Czy BitLocker szyfruje MBR czy tylko dane?

BitLocker szyfruje cały wolumin danych, w tym strukturę systemu plików — nie ogranicza się do samego MBR/GPT, które pozostają czytelne, żeby system w ogóle mógł rozpocząć proces rozruchu.

BitLocker a MBR, GPT i rzeczywiste dane na dysku

BitLocker jest mechanizmem szyfrowania stosowanym w systemie Windows, którego zadaniem jest ochrona zawartości wybranego woluminu przed odczytem bez odpowiedniego klucza. Nie należy jednak upraszczać jego działania do stwierdzenia, że szyfrowany jest wyłącznie MBR albo że cały dysk staje się od początku do końca nieczytelny. W praktyce chronione są przede wszystkim dane zapisane na szyfrowanym woluminie, w tym pliki użytkownika, katalogi, zawartość systemu plików oraz elementy systemu Windows znajdujące się na tej części nośnika.

MBR, czyli główny sektor rozruchowy w układzie partycji MBR, nie pełni funkcji magazynu danych użytkownika. W komputerach korzystających z układu GPT uruchamianie systemu opiera się natomiast na innych strukturach, między innymi na partycji systemowej EFI. Informacje potrzebne do rozpoczęcia startu komputera muszą pozostać dostępne w zakresie umożliwiającym odnalezienie środowiska rozruchowego i przeprowadzenie weryfikacji. Z tego powodu nie można traktować MBR, GPT ani partycji rozruchowej jako prostego odpowiednika zaszyfrowanego woluminu danych.

Po włączeniu ochrony BitLocker system przygotowuje procedurę, w której sprawdzana jest integralność środowiska startowego, a następnie uzyskiwany jest dostęp do zaszyfrowanej zawartości. Jeżeli konfiguracja komputera odpowiada oczekiwanemu stanowi, odblokowanie może odbyć się automatycznie z użyciem modułu TPM. Przy zmianie określonych ustawień sprzętowych, wymianie podzespołów, modyfikacji konfiguracji rozruchu albo wystąpieniu problemu z zabezpieczeniami może zostać zażądany klucz odzyskiwania.

Co dokładnie pozostaje czytelne podczas rozruchu

Rozruch komputera wymaga istnienia niewielkiego, dostępnego obszaru, z którego firmware może rozpocząć procedurę uruchamiania. W starszym schemacie partycjonowania jest to powiązane z MBR, a w nowszym z GPT oraz partycją EFI. Te elementy opisują układ nośnika i wskazują, gdzie znajdują się składniki potrzebne do uruchomienia systemu. Ich obecność nie oznacza, że pliki użytkownika są dostępne bez ochrony.

Po przejściu przez etap rozruchu następuje próba odblokowania właściwego woluminu. Dopiero wtedy system może normalnie odczytywać dane znajdujące się na zaszyfrowanej partycji. Osoba, która podłączy taki dysk do innego komputera, zwykle zobaczy informacje techniczne dotyczące podziału nośnika, ale bez klucza nie powinna uzyskać zwykłego dostępu do chronionej zawartości plików.

Warto rozróżnić trzy warstwy działania:

• struktura partycjonowania — opisuje, jak podzielony jest nośnik i gdzie znajdują się poszczególne obszary;
• środowisko rozruchowe — pozwala rozpocząć uruchamianie systemu oraz przeprowadzić kontrolę integralności;
• wolumin objęty BitLockerem — zawiera szyfrowane dane, których odczyt wymaga prawidłowego odblokowania.

W systemie z partycjami GPT nie powinno się utożsamiać całego procesu z klasycznym MBR. Sam termin MBR bywa używany potocznie jako określenie początku dysku, chociaż technicznie znaczenie ma także sposób uruchamiania komputera, typ firmware oraz rozmieszczenie partycji. Dlatego odpowiedź na pytanie o BitLocker powinna uwzględniać konkretną konfigurację, a nie tylko nazwę pierwszego sektora dysku.

