Como criptografar um pendrive com AES-256: guia simples para Windows e Mac

Números principais

Por que um pendrive sem criptografia é um risco

Pendrives são pequenos, baratos e fáceis de perder: no táxi, na recepção do hotel, no bolso do casaco na lavanderia. Quem encontrar um só precisa conectá-lo para ler tudo o que há nele. Para a maioria das pessoas, isso significa cópias de documentos, holerites, contratos, declarações de imposto de renda ou fotos de família; para profissionais, podem ser dados de clientes, o que em muitos países gera obrigações legais em caso de vazamento.

A criptografia resolve esse problema. Um drive criptografado parece um monte de dados aleatórios para quem não tem a senha. Se você perdê-lo, perde o hardware, não a sua privacidade.

AES-256 explicado sem jargão

O AES (Advanced Encryption Standard) é o algoritmo que protege hoje a maior parte do mundo digital: redes Wi-Fi, sites HTTPS, smartphones, aplicativos de banco e criptografia de discos. Ele foi escolhido após um concurso internacional aberto e publicado pelo Instituto Nacional de Padrões e Tecnologia dos EUA (NIST) como FIPS 197 em 2001.

O número depois de AES é o tamanho da chave: 128, 192 ou 256 bits. Uma chave de 256 bits pode assumir 2^256 valores, um número com 78 dígitos. Testar todos é impossível com qualquer computador existente, mesmo com bilhões de tentativas por segundo durante bilhões de anos.

É por isso que o AES-256 é muitas vezes chamado de criptografia "de nível militar": o Comitê de Sistemas de Segurança Nacional dos EUA aprovou o AES com chaves de 192 ou 256 bits para proteger informações ULTRASSECRETAS (CNSS Policy No. 15). A expressão é marketing, mas o fato por trás dela é real.

O porém: ninguém ataca o AES em si. Os invasores tentam adivinhar a senha que desbloqueia a chave. Um drive "protegido por AES-256" com a senha "12345678" não está protegido. Um bom software de criptografia deixa as tentativas de adivinhar a senha propositalmente lentas (ele passa a senha milhares de vezes por uma função de derivação de chave), mas uma senha longa e exclusiva continua sendo o seu verdadeiro escudo.

Cinco maneiras de criptografar um pendrive

1. BitLocker To Go (Windows)

O BitLocker To Go vem integrado ao Windows 11 e ao Windows 10 Pro, Enterprise e Education. O Windows Home não consegue ativá-lo, mas normalmente consegue desbloquear um drive criptografado em um PC Pro se você souber a senha.

• 1. Faça primeiro um backup dos arquivos do pendrive.
• 2. No Explorador de Arquivos, clique com o botão direito no pendrive e escolha Ativar o BitLocker (em "Mostrar mais opções" no Windows 11, se necessário).
• 3. Escolha Usar uma senha e digite duas vezes uma frase-senha longa.
• 4. Salve a chave de recuperação de 48 dígitos na sua conta Microsoft, imprima-a ou guarde-a em outro aparelho, nunca no próprio pendrive.
• 5. Escolha Criptografar a unidade inteira e depois o modo compatível se o pendrive for usado em versões mais antigas do Windows.
• 6. Espere a criptografia terminar antes de desconectar o pendrive.

Dica de especialista: por padrão, o Windows criptografa unidades removíveis com AES de 128 bits. Administradores de PCs Pro podem exigir chaves de 256 bits no Editor de Política de Grupo Local (Criptografia de Unidade de Disco BitLocker, "Escolher o método de criptografia da unidade e a força da codificação") antes de criptografar o pendrive.

2. APFS criptografado (Mac)

No Mac, você pode formatar um drive como APFS (Criptografado) no Utilitário de Disco ou clicar nele com o botão direito no Finder e escolher Criptografar. Você define uma senha e uma dica; depois disso, o drive pede a senha sempre que é conectado.

Dois limites: uma unidade APFS criptografada só pode ser lida em Macs, e a formatação apaga a unidade, então faça um backup antes. A Apple também avisa que volumes Mac OS Expandido (HFS+) criptografados não funcionarão com o macOS 28 ou posterior; se você tem uma unidade criptografada antiga nesse formato, converta-a para APFS criptografado ou descriptografe-a antes de atualizar.

3. VeraCrypt (Windows, Mac e Linux)

O VeraCrypt é um sucessor gratuito e de código aberto do TrueCrypt. Ele pode criptografar um pendrive inteiro ou criar um arquivo "contêiner" criptografado que você abre como um disco virtual. Suporta AES-256 e outros algoritmos e funciona no Windows, macOS e Linux, o que o torna a melhor escolha se você alterna entre sistemas.

O limite: o VeraCrypt precisa estar instalado no computador, e sua documentação informa que o modo portátil também exige privilégios de administrador. É ideal para os seus próprios computadores, nem tanto para o business center de um hotel ou um PC corporativo bloqueado.

