Bloqueo de clave de recuperación de BitLocker, FileVault y LUKS Disk Encryption¶

Ver una pantalla azul de BitLocker Recovery en Windows, un mensaje de inicio de sesión de FileVault bloqueado en macOS o un mensaje que no respondecryptsetup La solicitud de frase de contraseña en una estación de trabajo Linux puede detener su trabajo y su vida personal. El cifrado de disco completo (FDE) utiliza cifrados simétricos de grado militar, normalmente AES-128 o AES-256 en modo XTS, para codificar cada sector de su unidad de estado sólido (SSD) o unidad de disco duro (HDD). Sin la clave maestra de volumen criptográfica (VMK) o un protector de cifrado de clave válido, los datos sin procesar en los chips flash NAND son matemáticamente indistinguibles del ruido aleatorio.

Sin embargo, una pantalla de clave de recuperación repentina rara vez significa que su unidad esté dañada o que su clave haya desaparecido para siempre. La mayoría de los bloqueos de BitLocker y FileVault se activan automáticamente cuando una actualización rutinaria del firmware BIOS/UEFI, un cambio de base Thunderbolt, un cambio de arranque seguro o una batería de tipo botón CMOS agotada altera los registros de configuración de plataforma (PCR) dentro de su placa base Módulo de plataforma segura (TPM 2.0). Incluso si nunca anotó una clave de recuperación, a menudo puede omitir el mensaje revirtiendo la configuración exacta del firmware UEFI que activó la medición de TPM, o ubicando una copia de seguridad automática silenciosa de su clave dentro de una cuenta personal de Microsoft, un directorio de Microsoft Entra ID del trabajo o de la escuela, un llavero de Apple iCloud o una instantánea de volumen desmontada.

Haz esto ahora¶

1. DETÉNGASE antes de hacer clic en "Restablecer esta PC", "Borrar Mac" o formatear la partición. La reinstalación de Windows, macOS o Linux sobre una partición cifrada sobrescribe el encabezado del volumen criptográfico (los bloques de metadatos de BitLocker, el superbloque del contenedor APFS o el encabezado JSON de LUKS2). Una vez que se sobrescribe ese pequeño encabezado de metadatos, incluso encontrar mañana su clave de recuperación válida de 48 dígitos ya no descifrará sus archivos.
2. Desconecte todas las unidades USB externas, tarjetas SD, bases Thunderbolt, adaptadores HDMI y controladores de juegos, luego reinicie. En sistemas Windows que usan registros de configuración de plataforma TPM 2.0 (específicamente PCR 0, PCR 2, PCR 4 y PCR 7), el arranque con una unidad USB de arranque, una base Thunderbolt recién conectada con firmware ROM opcional o un concentrador de monitor externo pueden cambiar la medición de hash previa al arranque. Desenchufar todos los periféricos y realizar un reinicio en frío con frecuencia permite que el TPM libere la clave maestra de volumen normalmente sin necesidad del código de 48 dígitos.
3. Verifique todas las cuentas de Microsoft, Apple o corporativas que haya usado en un teléfono o computadora portátil secundaria. No asuma que sabe qué cuenta de correo electrónico estaba activa cuando desempacó la computadora portátil por primera vez. En Windows, verifique account.microsoft.com/devices/recoverykey en sus cuentas personales de Outlook/Hotmail/Live y verifique aka.ms/myrecoverykey en cualquier cuenta de Microsoft 365 (Entra ID) del trabajo, universidad o cliente en la que haya iniciado sesión dentro de Microsoft Word, Teams o la configuración de Windows.
4. Coincide con los primeros 8 caracteres de la "ID de clave" que se muestra en la pantalla bloqueada. Una pantalla de recuperación de BitLocker de Windows muestra una ID de clave de 32 caracteres (o los primeros 8 caracteres hexadecimales, como A1B2C3D4). Si tiene varias claves almacenadas en su cuenta de Microsoft o en computadoras antiguas, solo la contraseña de recuperación de 48 dígitos cuyo ID de clave coincida exactamente con esos 8 caracteres desbloqueará este volumen de unidad específico.
5. Revierta cualquier cambio reciente de BIOS/UEFI realizado justo antes del bloqueo. Si la pantalla BitLocker apareció inmediatamente después de ingresar a la configuración del BIOS para desactivar el Arranque seguro, alternar CSM (Módulo de soporte de compatibilidad), cambiar Intel PTT/AMD fTPM o habilitar Cambios en el orden de inicio, reinicie en el BIOS (F2, F12, o Del) y restablezca esos controles exactos a su estado anterior. Tan pronto como PCR 7 y PCR 0 coincidan con su hash criptográfico original, el TPM desbloqueará la clave automáticamente.
6. Priorice la seguridad física si el bloqueo ocurre durante una emergencia o crisis doméstica. Si está intentando recuperar registros médicos, documentos financieros o planes de evacuación durante una crisis, recuerde que las unidades cifradas retienen los datos indefinidamente mientras están apagadas. Si se enfrenta a una amenaza física inmediata, deje el hardware y llame a su número de emergencia local (911 en los Estados Unidos y Canadá, 112 en toda la Unión Europea, 999 en el Reino Unido, o consulte nuestro números de emergencia directorio).

