Czy można odzyskać dane z uszkodzonego dysku zaszyfrowanego za pomocą BitLockera?

Na co dzień BitLocker odblokowuje się w tle, nie wymagając żadnej interwencji ze strony użytkownika. Klucz jest zapieczętowany w chipie TPM na płycie głównej i dopóki dysk pozostaje w tym samym komputerze, a sekwencja rozruchu się nie zmieniła, wolumin otwiera się bez konieczności wpisywania czegokolwiek przez kogokolwiek.

Wyjmij dysk lub strać płytę główną, a ta ścieżka znika. TPM jest powiązany z komputerem, a nie z dyskiem. Gdy te dwa elementy zostaną od siebie oddzielone, wymagany staje się 48-cyfrowy klucz odzyskiwania.

Dlatego klucz rzadko kiedy pojawia się, dopóki coś już nie poszło nie tak: nikt go nie potrzebuje, dopóki komputer działa.

Praca fizyczna i logiczna nie zmienia się przez to, że dysk jest zaszyfrowany, ale metody różnią się. Dyski HDD z uszkodzeniami mechanicznymi nadal wymagają interwencji w pomieszczeniu czystym. Nowoczesne dyski SSD wykorzystują specjalistyczne narzędzia diagnostyczne, aby komunikować się bezpośrednio z kontrolerem dysku w trybie fabrycznym, co pozwala wbudowanemu silnikowi odszyfrować i przesyłać surowe dane, ponieważ chipów NAND nie można odczytać bezpośrednio ze względu na szyfrowanie na poziomie sprzętowym.

Większość dysków szyfrowanych przez system Windows 11 to dyski SSD; jednak dyski HDD również mogą być szyfrowane za pomocą BitLockera. Dodatkowe dyski wewnętrzne są szyfrowane razem z dyskiem rozruchowym, a BitLocker To Go obejmuje dyski zewnętrzne, które często są dyskami talerzowymi.

Szyfrowanie zaczyna mieć znaczenie, gdy dysk został zobrazowany (kompletna kopia sektor po sektorze). System plików znajduje się wewnątrz zaszyfrowanego woluminu. Struktury NTFS, tabela plików, wpisy katalogów — wszystko to jest zaszyfrowane wraz z plikami. Struktury plików nie można odbudować, gdy dane są nadal zaszyfrowane, dlatego potrzebujemy klucza, zanim rozpocznie się odbudowa, a nie dopiero na końcu, gdy pliki są zwracane.

Własne narzędzie naprawcze firmy Microsoft działa w ten sam sposób. Polecenie repair-bde istnieje właśnie po to, aby odzyskiwać dane z uszkodzonego woluminu BitLocker, i nie uruchomi się bez ważnego hasła odzyskiwania lub klucza odzyskiwania. Jeśli metadane BitLockera woluminu są uszkodzone, potrzebny jest również pakiet kluczy zapasowych.

Klucze zazwyczaj znajdują się w kilku przewidywalnych miejscach:

Konto Microsoft powiązane z urządzeniem, pod adresem account.microsoft.com/devices/recoverykey.
Obejmuje to większość prywatnych urządzeń skonfigurowanych za pomocą konta Microsoft.
Drukowana kopia lub plik tekstowy zapisany podczas konfiguracji, często na dysku USB przechowywanym w bezpiecznym miejscu.
Active Directory lub Microsoft Entra ID, w przypadku urządzenia zarządzanego przez pracodawcę.
Platforma MDM, taka jak Microsoft Intune.
Administrator IT przechowujący go w imieniu właściciela.

Sprawdź wszystkie te możliwości, zanim uznasz, że klucz został utracony.

Niektóre sytuacje wymagają więcej pracy.