BitLocker nie działa z TPM + PIN

BitLocker z konfiguracją TPM + PIN niedziałający poprawnie wymaga sprawdzenia zgodności PIN-u (jego złożoności ustalonej przez politykę) oraz tego, czy TPM prawidłowo współpracuje z tym trybem uwierzytelniania.

BitLocker nie działa z TPM + PIN – co oznacza ten problem

BitLocker nie działa z TPM + PIN wtedy, gdy szyfrowanie dysku zostało włączone, lecz system Windows nie potrafi prawidłowo przejść przez etap uwierzytelniania przed uruchomieniem systemu. W takim układzie moduł TPM przechowuje informacje potrzebne do sprawdzenia stanu urządzenia, a dodatkowy PIN stanowi drugi element wymagany przed odblokowaniem klucza szyfrującego. Jeżeli którykolwiek z tych elementów nie zostanie rozpoznany, komputer może zatrzymać się na ekranie odzyskiwania, odrzucać prawidłowy kod albo żądać klucza odzyskiwania przy każdym uruchomieniu.

Nie musi to oznaczać uszkodzenia samego dysku. Przyczyną może być niezgodność ustawień zasad zabezpieczeń, zmiana konfiguracji firmware, aktualizacja systemu, wyłączenie lub wyczyszczenie modułu TPM, modyfikacja ustawień rozruchu albo nieprawidłowe działanie mechanizmu odpowiedzialnego za przechowywanie danych uwierzytelniających. Problem wymaga rozdzielenia kilku kwestii: stanu szyfrowania, dostępności modułu TPM, rodzaju używanego PIN-u, konfiguracji rozruchu oraz możliwości odczytania klucza odzyskiwania.

Jak współdziałają TPM, PIN i mechanizm bezpiecznego rozruchu

TPM nie zastępuje PIN-u i nie pełni funkcji zwykłego hasła użytkownika. Moduł sprawdza między innymi, czy środowisko uruchomieniowe komputera odpowiada warunkom, w których klucz powinien zostać udostępniony. PIN wprowadza dodatkowy warunek po stronie osoby uruchamiającej urządzenie. Dopiero prawidłowe spełnienie obu wymagań pozwala na odblokowanie woluminu systemowego przed załadowaniem Windows.

Istotne znaczenie ma konfiguracja zasad lokalnych lub domenowych. Mogą one określać długość i złożoność PIN-u, dopuszczać wyłącznie cyfry albo wymagać znaków dodatkowych, a także wpływać na możliwość zmiany, resetowania i ponownego tworzenia kodu. Kod utworzony przy wcześniejszych zasadach może przestać być akceptowany po zmianie polityki, mimo że z punktu widzenia użytkownika pozostaje niezmienny. Warto również sprawdzić, czy używany jest PIN uruchomieniowy BitLocker, a nie kod logowania do konta Windows.

Znaczenie ma także kolejność zmian w ustawieniach firmware. Przełączenie trybu rozruchu, modyfikacja kolejności urządzeń startowych, zmiana ustawień bezpiecznego rozruchu, aktualizacja firmware albo reset ustawień płyty głównej mogą spowodować, że TPM wykryje zmianę środowiska. W takiej sytuacji może zostać uruchomiona dodatkowa weryfikacja i pojawić się żądanie klucza odzyskiwania. Nie powinno się wtedy pochopnie czyścić TPM, ponieważ usunięcie zapisanych danych może utrudnić dostęp do zaszyfrowanych plików.

Typowe objawy i błędy przy konfiguracji TPM + PIN

Jednym z częstych objawów jest odrzucanie kodu podczas startu, mimo wpisywania PIN-u używanego wcześniej. Przyczyną może być pomylenie układu klawiatury, aktywny klawisz Num Lock, inny układ znaków, zmiana wymagań dotyczących kodu albo próba użycia hasła konta zamiast PIN-u BitLocker. Jeżeli ekran przed uruchomieniem systemu nie przyjmuje znaków specjalnych lub liter, może to wynikać z ograniczeń środowiska startowego, a nie z samego szyfrowania.

