Czy BitLocker szyfruje dane użytkownika i systemowe osobno?

BitLocker szyfruje cały wolumin łącznie — nie rozróżnia w praktyce danych użytkownika od plików systemowych na tej samej partycji, obejmując je jednym mechanizmem szyfrowania.

Czym właściwie jest szyfrowanie BitLockerem

BitLocker nie działa jak narzędzie, które wybiera osobno dokumenty użytkownika, a następnie niezależnie zabezpiecza pliki potrzebne do uruchomienia systemu. Jest to szyfrowanie na poziomie woluminu, czyli logicznej części dysku widocznej w systemie Windows jako określona partycja lub dysk. Jeżeli na jednym woluminie znajdują się jednocześnie dokumenty, zdjęcia, profile użytkowników, aplikacje oraz pliki systemowe, wszystkie te elementy są objęte ochroną tego samego woluminu.

W praktyce oznacza to, że nie występuje tu prosty podział na „BitLocker dla danych prywatnych” i „BitLocker dla systemu” w obrębie jednej partycji. Mechanizm zabezpiecza zawartość woluminu jako całość, a dostęp do niej jest kontrolowany przy użyciu kluczy szyfrowania oraz sposobu uwierzytelniania skonfigurowanego dla danego komputera. Dla użytkownika ważny jest więc przede wszystkim zakres szyfrowanego woluminu, a nie rodzaj zapisanych na nim plików.

Nie oznacza to jednak, że cały fizyczny dysk zawsze musi być objęty jednym kluczem. W komputerze mogą znajdować się różne woluminy, na przykład wolumin systemowy oraz oddzielny wolumin przeznaczony na dane. Każdy z nich może być zabezpieczany osobno, z własnym stanem ochrony i własnymi kluczami. Jest to podział wynikający ze struktury nośnika i konfiguracji Windows, a nie z automatycznego rozpoznawania, czy dany plik należy do systemu, czy do użytkownika.

Wolumin systemowy a wolumin danych

Najłatwiej porównać działanie BitLockera do zamknięcia całego pomieszczenia, a nie do zakładania osobnych zamków na każdą szafkę. Gdy system, programy i pliki osobiste znajdują się na jednym woluminie, są chronione wspólnie. Rozdzielenie danych na inną partycję może spowodować, że powstanie drugi niezależny obszar wymagający własnej konfiguracji BitLockera, ale nie zmienia to charakteru szyfrowania wewnątrz każdego woluminu.

Wolumin zawierający Windows ma szczególne znaczenie, ponieważ przed pełnym uruchomieniem systemu musi zostać przeprowadzona kontrola środowiska startowego. W zależności od ustawień sprzętu i zasad zabezpieczeń może być wykorzystywany moduł TPM, kod PIN, klucz odzyskiwania albo inna metoda autoryzacji. Mały obszar rozruchowy może pozostać dostępny w sposób niezbędny do rozpoczęcia procedury startowej, lecz nie oznacza to, że znajdujące się na zaszyfrowanym woluminie pliki systemowe są traktowane jako osobna, niezależnie szyfrowana kategoria danych.

Warto również odróżnić szyfrowanie całego woluminu od szyfrowania pojedynczych plików. BitLocker utrudnia odczyt zawartości nośnika po jego wyłączeniu, wymontowaniu lub podłączeniu do innego środowiska. Nie służy natomiast do nadawania różnych poziomów ochrony konkretnym katalogom ani do selektywnego szyfrowania wybranych dokumentów podczas normalnej pracy zalogowanego użytkownika. Jeżeli potrzebna jest ochrona tylko określonych plików, należy rozważyć inne mechanizmy, dostosowane do takiego zastosowania.

Typowe nieporozumienia i błędy konfiguracyjne

Częstym błędem jest założenie, że włączenie BitLockera na dysku systemowym automatycznie zabezpiecza każdy dodatkowy wolumin z danymi. Takie woluminy mogą wymagać osobnego włączenia ochrony. Podobnie samo wyświetlanie ikony kłódki albo komunikatu o aktywnej ochronie nie zawsze oznacza identyczny stan wszystkich partycji. Sprawdzenia wymaga zakres ochrony, sposób odblokowania oraz obecność klucza odzyskiwania.

Problemy pojawiają się także po zmianach sprzętowych i rozruchowych. Modyfikacja ustawień UEFI, wymiana płyty głównej, zmiana sposobu uruchamiania systemu, aktualizacja oprogramowania układowego albo ingerencja w moduł TPM może zostać uznana za zmianę istotną z punktu widzenia bezpieczeństwa. Wtedy może zostać zażądany klucz odzyskiwania, mimo że hasło użytkownika nie uległo zmianie. Bez tego klucza dostęp do zaszyfrowanych danych może okazać się niemożliwy.

Nie należy też utożsamiać BitLockera z kopią zapasową. Szyfrowanie chroni przed nieuprawnionym odczytem, lecz nie zabezpiecza przed przypadkowym usunięciem plików, awarią nośnika, błędną aktualizacją ani uszkodzeniem systemu plików. Klucz odzyskiwania powinien być przechowywany w bezpiecznym miejscu, a ważne dane powinny mieć niezależną kopię. Przed wyłączeniem ochrony, zmianą partycji lub reinstalacją systemu warto sprawdzić, czy pliki są dostępne i czy klucz odzyskiwania został prawidłowo zapisany.

Wątpliwości może również powodować informacja o szyfrowaniu używanym przez nowy komputer. Niektóre urządzenia uruchamiają ochronę dysku w ramach ustawień systemu lub konta, podczas gdy w innych przypadkach BitLocker pozostaje wyłączony albo działa tylko na wybranym woluminie. Dlatego ocenę należy opierać na rzeczywistym stanie konfiguracji konkretnego urządzenia, a nie wyłącznie na modelu komputera lub wersji Windows.

Kiedy warto oddać urządzenie do diagnozy - Czy BitLocker szyfruje dane użytkownika i systemowe osobno

Pomoc serwisowa jest wskazana, gdy po zmianie podzespołów lub ustawień rozruchu pojawia się żądanie klucza odzyskiwania, nie można ustalić, który wolumin jest zaszyfrowany albo system uruchamia się inaczej niż przed włączeniem ochrony. Sprawdzenia wymaga również sytuacja, w której część danych znajduje się na dodatkowej partycji i nie ma pewności, czy została objęta zabezpieczeniem. Przed formatowaniem, klonowaniem dysku lub przenoszeniem systemu należy najpierw ustalić stan szyfrowania, aby nie utracić dostępu do plików.

W serwisie laptopów i komputerów PC w Warszawie można zlecić analizę konfiguracji BitLockera, ocenę dostępności klucza odzyskiwania oraz sprawdzenie, czy problem dotyczy samego szyfrowania, TPM, ustawień UEFI, dysku czy systemu Windows. Przy laptopie dostępna jest darmowa diagnoza LAPTOPA, co pozwala najpierw ustalić zakres problemu i bezpieczny sposób dalszego postępowania.

Nie powinno się samodzielnie usuwać modułu TPM, wyłączać zabezpieczeń ani rozpoczynać formatowania tylko dlatego, że komputer wyświetla komunikat dotyczący BitLockera. Takie działania mogą doprowadzić do utraty możliwości odblokowania danych. Najpierw warto zabezpieczyć klucz odzyskiwania, określić, które woluminy są chronione, a następnie dopiero planować naprawę, odzyskiwanie dostępu lub zmianę konfiguracji.