BitLocker Drive Encryption

BitLocker Drive Encryption to wbudowana w Windows funkcja pełnego szyfrowania dysku, chroniąca dane hasłem lub kluczem powiązanym z modułem TPM — dostępna w edycjach Pro, Enterprise i Education.

BitLocker Drive Encryption — czym jest i jak działa

BitLocker Drive Encryption to mechanizm szyfrowania całego woluminu danych dostępny w wybranych edycjach systemu Windows. Jego zadaniem jest zabezpieczenie zawartości dysku przed odczytem po wyjęciu nośnika z komputera, uruchomieniu urządzenia z zewnętrznego środowiska albo podłączeniu dysku do innego komputera. Zaszyfrowane zostają między innymi dokumenty, zdjęcia, pliki aplikacji, foldery użytkownika oraz pozostałe dane zapisane na chronionej partycji.

Do ochrony dostępu może zostać wykorzystany moduł TPM znajdujący się na płycie głównej. Przechowuje on informacje potrzebne do zweryfikowania, czy komputer uruchamia się w zaufanym stanie. Jeżeli system wykryje zmianę konfiguracji rozruchowej, modyfikację kluczowych elementów startowych albo przeniesienie dysku do innego urządzenia, może zażądać dodatkowego klucza odzyskiwania. W zależności od konfiguracji odblokowanie odbywa się automatycznie podczas prawidłowego startu systemu, z użyciem kodu PIN, hasła lub klucza zapisanego na nośniku zewnętrznym.

BitLocker nie jest tym samym co zwykłe hasło do konta Windows. Hasło chroni dostęp do profilu po uruchomieniu systemu, natomiast szyfrowanie zabezpiecza dane zapisane na dysku przed odczytem poza działającym środowiskiem użytkownika. Klucz odzyskiwania ma szczególne znaczenie, ponieważ bez niego odzyskanie dostępu do zaszyfrowanego woluminu może być niemożliwe, nawet gdy sam dysk działa prawidłowo.

BitLocker na tle innych metod ochrony dysku

W odróżnieniu od szyfrowania pojedynczych plików lub katalogów BitLocker obejmuje cały wskazany wolumin. Dzięki temu nie trzeba ręcznie wybierać dokumentów, które mają zostać zabezpieczone. Ochrona działa również wobec plików tymczasowych, danych aplikacji i pozostałości pozostawionych w różnych lokalizacjach systemowych. Zakres zabezpieczenia zależy jednak od tego, które partycje zostały zaszyfrowane i w jaki sposób skonfigurowano uruchamianie komputera.

Można porównać go z szyfrowaniem urządzeń mobilnych, lecz w komputerze większą rolę odgrywają ustawienia rozruchu, firmware, moduł TPM oraz klucz odzyskiwania. Sama obecność kłódki przy dysku w Eksploratorze plików nie oznacza jeszcze, że każda partycja i każdy nośnik są zabezpieczone w identyczny sposób. Warto odróżnić szyfrowanie dysku systemowego od szyfrowania dodatkowego woluminu, ponieważ procedura odblokowania i reakcja na zmianę sprzętu mogą się różnić.

Włączenie BitLockera nie zastępuje kopii zapasowej. Szyfrowanie ogranicza możliwość odczytu danych przez osoby nieuprawnione, ale nie chroni przed awarią elektroniki dysku, uszkodzeniem kontrolera, błędami systemu plików, przypadkowym usunięciem danych ani złośliwym oprogramowaniem działającym po zalogowaniu. Klucz odzyskiwania powinien być przechowywany w bezpiecznym, niezależnym miejscu, a jego poprawność warto sprawdzić przed zmianą płyty głównej, resetem systemu lub naprawą komputera.

