Klucz BitLocker nie działa po zmianie platformy

Klucz BitLocker nie działa po zmianie platformy wskazuje, że szyfrowanie było powiązane z konkretnym modułem TPM — po wymianie płyty głównej wymaga to klucza odzyskiwania, nie standardowego hasła.

Co oznacza komunikat, że klucz BitLocker nie działa po zmianie platformy

Komunikat „Klucz BitLocker nie działa po zmianie platformy” oznacza najczęściej, że zaszyfrowany dysk został uruchomiony w innym środowisku sprzętowym niż to, w którym wcześniej zapisano dane zabezpieczające. Szyfrowanie BitLocker korzysta między innymi z modułu TPM, ustawień firmware oraz informacji o konfiguracji uruchamiania systemu. Po wymianie płyty głównej, zmianie trybu startowego albo przywróceniu ustawień UEFI komputer może zostać potraktowany jako urządzenie o zmienionej tożsamości.

W takiej sytuacji standardowe hasło używane do logowania do systemu Windows nie musi wystarczyć do odblokowania partycji. Potrzebny jest klucz odzyskiwania BitLocker, czyli długi kod zapisany wcześniej na koncie Microsoft, koncie organizacyjnym, wydruku, nośniku USB albo w innym bezpiecznym miejscu. Nie należy utożsamiać go z kodem PIN, hasłem użytkownika ani numerem seryjnym komputera.

Samo pojawienie się ekranu odzyskiwania nie oznacza jeszcze uszkodzenia plików. Oznacza zmianę warunków, na podstawie których system automatycznie udostępniał dostęp do zaszyfrowanego woluminu. Dopóki nie zostanie użyty prawidłowy klucz i nie zostaną wykonane pochopne operacje na partycjach, dane mogą pozostawać nienaruszone.

Dlaczego zmiana sprzętu wpływa na działanie BitLocker

BitLocker może wiązać automatyczne odblokowanie z modułem TPM znajdującym się na płycie głównej. Moduł ten przechowuje lub pośredniczy w ochronie elementów potrzebnych do potwierdzenia, że komputer uruchamia się w zaufanej konfiguracji. Wymiana płyty głównej powoduje zmianę tego środowiska, dlatego wcześniej zapisane zabezpieczenia nie są już rozpoznawane w taki sam sposób.

Podobny skutek może wywołać przełączenie trybu uruchamiania z UEFI na Legacy, wyłączenie modułu TPM, zmiana ustawień Secure Boot, aktualizacja lub reset firmware, wymiana procesora, modyfikacja kolejności startowej albo odtworzenie ustawień fabrycznych UEFI. W niektórych przypadkach system reaguje także na zmianę dysku między komputerami, nawet jeśli sam nośnik i instalacja Windows pozostały bez zmian.

Po poprawnym wpisaniu klucza odzyskiwania można uzyskać dostęp do danych, ale nie zawsze kończy to sprawę. Jeżeli sprzęt ma być dalej używany w nowej konfiguracji, warto sprawdzić stan ochrony, ponownie zarejestrować zaufane środowisko TPM i upewnić się, że system korzysta z właściwych ustawień uruchamiania. Czasem konieczne jest także zawieszenie ochrony na czas zmian, a następnie jej ponowne włączenie.

Przed rozpoczęciem pracy warto ustalić, czy chodzi o jednorazowe żądanie klucza po zmianie sprzętu, czy o powtarzający się problem przy każdym uruchomieniu. Stałe powracanie ekranu odzyskiwania może wskazywać na niezgodność ustawień firmware, problemy z modułem TPM, błędną konfigurację rozruchu lub niepełną rejestrację nowej platformy.

Typowe problemy i błędy przy odzyskiwaniu dostępu - Klucz BitLocker nie działa po zmianie platformy

Najczęstszym problemem jest brak właściwego klucza odzyskiwania. W przypadku konta Microsoft należy sprawdzić listę zapisanych urządzeń i identyfikator klucza widoczny na ekranie BitLocker. Sam fakt posiadania kilku kodów nie wystarcza, ponieważ każdy klucz jest przypisany do konkretnego chronionego woluminu. Należy porównać identyfikator wyświetlany przez komputer z identyfikatorem zapisanym przy danym kluczu.

