BitLocker nie działa z pendrive USB

BitLocker niedziałający z pendrive USB (BitLocker To Go) wymaga sprawdzenia formatu systemu plików nośnika (musi być NTFS, exFAT lub FAT32) oraz zgodności wersji Windows odblokowującej ten nośnik.

BitLocker nie działa z pendrive USB – co oznacza ten problem

BitLocker nie działa z pendrive USB najczęściej wtedy, gdy szyfrowanie przenośnego nośnika, określane jako BitLocker To Go, nie może zostać prawidłowo uruchomione, zakończone albo odczytane przez system Windows. Nie chodzi wyłącznie o uszkodzenie samego pendrive’a. Przyczyną może być niezgodny system plików, ograniczenie używanej edycji lub wersji Windows, brak odpowiednich uprawnień, problem z usługami systemowymi albo nieprawidłowo zapisane informacje potrzebne do obsługi szyfrowania.

W przypadku pendrive’a sprawdzane są dwa różne zagadnienia. Pierwszym jest zaszyfrowanie nośnika i ustanowienie metody odblokowania, na przykład hasła. Drugim pozostaje późniejszy dostęp do danych po podłączeniu urządzenia do tego samego lub innego komputera. Pendrive może więc zostać zaszyfrowany poprawnie, lecz później nie pojawiać się w Eksploratorze plików, zgłaszać brak dostępu albo żądać klucza odzyskiwania, którego nie zapisano w bezpiecznym miejscu.

BitLocker To Go dotyczy nośników wymiennych, dlatego jego działanie różni się od szyfrowania partycji systemowej. Pendrive nie korzysta z identycznego mechanizmu rozruchowego jak dysk wewnętrzny, a dostęp do plików zależy między innymi od prawidłowego rozpoznania urządzenia, struktury systemu plików oraz możliwości odczytu przez konkretną wersję Windows. Przed rozpoczęciem naprawy należy ustalić, czy problem dotyczy szyfrowania, samego nośnika, portu USB czy konfiguracji komputera.

Znaczenie systemu plików, wersji Windows i sposobu podłączenia

Dla BitLocker To Go znaczenie ma system plików użyty na pendrive. W praktyce analizowana jest zgodność nośnika z NTFS, exFAT albo FAT32. Samo pojawienie się pendrive’a w systemie nie oznacza jeszcze, że szyfrowanie będzie obsługiwane bez przeszkód. Jeżeli urządzenie ma nietypową strukturę, pozostałości po wcześniejszym formatowaniu albo uszkodzoną tablicę partycji, kreator BitLocker może odmówić rozpoczęcia pracy lub zakończyć ją komunikatem o błędzie.

FAT32, exFAT i NTFS różnią się sposobem przechowywania danych oraz ograniczeniami dotyczącymi plików. FAT32 bywa używany dla szerokiej zgodności z urządzeniami, ale nie obsługuje pojedynczych plików większych niż 4 GB. exFAT dobrze sprawdza się przy przenoszeniu danych między nowszymi systemami, natomiast NTFS oferuje funkcje typowe dla środowiska Windows. Wybór formatu powinien wynikać z przeznaczenia pendrive’a, a nie wyłącznie z próby usunięcia komunikatu BitLocker.

Weryfikowana jest także edycja i wersja systemu Windows. Nie każda konfiguracja zapewnia taki sam poziom obsługi funkcji szyfrowania nośników wymiennych. Na jednym komputerze opcja może być dostępna w menu kontekstowym, a na innym może nie występować albo działać tylko częściowo. Wpływ mogą mieć również zasady zabezpieczeń, ustawienia lokalne, aktualizacje systemu oraz ograniczenia nałożone przez administratora.

Przed wyciągnięciem wniosków sprawdzany jest port USB oraz sposób podłączenia. Zalecane jest użycie innego portu, pominięcie pasywnego koncentratora USB i przetestowanie pendrive’a na drugim komputerze. Jeżeli urządzenie jest wykrywane jako nieznane, znika po chwili albo otrzymuje inną literę dysku przy każdym podłączeniu, przyczyna może leżeć poza samym BitLockerem. W takiej sytuacji dalsze próby formatowania lub szyfrowania mogą utrudnić późniejsze odzyskanie danych.

Typowe komunikaty i błędy związane z BitLocker To Go

Jednym z częstszych objawów jest brak opcji włączenia funkcji BitLocker dla pendrive’a. Może to wynikać z nierozpoznanego systemu plików, nieprawidłowej konfiguracji zasad zabezpieczeń albo użycia edycji Windows, która nie udostępnia wymaganych narzędzi w oczekiwany sposób. Czasem opcja jest widoczna, lecz kreator kończy pracę przed zapisaniem ustawień. W takim przypadku sprawdzany jest stan nośnika, jego partycje, uprawnienia oraz dzienniki systemowe.