Typowe błędy przy ocenie szyfrowania

Częstym nieporozumieniem jest założenie, że skoro komputer wyświetla nazwę dysku albo podstawowe informacje o partycjach, to dane muszą być nieszyfrowane. Widoczność układu nośnika nie jest równoznaczna z możliwością otwarcia dokumentów, profilu użytkownika czy plików systemowych. Do oceny ochrony należy sprawdzić stan BitLockera dla właściwego woluminu, a nie tylko to, czy dysk jest wykrywany przez firmware lub narzędzie instalacyjne.

Inny błąd polega na usuwaniu albo formatowaniu partycji rozruchowej w przekonaniu, że naprawi to problem z blokadą. Taka operacja może zmienić warunki, na podstawie których system powinien zostać odblokowany, a w niektórych przypadkach doprowadzić do dodatkowych komplikacji przy odzyskiwaniu dostępu. Zanim zostaną zmienione partycje, ustawienia firmware lub tryb uruchamiania, należy ustalić, czy dostępny jest klucz odzyskiwania oraz czy dane mają zostać zachowane.

Do podobnych pomyłek dochodzi po wymianie płyty głównej, zmianie ustawień zabezpieczeń, aktualizacji firmware albo przełożeniu dysku do innego urządzenia. Dla mechanizmu ochrony może to wyglądać jak zmiana środowiska startowego, nawet jeśli sam nośnik i system plików nie zostały uszkodzone. Pojawienie się ekranu z prośbą o klucz odzyskiwania nie musi zatem oznaczać utraty danych ani awarii szyfrowania.

Należy też odróżnić szyfrowanie woluminu systemowego od szyfrowania dodatkowego woluminu z danymi. Każdy z nich może mieć odrębny stan ochrony, a dostęp do jednego nie musi oznaczać odblokowania drugiego. Przy analizie problemu znaczenie ma również to, czy system uruchamia się prawidłowo, czy dysk jest widoczny, czy pojawia się żądanie klucza oraz czy występują komunikaty dotyczące uszkodzenia systemu plików.

Kiedy najlepiej przekazać urządzenie do naprawy - Czy BitLocker szyfruje MBR czy tylko dane

Pomoc serwisowa jest wskazana wtedy, gdy po włączeniu komputera pojawia się żądanie klucza odzyskiwania, system zatrzymuje się przed ekranem logowania, dysk jest widoczny, ale nie można otworzyć danych, albo po zmianie podzespołów zmieniło się zachowanie mechanizmu BitLocker. Szczególnej ostrożności wymaga sytuacja, w której nie ma pewności, czy klucz odzyskiwania został zapisany na koncie, wydrukowany lub przechowany w innym bezpiecznym miejscu.

Przed rozpoczęciem działań można przygotować podstawowe informacje: model komputera, objawy pojawiające się podczas uruchamiania, ostatnie zmiany sprzętowe lub systemowe oraz komunikat wyświetlany na ekranie. Jeżeli nośnik jest wykrywany, nie należy pochopnie inicjować go ponownie, usuwać partycji ani instalować systemu od zera, ponieważ takie czynności mogą utrudnić odzyskanie istniejącej zawartości.

W Warszawie takie przypadki można przekazać do Warszawskiego Pogotowia Komputerowego 24/7, gdzie analizie podlega zarówno etap rozruchu, jak i stan zabezpieczenia woluminu. Pozwala to rozdzielić problem z MBR, GPT, partycją EFI, konfiguracją firmware lub samym systemem Windows od sytuacji, w której dane są prawidłowo zaszyfrowane, lecz brakuje właściwego sposobu ich odblokowania.

Najważniejsza zasada jest prosta: BitLocker nie szyfruje MBR jako zamiennika danych ani nie ogranicza ochrony do początku dysku. Struktury rozruchowe muszą pozostać dostępne w zakresie potrzebnym do rozpoczęcia startu, natomiast właściwa zawartość chronionego woluminu jest zabezpieczana przed odczytem bez prawidłowego uwierzytelnienia lub klucza odzyskiwania.