Cómo cifrar una memoria USB con AES-256: guía sencilla para Windows y Mac

Cifras clave

Por qué una memoria USB sin cifrar es un riesgo

Las memorias USB son pequeñas, baratas y fáciles de perder: en un taxi, en la recepción de un hotel, en una chaqueta en la tintorería. Quien encuentre una solo tiene que conectarla para leer todo su contenido. Para la mayoría de la gente eso significa copias del DNI, nóminas, contratos, declaraciones de la renta o fotos familiares; para los profesionales pueden ser datos de clientes, lo que en muchos países conlleva obligaciones legales si se filtran.

El cifrado resuelve ese problema. Una unidad cifrada parece datos aleatorios para cualquiera que no tenga la contraseña. Si la pierdes, pierdes el hardware, no tu privacidad.

AES-256 explicado sin tecnicismos

AES (Advanced Encryption Standard) es el algoritmo que protege hoy la mayor parte del mundo digital: redes wifi, webs HTTPS, smartphones, aplicaciones bancarias y cifrado de discos. Se eligió tras un concurso internacional abierto y el Instituto Nacional de Estándares y Tecnología de EE. UU. (NIST) lo publicó como FIPS 197 en 2001.

El número que sigue a AES es la longitud de la clave: 128, 192 o 256 bits. Una clave de 256 bits puede tomar 2^256 valores, un número de 78 cifras. Probarlos todos es imposible con cualquier ordenador existente, aunque hiciera miles de millones de intentos por segundo durante miles de millones de años.

Por eso AES-256 se suele llamar cifrado «de grado militar»: el Comité de Sistemas de Seguridad Nacional de EE. UU. aprobó AES con claves de 192 o 256 bits para proteger información ALTO SECRETO (CNSS Policy No. 15). La expresión es marketing, pero el hecho que hay detrás es real.

El problema: nadie ataca el propio AES. Los atacantes adivinan la contraseña que desbloquea la clave. Una unidad «protegida con AES-256» con la contraseña «12345678» no está protegida. Un buen software de cifrado ralentiza a propósito los intentos de adivinar la contraseña (la pasa miles de veces por una función de derivación de claves), pero una contraseña larga y única sigue siendo tu verdadero escudo.

Cinco formas de cifrar una memoria USB

1. BitLocker To Go (Windows)

BitLocker To Go viene integrado en Windows 11 y Windows 10 Pro, Enterprise y Education. Windows Home no puede activarlo, pero normalmente puede desbloquear una unidad cifrada en un PC Pro si conoces la contraseña.

• 1. Haz primero una copia de seguridad de los archivos de la memoria.
• 2. En el Explorador de archivos, haz clic derecho en la memoria USB y elige Activar BitLocker (en «Mostrar más opciones» en Windows 11 si hace falta).
• 3. Elige Usar una contraseña y escribe dos veces una frase de contraseña larga.
• 4. Guarda la clave de recuperación de 48 dígitos en tu cuenta Microsoft, imprímela o guárdala en otro dispositivo, nunca en la propia memoria.
• 5. Elige Cifrar la unidad entera y luego el modo compatible si la memoria se va a usar en versiones antiguas de Windows.
• 6. Espera a que termine el cifrado antes de desconectar la memoria.

Consejo de experto: por defecto, Windows cifra las unidades extraíbles con AES de 128 bits. Los administradores de PC Pro pueden exigir claves de 256 bits en el Editor de directivas de grupo local (Cifrado de unidad BitLocker, «Elegir el método de cifrado de unidad y la solidez del cifrado») antes de cifrar la memoria.

2. APFS cifrado (Mac)

En un Mac, puedes formatear una unidad como APFS (cifrado) en la Utilidad de Discos, o hacer clic derecho sobre ella en el Finder y elegir Cifrar. Eliges una contraseña y una pista; a partir de entonces, la unidad pide la contraseña cada vez que se conecta.

Dos límites: una unidad APFS cifrada solo se puede leer en un Mac, y el formateo borra la unidad, así que haz una copia de seguridad antes. Apple también advierte que los volúmenes Mac OS Extended (HFS+) cifrados no funcionarán con macOS 28 o posterior; si tienes una unidad cifrada antigua en ese formato, conviértela a APFS cifrado o descífrala antes de actualizar.

3. VeraCrypt (Windows, Mac y Linux)

VeraCrypt es un sucesor gratuito y de código abierto de TrueCrypt. Puede cifrar una memoria USB entera o crear un archivo «contenedor» cifrado que se abre como un disco virtual. Admite AES-256 y otros algoritmos y funciona en Windows, macOS y Linux, lo que lo convierte en la mejor opción si cambias de sistema a menudo.

El límite: VeraCrypt debe estar instalado en el ordenador, y su documentación indica que el modo portátil también requiere privilegios de administrador. Es ideal para tus propios ordenadores, mucho menos para el centro de negocios de un hotel o un PC de oficina bloqueado.

