BitLocker zniknął po klonowaniu dysku

Zniknięcie BitLocker po klonowaniu dysku wynika z tego, że klucze szyfrujące powiązane są z konkretnym identyfikatorem sprzętu i partycji — po sklonowaniu trzeba skonfigurować szyfrowanie od nowa.

Co oznacza komunikat „BitLocker zniknął po klonowaniu dysku”

BitLocker to mechanizm szyfrowania dostępny w systemie Windows, który chroni dane zapisane na dysku przed odczytem po podłączeniu go do innego komputera albo uruchomieniu urządzenia bez prawidłowych danych uwierzytelniających. Po przeniesieniu zawartości starego nośnika na nowy może jednak pojawić się wrażenie, że szyfrowanie zniknęło. W systemie nie zawsze widać wtedy oczekiwany status ochrony, opcje zarządzania mogą być niedostępne, a partycja może zostać rozpoznana jako nieszyfrowana lub wymagać dodatkowej konfiguracji.

Samo sklonowanie sektorów dysku nie zawsze przenosi wszystkie elementy potrzebne do poprawnej współpracy BitLockera z aktualną instalacją Windows. Ochrona jest związana nie tylko z danymi znajdującymi się na partycji, ale również z konfiguracją rozruchu, modułem TPM, identyfikatorami urządzenia, układem partycji oraz sposobem przechowywania klucza odzyskiwania. Jeżeli po klonowaniu zmieni się jeden z tych elementów, system może potraktować nowy dysk jako inne środowisko i wyłączyć dotychczasowy sposób automatycznego odblokowywania.

Nie oznacza to automatycznie, że pliki zostały usunięte albo że doszło do awarii szyfrowania. Czasem problem dotyczy wyłącznie interfejsu systemowego, niepełnej rejestracji ochrony lub braku powiązania nowego nośnika z modułem bezpieczeństwa. W innych przypadkach klonowanie mogło odwzorować partycję z danymi, lecz pominąć partycję systemową, partycję rozruchową albo wpisy konfiguracji wymagane do uruchamiania systemu i obsługi klucza.

Dlaczego klonowanie wpływa na działanie szyfrowania

W typowym komputerze BitLocker współpracuje z kilkoma warstwami zabezpieczeń. Dane są zapisane na zaszyfrowanym woluminie, a dostęp do klucza może być kontrolowany przez moduł TPM, kod PIN, hasło lub klucz zapisany na nośniku zewnętrznym. Podczas normalnego uruchamiania system sprawdza, czy konfiguracja sprzętowa i rozruchowa odpowiada warunkom, w których klucz został zabezpieczony. Klonowanie dysku zmienia niekiedy numer seryjny nośnika, układ identyfikatorów, kolejność partycji, wpisy rozruchowe lub sposób komunikacji z kontrolerem pamięci masowej.

Ważne jest również rozróżnienie między klonowaniem a ponownym szyfrowaniem. Klonowanie tworzy kopię istniejącego układu danych, ale nie zawsze odtwarza relacje między systemem Windows, środowiskiem odzyskiwania i modułem TPM. Ponowne włączenie BitLockera na nowym nośniku tworzy natomiast nowy zestaw zależności oraz nowe zabezpieczenia dostosowane do aktualnego środowiska. Z tego powodu po wymianie dysku często trzeba sprawdzić stan ochrony, zapisać klucz odzyskiwania i ponownie skonfigurować sposób odblokowywania.

Znaczenie ma także rodzaj użytego trybu rozruchu. Przejście między UEFI a starszym trybem zgodności, zmiana ustawień bezpiecznego rozruchu albo modyfikacja kolejności uruchamiania mogą spowodować żądanie klucza odzyskiwania. Podobny efekt może wywołać aktualizacja firmware, reset ustawień płyty głównej, wymiana płyty głównej lub przełożenie dysku do innego komputera. W takich sytuacjach BitLocker może nadal chronić dane, ale nie będzie odblokowywał woluminu w taki sam sposób jak przed klonowaniem.

Przed zmianami warto ustalić, czy klucz odzyskiwania został zapisany na koncie Microsoft, w katalogu organizacyjnym, na wydrukowanym dokumencie, w pliku lub na zewnętrznym nośniku. Bez prawidłowego klucza odzyskiwania odzyskanie dostępu do zaszyfrowanej partycji może być niemożliwe. Nie należy formatować starego dysku ani usuwać jego partycji do czasu potwierdzenia, że nowa kopia uruchamia się prawidłowo i że dostęp do danych został zachowany.

