OS LOADER BLOCKED BY POLICY

„OS LOADER BLOCKED BY POLICY” wskazuje na politykę Secure Boot lub BitLocker blokującą załadowanie modułu rozruchowego niezgodnego z ustawieniami zabezpieczeń.

OS LOADER BLOCKED BY POLICY – co oznacza ten komunikat

Komunikat „OS LOADER BLOCKED BY POLICY” informuje, że komputer odmówił uruchomienia systemu, ponieważ element odpowiedzialny za start nie spełnia wymagań zapisanych w konfiguracji zabezpieczeń. Kontrola odbywa się jeszcze przed przejściem do właściwego systemu operacyjnego, dlatego ekran błędu może pojawić się zaraz po włączeniu urządzenia, przed wyświetleniem pulpitu lub ekranu logowania.

Najczęściej chodzi o mechanizm Secure Boot, który sprawdza podpis cyfrowy programu rozruchowego i dopuszcza tylko komponenty uznane za zaufane. Podobny objaw może wystąpić po zmianie ustawień UEFI, aktualizacji firmware, odtworzeniu systemu z kopii, wymianie dysku albo próbie uruchomienia starszego środowiska, którego moduł startowy nie pasuje do aktualnego trybu zabezpieczeń. W niektórych przypadkach znaczenie ma także szyfrowanie urządzenia lub BitLocker, ponieważ zmiana parametrów startowych może zostać potraktowana jako naruszenie oczekiwanej konfiguracji.

Nie jest to zwykle komunikat oznaczający uszkodzenie samego systemu plików. Oznacza raczej, że komputer zatrzymał procedurę rozruchową, zanim możliwe stało się sprawdzenie wszystkich składników systemu. Dokładna przyczyna zależy od modelu płyty głównej, wersji UEFI, sposobu instalacji systemu oraz historii zmian wykonanych na urządzeniu.

Rola Secure Boot, UEFI i BitLocker w procesie uruchamiania

Współczesny komputer rozpoczyna pracę od firmware UEFI. Jego zadaniem jest między innymi wykrycie nośnika, znalezienie wpisu rozruchowego i przekazanie kontroli programowi, który uruchamia system operacyjny. Gdy aktywny jest Secure Boot, przed przekazaniem sterowania weryfikowany jest podpis cyfrowy loadera. Jeżeli podpis jest nieprawidłowy, wygasł, nie znajduje się w zaufanej bazie albo plik został zmodyfikowany, UEFI może przerwać start i wyświetlić informację o zablokowaniu loadera przez politykę.

Ważne jest rozróżnienie trybu UEFI od starszego trybu zgodności z BIOS-em. System zainstalowany w jednym trybie może nie uruchomić się po przełączeniu komputera na drugi, nawet gdy dane na dysku pozostały nienaruszone. Zmiana trybu uruchamiania może również zmienić kolejność wykrywania nośników albo spowodować, że istniejący wpis startowy przestanie wskazywać właściwy plik.

BitLocker i inne mechanizmy szyfrowania sprawdzają, czy środowisko startowe wygląda tak, jak w chwili ustanowienia ochrony. Modyfikacja ustawień UEFI, wyłączenie Secure Boot, podmiana kolejności startu lub wymiana niektórych podzespołów może wywołać żądanie klucza odzyskiwania. Samo podanie klucza nie zawsze rozwiązuje problem, jeżeli loader jest niezgodny z bieżącą polityką bezpieczeństwa albo wpis rozruchowy został usunięty.

Diagnoza powinna więc obejmować zarówno ustawienia firmware, jak i stan partycji rozruchowej. Weryfikuje się między innymi, czy właściwy dysk jest wykrywany, czy istnieje partycja EFI, czy wpis menedżera rozruchu wskazuje poprawny plik oraz czy zabezpieczenia nie zostały zmienione po aktualizacji lub przywracaniu systemu. Przy szyfrowaniu należy zachować ostrożność, aby nie doprowadzić do utraty dostępu do danych przez pochopne czyszczenie modułów bezpieczeństwa.