Inny scenariusz występuje wtedy, gdy pendrive zostaje zaszyfrowany, lecz po ponownym podłączeniu nie można go odblokować. Przyczyną może być pomylone hasło, brak klucza odzyskiwania, uszkodzenie metadanych szyfrowania albo błąd odczytu urządzenia. Klucz odzyskiwania nie jest tym samym co zwykłe hasło użytkownika. Jego brak może poważnie ograniczyć możliwości dostępu do danych, dlatego powinien być przechowywany poza szyfrowanym pendrive’em.

Może pojawić się także żądanie formatowania nośnika mimo wcześniejszego zapisania na nim plików. Taki komunikat nie powinien być bezrefleksyjnie zatwierdzany. Formatowanie tworzy ryzyko utraty danych, szczególnie gdy problem dotyczy uszkodzonej struktury logicznej albo pamięci flash znajdującej się w końcowej fazie zużycia. Najpierw ustalany jest stan urządzenia i wykonywana jest kopia danych, o ile odczyt pozostaje możliwy.

Do błędów zalicza się również bardzo długie odblokowywanie, zawieszanie Eksploratora, samoczynne rozłączanie pendrive’a, zmniejszenie widocznej pojemności oraz komunikaty o odmowie dostępu. W przypadku pamięci flash objawy te mogą wskazywać na zużycie komórek pamięci, niestabilny kontroler albo problemy z zasilaniem portu USB. Szyfrowanie może wtedy jedynie uwidocznić problem, który wcześniej nie był zauważany podczas zwykłego kopiowania plików.

Nie należy wielokrotnie wpisywać przypadkowych haseł, usuwać partycji ani uruchamiać przypadkowych programów do naprawy systemu plików. Każda taka czynność może zmienić informacje potrzebne do odblokowania danych. W pierwszej kolejności ustalany jest model pendrive’a, sposób jego wcześniejszego używania, wersja Windows, dostępność hasła i klucza odzyskiwania oraz to, czy dane mają zostać zachowane.

Kiedy warto zgłosić pendrive do serwisu komputerowego

Zgłoszenie problemu do serwisu jest uzasadnione, gdy BitLocker To Go nie uruchamia się mimo prawidłowo przygotowanego pendrive’a, nośnik jest widoczny, lecz nie daje się odblokować, system żąda formatowania albo urządzenie przerywa pracę podczas kopiowania. Szczególnej ostrożności wymaga sytuacja, w której na pendrivie znajdują się jedyne kopie dokumentów, zdjęć lub danych firmowych. Wtedy priorytetem jest zabezpieczenie informacji, a dopiero później przywrócenie wygodnego dostępu.

W Warszawie takie przypadki przyjmuje Warszawskie Pogotowie Komputerowe 24/7, gdzie analizowany jest zarówno mechanizm BitLocker To Go, jak i stan techniczny komputera oraz pendrive’a. W ramach diagnostyki sprawdzane są między innymi komunikaty systemowe, rozpoznawanie urządzenia, system plików, litera dysku, stan partycji, dostępność danych uwierzytelniających oraz możliwość wykonania bezpiecznej kopii. Jeżeli szyfrowanie działa prawidłowo, a problem dotyczy portu USB lub konfiguracji Windows, zakres czynności zostaje odpowiednio zawężony.

Przy przekazywaniu urządzenia warto opisać moment wystąpienia problemu: pierwsze podłączenie po zaszyfrowaniu, zmianę komputera, aktualizację systemu, przypadkowe usunięcie litery dysku albo pojawienie się komunikatu o formatowaniu. Należy również przekazać informację, czy dostępne jest hasło BitLocker oraz klucz odzyskiwania. Bez tych danych nie powinno się obiecywać odblokowania zaszyfrowanej zawartości, ponieważ szyfrowanie zostało zaprojektowane właśnie po to, aby uniemożliwić dostęp osobom nieposiadającym właściwych danych uwierzytelniających.

Po usunięciu przyczyny zalecane jest sprawdzenie pendrive’a na bezpiecznej kopii danych, ponowne podłączenie do używanych komputerów oraz zapisanie klucza odzyskiwania w niezależnym, chronionym miejscu. Gdy nośnik wykazuje objawy zużycia, rozsądniejsze może być przeniesienie danych na nowy pendrive i pozostawienie dotychczasowego urządzenia wyłącznie do dalszej analizy. Naprawy realizowane są z reguły w ciągu maksymalnie 3 dni roboczych, zależnie od rodzaju usterki i stanu danych.