Czy BitLocker szyfruje cały dysk?

Tak, standardowo BitLocker szyfruje cały wybrany dysk lub partycję, a nie tylko wybrane pliki czy foldery.

Co dokładnie obejmuje szyfrowanie BitLocker

BitLocker szyfruje logiczny wolumin, czyli wybraną partycję widoczną w systemie Windows jako określony dysk, na przykład C: albo D:. Ochrona nie jest ograniczona do pojedynczych dokumentów, katalogów lub rozszerzeń plików. Po włączeniu funkcji system zapisuje dane na tym woluminie w postaci zaszyfrowanej, a ich odczyt odbywa się dopiero po poprawnym odblokowaniu woluminu. W praktyce oznacza to ochronę dokumentów, zdjęć, programów, plików tymczasowych, pliku stronicowania oraz innych danych zapisanych na chronionej partycji. Samo określenie „cały dysk” bywa jednak skrótem myślowym: BitLocker może obejmować cały wybrany wolumin, ale nie musi automatycznie szyfrować wszystkich partycji znajdujących się na fizycznym nośniku.

Na jednym fizycznym SSD lub HDD mogą znajdować się różne partycje. Partycja systemowa z literą C: może być zaszyfrowana, podczas gdy partycja odzyskiwania, partycja EFI albo dodatkowy wolumin danych pozostają zarządzane osobno. W przypadku nośników USB i innych dysków wymiennych stosuje się BitLocker To Go, który również szyfruje wskazany wolumin wymienny. Dlatego podczas konfiguracji trzeba sprawdzić, który dysk lub wolumin został wybrany, a nie zakładać, że pojedyncze włączenie BitLockera obejmuje każdy obszar fizycznego urządzenia.

Pełne szyfrowanie a opcja szyfrowania używanego miejsca

BitLocker oferuje między innymi tryb szyfrowania całego woluminu oraz tryb szyfrowania wyłącznie używanego miejsca. W pierwszym wariancie proces obejmuje również sektory, które w danym momencie nie zawierają aktywnych plików. Taki sposób jest właściwy zwłaszcza dla dysku, który wcześniej zawierał dane albo był używany, ponieważ zmniejsza ryzyko pozostawienia możliwych do odzyskania pozostałości po skasowanych plikach. Pełne szyfrowanie może trwać dłużej, ponieważ system musi przetworzyć większą część woluminu.

Opcja szyfrowania używanego miejsca może przyspieszyć przygotowanie nowego komputera lub świeżo utworzonego woluminu. Nie oznacza to jednak, że później zapisywane pliki pozostają jawne. Nowe dane trafiają na zaszyfrowany wolumin i są chronione przez BitLocker. Różnica dotyczy przede wszystkim sektorów, które były wolne w chwili rozpoczęcia operacji. Jeżeli na używanym dysku wcześniej znajdowały się poufne pliki, a następnie je usunięto, wybór szyfrowania tylko zajętego miejsca może nie zapewnić takiego samego poziomu ochrony pozostałości danych jak szyfrowanie całego woluminu.

Co dzieje się z danymi po zablokowaniu woluminu

BitLocker działa na poziomie woluminu i przeprowadza szyfrowanie podczas zapisu oraz odszyfrowywanie podczas prawidłowego odczytu. Użytkownik korzystający z odblokowanego systemu zwykle otwiera pliki w zwykły sposób, ponieważ Windows udostępnia aplikacjom dane po pomyślnym uwierzytelnieniu. Po wyłączeniu komputera albo zablokowaniu chronionego woluminu osoba, która wyjmie dysk i podłączy go do innego systemu, nie powinna móc odczytać jego zawartości bez odpowiedniego klucza lub metody odblokowania. Samo podłączenie nośnika do komputera nie zastępuje uwierzytelnienia BitLockera.

W przypadku dysku systemowego odblokowanie może być powiązane z modułem TPM, kodem PIN, hasłem lub kluczem startowym, zależnie od konfiguracji systemu Windows i zasad zabezpieczeń. TPM nie jest miejscem przechowywania wszystkich zaszyfrowanych plików i nie „szyfruje folderów” — pomaga zweryfikować środowisko uruchamiania oraz udostępnić materiał kluczowy w określonych warunkach. Przy zmianie płyty głównej, ustawień firmware, kolejności uruchamiania lub innych elementów wpływających na pomiar startu system może zażądać klucza odzyskiwania. Klucz odzyskiwania należy przechowywać poza szyfrowanym dyskiem, ponieważ jego brak może uniemożliwić dostęp do danych po wystąpieniu problemu z normalnym odblokowaniem.

Sprawdzenie zakresu ochrony i bezpieczna obsługa

Zakres szyfrowania można zweryfikować w ustawieniach systemu Windows albo za pomocą narzędzi systemowych BitLockera. Polecenie manage-bde -status pokazuje między innymi literę woluminu, stan ochrony, procent zaszyfrowanej zawartości oraz rodzaj szyfrowania. Przydatne jest również sprawdzenie, czy ochrona dotyczy właściwej partycji i czy stan woluminu to „Fully Encrypted”, a nie tylko etap trwającej konwersji. Przed zmianą dysku, resetem komputera lub modyfikacją ustawień sprzętowych warto potwierdzić dostępność klucza odzyskiwania. Bez tego można pomylić poprawnie działające szyfrowanie z utratą danych, gdy system przejdzie w tryb odzyskiwania.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, w tym sprawdzaniem stanu szyfrowania BitLocker, przygotowaniem kopii klucza odzyskiwania oraz diagnostyką problemów z dostępem do zaszyfrowanego woluminu. Podczas serwisowania nie należy samodzielnie formatować dysku ani usuwać partycji tylko dlatego, że komputer żąda klucza odzyskiwania. Takie działania mogą zniszczyć strukturę danych, a prawidłowa kolejność obejmuje najpierw ustalenie modelu blokady, identyfikację właściwego woluminu i sprawdzenie, czy dostępny jest prawidłowy klucz.