Árbol de decisión de recuperación y clasificación de bloqueo de cifrado de disco¶

flowchart TD
    Start["Bloqueado fuera de la unidad cifrada: BitLocker, FileVault o indicador LUKS"] --> WhichOS{"¿Qué sistema operativo y motor de cifrado?"}

    WhichOS -->|"Windows: pantalla de recuperación de 48 dígitos de BitLocker"| PeriphCheck["Paso 1: desconecte todas las unidades USB, bases Thunderbolt y monitores externos; reinicio en frío"]
    PeriphCheck --> StillLocked{"¿Sigues pidiendo la clave de 48 dígitos?"}
    StillLocked -->|"No: arrancado normalmente"| BackupNow["Ejecute inmediatamente 'manage-bde -protectors -get C:' y guarde la clave de 48 dígitos sin conexión"]
    StillLocked -->|"si"| BIOSCheck{"¿Acaba de cambiar BIOS, arranque seguro, CSM o actualizar firmware?"}

    BIOSCheck -->|"si"| RevertBIOS["Ingrese a la configuración UEFI: vuelva a habilitar el arranque seguro, el modo de arranque UEFI e Intel PTT/AMD fTPM para restaurar el hash PCR 7"]
    BIOSCheck -->|"No"| HuntKey["Paso 2: Haga coincidir la ID de clave de 8 caracteres en TODAS las cuentas personales de Microsoft, ID de entrada de trabajo/escuela, Active Directory y archivos USB .BEK/.TXT"]
    RevertBIOS --> HuntKey

    WhichOS -->|"macOS: El inicio de sesión de FileVault rechaza la contraseña"| ApplePath{"¿Apple Silicon/T2 Mac frente a Intel Mac?"}
    ApplePath -->|"Todas las Mac"| TestLayout["Paso 1: verifique el menú de entrada en la parte superior derecha de la pantalla FileVault para ver si la distribución del teclado no coincide"]
    TestLayout --> FVMethod{"¿Qué método de recuperación se habilitó?"}
    FVMethod -->|"Custodia de cuenta de iCloud"| BootRecovery["Arranque en recuperación de macOS: autentíquese con la cuenta de Apple a través del Asistente de recuperación para restablecer la contraseña"]
    FVMethod -->|"Clave de recuperación personal (PRK) de 24 caracteres o MDM"| EnterPRK["Ingrese la clave XXXX-XXXX-XXXX-XXXX-XXXX-XXXX en Recovery Assistant o solicite la clave de depósito en garantía institucional a TI"]

    WhichOS -->|"Linux: Frase de contraseña de LUKS/cryptsetup rechazada"| LUKSPath["Paso 1: Vaya al shell initramfs o inicie Live USB; comprobar la distribución del teclado en la consola"]
    LUKSPath --> LUKSHeader{"¿Están intactas las ranuras de claves en 'cryptsetup luksDump'?"}
    LUKSHeader -->|"Sí: ranura para llave activa"| TestPass["Pruebe las ranuras de claves secundarias (ranuras 1 a 7), el token FIDO2/TPM2 o ejecute el modo hashcat 29500 contra la copia de seguridad del encabezado"]
    LUKSHeader -->|"No: encabezado dañado"| RestoreHeader["Restaure el encabezado LUKS desde '--header-backup-file' o escanee el disco en busca de metadatos supervivientes"]

Comprender el cifrado de disco completo y el sellado TPM 2.0¶

Ni Windows BitLocker, Apple FileVault 2 ni Linux dm-crypt / LUKS cifra su SSD directamente con su contraseña de inicio de sesión o clave de recuperación. En cambio, las tres plataformas utilizan una jerarquía de claves de dos niveles:

