BitLocker żąda klucza odzyskiwania przy każdym starcie

BitLocker żądający klucza odzyskiwania przy każdym starcie (zamiast jednorazowo) wskazuje na trwały problem z TPM lub niestabilne ustawienia BIOS-u — wymaga głębszej diagnozy przyczyny powtarzającej się zmiany pomiarów integralności.

Czym jest żądanie klucza BitLocker przy każdym uruchomieniu

BitLocker żądający klucza odzyskiwania podczas każdego startu systemu oznacza, że komputer nie potrafi uznać bieżącego środowiska uruchomieniowego za zgodne z tym, które zostało wcześniej zapisane jako zaufane. Samo szyfrowanie danych może nadal działać prawidłowo, lecz mechanizm ochrony nie przekazuje automatycznie klucza z modułu TPM do modułu rozruchowego. W efekcie po każdym włączeniu pojawia się niebieski ekran odzyskiwania z prośbą o wpisanie długiego klucza zapisanego wcześniej na koncie Microsoft, wydruku, nośniku USB albo w innym bezpiecznym miejscu.

Jednorazowe żądanie klucza po aktualizacji oprogramowania układowego, zmianie ustawień zabezpieczeń lub wymianie elementu sprzętowego nie musi oznaczać awarii. Problem staje się powtarzalny, gdy po poprawnym wpisaniu klucza system uruchamia się tylko do następnego wyłączenia, a przy kolejnym starcie ponownie wymaga tej samej procedury. W takiej sytuacji nie powinno się ograniczać działania do wielokrotnego wpisywania kodu, ponieważ przyczyną może być nieprawidłowa współpraca między modułem TPM, konfiguracją UEFI, bazą danych rozruchu i stanem ochrony dysku.

Dlaczego zmiana pomiarów uruchamiania ma znaczenie

BitLocker wykorzystuje TPM do przechowywania informacji potrzebnych do automatycznego odblokowania woluminu. Podczas uruchamiania sprawdzane są między innymi elementy procesu startowego, ustawienia trybu UEFI, stan bezpiecznego rozruchu oraz wybrane dane zapisane w rejestrach pomiarowych TPM. Jeżeli wynik kontroli różni się od wcześniejszego, klucz zostaje zablokowany i wymagane jest potwierdzenie tożsamości poprzez klucz odzyskiwania.

Powtarzalne żądanie może więc wynikać z tego, że ustawienie w firmware nie zapisuje się prawidłowo, bezpieczny rozruch pozostaje niestabilny albo system naprzemiennie korzysta z różnych trybów startu. Znaczenie może mieć także zmiana kolejności urządzeń rozruchowych, modyfikacja tablicy partycji, nieudana aktualizacja firmware lub niespójność danych zapisanych w TPM. W niektórych przypadkach problem jest związany z uszkodzeniem samego modułu zabezpieczeń, ale nie należy przyjmować tego założenia bez sprawdzenia dzienników systemowych i konfiguracji komputera.

Warto odróżnić ten przypadek od sytuacji, w której klucz jest odrzucany jako nieprawidłowy. Gdy kod nie pasuje, przyczyną może być pomylenie identyfikatora klucza, użycie zapisu dotyczącego innego urządzenia albo błąd przy przepisywaniu znaków. Gdy kod jest przyjmowany, a następnie ponownie żądany po restarcie, bardziej prawdopodobna jest niestabilność środowiska uruchomieniowego lub problem z zapamiętaniem prawidłowego stanu zaufania.

Typowe przyczyny i objawy towarzyszące - BitLocker żąda klucza odzyskiwania przy każdym starcie

Jednym z częstszych powodów jest zmiana ustawień UEFI, zwłaszcza przełączenie trybu zgodności ze starszym sposobem uruchamiania, modyfikacja Secure Boot albo przywrócenie ustawień fabrycznych firmware. Nawet jeśli system nadal się uruchamia, każda taka zmiana może zostać potraktowana jako naruszenie wcześniej zarejestrowanych pomiarów. Podobny skutek może pojawić się po aktualizacji firmware, jeżeli proces nie zakończył się poprawnie albo urządzenie po aktualizacji zachowuje się inaczej przy kolejnych startach.

Do sygnałów ostrzegawczych należą również komunikaty o zmianie konfiguracji rozruchowej, samoczynne przechodzenie do narzędzi odzyskiwania, problemy z wykrywaniem dysku, resetowanie zegara lub ustawień UEFI, a także sytuacja, w której po każdym uruchomieniu system zgłasza konieczność naprawy. Jeżeli komputer był niedawno otwierany, wymieniano płytę główną, dysk albo element odpowiedzialny za podtrzymanie ustawień, należy uwzględnić możliwość, że TPM interpretuje zmianę sprzętową jako próbę nieautoryzowanego dostępu.

Nie zaleca się pochopnego czyszczenia TPM ani wyłączania BitLockera bez wcześniejszego zabezpieczenia klucza odzyskiwania. Usunięcie danych TPM może doprowadzić do utraty dostępu do zaszyfrowanego woluminu, jeżeli nie ma się poprawnej kopii klucza. Przed jakąkolwiek zmianą należy sprawdzić, czy klucz został zapisany, ustalić jego identyfikator widoczny na ekranie odzyskiwania oraz ocenić, czy na dysku znajdują się ważne dane wymagające dodatkowej kopii.

Kiedy warto przekazać urządzenie do naprawy - BitLocker żąda klucza odzyskiwania przy każdym starcie

Do serwisu warto zgłosić komputer wtedy, gdy żądanie klucza powtarza się mimo wpisania prawidłowego kodu, pojawiło się po zmianach w UEFI albo towarzyszą mu restarty, komunikaty o naprawie rozruchu i problemy z wykrywaniem dysku. Szczególnie ważna jest szybka konsultacja, gdy nie ma pewności, gdzie zapisano klucz odzyskiwania, ponieważ dalsze eksperymenty z TPM, formatowaniem lub ponowną instalacją systemu mogą utrudnić dostęp do danych.

W Warszawie taką diagnostykę można zlecić w serwisie Warszawskie Pogotowie Komputerowe 24/7, gdzie analizuje się zależność między konfiguracją firmware, modułem TPM, trybem uruchamiania i stanem szyfrowania. Przed rozpoczęciem prac powinno się ustalić, czy priorytetem jest zachowanie danych, przywrócenie automatycznego odblokowania, czy przygotowanie bezpiecznej kopii plików. Dopiero po tej ocenie można zdecydować, czy wystarczy uporządkowanie ustawień rozruchowych, ponowna rejestracja ochrony, naprawa konfiguracji systemu, czy potrzebne jest dalsze sprawdzenie sprzętu.

W przypadku działającego systemu warto niezwłocznie zapisać klucz odzyskiwania w bezpiecznym miejscu i nie wyłączać ochrony do czasu ustalenia przyczyny. Jeżeli komputer uruchamia się wyłącznie po ręcznym wpisaniu klucza, każde kolejne uruchomienie powinno być traktowane jako sygnał do przeprowadzenia uporządkowanej diagnozy, a nie jako zwykła niedogodność. Pozwala to ograniczyć ryzyko blokady dostępu do plików i uniknąć działań, które mogłyby skasować informacje potrzebne do odzyskania danych.