Trudności mogą pojawić się także wtedy, gdy używane konto nie jest tym samym kontem, na którym zapisano klucz. Kod może znajdować się na innym profilu użytkownika, na koncie używanym wcześniej do konfiguracji systemu albo w dokumentacji przekazanej przy zakupie urządzenia. W środowisku, w którym komputer był zarządzany centralnie, klucz może być przechowywany przez administratora zamiast na prywatnym koncie użytkownika.

Nieprawidłowe działania mogą pogorszyć sytuację. Nie należy formatować dysku, usuwać partycji, inicjalizować nośnika ani instalować systemu od nowa przed ustaleniem, gdzie zapisano klucz odzyskiwania. Nie powinno się również wielokrotnie zmieniać ustawień UEFI bez zanotowania stanu wyjściowego. Takie czynności mogą utrudnić rozpoznanie przyczyny i doprowadzić do utraty danych, jeżeli nie istnieje niezależna kopia zapasowa.

Jeśli klucz jest akceptowany, ale Windows nadal nie startuje, problem może dotyczyć nie tylko szyfrowania. Możliwe są uszkodzenia danych rozruchowych, niezgodność trybu partycjonowania, błędna kolejność urządzeń startowych albo uszkodzenie systemu plików. Wtedy konieczne jest oddzielenie etapu odblokowania woluminu od etapu naprawy uruchamiania systemu. Próba naprawy bez potwierdzenia, że nośnik został właściwie odblokowany, może prowadzić do błędnej oceny stanu danych.

Po odzyskaniu dostępu zaleca się sprawdzenie, czy klucz odzyskiwania został zapisany w co najmniej jednym bezpiecznym miejscu, a kopia najważniejszych plików została wykonana na innym nośniku. Warto również zanotować ustawienia UEFI, status TPM i sposób logowania, aby kolejna zmiana sprzętu nie zaskoczyła użytkownika.

Kiedy trzeba poprosić o ocenę stanu sprzętu - Klucz BitLocker nie działa po zmianie platformy

Do serwisu warto zgłosić się wtedy, gdy po wymianie płyty głównej lub innego istotnego elementu pojawia się ekran odzyskiwania BitLocker, a nie ma pewności, który klucz jest właściwy. Pomoc jest szczególnie wskazana, gdy na dysku znajdują się ważne dokumenty, nie wykonano aktualnej kopii zapasowej albo komputer uruchamia się naprzemiennie i raz żąda kodu, a raz wyświetla błąd rozruchu.

Podczas przyjmowania urządzenia można ustalić zakres wykonanych zmian, odczytać identyfikator klucza z ekranu BitLocker, sprawdzić ustawienia UEFI i TPM oraz rozdzielić problem z szyfrowaniem od problemu z samym systemem. Nie powinno się przekazywać przypadkowych kodów ani wykonywać operacji kasowania danych bez potwierdzenia, że odzyskanie dostępu nie jest już możliwe.

W Warszawie takie przypadki obsługuje między innymi Warszawskie Pogotowie Komputerowe 24/7, gdzie naprawy z reguły zamykają się w czasie do trzech dni roboczych. Przed rozpoczęciem prac można ustalić, czy celem jest samo przywrócenie uruchamiania, zabezpieczenie danych, konfiguracja nowej płyty głównej, czy pełna weryfikacja ochrony BitLocker po zmianie platformy.

Jeżeli klucz odzyskiwania nie został nigdzie zapisany, jego odtworzenie nie jest zwykłą czynnością serwisową. BitLocker został zaprojektowany tak, aby uniemożliwić obejście ochrony bez właściwego klucza. W takim przypadku można jeszcze sprawdzić wszystkie prawdopodobne lokalizacje kopii, konta użytkowników oraz dokumentację urządzenia, ale nie należy obiecywać dostępu do danych bez potwierdzenia, że klucz istnieje.