1. La clave maestra de volumen (VMK)/clave de cifrado de volumen completo (FVEK): una clave aleatoria de hardware (128 bits, 256 bits o 512 bits) cifra y descifra los sectores reales del disco sobre la marcha.
2. Protectores de claves/ranuras de claves (KEK): la clave maestra de volumen se empaqueta utilizando claves de cifrado de claves (KEK) independientes, llamadas protectores de claves en BitLocker, bolsas de claves en Apple APFS y ranuras de claves en Linux LUKS.
3. Por qué el sellado TPM 2.0 te bloquea en Windows: En Windows 10 y 11, el protector de clave principal es el chip Trusted Platform Module (TPM 2.0) (silicio discreto o firmware Intel PTT/AMD fTPM). Cuando BitLocker sella la clave maestra de volumen en el TPM, vincula la clave a Registros de configuración de plataforma (PCR) específicos:
4. PCR 0: Hashes del firmware del sistema UEFI/BIOS central.
5. PCR 2: Código ROM de opción de hardware externo conectable mediante hashes (bases Thunderbolt, tarjetas RAID, GPU externas).
6. PCR 4: aplica hash al administrador de arranque (bootmgfw.efi) y el estado del orden de arranque.
7. PCR 7: Hashes, política de arranque seguro y UEFI db / dbx bases de datos de certificados.
8. PCR 11: Hashea los componentes de control de acceso de BitLocker.

Cada vez que presiona el botón de encendido, la placa base mide estos componentes de firmware antes de que se cargue Windows. Si un solo bit en PCR 0, PCR 2, PCR 4 o PCR 7 difiere del valor registrado cuando se selló BitLocker, el TPM se niega a liberar la clave maestra de volumen y obliga al Administrador de arranque de Windows a mostrar la pantalla Clave de recuperación de BitLocker de 48 dígitos.

Comparación de arquitecturas de cifrado de disco completo y mecanismos de recuperación¶

Parte 1: Resolver bloqueos de recuperación de BitLocker de Windows¶

Cuando su PC con Windows se detiene en "BitLocker: Ingrese la clave de recuperación para esta unidad" (o el Entorno de recuperación de Windows solicita una clave antes de permitir el acceso al símbolo del sistema o al modo seguro), siga estas dos pistas paralelas: la Pista A intenta convencer al TPM para que desbloquee la unidad sin necesidad de la clave, y la Pista B busca la clave de 48 dígitos en cada ubicación de almacenamiento digital y local.

Pista A: omitir el mensaje de BitLocker sin una clave de recuperación (restaurar el estado de TPM PCR)¶

Si no limpió manualmente el TPM ni movió el SSD NVMe a una nueva placa base, la clave maestra de volumen todavía está dentro de su chip TPM 2.0. Se niega a desbloquearse porque cambió una medición de PCR previa al arranque. Pruebe estas restauraciones de hardware y firmware no destructivas en orden:

1. Desconecte todo el hardware externo y las bases:
2. Apague la computadora por completo (mantenga presionado el botón de encendido durante 10 segundos).
3. Desenchufe todas las unidades flash USB, discos duros externos, concentradores USB-C, estaciones de acoplamiento Thunderbolt, tarjetas SD y cables de monitor externo.
4. Desenchufe el cargador de CA durante 15 segundos, conecte el cargador nativo directamente a la computadora portátil y enciéndalo. Las bases Thunderbolt y los concentradores USB-C con frecuencia contienen ROM de opción de pantalla o arranque de red PXE interno que se extienden a PCR 2 y PCR 4, lo que invalida el estado del TPM.
5. Restaurar el modo de arranque seguro y UEFI en la configuración del BIOS:
6. Reinicie y presione la tecla BIOS de su placa base (F2 en Dell/ASUS/Lenovo/Acer, F10 en HP, Del en placas de escritorio).
7. Si Arranque seguro se cambió recientemente de Activado a Desactivado, vuelva a configurarlo en Activado (modo estándar) y guarde los cambios. Por el contrario, si una actualización del BIOS cambió el arranque seguro a habilitado, intente cambiarlo a deshabilitado una vez.
8. Confirme que el modo de inicio esté configurado en UEFI Only (deshabilite Legacy/CSM) y confirme que Windows Boot Manager sea la primera opción de inicio.
9. Verifique que Intel PTT o AMD fTPM esté habilitado (nunca haga clic en "Borrar TPM"):
10. Después de una batería CMOS agotada o un reinicio del BIOS, las placas base a veces desactivan el firmware TPM (Intel Platform Trust Technology o AMD CPU fTPM). Vaya a la pestaña Seguridad o Computación confiable en BIOS y confirme que Estado de TPM 2.0 esté Habilitado.
11. Advertencia: Nunca seleccione "Borrar TPM" o "Borrar fTPM NV" dentro del BIOS. Al borrar el TPM se destruye permanentemente la clave raíz de almacenamiento interna dentro del chip de silicio, lo que hace que la clave de recuperación de 48 dígitos sea obligatoria.
12. Revertir una actualización de cápsula de BIOS con errores:
13. En computadoras portátiles Dell, mantenga presionado Ctrl + Esc mientras conecta la alimentación de CA para iniciar el menú Recuperación del BIOS de Dell y seleccione Revertir BIOS. En portátiles HP, mantenga presionado Win + B mientras presiona el botón de encendido durante 2 segundos para activar la reversión del BIOS de HP Sure Start.

