BitLocker nie działa po aktualizacji BIOS

BitLocker niedziałający po aktualizacji BIOS-u zwykle wynika ze zmiany pomiarów TPM (PCR) rejestrowanych przez firmware — system prosi wtedy o klucz odzyskiwania jednorazowo po takiej aktualizacji.

Na czym polega problem z BitLockerem po aktualizacji BIOS-u

BitLocker nie działa po aktualizacji BIOS-u najczęściej nie dlatego, że sam mechanizm szyfrowania został usunięty lub uszkodzony. Zmienia się sposób, w jaki firmware komputera przedstawia środowisko startowe systemu Windows. Podczas uruchamiania BitLocker porównuje między innymi dane zapisane w module TPM z pomiarami dotyczącymi BIOS-u, konfiguracji rozruchu i wybranych ustawień zabezpieczeń. Jeżeli po aktualizacji pojawi się inny zestaw pomiarów, komputer może uznać, że warunki startowe nie są już takie same jak wcześniej.

W takiej sytuacji dostęp do zaszyfrowanego dysku zostaje wstrzymany do czasu potwierdzenia tożsamości za pomocą klucza odzyskiwania. Zwykle jest to reakcja ochronna, a nie dowód utraty danych. Po prawidłowym przejściu procedury odzyskiwania system może uruchomić się normalnie, jednak przy kolejnych zmianach ustawień firmware problem może powrócić. Znaczenie ma również to, czy przed aktualizacją zawieszono ochronę BitLocker, czy zmieniono tryb uruchamiania, ustawienia TPM albo kolejność urządzeń startowych.

BitLocker korzysta z kilku współdziałających elementów: modułu TPM, mechanizmu UEFI, konfiguracji bezpiecznego rozruchu, partycji rozruchowej oraz samego systemu Windows. Awaria lub niespójność jednego z nich może wyglądać podobnie do problemu z hasłem, chociaż przyczyna znajduje się na poziomie zabezpieczeń uruchamiania. Dlatego samo wielokrotne wpisywanie kodu PIN albo ponowne uruchamianie komputera nie usuwa źródła problemu.

Dlaczego aktualizacja BIOS-u wpływa na szyfrowanie dysku

BIOS, a w nowszych komputerach przede wszystkim UEFI, przygotowuje sprzęt do uruchomienia systemu operacyjnego. Aktualizacja może zmienić sposób inicjalizacji procesora, pamięci, kontrolera dysku, modułu TPM lub funkcji Secure Boot. Dla użytkownika zmiana może być niewidoczna, natomiast dla BitLockera oznacza odmienny stan środowiska, który nie odpowiada wcześniejszym pomiarom przechowywanym w TPM.

Istotne jest rozróżnienie dwóch sytuacji. Jeżeli po aktualizacji pojawia się ekran z żądaniem klucza odzyskiwania, szyfrowanie prawdopodobnie nadal działa, a system wymaga dodatkowego potwierdzenia. Jeżeli Windows uruchamia się, lecz nie można odszyfrować woluminu, pojawia się komunikat o niedostępnym module TPM albo funkcja BitLocker zgłasza błąd podczas włączania, konieczne może być sprawdzenie stanu zabezpieczeń, usług systemowych i konfiguracji dysku.

Przed wykonaniem kolejnych zmian warto ustalić, czy klucz odzyskiwania został zapisany na koncie Microsoft, w środowisku organizacyjnym, na wydruku, w pliku lub na nośniku USB. Należy także sprawdzić, czy używany jest właściwy identyfikator klucza wyświetlany na ekranie odzyskiwania. Próba usunięcia szyfrowania bez dostępu do prawidłowego klucza może doprowadzić do utraty możliwości odczytu danych, dlatego działania naprawcze powinny być poprzedzone zabezpieczeniem dokumentów i ustaleniem ich kopii zapasowej.

W niektórych przypadkach pomaga zawieszenie ochrony BitLocker przed planowaną aktualizacją BIOS-u, a następnie jej ponowne włączenie po restarcie. Jeżeli aktualizacja została już wykonana, można analizować stan modułu TPM, wpisy dziennika, ustawienia UEFI i informacje o ochronie woluminu. Nie powinno się jednak pochopnie czyścić modułu TPM. Taka operacja może usunąć informacje potrzebne do automatycznego odblokowania dysku, a bez klucza odzyskiwania dostęp do danych może nie być możliwy.