4. Un archivo 7-Zip cifrado

Si solo necesitas proteger unos pocos archivos, la herramienta gratuita 7-Zip puede crear un archivo .7z con cifrado AES-256. Marca «Cifrar nombres de archivo» para que nadie pueda ver siquiera qué contiene. Es una solución rápida para enviar documentos, pero no sirve para trabajar cómodamente con una unidad entera: hay que extraer los archivos para editarlos, lo que deja copias sin cifrar en el ordenador.

5. Una unidad con cifrado por hardware y teclado

Las unidades con teclado cifran los datos dentro de la propia memoria y se desbloquean con un PIN tecleado en la unidad, por lo que funcionan sin software en Windows, Mac, Linux, Chromebook e incluso en algunos televisores o impresoras. Por ejemplo, la IronKey Keypad 200 de Kingston usa cifrado por hardware XTS-AES de 256 bits, se bloquea tras diez PIN de usuario erróneos y se borra criptográficamente tras diez PIN de administrador erróneos.

Cuestan varias veces más que una memoria básica, pero son la opción más sencilla para profesionales que manejan datos sensibles o que no pueden instalar software en los ordenadores que usan. Para datos regulados, busca la validación FIPS 140-2 o FIPS 140-3.

Buenos hábitos para que el cifrado funcione

• Usa una frase de contraseña, no una contraseña: cuatro o cinco palabras sin relación, al menos 15 caracteres, que no uses en ningún otro sitio.
• Guarda la clave de recuperación por separado: en un gestor de contraseñas, en papel en casa o, con BitLocker, en tu cuenta Microsoft. Sin ella, olvidar la contraseña significa perder tus archivos.
• Guarda una copia de seguridad en otro lugar. El cifrado protege la privacidad, no los datos en sí: una unidad rota o perdida sigue perdida.
• Expulsa la unidad correctamente antes de desconectarla, sobre todo durante el cifrado.
• Desbloquea solo en ordenadores de confianza. Una vez desbloqueada la unidad, el malware de ese ordenador puede leerla.
• Mantén tu sistema actualizado y usa un antivirus, sobre todo si conectas la unidad en muchos PC.
• Cifra la unidad entera, no solo una carpeta, si viaja contigo.

Errores que hacen inútil el cifrado

• 1. Escribir la contraseña en una etiqueta pegada a la unidad o guardarla en un archivo de texto en la misma unidad.
• 2. Guardar la clave de recuperación de BitLocker en la unidad cifrada.
• 3. Copiar archivos de la unidad cifrada al escritorio de un ordenador compartido y olvidarlos allí.
• 4. Elegir una contraseña corta o reutilizada: los atacantes prueban primero las contraseñas filtradas.
• 5. Dar por hecho que una unidad «segura» comprada por internet está cifrada: comprueba que el cifrado esté activado y, para uso profesional, que el modelo esté certificado.

Preguntas frecuentes

¿Se puede romper AES-256? No probando todas las claves. Los ataques reales apuntan a contraseñas débiles, a malware en el ordenador o a una clave de recuperación guardada en el lugar equivocado.

¿AES-256 es mejor que AES-128? Ambos se consideran seguros hoy. AES-256 ofrece un margen de seguridad mayor, también frente a los futuros ordenadores cuánticos, por eso se recomienda para secretos a largo plazo.

¿Puedo abrir mi unidad cifrada en el ordenador de otra persona? Con BitLocker, en la mayoría de los PC con Windows, sí. Con APFS cifrado, solo en un Mac. Con VeraCrypt, solo si está instalado y tienes derechos de administrador. Con una unidad con teclado, en casi cualquier dispositivo.

¿El cifrado ralentiza la unidad? Un poco con cifrado por software en ordenadores antiguos; los procesadores modernos incluyen aceleración AES, así que la diferencia suele ser pequeña.

¿Qué pasa si olvido la contraseña? Sin la clave de recuperación, los datos se pierden. Es el precio de una seguridad real.

Veredicto

AES-256 no es el eslabón débil: bien utilizado, mantiene ilegible una memoria USB perdida. El método adecuado depende de tus ordenadores. BitLocker To Go es la opción evidente para usuarios de Windows Pro, APFS cifrado para quienes solo usan Mac, VeraCrypt para quienes alternan entre sistemas y una unidad con teclado por hardware para profesionales que necesitan protección sin software. Elijas lo que elijas, lo esencial es lo mismo: una frase de contraseña larga, una clave de recuperación guardada en un lugar seguro y una copia de seguridad. Para más consejos de seguridad cotidiana, lee nuestra guía de gestores de contraseñas.

Esta guía se basa en documentación oficial del NIST, en guías centradas en Microsoft y en documentación de Apple, VeraCrypt y Kingston, citadas en nuestras fuentes. RealDigitalTech no vende ninguno de los productos mencionados.