Post actualizado el día octubre 31, 2026 by DeiviSanzPlay
Un disco duro cifrado seguro no depende del algoritmo que elijas, sino de dónde guardas la llave que lo abre. Ese es el punto exacto donde la mayoría de montajes caseros se rompen: cifras el disco con LUKS o BitLocker, lo dejas impecable, y luego pegas el passphrase en un post-it dentro del mismo portátil o lo guardas en un archivo de texto en la misma partición. El cifrado funciona; tu operativa no.
He visto este fallo en talleres pequeños que rotan discos externos entre puestos. Compran cajas USB con cifrado por hardware, configuran la contraseña una vez y la reutilizan en tres sedes. Cuando un disco desaparece, no hay forma de saber qué copia se ha comprometido, porque la misma clave abre las tres. El problema no es el cifrado: es la gestión de claves.
Qué significa realmente «seguro» en un disco cifrado
Seguridad, aquí, es una cadena de tres eslabones: cifrado en reposo, control de acceso a la clave y verificación de que el disco no se ha manipulado. Si uno falla, los otros dos no te salvan. Un disco duro cifrado seguro con AES-256 pero con la clave en un gestor de contraseñas sin segundo factor es menos seguro que uno con cifrado más modesto y clave en un token físico que llevas colgado.
La mayoría de tutoriales se centran en el primer eslabón y olvidan los otros dos. Ese es el error de enfoque que conviene corregir antes de comprar nada.
La solución concreta: separa la clave del soporte
La regla que mejor funciona en la práctica: la llave que descifra el disco nunca debe viajar con el disco ni residir en el mismo equipo que lo monta de forma habitual. Tres formas de aplicarlo, de menos a más exigente:
- Passphrase robusta memorizada + gestor de contraseñas cifrado en un dispositivo distinto (el móvil, por ejemplo). Sirve para un disco personal; no para varios equipos con la misma clave.
- Llave en archivo en un USB aparte, montado solo al desbloquear. Es la opción típica con LUKS y cryptsetup: el disco pide el archivo de keyfile, tú lo conectas, desbloqueas, lo retiras. Funciona bien, pero exige disciplina y una copia de respaldo de esa llave en lugar seguro.
- Token hardware o módulo TPM con PIN. Más cómodo, más caro, y con una limitación clara: si el TPM se resetea o cambias la placa base, puedes perder el acceso si no tienes la clave de recuperación guardada aparte. Esto no funciona para quien no quiera asumir ese riesgo de recuperación.
Cualquiera de las tres variantes convierte un disco cifrado en un disco duro cifrado seguro de verdad, porque el atacante que se lleva el disco se lleva un ladrillo, no la llave.
El mito del cifrado por hardware barato
Las cajas USB con teclado numérico y cifrado integrado son cómodas, pero su seguridad depende del firmware del fabricante, que rara vez puedes auditar. Algunos modelos han mostrado vulnerabilidades en la gestión de la clave maestra. No digo que sean inútiles: para un disco de respaldo doméstico con datos no críticos, cumplen. Para datos sensibles, prefiero cifrado por software cuyo código puedas revisar o al menos verificar.
Un matiz importante: el cifrado por software no protege si el equipo está encendido y el disco montado. Un malware que corre con tus privilegios lee el contenido sin descifrar nada. El cifrado en reposo protege el disco apagado o robado, no el sistema en marcha.
Cómo verificarlo antes de confiar
Antes de dar por bueno tu montaje, haz una prueba de recuperación real: apaga el equipo, extrae el disco, conéctalo en otra máquina y comprueba que sin la llave no se lee nada. Después, restaura desde tu copia de la clave y confirma que vuelves a acceder. Si ese segundo paso falla, tienes un disco cifrado, pero no un disco duro cifrado seguro: tienes datos secuestrados por tu propia configuración.
Documenta el procedimiento en un papel guardado fuera del equipo. Suena antiguo, pero he visto más pérdidas de datos por claves olvidadas que por ataques reales. Las guías de referencia de cifrado de disco de organismos como NIST o las documentaciones oficiales de LUKS y BitLocker insisten en lo mismo: la recuperación es parte del diseño, no un extra.
Al final, la pregunta útil no es qué algoritmo usa tu disco, sino dónde está la llave y quién puede alcanzarla. Responde eso y sabrás si tu disco duro cifrado seguro aguanta un robo, un despiste o un cambio de equipo.
Perfiles verificables: Sitio web
Publicado el 31 de October de 2026. Última revisión: 31 de October de 2026.
