Czy BitLocker działa na maszynie wirtualnej?

Tak, BitLocker działa na maszynach wirtualnych, choć obsługa TPM wirtualnego zależy od konfiguracji hipernadzorcy i wersji oprogramowania wirtualizacyjnego.

BitLocker na maszynie wirtualnej — co to oznacza

BitLocker może szyfrować system uruchomiony wewnątrz maszyny wirtualnej, podobnie jak system zainstalowany bezpośrednio na fizycznym komputerze. Mechanizm chroni dane znajdujące się na wirtualnym dysku, dlatego po wyłączeniu lub utracie dostępu do pliku dysku jego zawartość nie powinna być możliwa do odczytania bez odpowiedniego klucza odzyskiwania. Szyfrowanie dotyczy systemu gościa, a nie automatycznie całego komputera, na którym ta maszyna została uruchomiona.

W praktyce trzeba rozróżnić kilka elementów: system gospodarza, system działający w maszynie wirtualnej, wirtualny dysk oraz sposób przechowywania kluczy. BitLocker może działać na partycji systemowej i na dodatkowych woluminach, jednak jego zachowanie zależy od tego, czy środowisko wirtualne udostępnia funkcje wymagane przez daną wersję systemu Windows. Sam fakt uruchomienia systemu jako maszyny wirtualnej nie wyłącza szyfrowania, ale może zmienić sposób potwierdzania zaufanego uruchomienia.

TPM, moduł wirtualny i mechanizm odblokowania

Najwygodniejszy scenariusz występuje wtedy, gdy maszynie wirtualnej można przypisać wirtualny moduł TPM. Taki moduł przechowuje informacje potrzebne do automatycznego odblokowania zaszyfrowanego systemu i pozwala powiązać proces uruchamiania z określoną konfiguracją maszyny. Dostępność tej funkcji zależy od używanego oprogramowania do wirtualizacji, typu firmware, ustawień zabezpieczeń oraz wersji Windows.

Brak wirtualnego TPM nie zawsze oznacza całkowity brak możliwości użycia BitLockera. W takim układzie może być konieczne zastosowanie dodatkowego sposobu uwierzytelniania, na przykład hasła, kodu PIN albo klucza startowego przechowywanego na nośniku. Zmniejsza to wygodę automatycznego uruchamiania, a w niektórych konfiguracjach może wymagać zmiany zasad systemowych. Klucz odzyskiwania powinien zostać zapisany poza maszyną wirtualną, ponieważ przechowywanie jedynej kopii wewnątrz szyfrowanego środowiska utrudnia odzyskanie dostępu po awarii.

Warto również pamiętać, że szyfrowanie wirtualnego dysku nie zabezpiecza wszystkich danych znajdujących się na fizycznym nośniku. Pliki konfiguracyjne, kopie zapasowe, migawki, pliki wymiany oraz eksporty maszyn mogą zawierać informacje umożliwiające odtworzenie części środowiska. Ochrona powinna więc obejmować zarówno system gościa, jak i pliki przechowywane poza nim.

Typowe problemy z BitLockerem w maszynie wirtualnej

Jednym z częstszych problemów jest pojawienie się ekranu odzyskiwania po zmianie ustawień maszyny. Reakcję może wywołać modyfikacja urządzeń wirtualnych, przełączenie trybu firmware, zmiana kolejności rozruchu, odtworzenie starszej migawki albo przeniesienie dysku do innego środowiska. BitLocker może potraktować taką zmianę jako odstępstwo od zaufanej konfiguracji i zażądać klucza odzyskiwania, nawet jeśli sam system nie został uszkodzony.

Kłopoty mogą pojawić się również po skopiowaniu maszyny, zmianie jej identyfikatora lub przywróceniu kopii zapasowej wykonanej przed zapisaniem aktualnych danych modułu zabezpieczeń. Wirtualny TPM powinien być traktowany jako część chronionego środowiska, a nie jako zwykłe urządzenie, które można dowolnie przenosić między kopiami. Niezgodność między dyskiem, konfiguracją maszyny i zapisanymi zabezpieczeniami może zakończyć się żądaniem klucza lub zatrzymaniem startu systemu.

Do diagnostyki przydaje się sprawdzenie stanu ochrony w systemie Windows, obecności modułu TPM, rodzaju partycji rozruchowej oraz komunikatów wyświetlanych podczas uruchamiania. Należy także zweryfikować, czy klucz odzyskiwania został zapisany na koncie lub w lokalizacji dostępnej dla osoby uprawnionej. Bez tego nawet poprawnie działające szyfrowanie może stać się przyczyną utraty dostępu po zmianie konfiguracji.

Kiedy trzeba skorzystać z pomocy serwisu - Czy BitLocker działa na maszynie wirtualnej

Pomoc serwisowa jest wskazana wtedy, gdy maszyna wirtualna przechodzi w tryb odzyskiwania, nie rozpoznaje wirtualnego modułu TPM, przestała uruchamiać się po zmianie ustawień albo wymaga klucza, którego nie można odnaleźć. Przed podjęciem działań nie powinno się usuwać modułu zabezpieczeń, kasować plików konfiguracyjnych ani tworzyć kolejnych kopii bez ustalenia, która wersja środowiska jest właściwa. Takie operacje mogą utrudnić rozpoznanie przyczyny i odzyskanie dostępu.

W Warszawie można w takiej sytuacji skorzystać z pomocy Warszawskiego Pogotowia Komputerowego 24/7, gdzie diagnoza laptopa jest darmowa. Przed przekazaniem urządzenia warto przygotować informacje o używanym systemie Windows, rodzaju środowiska wirtualnego, ostatnich zmianach konfiguracji oraz dostępności klucza odzyskiwania. Pozwala to odróżnić problem z samym szyfrowaniem od awarii wirtualnego dysku, uszkodzenia systemu rozruchowego albo nieprawidłowo odtworzonej kopii.

Jeżeli dane są istotne, zalecane jest wstrzymanie kolejnych prób naprawczych i zabezpieczenie kopii plików maszyny wirtualnej. Odtwarzanie, konwersję dysku lub reset ustawień zabezpieczeń powinno się wykonywać dopiero po ustaleniu, czy celem jest odzyskanie istniejącego systemu, czy przygotowanie nowej instalacji. W przypadku BitLockera różnica ma znaczenie, ponieważ nowa konfiguracja nie zastąpi klucza potrzebnego do otwarcia już zaszyfrowanych danych.