Pista B: Búsqueda exhaustiva de su clave de recuperación de BitLocker de 48 dígitos¶

Si no se puede restaurar el TPM (o si movió el SSD a una carcasa USB externa), debe proporcionar la contraseña de recuperación numérica de 48 dígitos (XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX) o un .BEK archivo de clave de inicio. Escriba los primeros 8 caracteres de la ID de clave que se muestra en la pantalla (por ejemplo, Key ID: 4F8A9C12) y verifique estas seis ubicaciones:

1. Cuentas personales de Microsoft (account.microsoft.com/devices/recoverykey)¶

Visita https://account.microsoft.com/devices/recoverykey (o https://aka.ms/myrecoverykey) en un teléfono o computadora secundaria. - Verifique cada cuenta histórica: Device Encryption realiza una copia de seguridad de la clave de cualquier cuenta de Microsoft que se usó por primera vez cuando se desempacó la PC, incluso si luego cambió a un inicio de sesión local. Inicia sesión y prueba todo lo antiguo @hotmail.com, @live.com, @outlook.com, o vinculado @gmail.com cuentas, más la cuenta de cualquier cónyuge, padre o técnico que ayudó a configurar la PC o inició sesión en Microsoft Office o Xbox Game Pass en esa máquina.

2. Trabajo, escuela o universidad Entra ID / Azure AD (myaccount.microsoft.com)¶

Incluso en una computadora portátil doméstica, si alguna vez inició sesión en aplicaciones de Microsoft 365 (Word, Excel, Teams) con una dirección de correo electrónico del trabajo, la universidad o el cliente y dejó marcada "Permitir que mi organización administre mi dispositivo", Windows automáticamente depositó su clave de recuperación de BitLocker en el inquilino Microsoft Entra ID de esa organización: 1. Visita https://myaccount.microsoft.com/device-list e inicia sesión con tu correo electrónico de trabajo o escuela. 2. Seleccione el nombre de su computadora y haga clic en Ver claves de BitLocker. 3. Si su cuenta profesional o educativa ya está deshabilitada, llame al servicio de ayuda de TI de esa organización y proporcione su identificación de clave de 8 caracteres. Los administradores pueden recuperar claves para cuentas desactivadas en Dispositivos > Todos los dispositivos > Claves de recuperación en entra.microsoft.com.

3. Directorio activo corporativo local (msFVE-RecoveryInformation)¶

Si la computadora se unió a un dominio de Active Directory, un administrador de dominio puede buscar la clave por su ID de clave de 8 caracteres usando PowerShell:

Get-ADObject -Filter {objectClass -eq 'msFVE-RecoveryInformation'} -Properties msFVE-RecoveryPassword, whenCreated |
  Where-Object { $_.Name -like "*4F8A9C12*" } | Select-Object Name, msFVE-RecoveryPassword, whenCreated

4. Archivos de texto automatizados o manuales en unidades flash USB y unidades en la nube¶

Cuando Windows guarda una clave de recuperación en un archivo o unidad USB, le asigna un nombre al archivo. BitLocker Recovery Key [GUID].txt o guarda un oculto .BEK archivo (attrib +h +s). Ejecute esta búsqueda de PowerShell en todas las unidades USB, discos duros externos, OneDrive, Google Drive y carpetas de Dropbox en otra PC:

Get-PSDrive -PSProvider FileSystem | ForEach-Object {
    Get-ChildItem -Path $_.Root -Include "*BitLocker*Recovery*Key*.txt", "*.bek" -Recurse -Force -ErrorAction SilentlyContinue
} | Select-Object FullName, LastWriteTime

5. Extracción de la clave para una unidad de datos secundaria (D:) desde un desbloqueado C: Partición¶

si C: arranca normalmente y solo una unidad secundaria D: está bloqueado, abra una ventana de Administrador de PowerShell en C: y correr manage-bde -protectors -get D: para ver si C: aún contiene la clave de registro de desbloqueo automático, o inspeccione las instantáneas de volumen anteriores de su Documents carpeta para eliminar BitLocker Recovery Key *.txt archivos.

