. Microsoft, detenendo queste chiavi, è tecnicamente in grado di fornirle alle autorità come avvenuto nel caso di Guam, consentendo così la decifratura dei dischi rigidi sequestrati.

Microsoft BitLocker

Secondo quanto emerso, l’FBI ha ottenuto un mandato per richiedere a Microsoft le chiavi di recupero relative ai laptop confiscati. Le tempistiche riportate dai media locali indicano che la richiesta formale sarebbe arrivata mesi dopo il sequestro dei dispositivi, a conferma del fatto che, senza l’intervento del fornitore, l’accesso ai dati restava precluso. Microsoft ha confermato a Forbes che, in media, riceve circa venti richieste all’anno di questo tipo, un numero relativamente contenuto ma sufficiente a sollevare interrogativi strutturali.

Il nodo centrale non riguarda tanto la legittimità dell’azione delle forze dell’ordine, che si muovono nell’ambito di mandati giudiziari, quanto il modello di sicurezza sottostante. Affidare le chiavi di recupero a un’infrastruttura cloud implica una fiducia estesa che molti utenti non percepiscono pienamente al momento dell’attivazione del servizio. La cifratura resta tecnicamente solida, ma il controllo esclusivo delle chiavi non è più nelle mani dell’utente finale.

A evidenziare i rischi di questo approccio è intervenuto anche Matthew Green, docente di crittografia alla Johns Hopkins University. Oltre alle implicazioni legali e di privacy, Green ha richiamato l’attenzione su uno scenario spesso sottovalutato come quello della compromissione dell’infrastruttura cloud che custodisce le chiavi. Microsoft è stata colpita in passato da incidenti di sicurezza significativi e un eventuale accesso non autorizzato a questi archivi potrebbe esporre un numero elevato di chiavi di recupero. È vero che, per sfruttarle, un attaccante dovrebbe comunque avere accesso fisico ai dispositivi cifrati, ma la combinazione dei due fattori ridurrebbe drasticamente il livello di protezione percepito.

La critica di Green è particolarmente dura perché colloca Microsoft in una posizione sempre più isolata rispetto a una parte dell’industria, che sta spingendo verso modelli di cifratura in cui il fornitore non ha alcun accesso alle chiavi, nemmeno in teoria. La persistenza di soluzioni che prevedono la custodia centralizzata delle chiavi appare insomma come un compromesso sempre meno accettabile soprattutto nel 2026, quando la consapevolezza su questi temi è ormai diffusa.