BitLocker nie widzi urządzenia jako zaufanego

BitLocker niewidzący urządzenia jako zaufanego wskazuje na zmianę pomiarów integralności sprzętu rejestrowanych przez TPM (np. po aktualizacji BIOS) — system prosi wtedy o klucz odzyskiwania.

Komunikat „BitLocker nie widzi urządzenia jako zaufanego” oznacza, że mechanizm szyfrowania nie potrafi potwierdzić zgodności bieżącego środowiska uruchomieniowego z konfiguracją zapisaną wcześniej w module TPM. Zaufanie nie jest tu oceną użytkownika ani konta, lecz wynikiem porównania pomiarów związanych między innymi z procesem startowym systemu, ustawieniami firmware oraz stanem zabezpieczeń płyty głównej. Jeżeli któryś z tych elementów zmieni się w sposób, którego BitLocker nie rozpoznaje jako prawidłowy, dostęp do zaszyfrowanego woluminu może zostać wstrzymany do czasu podania klucza odzyskiwania.

Na czym polega problem z zaufaniem urządzenia

Podczas uruchamiania systemu BitLocker współpracuje z modułem TPM, który przechowuje i porównuje informacje o kolejnych etapach startu. Weryfikowane mogą być między innymi ustawienia trybu uruchamiania, konfiguracja zabezpieczeń firmware, elementy programu rozruchowego oraz stan partycji systemowej. Nie chodzi o pojedynczy plik widoczny w Eksploratorze, lecz o spójność całego łańcucha uruchamiania.

Jeżeli aktualny pomiar różni się od zapisanego wcześniej, TPM może odmówić automatycznego udostępnienia klucza używanego do odblokowania dysku. W takiej sytuacji pojawia się ekran odzyskiwania BitLocker, a system oczekuje długiego klucza zapasowego. Sam komunikat nie przesądza jeszcze o uszkodzeniu nośnika ani o utracie danych. Oznacza przede wszystkim, że zabezpieczenie zadziałało zgodnie ze swoim przeznaczeniem i nie uznało bieżących warunków startu za wystarczająco zgodne z wcześniejszym stanem.

Różnica między zmianą konfiguracji a awarią sprzętu

Podobny objaw może powstać po aktualizacji BIOS lub UEFI, przywróceniu ustawień fabrycznych firmware, zmianie trybu uruchamiania albo modyfikacji parametrów związanych z bezpiecznym startem. Reakcję BitLockera może wywołać również wymiana płyty głównej, zmiana kolejności uruchamiania nośników, przeniesienie dysku do innego komputera lub ingerencja w partycję rozruchową. W takich przypadkach urządzenie może działać elektrycznie prawidłowo, ale jego środowisko startowe nie odpowiada już zapisanym pomiarom TPM.

Inaczej należy oceniać sytuację, w której oprócz żądania klucza odzyskiwania występują restarty, błędy odczytu dysku, znikanie nośnika w firmware albo problemy z uruchomieniem narzędzi odzyskiwania. Wtedy przyczyną może być także uszkodzenie systemu plików, nośnika lub samej konfiguracji rozruchowej. Nie powinno się pochopnie wyłączać szyfrowania, usuwać partycji ani inicjować ponownej instalacji systemu, ponieważ takie działania mogą utrudnić odzyskanie danych.

Typowe przyczyny i błędy postępowania - BitLocker nie widzi urządzenia jako zaufanego

Jedną z częstszych przyczyn jest aktualizacja firmware wykonana bez wcześniejszego sprawdzenia, czy dostępny jest klucz odzyskiwania BitLocker. Po zmianie BIOS lub UEFI system może potraktować nowe pomiary jako nieznane. Podobny skutek może dać ręczne przełączenie między trybem UEFI i trybem zgodności, zmiana ustawień bezpiecznego uruchamiania lub wyczyszczenie danych TPM. W niektórych przypadkach problem pojawia się po podłączeniu zaszyfrowanego dysku do innej płyty głównej, nawet jeżeli sam dysk pozostaje sprawny.

Najpoważniejszym błędem jest wielokrotne wpisywanie przypadkowych kodów, gdy nie ma pewności, z którego konta lub systemu pochodzi klucz. Warto odróżnić identyfikator klucza wyświetlany na ekranie od właściwego ciągu odzyskiwania. Pomocne bywa zapisanie identyfikatora oraz sprawdzenie, czy odnaleziony klucz odpowiada konkretnemu urządzeniu. Bez prawidłowego klucza nie należy zakładać, że da się legalnie pominąć zabezpieczenie bez konsekwencji dla zawartości dysku.

Przed zmianami konfiguracyjnymi trzeba ustalić, czy system nadal widzi dysk, czy partycja systemowa jest obecna i czy można wejść do środowiska odzyskiwania. Dopiero na tej podstawie można rozdzielić problem z autoryzacją TPM od problemu z rozruchem lub fizycznym stanem nośnika. Jeżeli dane są istotne, każdą operację wpływającą na TPM, partycje i firmware należy wykonywać z zachowaniem kolejności oraz z dokumentowaniem pierwotnych ustawień.

Kiedy warto zlecić diagnozę specjalistom - BitLocker nie widzi urządzenia jako zaufanego

Do serwisu warto zgłosić laptop, gdy ekran odzyskiwania pojawił się po aktualizacji BIOS, zmianie ustawień firmware, wymianie podzespołu albo nagłym błędzie rozruchu, a samodzielnie nie można ustalić właściwego klucza lub bezpiecznej kolejności działań. Szczególnie ważna jest szybka konsultacja, gdy system kilkakrotnie wraca do ekranu BitLocker, dysk nie jest widoczny w ustawieniach startowych albo występują objawy wskazujące na problemy z nośnikiem.

W ramach obsługi można sprawdzić stan sprzętu, obecność dysku, konfigurację UEFI, działanie modułu TPM oraz zależności między zmianami firmware a żądaniem klucza odzyskiwania. Należy przekazać dostępne informacje o ostatnich aktualizacjach i zmianach ustawień, a także przygotować klucz odzyskiwania, jeżeli został zapisany na koncie lub w dokumentacji. Dla laptopa przewidziana jest darmowa diagnoza LAPTOPA, dzięki której można najpierw ustalić zakres problemu i ocenić, czy przywrócenie prawidłowego startu jest możliwe bez pochopnego kasowania danych.