6. Imprima el historial de cola de impresión y las impresiones en PDF/OneNote¶

Si hizo clic en "Imprimir la clave de recuperación" durante la instalación, verifique Microsoft OneNote y busque su Documents carpeta para .pdf o .xps archivos creados a través de "Microsoft Print to PDF".

Pista C: Desbloquear y descifrar una unidad BitLocker desde el símbolo del sistema WinRE (manage-bde)¶

Si al escribir la contraseña de recuperación de 48 dígitos en la pantalla azul se vuelve a BitLocker en el siguiente reinicio o se bloquea Windows, desbloquee y suspenda BitLocker desde el símbolo del sistema Entorno de recuperación de Windows (WinRE):

1. Prensa Esc en la pantalla de BitLocker, luego haga clic en Omitir esta unidad -> Solucionar problemas -> Opciones avanzadas -> Símbolo del sistema.
2. Verifique el estado y desbloquee el volumen del sistema operativo (C:):

   manage-bde -status
   manage-bde -unlock C: -RecoveryPassword 123456-123456-123456-123456-123456-123456-123456-123456
   

   (O desbloquear usando un binario .BEK archivo en una memoria USB asignada como F: vía manage-bde -unlock C: -RecoveryKey "F:\key.BEK").
3. Suspender los protectores para que el mensaje no vuelva a aparecer en el próximo reinicio:

   manage-bde -protectors -disable C:
   

   Reinicie en Windows, luego ejecute manage-bde -protectors -enable C: en un símbolo del sistema elevado para volver a sellar la clave maestra de volumen con los nuevos hash UEFI PCR.
4. Si Windows no puede iniciarse, copie los archivos o descifrelos por completo:

   robocopy C:\Users\YourUsername F:\RescueBackup /E /ZB /R:1 /W:1 /XJ
   manage-bde -off C:
   

Pista D: Montaje de un SSD BitLocker en Linux (dislocker / cryptsetup) para rescate de archivos¶

Si su placa base de Windows falló, coloque el SSD M.2 NVMe o SATA en una carcasa USB-C externa (que mida aproximadamente 10 centímetros por 3 centímetros, o 4 pulgadas por 1,2 pulgadas) y desbloquéelo en cualquier PC con Linux o Ubuntu Live USB:

# Method 1: Modern cryptsetup (v2.3+ natively supports BITLOCKER volumes)
sudo cryptsetup open --type bitlocker /dev/nvme0n1p3 bitlocker_unlocked
# Type the 48-digit recovery key INCLUDING hyphens when prompted
sudo mkdir -p /mnt/windows_data
sudo mount -t ntfs3 -o ro /dev/mapper/bitlocker_unlocked /mnt/windows_data

# Method 2: Using dislocker
sudo apt update && sudo apt install -y dislocker ntfs-3g
sudo mkdir -p /mnt/dislocker_raw /mnt/windows_rescue
sudo dislocker -V /dev/nvme0n1p3 -p123456-123456-123456-123456-123456-123456-123456-123456 -- /mnt/dislocker_raw
sudo mount -t ntfs-3g -o loop,ro /mnt/dislocker_raw/dislocker-file /mnt/windows_rescue

Parte 2: Resolución de bloqueos de Apple macOS FileVault 2 y Secure Enclave¶

En macOS (High Sierra hasta macOS Sequoia y posteriores), FileVault 2 cifra todo el volumen APFS (Apple File System). En Mac con Apple Silicon (M1, M2, M3, M4) o el Chip de seguridad Apple T2, el volumen en realidad siempre está cifrado en reposo usando claves de hardware dentro del Procesador Secure Enclave (SEP). Al activar FileVault, se combina esa clave de cifrado de volumen (VEK) de hardware con una clave de cifrado de clave (KEK) derivada de su contraseña de inicio de sesión de macOS y su clave de recuperación de FileVault.

Debido a que FileVault requiere descifrar el volumen APFS antes de cargar macOS desde el disco, la primera pantalla que ve cuando enciende una Mac habilitada para FileVault no es la ventana de inicio de sesión normal de macOS, es la pantalla de desbloqueo de FileVault EFI/iBoot previo al arranque.

