BitLocker nie działa po migracji systemu

BitLocker niedziałający po migracji systemu (np. klonowaniu dysku) wskazuje, że nowy dysk ma inny identyfikator sprzętowy niż ten, dla którego wygenerowano klucze szyfrujące — wymaga ponownej konfiguracji szyfrowania.

BitLocker nie działa po migracji systemu — co oznacza ten problem

Komunikat informujący, że BitLocker nie może odblokować dysku po migracji systemu, zwykle oznacza rozbieżność między zabezpieczeniami zapisanymi podczas wcześniejszego uruchamiania systemu a obecnym środowiskiem startowym. Może do niej dojść po sklonowaniu zawartości dysku, wymianie nośnika, zmianie ustawień UEFI, przełączeniu trybu rozruchu albo odtworzeniu obrazu systemu na innym komputerze. Samo skopiowanie partycji systemowej nie zawsze przenosi w sposób zgodny wszystkie informacje potrzebne do automatycznego odblokowania woluminu.

BitLocker korzysta z kilku elementów jednocześnie: modułu TPM, konfiguracji firmware, danych rozruchowych oraz klucza odzyskiwania. Jeżeli którykolwiek z tych składników wygląda inaczej niż w chwili tworzenia zabezpieczenia, system może potraktować uruchomienie jako potencjalnie nieautoryzowaną zmianę. W takiej sytuacji pojawia się żądanie podania klucza odzyskiwania, zatrzymanie automatycznego odblokowania albo komunikat o niedostępności ochrony szyfrowania.

Nie musi to oznaczać uszkodzenia danych. Często problem dotyczy wyłącznie sposobu uwierzytelnienia dysku po migracji. Trzeba jednak zachować ostrożność, ponieważ wielokrotne zmiany konfiguracji lub przypadkowe rozpoczęcie nowego szyfrowania mogą utrudnić późniejsze odzyskanie dostępu. Przed dalszymi działaniami warto ustalić, czy klucz odzyskiwania został zapisany na koncie Microsoft, wydrukowany, zapisany w pliku albo przechowany przez administratora urządzenia.

Dlaczego migracja dysku wpływa na działanie BitLockera

Przy standardowym uruchamianiu BitLocker sprawdza, czy środowisko startowe odpowiada warunkom uznanym wcześniej za zaufane. Znaczenie mogą mieć między innymi ustawienia bezpiecznego rozruchu, kolejność startowa, tryb UEFI lub Legacy, tablica partycji GPT albo MBR, obecność partycji rozruchowej oraz stan modułu TPM. Po przeniesieniu systemu na inny dysk jeden z tych parametrów może zmienić się bez widocznego uszkodzenia samego systemu Windows.

Klonowanie całego dysku i kopiowanie wybranych partycji nie prowadzą do identycznego rezultatu. W pierwszym przypadku przenoszone są zwykle także partycje pomocnicze, ale mogą pojawić się konflikty identyfikatorów lub nieprawidłowe wpisy rozruchowe. W drugim przypadku nowy nośnik może nie zawierać partycji wymaganej do rozpoczęcia systemu. Dodatkową przyczyną bywa zmiana kolejności dysków, aktualizacja firmware, wyczyszczenie modułu TPM albo uruchomienie systemu po zmianie płyty głównej.

Przed wyłączeniem ochrony należy rozróżnić zawieszenie zabezpieczenia od jego całkowitego usunięcia. Zawieszenie może pozwolić na wykonanie kontrolowanej zmiany bez ponownego żądania klucza przy każdym restarcie, natomiast wyłączenie BitLockera rozpoczyna odszyfrowywanie woluminu i może trwać długo. W przypadku braku klucza odzyskiwania nie powinno się usuwać modułu TPM ani formatować starego nośnika, dopóki nie zostanie sprawdzone, gdzie zapisano dane potrzebne do odblokowania.