4. Um arquivo 7-Zip criptografado

Se você só precisa proteger alguns arquivos, a ferramenta gratuita 7-Zip pode criar um arquivo .7z com criptografia AES-256. Marque "Criptografar nomes de arquivo" para que ninguém consiga sequer ver o que o arquivo contém. É uma solução rápida para enviar documentos, mas não para trabalhar confortavelmente em uma unidade inteira: é preciso extrair os arquivos para editá-los, o que deixa cópias sem criptografia no computador.

5. Uma unidade com criptografia por hardware e teclado

Unidades com teclado criptografam os dados dentro do próprio pendrive e são desbloqueadas com um PIN digitado na unidade, por isso funcionam sem software no Windows, Mac, Linux, Chromebooks e até em algumas TVs ou impressoras. Por exemplo, o IronKey Keypad 200 da Kingston usa criptografia por hardware XTS-AES de 256 bits, bloqueia após dez PINs de usuário errados e faz um apagamento criptográfico após dez PINs de administrador errados.

Custam várias vezes mais que um pendrive básico, mas são a opção mais simples para profissionais que lidam com dados sensíveis ou que não podem instalar software nos computadores que usam. Para dados regulamentados, procure a validação FIPS 140-2 ou FIPS 140-3.

Bons hábitos para a criptografia funcionar

• Use uma frase-senha, não uma senha: quatro ou cinco palavras sem relação, com pelo menos 15 caracteres, não usada em nenhum outro lugar.
• Guarde a chave de recuperação separadamente: em um gerenciador de senhas, no papel em casa ou, no caso do BitLocker, na sua conta Microsoft. Sem ela, esquecer a senha significa perder seus arquivos.
• Mantenha um backup em outro lugar. A criptografia protege a privacidade, não os dados em si: uma unidade quebrada ou perdida continua perdida.
• Ejete a unidade corretamente antes de desconectá-la, principalmente durante a criptografia.
• Desbloqueie apenas em computadores confiáveis. Depois que a unidade é desbloqueada, um malware nesse computador pode lê-la.
• Mantenha o sistema atualizado e use antivírus, sobretudo se você conecta a unidade em muitos PCs.
• Criptografe a unidade inteira, não só uma pasta, se ela viaja com você.

Erros que tornam a criptografia inútil

• 1. Escrever a senha numa etiqueta colada na unidade ou guardá-la num arquivo de texto na mesma unidade.
• 2. Guardar a chave de recuperação do BitLocker na unidade criptografada.
• 3. Copiar arquivos da unidade criptografada para a área de trabalho de um computador compartilhado e esquecê-los lá.
• 4. Escolher uma senha curta ou reutilizada: os invasores testam primeiro senhas vazadas.
• 5. Supor que uma unidade "segura" comprada on-line é criptografada: verifique se a criptografia está ativada e, para uso profissional, se o modelo é certificado.

Perguntas frequentes

O AES-256 pode ser quebrado? Não testando todas as chaves. Os ataques reais miram senhas fracas, malware no computador ou uma chave de recuperação guardada no lugar errado.

O AES-256 é melhor que o AES-128? Ambos são considerados seguros hoje. O AES-256 oferece uma margem de segurança maior, inclusive contra futuros computadores quânticos, por isso é recomendado para segredos de longo prazo.

Posso abrir minha unidade criptografada no computador de outra pessoa? Com BitLocker, na maioria dos PCs com Windows, sim. Com APFS criptografado, só num Mac. Com VeraCrypt, só se ele estiver instalado e você tiver direitos de administrador. Com uma unidade com teclado, em quase qualquer dispositivo.

A criptografia deixa a unidade mais lenta? Um pouco, com criptografia por software em computadores antigos; processadores modernos têm aceleração AES, então a diferença costuma ser pequena.

O que acontece se eu esquecer a senha? Sem a chave de recuperação, os dados são perdidos. É o preço da segurança real.

Veredito

O AES-256 não é o elo fraco: bem usado, ele mantém ilegível um pendrive perdido. O método certo depende dos seus computadores. O BitLocker To Go é a escolha óbvia para usuários do Windows Pro, o APFS criptografado para quem só usa Mac, o VeraCrypt para quem alterna entre sistemas e uma unidade com teclado por hardware para profissionais que precisam de proteção sem software. Seja qual for a escolha, o essencial é o mesmo: uma frase-senha longa, uma chave de recuperação guardada em local seguro e um backup. Para mais dicas de segurança no dia a dia, leia nosso guia de gerenciadores de senhas.

Este guia se baseia em documentação oficial do NIST, em guias focados em Microsoft e em documentação da Apple, do VeraCrypt e da Kingston, citados em nossas fontes. A RealDigitalTech não vende nenhum dos produtos mencionados.