BitLocker nie działa z dyskami MBR

BitLocker niedziałający z dyskami w schemacie partycjonowania MBR wskazuje na ograniczenie — pełne szyfrowanie z TPM wymaga zwykle dysku w formacie GPT z partycją systemową EFI.

BitLocker nie działa z dyskami MBR — co oznacza ten komunikat

Informacja, że BitLocker nie działa z dyskiem MBR, odnosi się najczęściej do sposobu uruchamiania systemu Windows, a nie do całkowitej niemożności wykorzystania tego nośnika. MBR, czyli starszy schemat zapisu informacji o partycjach, został zaprojektowany przede wszystkim dla komputerów uruchamianych w trybie klasycznego BIOS-u. Współczesne mechanizmy ochrony systemu, w tym szyfrowanie partycji systemowej za pomocą modułu TPM, są natomiast najlepiej dopasowane do konfiguracji UEFI oraz dysku w układzie GPT.

W praktyce problem pojawia się wtedy, gdy partycja systemowa znajduje się na dysku MBR, komputer działa w trybie Legacy albo ustawienia rozruchowe nie pozwalają na prawidłową współpracę modułu TPM z mechanizmem startowym Windows. BitLocker musi zabezpieczyć nie tylko same dane, lecz także proces uruchamiania systemu. Jeżeli układ partycji, tryb firmware’u i konfiguracja modułu zabezpieczeń nie tworzą spójnego środowiska, aktywacja szyfrowania może zostać zablokowana lub system może zgłaszać błąd dotyczący wymagań sprzętowych.

Nie oznacza to, że każda partycja na dysku MBR jest z zasady bezużyteczna dla BitLockera. Inaczej może wyglądać szyfrowanie partycji systemowej, a inaczej partycji przeznaczonej wyłącznie na dane. Najwięcej ograniczeń występuje przy próbie uruchamiania systemu z zaszyfrowanego woluminu, gdy firmware pracuje w starszym trybie, brakuje partycji EFI albo konfiguracja rozruchu nie spełnia wymagań Windows.

MBR i GPT w kontekście BitLockera oraz uruchamiania Windows

MBR przechowuje informacje o partycjach w starszym modelu rozruchu i jest powiązany z ograniczeniami klasycznego BIOS-u. GPT stanowi nowszy standard, stosowany zwykle razem z UEFI. W konfiguracji UEFI system korzysta z partycji EFI, na której znajdują się pliki potrzebne do rozpoczęcia uruchamiania Windows. BitLocker może wtedy kontrolować, czy środowisko rozruchowe nie zostało zmienione, i przekazać modułowi TPM zadanie sprawdzenia integralności konfiguracji przed udostępnieniem klucza szyfrującego.

Znaczenie ma również tryb uruchamiania ustawiony w firmware. Ten sam komputer może próbować startować w trybie Legacy albo UEFI, a zmiana ustawienia bez odpowiedniego przygotowania dysku może doprowadzić do braku rozruchu. Samo przełączenie opcji w ustawieniach płyty głównej nie konwertuje MBR na GPT i nie tworzy brakującej partycji EFI. Najpierw należy ustalić, w jakim trybie zainstalowano Windows, jaki schemat partycji jest używany oraz czy na dysku znajduje się właściwe środowisko rozruchowe.

W wielu przypadkach możliwa jest konwersja dysku systemowego z MBR do GPT przy użyciu narzędzi systemowych, na przykład mechanizmu MBR2GPT dostępnego w odpowiednich wersjach Windows. Przed wykonaniem takiej operacji trzeba sprawdzić układ partycji, stan kopii zapasowej, tryb firmware’u, dostępność TPM i zgodność instalacji z wymaganiami narzędzia. Konwersja wykonywana bez weryfikacji może zakończyć się błędem, utratą możliwości uruchomienia systemu albo koniecznością odbudowy konfiguracji startowej.

Po prawidłowym przejściu na GPT zwykle należy przełączyć komputer na UEFI, a następnie sprawdzić kolejność rozruchu, obecność wpisu Windows Boot Manager i stan funkcji bezpieczeństwa. Dopiero po potwierdzeniu, że system uruchamia się prawidłowo, powinno się włączać szyfrowanie partycji systemowej. W przeciwnym razie trudniej ustalić, czy problem wynika z BitLockera, niezgodnego trybu firmware’u, uszkodzonego wpisu rozruchowego czy błędu w strukturze partycji.

Typowe przyczyny błędu BitLockera przy dysku MBR

Jedną z najczęstszych przyczyn jest uruchamianie systemu w trybie Legacy przy jednoczesnej próbie użycia konfiguracji wymagającej UEFI. Windows może działać poprawnie bez szyfrowania, dlatego niezgodność ujawnia się dopiero podczas aktywacji BitLockera. W takim układzie komputer może nie mieć partycji EFI, a moduł TPM nie otrzymuje oczekiwanych informacji o stanie środowiska startowego.