Paso 1: Descarte la causa número uno de los bloqueos repentinos de FileVault (distribución del teclado previa al inicio y teclados externos)¶

Antes de asumir que su contraseña se rompió o iniciar un restablecimiento, verifique estas tres peculiaridades previas al inicio que hacen que las contraseñas válidas tiemblen y se rechacen en la pantalla de inicio de FileVault:

1. Cambio de menú de entrada de teclado previo al inicio: la pantalla FileVault previa al inicio utiliza un controlador de teclado de firmware simplificado que con frecuencia tiene como valor predeterminado EE.UU. QWERTY (o ABC) incluso si escribiste tu contraseña usando un diseño del Reino Unido, alemán (QWERTZ), francés (AZERTY) o Dvorak dentro de macOS. Mire la esquina superior derecha de la pantalla de inicio de sesión de FileVault, haga clic en el icono del menú de entrada de teclado y seleccione la distribución exacta de su teclado.
2. Sincronización del teclado Bluetooth y bloqueo numérico: los teclados Bluetooth de terceros a menudo dejan de pulsar las dos primeras teclas mientras se activan en la pantalla previa al inicio, o carecen de indicadores de estado de bloqueo numérico. Conecte un teclado USB con cable directamente a la Mac (o use el teclado incorporado de la MacBook) y escriba lentamente.
3. Múltiples usuarios administradores en la misma Mac: en FileVault, cada cuenta de usuario autorizada de macOS tiene su propio token criptográfico independiente en la bolsa de claves APFS (diskutil apfs listCryptoUsers /). Si su cuenta tiembla y falla, haga clic en ** otro ícono de usuario administrador ** en la pantalla de FileVault e inicie sesión con su contraseña. Una vez dentro de macOS, ese administrador puede restablecer su contraseña en Configuración del sistema > Usuarios y grupos.

Paso 2: Desbloqueo de FileVault a través de una cuenta de Apple (iCloud) o una clave de recuperación personal de 24 caracteres¶

Si su contraseña aún falla en la pantalla de inicio de sesión de FileVault:

1. Espere el mensaje de recuperación: después de escribir una contraseña incorrecta tres veces en la pantalla de inicio de sesión de FileVault, macOS muestra opciones para restablecer usando su cuenta de Apple o ingresar su clave de recuperación.
2. O inicie directamente en macOS Recovery (Recovery Assistant):
3. Apple Silicon Macs (M1/M2/M3/M4): apague completamente, luego presione y mantenga presionado el botón Encendido (Touch ID) durante 10 segundos hasta que aparezca "Cargando opciones de inicio...", haga clic en Opciones y haga clic en Continuar.
4. Mac Intel: enciende el Mac y mantén presionado Command (⌘) + R hasta que aparezca el logo de Apple.
5. Dentro del Reset Password Ventana del Asistente de recuperación:
6. Conéctese a Wi-Fi en la esquina superior derecha de la pantalla o conecte Ethernet.
7. Opción A (Depósito de cuenta de Apple): si habilitó la recuperación de iCloud, seleccione ¿Olvidó todas las contraseñas? -> Iniciar sesión con una cuenta de Apple. Ingrese el correo electrónico, la contraseña y el código 2FA de 6 dígitos de su cuenta Apple (si perdió su teléfono, consulte nuestra Bloqueo de MFA y recuperación del autenticador guía) para desbloquear el volumen APFS y establecer una nueva contraseña.
8. Opción B (Clave de recuperación personal de 24 caracteres): seleccione Ingresar clave de recuperación de FileVault y escriba su código alfanumérico de 24 caracteres (XXXX-XXXX-XXXX-XXXX-XXXX-XXXX).
9. Opción C (Depósito en garantía de MDM corporativo/universitario): si tu Mac se administra a través de Jamf Pro, Kandji, Mosyle o Microsoft Intune, llama a tu servicio de asistencia de TI con el número de serie de tu Mac para que puedan leerte la clave de recuperación de FileVault de 24 caracteres en custodia.

