BitLocker żąda klucza przy każdym uruchomieniu

BitLocker żądający klucza przy każdym uruchomieniu (bez automatycznego odblokowania) oznacza brak skonfigurowanego automatycznego odblokowania dla tego dysku — trzeba je włączyć w ustawieniach BitLocker.

BitLocker żąda klucza przy każdym uruchomieniu – co oznacza ten problem

BitLocker żąda klucza przy każdym uruchomieniu wtedy, gdy system Windows nie może skorzystać z zapisanych mechanizmów automatycznego odblokowania zaszyfrowanego dysku. Samo szyfrowanie zwykle nadal działa prawidłowo, lecz przed rozpoczęciem ładowania systemu pojawia się ekran odzyskiwania, na którym wymagane jest podanie 48-cyfrowego klucza. Jest to zabezpieczenie mające uniemożliwić dostęp do danych po przeniesieniu dysku do innego komputera, zmianie elementów odpowiedzialnych za bezpieczny rozruch albo wykryciu modyfikacji środowiska startowego.

Jednorazowe żądanie klucza po aktualizacji, zmianie ustawień firmware lub ingerencji w konfigurację uruchamiania nie musi oznaczać awarii. Jeżeli jednak sytuacja powtarza się przy każdym włączeniu laptopa, występuje problem z automatycznym odblokowaniem, modułem TPM, identyfikacją urządzenia albo zapisanymi ustawieniami ochrony. W takiej sytuacji nie powinno się wyłączać szyfrowania bez sprawdzenia, czy klucz odzyskiwania został zachowany i czy dane pozostają dostępne.

Rola modułu TPM, bezpiecznego rozruchu i konfiguracji BitLocker

Automatyczne odblokowanie dysku jest powiązane z warunkami, które system uznaje za zaufane. Moduł TPM przechowuje informacje umożliwiające sprawdzenie, czy komputer uruchamia się w oczekiwanym środowisku. Znaczenie może mieć także tryb uruchamiania UEFI, aktywność funkcji Secure Boot, kolejność startowa oraz zgodność plików rozruchowych z wcześniejszym stanem urządzenia. Gdy jeden z tych elementów zostanie zmieniony, BitLocker może potraktować zmianę jako potencjalną próbę obejścia ochrony i zażądać klucza odzyskiwania.

Podobny efekt może pojawić się po wyczyszczeniu lub zresetowaniu modułu TPM, aktualizacji firmware, przywróceniu ustawień fabrycznych UEFI, zmianie trybu zgodności uruchamiania albo wymianie płyty głównej. Czasem przyczyną jest modyfikacja partycji rozruchowej, naruszenie konfiguracji menedżera startowego lub nieudana aktualizacja systemu. Sam fakt, że po wpisaniu klucza Windows uruchamia się poprawnie, nie rozwiązuje źródła problemu, ponieważ przy kolejnym restarcie mechanizm weryfikacji może ponownie uznać konfigurację za niezgodną.

Przed zmianami należy odszukać właściwy klucz odzyskiwania. Może być zapisany na koncie Microsoft, wydrukowany, umieszczony w pliku, pamięci USB albo przekazany przez administratora urządzenia. Numer identyfikacyjny wyświetlany na ekranie odzyskiwania powinien zostać porównany z zapisanymi kluczami, ponieważ niewłaściwy klucz nie odblokuje dysku. Nie należy formatować nośnika ani usuwać partycji w celu pominięcia ekranu BitLocker, jeżeli znajdują się na nim potrzebne dane.

Typowe przyczyny ponownego żądania klucza odzyskiwania

Najczęściej problem wynika ze zmiany ustawień UEFI lub firmware, resetu TPM, aktualizacji systemu, zmiany kolejności urządzeń startowych albo ingerencji w partycje rozruchowe. W niektórych przypadkach pojawia się po przełączeniu trybu uruchamiania, wyłączeniu Secure Boot, podłączeniu innego dysku lub zmianie ustawień dotyczących wirtualizacji sprzętowej. Każda taka zmiana może wpłynąć na dane pomiarowe, na podstawie których BitLocker ocenia, czy uruchamiane środowisko odpowiada konfiguracji zaakceptowanej podczas wcześniejszego startu.

Powtarzalne żądanie klucza może też wskazywać na uszkodzenie plików systemowych, błędną konfigurację ochrony, problemy z usługami odpowiedzialnymi za szyfrowanie lub nieprawidłowe działanie modułu TPM. Jeżeli ekran odzyskiwania pojawia się po każdym restarcie, należy sprawdzić stan ochrony dysku, sposób przechowywania klucza, status modułu TPM oraz ustawienia bezpiecznego rozruchu. W razie potrzeby ochronę można czasowo zawiesić przed planowaną zmianą konfiguracji, a po jej zakończeniu wznowić i zweryfikować, czy automatyczne odblokowanie zostało przywrócone.

Nie powinno się wielokrotnie resetować TPM ani wykonywać przypadkowych zmian w UEFI bez kopii danych i pewności, że klucz odzyskiwania jest dostępny. Wyczyszczenie TPM może spowodować utratę możliwości odblokowania dysku, jeśli wcześniej nie zabezpieczono właściwego klucza. Jeżeli po wpisaniu klucza występuje dodatkowo pętla naprawy automatycznej, komunikat o braku systemu lub błędy odczytu dysku, przyczyną może być nie tylko konfiguracja BitLocker, lecz także uszkodzenie systemu plików albo nośnika.

Kiedy warto zgłosić się do serwisu komputerowego - BitLocker żąda klucza przy każdym uruchomieniu

Do serwisu warto zgłosić się wtedy, gdy klucz jest żądany przy każdym uruchomieniu, nie można ustalić, który zapisany klucz pasuje do urządzenia, po aktualizacji komputer przestał uruchamiać system albo zmiana ustawień TPM i UEFI nie przywróciła automatycznego odblokowania. Szczególnej ostrożności wymaga sytuacja, w której na dysku znajdują się ważne dokumenty, a ekran odzyskiwania jest jedynym etapem pozwalającym przejść dalej. W takim przypadku najpierw zabezpiecza się dostęp do danych i ustala przyczynę, a dopiero później modyfikuje konfigurację szyfrowania.

W Warszawie takie przypadki można przekazać do Warszawskiego Pogotowia Komputerowego 24/7 pod numerem +48 22 100 48 29. Przy przyjęciu urządzenia sprawdza się możliwość bezpiecznego odblokowania, stan modułu TPM, ustawienia UEFI, konfigurację rozruchu oraz kondycję systemu Windows. Diagnoza laptopa jest darmowa, co pozwala najpierw ustalić, czy powtarzające się żądanie klucza wynika z ustawień zabezpieczeń, aktualizacji, uszkodzeń systemowych czy problemu z samym nośnikiem.

Po usunięciu przyczyny należy ponownie uruchomić komputer kilka razy, sprawdzić, czy BitLocker przestał wyświetlać ekran odzyskiwania, oraz upewnić się, że klucz pozostaje zapisany w bezpiecznym miejscu. Warto również zanotować zmiany wykonane w UEFI i systemie, aby w przyszłości można było rozpoznać, które ustawienie doprowadziło do utraty automatycznego odblokowania. Dzięki temu szyfrowanie nadal chroni dane, ale nie wymusza ręcznego podawania klucza przy każdym starcie.