Typowe objawy i błędy po przeniesieniu systemu

Najczęściej spotykanym objawem jest brak BitLockera w ustawieniach zabezpieczeń urządzenia albo wyświetlanie odmiennego statusu w porównaniu ze starym dyskiem. W oknie właściwości partycji może pojawić się informacja o konieczności włączenia szyfrowania, mimo że skopiowane dane pochodziły z zaszyfrowanego woluminu. Bywa też tak, że system uruchamia się normalnie, lecz nie działa automatyczne odblokowanie dodatkowej partycji. Po restarcie pojawia się wtedy monit o klucz, kod PIN lub hasło.

Inny wariant problemu występuje wtedy, gdy klonowanie obejmowało wyłącznie partycję z systemem, bez małej partycji rozruchowej albo środowiska odzyskiwania. Windows może wówczas działać przez pewien czas, ale aktualizacje, naprawa rozruchu lub zmiana ustawień ochrony mogą zakończyć się błędem. Niekiedy system uruchamia się z nowego dysku, lecz narzędzia administracyjne pokazują niepełną konfigurację, ponieważ wpisy związane z szyfrowaniem odnoszą się do poprzedniego układu.

Problemy mogą również wynikać z użycia programu, który podczas kopiowania pomija zaszyfrowane obszary, wykonuje operację na poziomie plików albo automatycznie zmienia rozmiar partycji. W efekcie kopia może wyglądać poprawnie, lecz nie zachowywać wszystkich właściwości oryginalnego woluminu. Ryzykowne jest także uruchamianie poleceń służących do wyłączania ochrony bez wcześniejszego sprawdzenia, czy klucz odzyskiwania jest dostępny. Przerwanie odszyfrowywania, przerywanie kopiowania lub wyłączanie komputera w trakcie operacji może utrudnić późniejsze odtworzenie dostępu.

Przydatne jest sprawdzenie stanu szyfrowania z poziomu ustawień Windows oraz narzędzi administracyjnych systemu. Należy zweryfikować, która partycja jest chroniona, czy ochrona jest aktywna, jaki jest tryb odblokowania i czy istnieje możliwość utworzenia kopii klucza odzyskiwania. Jeżeli system prosi o klucz po każdej zmianie konfiguracji, nie powinno się wielokrotnie wykonywać przypadkowych prób ani usuwać zabezpieczeń bez kopii danych. Najpierw trzeba rozdzielić problem z samym szyfrowaniem od problemu z rozruchem, partycjami lub sterownikiem kontrolera dysku.

Kiedy trzeba przekazać urządzenie do naprawy - BitLocker zniknął po klonowaniu dysku

Pomoc serwisowa jest wskazana, gdy po klonowaniu system nie uruchamia się bez klucza odzyskiwania, nowy dysk nie pokazuje prawidłowego statusu BitLockera, zniknęła partycja rozruchowa albo dostęp do danych jest możliwy tylko po podawaniu klucza przy każdym starcie. Warto również zasięgnąć porady przed wymazaniem starego nośnika, jeżeli nie ma pewności, czy nowa kopia zawiera wszystkie partycje i czy zapisano właściwy klucz. Szczególnej ostrożności wymaga sytuacja, w której na dysku znajdują się dokumenty potrzebne do pracy, zdjęcia, projekty lub inne dane bez dodatkowej kopii.

W ramach sprawdzenia można przeanalizować układ partycji na obu nośnikach, tryb uruchamiania systemu, stan modułu TPM, wpisy rozruchowe oraz status ochrony poszczególnych woluminów. Następnie można ustalić, czy wystarczy naprawa konfiguracji, ponowne powiązanie zabezpieczenia z nowym dyskiem, odtworzenie środowiska odzyskiwania, czy też bezpieczne skonfigurowanie BitLockera od początku. Przed rozpoczęciem prac należy potwierdzić, że dostępny jest klucz odzyskiwania oraz że oryginalny nośnik pozostanie nienaruszony do czasu zakończenia weryfikacji.

W Warszawie takie przypadki można przekazać do Warszawskiego Pogotowia Komputerowego 24/7, gdzie w pierwszej kolejności wykonywana jest darmowa diagnoza LAPTOPA. Pozwala to ocenić, czy przyczyną jest utrata powiązania BitLockera, niekompletne klonowanie, błąd rozruchu, ustawienia płyty głównej czy uszkodzenie któregoś z nośników. Do czasu ustalenia przyczyny nie zaleca się formatowania starego dysku, usuwania partycji ani podejmowania prób odzyskiwania klucza metodą przypadkowych zmian konfiguracji.