Problem może też wynikać z nieprawidłowego stanu modułu TPM. Do podobnych objawów prowadzą wyczyszczenie modułu, zmiana ustawień firmware’u, aktualizacja oprogramowania płyty głównej, reset ustawień zabezpieczeń lub wymiana niektórych podzespołów. BitLocker może wtedy zażądać klucza odzyskiwania, ponieważ wykryje zmianę w elementach używanych do weryfikowania uruchomienia systemu. Nie musi to oznaczać uszkodzenia dysku ani utraty danych.

Warto zwrócić uwagę na niezgodność między sposobem instalacji Windows a aktualnym trybem startu. Jeżeli system został zainstalowany w trybie Legacy, a następnie firmware przełączono na UEFI, komputer może przestać znajdować instalację. Odwrotna zmiana również może unieważnić dotychczasową konfigurację BitLockera. Dodatkowym źródłem kłopotów bywają uszkodzone pliki rozruchowe, brak wpisu Windows Boot Manager, zmieniona kolejność bootowania oraz nieprawidłowo przygotowana partycja systemowa.

Przed modyfikacją dysku trzeba zabezpieczyć klucz odzyskiwania BitLockera. Jest on potrzebny w sytuacji, gdy system uzna zmianę konfiguracji za próbę naruszenia ochrony. Należy także wykonać kopię ważnych danych i upewnić się, że znany jest stan szyfrowania. Wstrzymanie ochrony BitLockera może być wymagane przed zmianą ustawień rozruchowych, ale wstrzymanie nie jest tym samym co całkowite odszyfrowanie dysku. Zakres czynności zależy od wersji Windows, rodzaju konta, konfiguracji TPM oraz roli danego woluminu.

Nie powinno się usuwać partycji, inicjalizować dysku ani wykonywać konwersji schematu partycji bez wcześniejszego rozpoznania sytuacji. Takie działania mogą usunąć informacje potrzebne do startu systemu lub utrudnić odzyskanie danych. Sam komunikat o MBR nie wskazuje jeszcze, czy najlepszym rozwiązaniem będzie konwersja, odbudowa rozruchu, korekta ustawień UEFI, ponowna rejestracja modułu TPM czy analiza polityk zabezpieczeń Windows.

Kiedy warto zgłosić problem do serwisu - BitLocker nie działa z dyskami MBR

Do serwisu warto zgłosić się wtedy, gdy BitLocker odmawia uruchomienia, komputer przechodzi do ekranu odzyskiwania, po zmianie trybu UEFI nie znajduje systemu albo nie ma pewności, czy klucz odzyskiwania został zapisany. Szczególnej ostrożności wymaga sytuacja, w której na dysku znajdują się ważne dokumenty, a system nie uruchamia się po zmianie ustawień firmware’u. Wtedy dalsze próby wykonywane metodą prób i błędów mogą pogorszyć stan konfiguracji.

Przydatna jest diagnostyka obejmująca schemat partycji, tryb uruchamiania, stan partycji EFI, wpisy rozruchowe, działanie TPM, status szyfrowania oraz dostępność klucza odzyskiwania. Po zebraniu tych informacji można ocenić, czy konwersja MBR do GPT jest bezpieczna, czy trzeba najpierw naprawić rozruch, a także czy problem dotyczy wyłącznie partycji systemowej. W przypadku zaszyfrowanych danych nie należy rozpoczynać naprawy bez ustalenia, gdzie znajduje się klucz odzyskiwania i czy użytkownik ma do niego dostęp.

W Warszawskim Pogotowiu Komputerowym 24/7 można zlecić sprawdzenie konfiguracji związanej z BitLockerem, MBR, GPT, UEFI i TPM, zwłaszcza gdy potrzebna jest ocena ryzyka przed zmianą układu partycji. Po analizie można ustalić zakres bezpiecznych czynności oraz rozdzielić problem szyfrowania od ewentualnej usterki dysku, systemu plików lub konfiguracji rozruchowej.

Nie zaleca się samodzielnego czyszczenia TPM, usuwania partycji EFI ani zmiany trybu Legacy na UEFI, jeżeli nie została potwierdzona obecność kopii danych i klucza odzyskiwania. Właściwie przeprowadzona diagnostyka pozwala zachować kontrolę nad dostępem do plików i ograniczyć ryzyko sytuacji, w której po konwersji dysk zostanie rozpoznany, lecz Windows nie będzie już prawidłowo startował.