能否從故障的BitLocker加密硬盤中復原數據?

在日常使用情況下,BitLocker會在背景自動解鎖,完全毋須用戶介入。金鑰會被封存於主機板上的TPM晶片之中,只要該硬盤仍安裝於同一台機器,而開機程序亦未曾被改動,整個存儲卷便會自動開啟,無需任何人輸入任何內容。

一旦將硬盤拆出,或主機板出現故障,這條解鎖途徑便會隨之中斷失效。TPM晶片其實是與該機器本身綁定,而非與硬盤綁定。一旦兩者分離,便必須輸入那組48位數的復原金鑰方可解鎖。

這正是為何這組金鑰往往要到問題已經發生之後,才會真正派上用場——畢竟只要電腦運作正常,根本沒有人需要用到它。

即使硬盤經過加密,實際的物理及邏輯層面復原工作本質上並無改變,然而所使用的方法則有所不同。出現機械性損壞的HDD硬盤,依然需要在無塵室內進行相關處理。而現代SSD硬盤則須借助專門的診斷工具,直接以工廠模式與硬盤控制器進行通訊,讓內建引擎得以解密並串流傳輸原始數據——由於硬件層級加密機制的緣故,NAND晶片本身並無法被直接讀取。

Windows 11所加密的硬盤,大部分均屬SSD;不過,HDD硬盤同樣可以透過BitLocker進行加密。次要內置硬盤會連同開機硬盤一併加密,而外置硬盤(通常屬傳統旋轉式硬盤)則由BitLocker To Go功能負責保護。

一旦硬盤完成映像處理(即逐扇區進行完整複製)後,加密機制便開始對復原工作產生實質影響。文件系統正正位於已加密的存儲卷之內。NTFS結構、文件表、目錄記錄——所有這一切,均連同文件本身一併加密。只要數據仍處於加密狀態,文件結構便無法重建,因此我們需要在重建工作展開之前,便預先取得金鑰,而非待至最後、文件交還之時才取得。

事實上,就連Microsoft自家的修復工具,運作原理亦同出一轍。repair-bde指令的存在,正正是為了從已損毀的BitLocker存儲卷中搶救數據,而若未提供有效的復原密碼或復原金鑰,該指令便根本無法執行。假如存儲卷的BitLocker元數據同時遭到損毀,系統更會需要額外一份備份金鑰包。

金鑰一般會出現在幾個可預見的位置:

與裝置相連結的Microsoft帳戶,可透過account.microsoft.com/devices/recoverykey查詢。
此方式適用於大部分以Microsoft帳戶設定的個人電腦。
設定過程中列印出來的紙本副本,或保存下來的文字檔案,通常會儲存於一個妥善保管的USB隨身碟之中。
若裝置由僱主負責管理,則可透過Active Directory或Microsoft Entra ID查詢。
例如Microsoft Intune等裝置管理(MDM)平台。
由IT管理員代為保管,並代表機主持有該金鑰。

在斷定金鑰已經永久遺失之前,請先逐一查核以上各個可能的位置。

部分情況則需要花費更多功夫去處理。