Czy BitLocker współpracuje z Windows Hello?

Tak, BitLocker współpracuje z Windows Hello — zalogowanie się metodą biometryczną lub PIN-em odblokowuje dostęp do systemu, a tym samym do zaszyfrowanego dysku.

Czy BitLocker współpracuje z Windows Hello?

BitLocker może współdziałać z Windows Hello, ale oba mechanizmy odpowiadają za różne etapy ochrony komputera. BitLocker szyfruje zawartość dysku, dzięki czemu zapisane na nim pliki nie powinny być dostępne po wyjęciu nośnika i podłączeniu go do innego urządzenia. Windows Hello służy natomiast do potwierdzania tożsamości użytkownika w systemie Windows za pomocą kodu PIN, odcisku palca albo rozpoznawania twarzy, jeśli komputer ma odpowiednie wyposażenie.

W typowym komputerze z modułem TPM uruchomienie urządzenia i odblokowanie zaszyfrowanego woluminu odbywa się jeszcze przed pełnym załadowaniem systemu. Dopiero później wyświetlany jest ekran logowania Windows, na którym można użyć Windows Hello. Z tego powodu PIN Windows Hello nie zawsze jest tym samym kodem, który pojawia się przy żądaniu klucza odzyskiwania BitLocker. Oba elementy mogą być używane na jednym komputerze, lecz pełnią odmienne funkcje i nie powinny być traktowane jako jeden mechanizm.

Jak wygląda zależność między BitLockerem, TPM i Windows Hello?

BitLocker najczęściej korzysta z modułu TPM do przechowywania informacji potrzebnych do bezpiecznego sprawdzenia środowiska startowego. Jeżeli konfiguracja sprzętowa i ustawienia rozruchu są zgodne z zapisanym stanem urządzenia, system może rozpocząć pracę bez ręcznego wpisywania długiego klucza odzyskiwania. Windows Hello przejmuje znaczenie dopiero przy uwierzytelnianiu konta użytkownika, już po uruchomieniu systemu i udostępnieniu ekranu logowania.

W praktyce możliwy jest więc następujący przebieg: komputer sprawdza warunki wymagane przez BitLocker, odszyfrowuje dostęp do partycji systemowej, uruchamia Windows, a następnie pozwala zalogować się kodem PIN Windows Hello lub metodą biometryczną. Jeżeli zastosowano dodatkowy kod PIN BitLockera przed startem systemu, może on być wyświetlany na osobnym ekranie i nie musi odpowiadać PIN-owi używanemu w Windows Hello.

Warto rozróżnić także logowanie bez hasła od odzyskiwania dostępu. Windows Hello może zastąpić hasło podczas codziennego logowania, jednak nie zastępuje klucza odzyskiwania BitLocker. Klucz ten pozostaje potrzebny w sytuacjach, w których zmieni się płyta główna, ustawienia UEFI, kolejność rozruchu, moduł TPM lub inne elementy oceniane podczas startu. Sam fakt, że odcisk palca albo twarz działały wcześniej, nie gwarantuje pominięcia procedury odzyskiwania po zmianie stanu zabezpieczeń.

Typowe problemy przy jednoczesnym używaniu BitLockera i Windows Hello

Jednym z częstszych nieporozumień jest przekonanie, że odcisk palca powinien odblokować dysk przed uruchomieniem Windows. Biometria Windows Hello jest zwykle dostępna dopiero wtedy, gdy system operacyjny został uruchomiony i może wczytać odpowiednie składniki. Jeżeli BitLocker zatrzyma start komputera i poprosi o klucz odzyskiwania, czytnik linii papilarnych ani kamera obsługująca Windows Hello nie muszą być jeszcze aktywne.

Problem może pojawić się również po aktualizacji oprogramowania układowego, zmianie ustawień bezpiecznego rozruchu albo wymianie podzespołu. BitLocker może wtedy uznać, że warunki uruchomienia różnią się od wcześniej zapamiętanych. W takim przypadku wymagany bywa klucz odzyskiwania przypisany do konkretnego urządzenia. Brak tego klucza może znacząco utrudnić dostęp do danych, dlatego powinno się sprawdzić, gdzie został zapisany, zanim zostaną wykonane większe zmiany w konfiguracji.

Inny błąd polega na usunięciu lub ponownym utworzeniu PIN-u Windows Hello i założeniu, że wpłynie to na szyfrowanie dysku. Zmiana metody logowania do konta nie jest tym samym co zmiana ustawień BitLockera. Podobnie wyłączenie Windows Hello nie oznacza automatycznego wyłączenia szyfrowania, a włączenie Windows Hello nie tworzy kopii klucza odzyskiwania. Każdą z tych funkcji należy sprawdzać osobno w ustawieniach zabezpieczeń systemu.

Niepokój może wywołać także komunikat o konieczności wpisania klucza po restarcie. Jednorazowe żądanie nie musi oznaczać uszkodzenia dysku, ale powtarzające się monity mogą wskazywać na niezgodność ustawień TPM, UEFI lub kolejności startowej. Przed próbą wyłączania ochrony, czyszczenia modułu TPM albo resetowania zabezpieczeń powinno się zabezpieczyć ważne dane i upewnić się, że klucz odzyskiwania jest dostępny.

Kiedy warto zgłosić się do serwisu? - Czy BitLocker współpracuje z Windows Hello

Zgłoszenie do serwisu jest uzasadnione, gdy komputer po włączeniu żąda klucza odzyskiwania BitLocker, mimo że wcześniej uruchamiał się prawidłowo, albo gdy po zalogowaniu przez Windows Hello nie można otworzyć zaszyfrowanych plików. Pomoc może być potrzebna również wtedy, gdy nie wiadomo, czy wyświetlany PIN dotyczy BitLockera, Windows Hello czy konta użytkownika. Rozdzielenie tych mechanizmów pozwala ograniczyć ryzyko przypadkowego usunięcia kluczy, wyczyszczenia TPM lub utraty dostępu do danych.

Przed przekazaniem urządzenia powinno się przygotować informacje o ostatnich zmianach: aktualizacji systemu, zmianie ustawień UEFI, wymianie podzespołów, zmianie konta albo ponownej konfiguracji logowania. Jeżeli klucz odzyskiwania jest zapisany na koncie Microsoft, nośniku USB lub wydruku, warto wskazać miejsce jego przechowywania, ale nie należy publikować go w wiadomościach ani przekazywać osobom nieupoważnionym.

W Warszawskim Pogotowiu Komputerowym 24/7 można skonsultować przypadki, w których BitLocker i Windows Hello działają niezgodnie z oczekiwaniami, w tym problemy z rozruchem, TPM, PIN-em oraz dostępem do zaszyfrowanej partycji. W przypadku laptopa dostępna jest darmowa diagnoza laptopa, co pozwala najpierw ustalić, czy przyczyną jest konfiguracja zabezpieczeń, błąd systemu, problem z modułem TPM czy usterka nośnika danych.