Inny wariant polega na ciągłym wyświetlaniu prośby o klucz odzyskiwania. Zdarza się to po zmianie ustawień firmware, wymianie elementu płyty głównej, aktualizacji systemu lub wykryciu modyfikacji partycji rozruchowej. Jeżeli klucz odzyskiwania jest dostępny na koncie użytkownika, w dokumentacji organizacji albo w bezpiecznej kopii, można wykorzystać go do jednorazowego odblokowania i dalszej diagnostyki. Brak klucza odzyskiwania znacząco ogranicza bezpieczne możliwości naprawy, ponieważ szyfrowanie ma właśnie uniemożliwiać obejście ochrony bez właściwego poświadczenia.

Problem może również ujawnić się po zmianie kodu. Nieudana aktualizacja PIN-u, błędne usunięcie starego zabezpieczenia, niespójność między lokalnymi zasadami a konfiguracją urządzenia albo uszkodzone dane środowiska rozruchowego mogą sprawić, że system będzie działał tylko po użyciu klucza odzyskiwania. W diagnostyce należy odnotować dokładny komunikat, moment jego pojawienia się oraz zmiany wykonane bezpośrednio przed wystąpieniem awarii. Pomocne bywa także sprawdzenie, czy system uruchamia się po czasowym użyciu klucza odzyskiwania i czy po zalogowaniu widoczny jest prawidłowy stan ochrony dysku.

Nie należy podejmować przypadkowych prób czyszczenia TPM, wyłączania ochrony ani usuwania partycji. Takie działania mogą spowodować utratę dostępu do danych, jeżeli nie została wykonana kopia klucza odzyskiwania. Przed modyfikacją konfiguracji powinno się potwierdzić, czy dane są dostępne z innego urządzenia oraz czy istnieje możliwość ich odtworzenia.

Kiedy trzeba przekazać urządzenie do naprawy - BitLocker nie działa z TPM + PIN

Zgłoszenie do serwisu jest uzasadnione, gdy PIN nie jest akceptowany mimo poprawnego wpisywania, klucz odzyskiwania pojawia się przy każdym uruchomieniu, moduł TPM nie jest widoczny w systemie, po aktualizacji firmware wystąpiła blokada albo nie ma pewności, które ustawienie doprowadziło do problemu. Szczególnej ostrożności wymaga sytuacja, w której na dysku znajdują się ważne dokumenty, a klucz odzyskiwania nie został wcześniej zapisany. Wtedy pierwszym celem powinno być zabezpieczenie dostępu do danych, a dopiero później przywracanie wygodnego logowania za pomocą PIN-u.

W Warszawie obsługę takich przypadków można powierzyć firmie Serwis laptopów i komputerów PC - Warszawa, gdzie przed ingerencją sprawdzany jest stan zabezpieczenia, konfiguracja TPM oraz sposób uruchamiania systemu. W przypadku laptopa dostępna jest darmowa diagnoza LAPTOPA, co pozwala najpierw ustalić, czy przyczyną jest konfiguracja, firmware, moduł zabezpieczeń, czy problem z nośnikiem danych.

Po rozpoznaniu źródła błędu można uporządkować zasady dotyczące PIN-u, zweryfikować ustawienia rozruchu, przywrócić prawidłową komunikację z TPM albo przygotować bezpieczną procedurę odzyskania dostępu. Jeżeli nie ma klucza odzyskiwania, należy jasno określić ograniczenia przed rozpoczęciem działań, ponieważ żadna konfiguracja nie powinna być traktowana jako sposób na obejście prawidłowo działającego szyfrowania. W przypadku podejrzenia awarii sprzętowej dodatkowo sprawdza się stan dysku, pamięci firmware i płyty głównej, bez pochopnego usuwania danych zabezpieczających.