Typowe problemy i błędy związane z BitLockerem - BitLocker Drive Encryption

Jednym z częstszych problemów jest pojawienie się ekranu odzyskiwania po aktualizacji firmware, wymianie płyty głównej, zmianie ustawień uruchamiania albo ingerencji w konfigurację zabezpieczeń. Nie musi to oznaczać uszkodzenia dysku. System może po prostu uznać, że warunki uruchomienia różnią się od tych, w których zapisano dane potrzebne do automatycznego odblokowania. W takiej sytuacji potrzebny jest właściwy klucz odzyskiwania przypisany do konkretnego urządzenia i woluminu.

Ryzyko utraty dostępu rośnie, gdy klucz zostanie zapisany wyłącznie lokalnie, wydrukowany nieczytelnie albo pozostawiony na tym samym dysku, którego dotyczy zabezpieczenie. Błędem bywa także rozpoczęcie reinstalacji systemu bez wcześniejszego sprawdzenia, czy z zaszyfrowanej partycji wykonano kopię potrzebnych danych. Przy wymianie dysku lub płyty głównej powinno się wcześniej ustalić, czy szyfrowanie ma zostać wyłączone, zawieszone, czy ponownie skonfigurowane po zakończeniu prac.

Problemy mogą wystąpić również wtedy, gdy uszkodzone są pliki startowe Windows, partycja rozruchowa albo system plików. Wtedy prawidłowe hasło nie zawsze wystarczy do uruchomienia systemu, ponieważ awaria może dotyczyć warstwy rozruchu, a nie samego mechanizmu szyfrowania. Nie należy wielokrotnie wykonywać przypadkowych operacji naprawczych na zaszyfrowanym nośniku. Każda próba powinna uwzględniać możliwość wykonania kopii sektorowej oraz ryzyko nadpisania informacji potrzebnych do odzyskania danych.

Trudność może sprawić także odróżnienie BitLockera od funkcji szyfrowania urządzenia, ustawień bezpiecznego rozruchu oraz zabezpieczeń konta Microsoft. Poszczególne mechanizmy mogą współpracować, ale mają różne zadania i odmienne sposoby odzyskiwania dostępu. Przed zmianą konfiguracji warto ustalić, jaki typ ochrony jest aktywny, jaki wolumin obejmuje i gdzie znajduje się klucz.

Kiedy warto zlecić diagnozę specjalistom - BitLocker Drive Encryption

Pomoc serwisowa jest wskazana, gdy komputer żąda klucza odzyskiwania, który nie został wcześniej odnaleziony, po aktualizacji przestał automatycznie odblokowywać dysk albo po wymianie podzespołów uruchamia wyłącznie ekran BitLockera. Zgłoszenie warto rozważyć również przy podejrzeniu uszkodzenia dysku, problemach z rozruchem systemu, błędach systemu plików lub konieczności przeniesienia danych na nowy nośnik. W takich przypadkach najpierw ocenia się stan sprzętu i możliwość bezpiecznego dostępu do danych, a dopiero potem dobiera sposób naprawy.

W Warszawie takie przypadki można przekazać do Warszawskiego Pogotowia Komputerowego 24/7, gdzie wstępna diagnoza laptopa jest darmowa. Przed przekazaniem urządzenia dobrze przygotować informacje o ostatniej poprawnej konfiguracji, wykonanych aktualizacjach oraz możliwych lokalizacjach klucza odzyskiwania. Jeżeli klucz znajduje się na koncie internetowym, należy zapewnić dostęp do właściwego konta, bez udostępniania haseł osobom postronnym w wiadomościach lub na kartce dołączonej do sprzętu.

W przypadku sprawnego dysku i zachowanego klucza odzyskiwania możliwe bywa przywrócenie dostępu bez usuwania danych. Gdy nośnik wykazuje objawy awarii, priorytetem powinno być ograniczenie liczby operacji zapisu i ustalenie, czy da się wykonać kopię danych przed naprawą systemu. Bez klucza odzyskiwania nie powinno się obiecywać odblokowania zawartości, ponieważ konstrukcja BitLockera ma uniemożliwiać odczyt zaszyfrowanych danych bez prawidłowego poświadczenia.