Nie działa automatyczne odblokowywanie

Niedziałające automatyczne odblokowywanie (BitLocker) wskazuje na brak zapisanego klucza w module TPM po zmianie konfiguracji sprzętowej.

Nie działa automatyczne odblokowywanie BitLocker

Komunikat „Nie działa automatyczne odblokowywanie” zwykle oznacza, że system Windows nie może potwierdzić warunków, przy których wcześniej zezwalał na automatyczny dostęp do zaszyfrowanego dysku. BitLocker nie przechowuje hasła w zwykłym miejscu dostępnym dla użytkownika. Do sprawdzenia tożsamości urządzenia wykorzystywany jest między innymi moduł TPM, czyli układ zabezpieczający przechowujący informacje potrzebne do uruchomienia systemu w określonej konfiguracji. Gdy konfiguracja ulegnie zmianie, moduł może uznać, że bieżące środowisko startowe nie odpowiada wcześniejszym warunkom.

Nie oznacza to automatycznie utraty danych ani uszkodzenia całego dysku. Problem dotyczy najczęściej mechanizmu uwierzytelniania uruchamianego przed załadowaniem systemu. Jeżeli wymagane elementy zabezpieczenia nie zostaną rozpoznane, pojawia się prośba o klucz odzyskiwania BitLocker, dodatkowy kod albo ręczne potwierdzenie dostępu. Klucz odzyskiwania jest odrębnym, długim ciągiem znaków i nie powinien być zastępowany przypadkowym hasłem do konta systemowego.

Automatyczne odblokowanie może przestać działać po aktualizacji ustawień oprogramowania układowego, zmianie trybu uruchamiania, modyfikacji ustawień zabezpieczeń, wymianie płyty głównej, zmianie podzespołów albo wyczyszczeniu danych modułu TPM. Czasami przyczyną jest również nieudana aktualizacja systemu lub niezgodność pomiędzy informacjami zapisanymi w konfiguracji rozruchowej a faktycznym stanem urządzenia.

Nie działa odblokowywanie a TPM, UEFI i konfiguracja startowa

Mechanizm BitLocker sprawdza kilka elementów jednocześnie. Znaczenie może mieć stan modułu TPM, tryb UEFI, kolejność uruchamiania, funkcja bezpiecznego rozruchu oraz integralność menedżera startowego Windows. Jeżeli choć jeden z tych elementów został zmieniony, wcześniejsze dane pomiarowe mogą przestać pasować do aktualnej konfiguracji. W takiej sytuacji zabezpieczenie działa zgodnie z przeznaczeniem: zamiast udostępnić dysk bez dodatkowego potwierdzenia, wymaga klucza odzyskiwania.

Warto odróżnić kilka podobnych sytuacji. Jeżeli system uruchamia się dopiero po wpisaniu klucza odzyskiwania, problem może dotyczyć ochrony startu, a nie samego systemu plików. Jeżeli system nie przechodzi dalej nawet po podaniu prawidłowego klucza, możliwe są dodatkowe trudności z dyskiem, rozruchem lub uszkodzeniem plików systemowych. Jeżeli po każdym restarcie pojawia się żądanie tego samego klucza, przyczyną może być nieprawidłowo zapisana relacja pomiędzy modułem TPM a ochroną woluminu.

Różnica między szyfrowaniem całego dysku a szyfrowaniem pojedynczego folderu ma tutaj duże znaczenie. BitLocker chroni wolumin i działa na etapie uruchamiania urządzenia, natomiast rozwiązania szyfrujące wybrane pliki mogą wymagać hasła dopiero po zalogowaniu. W przypadku szyfrowania dysku nie należy formatować nośnika ani usuwać partycji rozruchowych przed sprawdzeniem, czy dostępny jest klucz odzyskiwania. Takie działania mogą utrudnić późniejsze odzyskanie danych.

Po zmianie płyty głównej lub wyzerowaniu TPM może powstać nowe środowisko kryptograficzne. Samo ponowne włączenie modułu nie zawsze przywraca poprzedni stan. Konieczne może być odtworzenie konfiguracji ochrony, zawieszenie i ponowne wznowienie zabezpieczenia albo ponowne zaszyfrowanie woluminu. Zakres działań zależy od tego, czy system jest dostępny, czy klucz odzyskiwania został zapisany oraz czy wcześniejsza konfiguracja została zachowana.

Nie działa automatyczne odblokowywanie po zmianie sprzętu

Jednym z częstszych scenariuszy jest uruchomienie problemu po modernizacji urządzenia. Dotyczy to między innymi wymiany płyty głównej, aktualizacji ustawień UEFI, zmiany trybu zgodności rozruchu albo przywrócenia ustawień fabrycznych oprogramowania układowego. Czasami nawet pozornie niewielka zmiana ustawień zabezpieczeń powoduje, że moduł TPM odczytuje start systemu jako odmienny od wcześniejszego.

Do typowych objawów należy ekran z żądaniem klucza odzyskiwania, powtarzające się pytanie o ten sam klucz, brak możliwości przejścia do ekranu logowania oraz komunikat o zmianie ustawień zabezpieczeń. Może pojawić się także sytuacja, w której system uruchamia się po ręcznym odblokowaniu, lecz przy kolejnym restarcie ponownie wymaga potwierdzenia. Należy zapisać pełną treść komunikatu i zanotować, po jakim zdarzeniu wystąpiła zmiana.