Paso 3: Desbloquear un volumen APFS de FileVault manualmente desde la Terminal (diskutil apfs unlockVolume)¶

Si el Asistente de recuperación gráfico no puede montar su unidad, abra Utilidades -> Terminal dentro de macOS Recovery y desbloquee el volumen APFS manualmente:

# 1. List all APFS containers and encrypted volumes to find the Volume Identifier (e.g., disk3s5)
diskutil apfs list

# 2. List all cryptographic users (UUIDs) authorized to unlock that APFS volume
diskutil apfs listCryptoUsers /dev/disk3s5

# 3. Unlock the APFS volume using either your user password OR your 24-character Recovery Key:
diskutil apfs unlockVolume /dev/disk3s5 -passphrase "YOUR-XXXX-XXXX-XXXX-XXXX-XXXX-KEY"

# 4. Copy critical files from '/Volumes/Macintosh HD - Data' to an external USB drive:
cp -Rv "/Volumes/Macintosh HD - Data/Users/yourusername/Documents" "/Volumes/ExternalUSB/Backup/"

Parte 3: Resolución de LUKS de Linux (dm-crypt / cryptsetup) bloqueos de cifrado¶

Las distribuciones de Linux (Ubuntu, Fedora, Debian, Arch Linux, Red Hat Enterprise Linux, Pop._OS y Qubes OS) dependen de LUKS (Linux Unified Key Setup), normalmente LUKS2, administrado por cryptsetup y dm-crypt. Cuando una máquina Linux cae en un (initramfs) o dracut concha diciendo cryptsetup failed, bad password or options, sigue estos cuatro pasos:

Paso 1: Verifique el mapa de teclas de la consola versus la distribución del teclado gráfico¶

Durante el prearranque initramfs fase, el sistema utiliza el mapa de teclas de la consola Linux (/etc/vconsole.conf), que a menudo por defecto es us incluso si configuró un diseño de programador personalizado del Reino Unido, alemán, francés o dentro de GNOME o KDE. Inicie un Linux Live USB, abra una terminal gráfica donde pueda escribir su contraseña de manera visible en un editor de texto para verificar cada carácter y desbloquee la unidad desde el Live USB:

lsblk -f
sudo cryptsetup luksOpen /dev/nvme0n1p3 my_encrypted_root

Paso 2: Inspeccione el encabezado LUKS y verifique las ranuras de claves secundarias (cryptsetup luksDump)¶

LUKS1 admite 8 ranuras para llaves independientes (0 a 7) y LUKS2 admite hasta 32 ranuras para llaves (0 a 31), además de hardware Tokens (systemd-tpm2 o systemd-fido2). Inspeccione su encabezado sin cambiar nada en el disco:

sudo cryptsetup luksDump /dev/nvme0n1p3

sudo systemd-cryptenroll --wipe-slot=tpm2 --tpm2-device=auto --tpm2-pcrs=7 /dev/nvme0n1p3

Paso 3: Recuperarse de un encabezado LUKS2 dañado o sobrescrito¶

En LUKS, todas las ranuras de claves se encuentran en los primeros 2 megabytes (LUKS1) o 16 megabytes (LUKS2) de la partición. si cryptsetup luksDump dice not a valid LUKS device, sigue estos pasos:

1. Imagen de los primeros 32 MB antes de tocar nada:

   sudo dd if=/dev/nvme0n1p3 of=~/damaged_luks_first32mb.img bs=1M count=32 status=progress
   

2. Intente reparar automáticamente los metadatos JSON secundarios de LUKS2 (cryptsetup repair):
3. LUKS2 almacena dos copias redundantes de los metadatos del encabezado binario y JSON en el desplazamiento 0x0000 y compensar 0x4000 (16KB). Si sólo la copia primaria en el byte 0 fue golpeada, sudo cryptsetup repair /dev/nvme0n1p3 lo reconstruye a partir de 0x4000.
4. Restaurar desde una copia de seguridad del encabezado LUKS guardada (luksHeaderRestore):
5. Desbloquee de forma no destructiva utilizando un archivo de copia de seguridad de encabezado externo:

   sudo cryptsetup luksOpen --header /path/to/luks-header.bak /dev/nvme0n1p3 rescued_volume
   

Paso 4: Probar frases de contraseña parcialmente recordadas con hashcat¶

Si bien no puedes aplicar fuerza bruta a una clave de recuperación de BitLocker aleatoria de 48 dígitos o una clave de recuperación de Apple de 24 caracteres (\(2^{128}\) bits de entropía), puedes probar variaciones de una frase de contraseña LUKS elegida por humanos o una contraseña de usuario personalizada de BitLocker si recuerdas las palabras base:

# For Linux LUKS2 (mode 29500) or LUKS1 (mode 14600):
sudo dd if=/dev/nvme0n1p3 of=luks_header.bin bs=1M count=16
hashcat -m 29500 luks_header.bin my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

# For BitLocker protected by a custom User Password (mode 22100):
bitlocker2john -i /dev/nvme0n1p3 | grep "\$bitlocker\$0\$" > user_pass.hash
hashcat -m 22100 user_pass.hash my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

