BitLocker wymaga klucza przy każdym uruchomieniu

BitLocker żądający klucza przy każdym uruchomieniu (zamiast automatycznego odblokowania) wskazuje na niepowiązany prawidłowo TPM z kontem lub błąd w konfiguracji automatycznego odblokowania.

Na czym polega żądanie klucza BitLocker przy każdym uruchomieniu

BitLocker wymaga klucza przy każdym uruchomieniu wtedy, gdy system szyfrowania dysku nie uznaje bieżącego startu komputera za zgodny z wcześniej zapamiętanymi warunkami bezpieczeństwa. Zamiast przekazać klucz deszyfrujący automatycznie, środowisko odzyskiwania BitLocker zatrzymuje ładowanie systemu i wyświetla prośbę o wpisanie długiego klucza odzyskiwania. Nie oznacza to samo w sobie uszkodzenia danych ani utraty hasła do konta Windows. Klucz odzyskiwania jest osobnym mechanizmem zabezpieczającym, zapisanym wcześniej na koncie Microsoft, w pliku, na wydruku albo w zasobach administracyjnych organizacji.

Jednorazowe pojawienie się takiego ekranu może być reakcją na zmianę ustawień uruchamiania, aktualizację oprogramowania układowego, modyfikację modułu TPM lub zmianę kolejności startowej urządzeń. Jeżeli jednak żądanie powtarza się po każdym restarcie, należy szukać przyczyny w relacji pomiędzy szyfrowaniem, modułem TPM, mechanizmem UEFI oraz profilem zabezpieczeń przypisanym do systemu. W praktyce problem dotyczy automatycznego przekazywania przez TPM informacji potrzebnych do odblokowania woluminu systemowego.

Rola TPM, UEFI i profilu zabezpieczeń

Automatyczne odblokowanie dysku systemowego opiera się na pomiarach wykonywanych podczas startu komputera. Moduł TPM przechowuje dane kontrolne i udostępnia je dopiero wtedy, gdy przebieg uruchamiania odpowiada zaufanemu stanowi urządzenia. UEFI, ustawienia Secure Boot, konfiguracja kontrolera pamięci masowej oraz kolejność urządzeń startowych mogą wpływać na wynik tej weryfikacji. Zmiana jednego z tych elementów może spowodować przejście do trybu odzyskiwania, nawet jeśli sam dysk i system plików pozostają sprawne.

Ważne jest rozróżnienie pomiędzy kluczem odzyskiwania a automatycznym odblokowaniem. Klucz odzyskiwania służy do ręcznego przejścia przez kontrolę BitLocker, natomiast automatyczne odblokowanie zależy od prawidłowo zapisanych mechanizmów ochrony i zgodności bieżącego rozruchu z ich wymaganiami. Samo wpisywanie klucza przy każdym starcie może więc przywrócić dostęp do systemu, ale nie usuwa źródła powtarzającego się alarmu.

Przy analizie należy uwzględnić także rodzaj chronionego woluminu. Inne zależności występują przy dysku systemowym, a inne przy dodatkowym woluminie danych. Znaczenie może mieć również to, czy komputer korzysta z lokalnego konta, konta Microsoft, zarządzania organizacyjnego lub dodatkowych zasad bezpieczeństwa. Wprowadzenie przypadkowych zmian w TPM albo wyłączenie szyfrowania bez przygotowania klucza może zwiększyć ryzyko utraty dostępu do danych.

Najczęstsze przyczyny powtarzającego się monitu

Jedną z przyczyn bywa nieudana lub niepełna aktualizacja UEFI. Po takiej zmianie komputer może prezentować inny zestaw parametrów rozruchowych niż ten, który został zapisany przy ustanawianiu ochrony BitLocker. Podobny efekt może wystąpić po przywróceniu ustawień firmware, zmianie trybu uruchamiania, wyłączeniu Secure Boot albo przełączeniu ustawień kontrolera dysku. W niektórych urządzeniach problem pojawia się również po aktualizacji sterowników układowych związanych z płytą główną lub modułem bezpieczeństwa.

Powodem może być też nieprawidłowy stan TPM: wyczyszczenie modułu, utrata jego konfiguracji, błąd komunikacji z firmware albo ponowne przygotowanie urządzenia bez właściwego powiązania ochrony dysku. Niekiedy system działa poprawnie po ręcznym wpisaniu klucza, lecz przy kolejnym uruchomieniu ponownie przechodzi do odzyskiwania, ponieważ zapisane zabezpieczenia nie zostały odtworzone w spójny sposób.

Do podobnych objawów prowadzą zmiany partycji rozruchowych, naprawa programu startowego, klonowanie dysku, wymiana nośnika, modyfikacja wpisów BCD oraz niektóre operacje wykonywane z poziomu narzędzi administracyjnych. Nie można wykluczyć także uszkodzenia sprzętowego, zwłaszcza gdy problem występuje razem z samoczynnymi restartami, błędami firmware, zanikaniem dysku albo niestabilną pracą płyty głównej. W takim przypadku sama rekonfiguracja BitLocker może okazać się niewystarczająca.

Przed rozpoczęciem naprawy powinno się ustalić, gdzie znajduje się właściwy klucz odzyskiwania i czy odpowiada on identyfikatorowi wyświetlanemu na ekranie blokady. Nie należy usuwać partycji, czyścić TPM ani formatować dysku wyłącznie po to, aby ominąć monit. Takie działania mogą doprowadzić do utraty danych, jeśli nie ma kopii zapasowej oraz potwierdzonego sposobu odblokowania woluminu.

Kiedy zgłosić problem do serwisu - BitLocker wymaga klucza przy każdym uruchomieniu

Do serwisu warto zgłosić komputer, gdy klucz BitLocker jest żądany po każdym uruchomieniu, gdy po jego wpisaniu system działa tylko do następnego restartu albo gdy nie wiadomo, która zmiana wywołała problem. Szczególnej ostrożności wymaga sytuacja, w której klucz odzyskiwania nie został wcześniej zapisany, komputer był po aktualizacji UEFI, wymianie dysku lub naprawie płyty głównej, a na nośniku znajdują się ważne pliki. Wtedy najpierw powinno się zabezpieczyć możliwość dostępu do danych, a dopiero później modyfikować ustawienia szyfrowania.

W ramach diagnostyki sprawdza się stan TPM, tryb UEFI, Secure Boot, kolejność rozruchu, wpisy systemowe oraz konfigurację ochrony woluminu. Analizowane są również ostatnie aktualizacje, komunikaty odzyskiwania i zależności pomiędzy kontem użytkownika a zapisanym kluczem. Jeżeli po odblokowaniu systemu da się uruchomić Windows, można dodatkowo zweryfikować status szyfrowania i przygotować bezpieczną procedurę ponownego powiązania ochrony z modułem TPM. W przypadku problemów dotyczących laptopa dostępna jest darmowa diagnoza LAPTOPA, która pozwala ocenić, czy przyczyna leży w konfiguracji zabezpieczeń, firmware, nośniku danych czy innym podzespole.

Nie powinno się samodzielnie czyścić TPM ani wyłączać BitLocker przed potwierdzeniem, że klucz odzyskiwania jest dostępny i że dane mają kopię zapasową. W zależności od ustalonej przyczyny możliwe jest odtworzenie prawidłowego mechanizmu automatycznego odblokowania, korekta ustawień rozruchowych, naprawa konfiguracji systemu albo skierowanie uwagi na usterkę sprzętową. Takie postępowanie ogranicza ryzyko, że próba usunięcia samego komunikatu doprowadzi do trwałego zablokowania zaszyfrowanego dysku.