Inny wariant wiąże się z aktualizacją systemu lub oprogramowania układowego. Aktualizacja może zmienić komponent odpowiedzialny za rozruch, odświeżyć dane pomiarowe albo przywrócić ustawienie, którego wcześniej nie używano. Nie powinno się wtedy wielokrotnie wyłączać i włączać modułu TPM bez ustalenia, czy klucz odzyskiwania został wcześniej zabezpieczony. Wyczyszczenie TPM może spowodować utratę możliwości automatycznego rozpoznania dotychczasowej konfiguracji.

Problemy mogą również wynikać z uszkodzenia plików rozruchowych, błędów na nośniku, niekompletnej aktualizacji lub niezgodności ustawień szyfrowania. Sam ekran BitLocker nie przesądza, która z tych przyczyn występuje. Potrzebne jest sprawdzenie kolejnych etapów uruchamiania, stanu woluminu, komunikatów systemowych oraz dostępnych metod odzyskiwania.

Nie działa odblokowywanie: bezpieczne czynności diagnostyczne

Najważniejszym krokiem jest znalezienie klucza odzyskiwania BitLocker. Mógł zostać zapisany na koncie Microsoft, wydrukowany, zapisany na nośniku wymiennym albo przechowany w dokumentacji przygotowanej podczas konfiguracji urządzenia. Należy porównać identyfikator wyświetlany na ekranie z identyfikatorem przypisanym do klucza. Nie powinno się wpisywać losowych ciągów ani usuwać zapisanych kopii przed potwierdzeniem, że właściwy klucz działa.

Po uzyskaniu dostępu warto wykonać kopię ważnych danych na niezależny nośnik. Jeżeli system uruchamia się niestabilnie, należy ograniczyć zbędne restarty i nie przeprowadzać kolejnych zmian konfiguracyjnych bez przygotowania kopii. W przypadku ważnych dokumentów, zdjęć lub projektów pierwszeństwo powinno mieć zabezpieczenie danych, a dopiero później naprawa automatycznego mechanizmu.

Można sprawdzić, czy problem pojawił się po konkretnej zmianie: aktualizacji, podłączeniu nowego elementu, zmianie ustawień startowych albo przywróceniu konfiguracji. Przydatne jest również sprawdzenie, czy data i godzina w oprogramowaniu układowym są prawidłowe oraz czy nośnik z systemem pozostaje ustawiony jako podstawowe urządzenie startowe. Takie czynności powinny być wykonywane ostrożnie, ponieważ niektóre zmiany mogą ponownie uruchomić żądanie klucza.

Nie zaleca się formatowania dysku, usuwania partycji, czyszczenia TPM ani wyłączania szyfrowania bez potwierdzenia, że dane są dostępne i zabezpieczone. Nie należy także kasować zawartości modułu TPM wyłącznie dlatego, że automatyczne odblokowywanie przestało działać. Taka operacja może usunąć informacje potrzebne do dotychczasowego uwierzytelniania i zwiększyć zakres problemu.

Jeżeli po podaniu klucza system uruchamia się, lecz mechanizm nadal nie działa, można zaplanować ponowną konfigurację ochrony BitLocker. Przed jej wykonaniem trzeba ustalić, czy urządzenie korzysta z konta lokalnego, konta Microsoft lub innego sposobu zarządzania zabezpieczeniami. W środowisku domowym i firmowym dostępne ustawienia mogą się różnić, dlatego nie powinno się stosować instrukcji przeznaczonej dla innego wariantu systemu.

Kiedy zgłosić Nie działa automatyczne odblokowywanie do serwisu

Zgłoszenie do serwisu jest uzasadnione, gdy nie ma pewności, gdzie zapisano klucz odzyskiwania, urządzenie żąda klucza po każdym uruchomieniu, wystąpiła wymiana płyty głównej albo system nie startuje mimo prawidłowego klucza. Wskazaniem do diagnostyki jest także podejrzenie problemu z dyskiem, plikami rozruchowymi, modułem TPM lub ustawieniami UEFI. Szczególnej ostrożności wymaga sytuacja, w której dane są ważniejsze niż szybkie przywrócenie samego systemu.

Przed przekazaniem urządzenia warto przygotować opis ostatnich zmian, treść komunikatu oraz informację, czy klucz odzyskiwania jest dostępny. Nie powinno się podawać klucza w przypadkowych wiadomościach ani przechowywać go w miejscu dostępnym dla niepowołanych osób. Jeżeli nie ma pewności, czy problem dotyczy szyfrowania, można przekazać urządzenie do Warszawskiego Pogotowia Komputerowego 24/7, gdzie zostanie oceniona konfiguracja zabezpieczeń i możliwość bezpiecznego przywrócenia uruchamiania.

W toku diagnostyki sprawdza się stan nośnika, integralność rozruchu, ustawienia UEFI, działanie TPM oraz zgodność konfiguracji z ochroną BitLocker. Jeżeli system działa, analizuje się także powtarzalność problemu i sposób zapisania klucza. W przypadku braku dostępu do danych nie powinno się obiecywać odzyskania bez wcześniejszego ustalenia stanu dysku i dostępnych zabezpieczeń. Szyfrowanie może uniemożliwić odczyt danych bez właściwego klucza, nawet gdy sam nośnik pozostaje sprawny.

Po przywróceniu dostępu należy sprawdzić, czy automatyczne odblokowywanie działa po ponownym uruchomieniu, czy klucz odzyskiwania jest ponownie dostępny oraz czy wykonano kopię ważnych danych. Dobrą praktyką jest przechowywanie informacji odzyskiwania w bezpiecznym, niezależnym miejscu i odnotowanie zmian sprzętowych lub systemowych, które mogą w przyszłości wpłynąć na działanie BitLocker.