Typowe sytuacje prowadzące do zablokowania loadera

Jednym z częstych scenariuszy jest uruchamianie systemu po zmianie ustawień w UEFI. Wyłączenie lub ponowne włączenie Secure Boot, przełączenie trybu UEFI i Legacy, przywrócenie ustawień domyślnych albo aktualizacja firmware może zmienić warunki, według których sprawdzany jest loader. Komputer może wtedy wykrywać dysk, lecz nie potrafić zaakceptować znajdującego się na nim programu rozruchowego.

Komunikat może również pojawić się po skopiowaniu instalacji na inny dysk. Jeżeli partycja EFI nie została przeniesiona poprawnie, wpis startowy wskazuje nieistniejący lub niepasujący plik, albo struktura partycji nie odpowiada trybowi uruchamiania, kontrola zabezpieczeń zakończy procedurę przed startem systemu. Podobny problem bywa związany z przywracaniem obrazu, klonowaniem nośnika i narzędziami naprawczymi uruchamianymi z zewnętrznego pendrive’a.

W starszych instalacjach przyczyną może być niepodpisany moduł, zmodyfikowany bootloader albo pozostałość po innym systemie. Dotyczy to także sytuacji, w której aktualizacja systemu została przerwana i nie zakończyła wymiany plików startowych. Uszkodzenie danych na partycji EFI, błędy systemu plików lub problemy z nośnikiem mogą dawać podobny objaw, choć wtedy źródło awarii nie ogranicza się do samej polityki Secure Boot.

Przed rozpoczęciem naprawy warto zanotować dokładną treść komunikatu, sprawdzić, czy pojawia się prośba o klucz odzyskiwania oraz ustalić, jakie zmiany wykonano bezpośrednio przed wystąpieniem problemu. Nie powinno się usuwać partycji, resetować modułu bezpieczeństwa ani wyłączać szyfrowania bez potwierdzenia, że dane są zabezpieczone i dostępny jest właściwy klucz odzyskiwania. Takie działania mogą utrudnić późniejszą rekonstrukcję środowiska startowego.

Kiedy zgłosić OS LOADER BLOCKED BY POLICY do serwisu

Zgłoszenie do serwisu jest wskazane, gdy komputer zatrzymuje się na tym komunikacie po każdorazowym uruchomieniu, nie ma dostępu do pulpitu albo nie wiadomo, czy dysk zawiera aktywne szyfrowanie. Pomoc techniczna jest szczególnie potrzebna wtedy, gdy problem pojawił się po klonowaniu dysku, wymianie nośnika, aktualizacji firmware, przywracaniu obrazu lub zmianie trybu UEFI. W takich przypadkach prawidłowa kolejność czynności ma znaczenie dla zachowania danych.

W ramach diagnostyki można ustalić, czy urządzenie widzi dysk, czy wpis Windows Boot Manager jest obecny, czy partycja EFI jest dostępna oraz czy Secure Boot otrzymuje prawidłowy podpis loadera. Następnie dobiera się zakres naprawy: korektę ustawień UEFI, odtworzenie wpisów rozruchowych, naprawę środowiska startowego, przywrócenie właściwej kolejności bootowania albo bezpieczne odtworzenie systemu z uwzględnieniem BitLockera. Jeżeli nośnik wykazuje objawy awarii, najpierw ocenia się możliwość zabezpieczenia danych, a dopiero później wykonuje operacje naprawcze.

W Warszawie takie przypadki można przekazać do Warszawskiego Pogotowia Komputerowego 24/7, gdzie przed ingerencją w ustawienia zabezpieczeń sprawdza się zależność między firmware, partycją rozruchową i ochroną danych. Dla laptopa przewidziana jest darmowa diagnoza LAPTOPA, co pozwala najpierw określić, czy problem wynika z konfiguracji startowej, uszkodzenia plików, szyfrowania czy stanu samego nośnika.

Do zgłoszenia warto dołączyć informację o ostatnich zmianach w komputerze, ewentualny klucz odzyskiwania BitLocker oraz dane potrzebne do identyfikacji używanego systemu. Nie należy podawać klucza odzyskiwania w publicznych formularzach ani wysyłać go osobom, które nie zajmują się bezpośrednio naprawą urządzenia. Dzięki zebraniu tych informacji możliwe jest ograniczenie liczby prób uruchamiania i zmniejszenie ryzyka przypadkowej utraty dostępu do zaszyfrowanych danych.