Desde un punto de vista agnóstico del software, el FDE (cifrado de disco completo) generalmente se implementa como un control para contrarrestar el riesgo de recuperación de datos de dispositivos perdidos o robados. Si es por otras razones, lo siguiente puede no ser aplicable ...

Desde la perspectiva de la gestión de riesgos corporativos, la decisión sobre si los estados de hibernación o de suspensión debe permitirse debe basarse en una evaluación técnica de cómo funciona el software FDE en esos estados y si seguirá siendo eficaz contra los escenarios de amenazas que se presentan. aplicable.

Para las soluciones de autenticación previa al arranque solía haber una dependencia en un dispositivo que se apaga para que el FDE sea efectivo, esto se debió a la posibilidad de que un atacante acceda a la memoria (y, por lo tanto, en teoría, las claves criptográficas) utilizando DMA ataques basados en.

Un par de otros factores que son relevantes para la decisión en los dispositivos actuales (cuando se consideran ataques prácticos):

• Si el dispositivo tiene interfaces externas compatibles con DMA
• Cómo se implementa el almacenamiento (memoria cableada de la unidad extraíble v)

También habrá otras cosas que considerar, por ejemplo, si se implementan una contraseña de preinicio y una contraseña de inicio de sesión diferentes con diferentes requisitos de complejidad, existe la posibilidad de un ataque de adivinación de contraseña más fácil si el estado del dispositivo no requiere el pre - contraseña de arranque.

Esto es lo que Microsoft tiene que decir al respecto:

  

Deshabilitar el sueño

     

Métodos de desbloqueo de BitLocker para las unidades del sistema operativo, como TPM   Verificaciones de integridad o solicitudes de un PIN o clave de inicio antes de permitir   acceso a la unidad: solo se utilizan cuando una computadora está encendida, es   reiniciado, o sale de hibernación. Si una computadora entra en suspensión   después de un período de inactividad en lugar de entrar en hibernación, el   la unidad permanece desbloqueada . Por lo tanto, para mayor seguridad, se recomienda   que el modo de suspensión se deshabilite mediante la directiva de grupo.

Bolds mío. Implícito está el hecho de que reanudar desde la hibernación es tan seguro como un arranque en frío.

Probablemente esté lidiando con un departamento de TI demasiado entusiasta, malinterpretaron el problema o tienen otras razones no relacionadas con el cifrado del disco para el cambio.

En cuanto a la cuestión más general de por qué la hibernación podría deshabilitarse, tendría que consultar a su departamento de TI. En este punto, ni siquiera está claro si se hizo por motivos relacionados con la seguridad. Tal vez estaban experimentando problemas con el hardware en algunos dispositivos y lo deshabilitaron en toda la compañía para uniformidad.

Otra razón podría ser su objetivo de deshabilitar inicio rápido por motivos.

Relacionado con la seguridad, tal vez no todas las estaciones de trabajo usan FDE o arranque seguro, y en ese caso la hibernación podría ser un problema.

Podríamos especular por toda la eternidad, pero a menos que su departamento de TI vague en SecSE, no obtendrá una respuesta real.

Cuando pone el sistema en hibernación, toda la memoria se almacena en el disco (hiberfil.sys). Esto siempre representa una amenaza para la seguridad porque la memoria puede contener datos privados, contraseñas, claves, etc. Acercarse al almacenamiento con otro sistema le permite acceder a todo el volcado de memoria. El cifrado del disco ayuda, pero no toda la memoria se puede cifrar en el disco, por ejemplo, algunos segmentos de memoria deben estar disponibles para ejecutar el kernel.

Por otra parte, el modo de suspensión sigue manteniendo la energía flotando a través de la memoria y, por lo tanto, requiere un almacenamiento persistente (ignorar el almacenamiento en caché por el momento). El disco duro está siempre encriptado cuando BitLocker está configurado, incluso cuando Windows está funcionando.

Desde el punto de vista de los atacantes, no creo que la hibernación y BitLocker creen un entorno inseguro. Incluso diría que el modo de dormir es más vulnerable, ya que deja una gran oportunidad para que un atacante intente acceder a los contenidos de la memoria simple.