Typowe objawy i błędy po zmianie firmware

Najbardziej charakterystycznym objawem jest ekran odzyskiwania BitLocker pojawiający się przy pierwszym uruchomieniu po aktualizacji BIOS-u. Czasem żądanie klucza występuje przy każdym restarcie, co może wskazywać na nieukończoną zmianę konfiguracji TPM, problem z Secure Boot albo niespójność między wpisami rozruchowymi a stanem zapisanym w module zabezpieczeń. W innych przypadkach system uruchamia się prawidłowo, lecz w ustawieniach Windows widoczny jest komunikat o konieczności ponownego sprawdzenia ochrony.

Do częstych przyczyn należy przywrócenie ustawień UEFI do wartości domyślnych. Może wtedy zmienić się tryb rozruchu, stan bezpiecznego uruchamiania, kolejność dysków lub sposób obsługi modułu TPM. Problem może pojawić się również po wymianie płyty głównej, przełączeniu kontrolera pamięci masowej, aktualizacji sterownika odpowiedzialnego za rozruch albo ręcznym wyczyszczeniu TPM. Nie zawsze oznacza to fizyczne uszkodzenie dysku.

Błędem bywa wyłączanie szyfrowania bez wcześniejszego potwierdzenia, że pliki są dostępne i skopiowane. Ryzykowne jest także kasowanie partycji, formatowanie dysku, instalowanie systemu od nowa lub wybieranie opcji czyszczenia TPM tylko po to, aby ominąć ekran odzyskiwania. Takie działania mogą zniszczyć dane albo utrudnić ustalenie pierwotnej przyczyny. Najpierw należy odczytać pełny komunikat, zanotować identyfikator żądanego klucza, ustalić historię ostatnich zmian i sprawdzić dostępne kopie zapasowe.

Jeżeli klucz odzyskiwania jest dostępny, należy użyć go zgodnie z instrukcją wyświetlaną przez system, a po uruchomieniu Windows sprawdzić stan ochrony oraz możliwość normalnego restartu. Gdy kod nie jest akceptowany, należy upewnić się, że nie wybrano klucza przypisanego do innego urządzenia lub innego woluminu. Warto również odróżnić problem z BitLockerem od awarii samego systemu: uszkodzone pliki rozruchowe, błędy systemu plików i problemy z dyskiem mogą powodować dodatkowe komunikaty, ale wymagają innej diagnostyki.

Kiedy trzeba umówić wizytę serwisową - BitLocker nie działa po aktualizacji BIOS

Zgłoszenie do serwisu jest uzasadnione, gdy po aktualizacji BIOS-u nie można znaleźć klucza odzyskiwania, ekran BitLocker pojawia się przy każdym uruchomieniu, system nie rozpoznaje modułu TPM, ustawienia UEFI samoczynnie się zmieniają albo na dysku znajdują się ważne pliki bez aktualnej kopii zapasowej. Pomocy wymaga również sytuacja, w której komputer został już poddany kilku niespójnym zmianom, na przykład wyłączono Secure Boot, zmieniono tryb kontrolera dysku i wyczyszczono TPM bez wcześniejszego sprawdzenia klucza.

W Warszawskim Pogotowiu Komputerowym 24/7 można zlecić uporządkowanie takiej diagnostyki: sprawdzenie komunikatów BitLocker, konfiguracji UEFI, stanu TPM, wpisów rozruchowych oraz możliwości bezpiecznego dostępu do danych. Przed ingerencją powinno zostać ustalone, czy celem jest odzyskanie uruchamiania systemu, przywrócenie prawidłowej ochrony, czy przede wszystkim zabezpieczenie plików. W przypadku laptopa dostępna jest darmowa diagnoza LAPTOPA, dzięki której można najpierw ocenić zakres problemu i ryzyko dalszych działań.

Nie należy przekazywać przypadkowym osobom klucza odzyskiwania ani wykonywać poleceń prowadzących do wyczyszczenia TPM bez zrozumienia skutków. Klucz powinien być traktowany jak poufny dostęp do zaszyfrowanych danych. Jeżeli urządzenie uruchamia się po jego podaniu, przed aktualizacją kolejnych składników warto skopiować najważniejsze pliki, zapisać klucz w bezpiecznym miejscu i sprawdzić, czy ochrona BitLocker działa zgodnie z oczekiwaniami. Dzięki temu następna aktualizacja firmware może zostać przeprowadzona z mniejszym ryzykiem ponownego zablokowania systemu.