Typowe błędy po klonowaniu lub odtwarzaniu systemu

Jednym z częstych objawów jest ekran odzyskiwania BitLockera pojawiający się przy każdym uruchomieniu, mimo że wcześniej system startował bez pytania o hasło. Przyczyną może być zmieniony pomiar środowiska rozruchowego, wyłączony Secure Boot albo niezgodność pomiędzy wpisem startowym a partycją zawierającą system. Warto także sprawdzić, czy komputer uruchamia się z właściwego dysku, ponieważ po migracji firmware może wybrać stary nośnik lub nieprawidłowy wpis Windows Boot Manager.

Inny błąd polega na tym, że system uruchamia się, lecz ikona kłódki wskazuje stan ochrony różny od oczekiwanego. Może to oznaczać, że nowy wolumin nie został ponownie objęty szyfrowaniem, że ochrona została chwilowo zawieszona albo że sklonowana instalacja nie ma poprawnego powiązania z TPM. W takiej sytuacji należy sprawdzić status szyfrowania, metodę odblokowania oraz identyfikator chronionego woluminu, a następnie porównać je z konfiguracją sprzed migracji.

Problemy występują również po zmianie trybu pracy kontrolera pamięci masowej, aktualizacji BIOS-u lub przywróceniu ustawień fabrycznych firmware. Windows może wtedy zgłaszać, że urządzenie szyfrujące nie jest gotowe, że wymagany jest klucz odzyskiwania albo że ochrona nie może zostać wznowiona. Nie należy wpisywać losowych kluczy ani usuwać wszystkich zabezpieczeń bez wcześniejszego potwierdzenia, który wolumin jest właściwy i czy wykonano kopię ważnych danych.

Diagnostyka powinna objąć stan TPM, ustawienia UEFI, partycje systemowe, wpisy rozruchowe, status polecenia zarządzającego BitLockerem oraz dostępność klucza odzyskiwania. W razie potrzeby można najpierw zabezpieczyć dane, skorygować konfigurację rozruchu, ponownie zarejestrować mechanizm ochrony i dopiero później włączyć szyfrowanie na docelowym dysku. Każda operacja powinna być wykonywana z uwzględnieniem tego, czy na nośniku znajduje się jedyna kopia plików.

Kiedy trzeba oddać urządzenie do diagnozy - BitLocker nie działa po migracji systemu

Zgłoszenie problemu do serwisu jest wskazane, gdy po migracji systemu nie ma dostępu do klucza odzyskiwania, ekran BitLockera pojawia się przy każdym starcie, komputer nie widzi właściwej partycji rozruchowej albo nie da się jednoznacznie ustalić, który dysk zawiera aktualną instalację. Pomoc może być potrzebna także wtedy, gdy migracja została wykonana na większy nośnik, lecz system nadal używa starego układu partycji lub zgłasza błędy związane z TPM i UEFI.

W Warszawie takie przypadki można przekazać do Warszawskiego Pogotowia Komputerowego 24/7, gdzie najpierw ustala się stan nośnika, możliwość odzyskania dostępu i zakres bezpiecznych zmian w konfiguracji. Dla laptopa przewidziana jest darmowa diagnoza LAPTOPA, co pozwala rozpocząć sprawdzanie bez pochopnego formatowania dysku lub usuwania zabezpieczeń. Przed przekazaniem urządzenia dobrze jest przygotować informacje o wykonanej migracji, poprzednim dysku, użytym programie do klonowania oraz wszystkich miejscach, w których mógł zostać zapisany klucz odzyskiwania.

Jeżeli dane są dostępne po podaniu klucza, priorytetem powinno być wykonanie kopii zapasowej i uporządkowanie konfiguracji szyfrowania. Jeżeli klucz nie jest dostępny, możliwości odzyskania zależą od stanu nośnika, konta powiązanego z urządzeniem i zachowanych informacji uwierzytelniających. W takim przypadku każda próba ponownej instalacji, inicjalizacji TPM lub formatowania może zmniejszyć szanse na odzyskanie plików, dlatego najpierw należy przeprowadzić ocenę techniczną i ustalić dalszą kolejność działań.