Prevención: cómo crear una copia de seguridad de cifrado de disco a prueba de bloqueos ahora mismo¶

En el momento en que recupere el acceso a su computadora (o a cualquier otra computadora que posea hoy), dedique cinco minutos a ejecutar estos comandos para que una falla de la placa base o una actualización del firmware nunca vuelvan a atrapar sus archivos:

1. En Windows (exporte su clave de recuperación de BitLocker y haga una pausa antes de las actualizaciones del BIOS)¶

Abra un PowerShell de administrador o un Símbolo del sistema y exporte su contraseña de recuperación actual de 48 dígitos:

# Display all BitLocker recovery keys and Key IDs across all drives
Get-BitLockerVolume | Select-Object MountPoint, VolumeStatus, -ExpandProperty KeyProtector |
  Where-Object { $_.KeyProtectorType -eq 'RecoveryPassword' } |
  Select-Object MountPoint, KeyProtectorId, RecoveryPassword

2. En macOS (verifique o rote su clave de recuperación de FileVault)¶

Abra Terminal y verifique quién está autorizado para desbloquear su disco de inicio APFS:

sudo fdesetup status
diskutil apfs listCryptoUsers /

sudo fdesetup changerecovery -personal

3. En Linux (haga una copia de seguridad de su encabezado LUKS e inscriba una ranura de clave alternativa)¶

Guarde siempre una copia de su encabezado LUKS de 16 megabytes en una memoria USB externa y registre una frase de contraseña de recuperación impresa de 64 caracteres en la ranura de clave 1:

# 1. Back up the binary LUKS header to an external USB drive
sudo cryptsetup luksHeaderBackup /dev/nvme0n1p3 --header-backup-file /media/usb/luks-header-nvme0n1p3.bak

# 2. Add an independent emergency recovery passphrase into Keyslot 1
sudo cryptsetup luksAddKey --key-slot 1 /dev/nvme0n1p3

Lista de verificación de preparación para emergencias de cifrado¶

• Exporte su Clave de recuperación de BitLocker de 48 dígitos (incluido su ID de clave de 8 caracteres) y guárdelo dentro de su administrador de contraseñas e impreso en papel dentro de una caja fuerte ignífuga al menos a 1,5 metros (5 pies) sobre el nivel del suelo.
• Imprima o guarde su Clave de recuperación de macOS FileVault de 24 caracteres junto con la clave de recuperación de 28 caracteres de su cuenta Apple.
• Haga una copia de seguridad de su encabezado LUKS de Linux de 16 megabytes (cryptsetup luksHeaderBackup) a una unidad USB fuera de línea para que una sobrescritura accidental de la partición no pueda destruir todas las ranuras de claves.
• Mantener un sistema independiente y automatizado. Copia de seguridad de computadora 3-2-1 para que incluso la muerte catastrófica del controlador SSD o el olvido de una clave de cifrado nunca destruyan sus fotos, documentos fiscales o código fuente irremplazables.

Preguntas frecuentes¶

Guías relacionadas¶

• Pantalla azul de Windows (BSOD) y reparación de arranque
• Pánico del kernel de macOS, pantalla negra y recuperación
• Fallo de arranque del sistema Linux y reparación de GRUB
• Bloqueo del administrador de contraseñas y recuperación de emergencia de la bóveda
• Fallo del disco duro y recuperación de datos.
• Copias de seguridad informáticas: estrategia 3-2-1 y recuperación ante desastres
• Directorio de números de emergencia

Fuentes verificadas¶

• Instituto Nacional de Estándares y Tecnología (NIST) (Estados Unidos): Publicación especial NIST 800-111: Guía de tecnologías de cifrado de almacenamiento para dispositivos de usuario final y FIPS 197 (AES-XTS).
• Documentación oficial de Microsoft Learn: Descripción general de la recuperación de BitLocker, perfil de validación de los registros de configuración de la plataforma TPM (PCR 0-11) y manage-bde Referencia de línea de comandos.
• Guía de seguridad de la plataforma Apple: Cifrado de volúmenes con FileVault, bolsas de claves APFS, raíz de confianza de hardware Secure Enclave y depósito de claves de recuperación institucional/personal. -Trusted Computing Group (TCG) (internacional): Especificación de biblioteca TPM 2.0 y especificación de perfil de firmware de plataforma cliente de PC.
• Especificación oficial de GitLab Cryptsetup / LUKS2: Especificación de formato en disco LUKS2, ranuras para llaves de memoria dura Argon2id PBKDF y procedimientos de copia de seguridad/reparación del encabezado.