TPM error – cannot unlock disk

Błąd TPM uniemożliwiający odblokowanie dysku to usterka, w której moduł zabezpieczeń nie potrafi dostarczyć klucza wymaganego do dostępu do zaszyfrowanych danych.

TPM error – cannot unlock disk: znaczenie komunikatu

Komunikat „TPM error – cannot unlock disk” oznacza, że komputer nie przechodzi poprawnie procedury uwierzytelnienia wymaganej do otwarcia zaszyfrowanego nośnika. TPM, czyli moduł platformy zaufanej, przechowuje lub pośredniczy w ochronie materiału kryptograficznego powiązanego z konkretnym urządzeniem. Przy uruchamianiu system sprawdza, czy środowisko startowe odpowiada warunkom zapisanym podczas konfiguracji zabezpieczeń. Jeżeli kontrola nie powiedzie się, klucz potrzebny do odszyfrowania partycji nie zostaje automatycznie udostępniony, a dostęp do plików zostaje zatrzymany.

Taka sytuacja najczęściej dotyczy komputerów, na których używane jest szyfrowanie urządzenia albo mechanizm BitLocker. Sam komunikat nie przesądza jeszcze o fizycznym uszkodzeniu dysku. Przyczyną może być zmiana ustawień UEFI, aktualizacja oprogramowania układowego, wyłączenie lub wyczyszczenie modułu TPM, wymiana płyty głównej, modyfikacja ustawień bezpiecznego rozruchu albo niezgodność pomiędzy zapisanym profilem zabezpieczeń a aktualnym stanem sprzętu.

Warto odróżnić problem z odblokowaniem danych od awarii systemu plików. Dysk może być prawidłowo wykrywany przez komputer, a mimo to jego zawartość pozostanie niedostępna, ponieważ system nie ma właściwego klucza deszyfrującego. Próby formatowania, usuwania partycji lub ponownej instalacji systemu przed ustaleniem przyczyny mogą utrudnić odzyskanie danych. Szczególnej ostrożności wymaga sytuacja, w której nie zachowano klucza odzyskiwania.

Rola TPM, UEFI i szyfrowania w porównaniu z nieszyfrowanym dyskiem

W komputerze bez szyfrowania system może rozpocząć pracę po odczytaniu danych startowych z dysku, o ile nośnik i pliki rozruchowe są sprawne. Przy szyfrowaniu uruchamianie obejmuje dodatkową weryfikację. TPM ocenia między innymi stan elementów związanych ze startem systemu, a następnie pozwala na użycie klucza tylko wtedy, gdy spełnione są określone warunki. Dzięki temu wyjęcie dysku i podłączenie go do innego komputera nie powinno automatycznie zapewnić dostępu do zapisanych informacji.

Istotne jest rozróżnienie między modułem TPM obecnym jako osobny układ a funkcją TPM realizowaną przez oprogramowanie układowe procesora lub płyty głównej. Z punktu widzenia użytkownika oba rozwiązania mogą pełnić podobną funkcję, lecz sposób ich obsługi zależy od modelu urządzenia, wersji UEFI oraz ustawień producenta. Zmiana trybu pracy, przywrócenie ustawień fabrycznych UEFI albo aktualizacja firmware może sprawić, że wcześniejsze pomiary środowiska startowego przestaną się zgadzać.

Bezpieczny rozruch również ma znaczenie, ponieważ pozwala sprawdzić, czy podczas uruchamiania są używane zaufane składniki. Zmiana kolejności startu, przejście między trybem UEFI i starszym trybem zgodności, modyfikacja konfiguracji rozruchu lub wymiana elementu odpowiedzialnego za start systemu może doprowadzić do żądania klucza odzyskiwania. Nie należy traktować tego żądania jako usterki samego hasła do konta użytkownika. Hasło logowania i klucz odzyskiwania pełnią inne funkcje.

W przypadku komputera firmowego dodatkowe zasady bezpieczeństwa mogą być narzucone przez administratora. Wtedy samodzielne czyszczenie TPM może spowodować utratę dostępu do chronionych danych lub wymusić ponowną konfigurację zabezpieczeń. Przed zmianą ustawień należy ustalić, czy klucz odzyskiwania został zapisany na koncie użytkownika, nośniku zewnętrznym, wydruku albo w systemie zarządzania urządzeniami.

Typowe przyczyny i objawy błędu odblokowania dysku

Jednym z częstych powodów jest aktualizacja UEFI lub firmware, po której zmieniają się wartości wykorzystywane do oceny środowiska startowego. Podobny efekt może wystąpić po wymianie płyty głównej, zmianie procesora, przywróceniu ustawień domyślnych albo ręcznym przełączeniu funkcji TPM. Jeżeli szyfrowanie zostało wcześniej powiązane z określoną konfiguracją, nawet prawidłowo działający sprzęt może zostać uznany za niezgodny z zapisanym stanem.

Problem może pojawić się także po uszkodzeniu danych rozruchowych. W takim przypadku moduł bezpieczeństwa działa, lecz system nie może przejść całej sekwencji startowej. Objawami bywają pętla uruchamiania, ekran żądający klucza odzyskiwania, komunikat o braku zaufanego urządzenia rozruchowego, niewidoczna partycja systemowa albo powrót do ustawień UEFI zamiast uruchomienia systemu.

Inną grupę przyczyn stanowią błędy sprzętowe. Należy brać pod uwagę niestabilne zasilanie, problemy z płytą główną, wadliwą pamięć, kłopoty z komunikacją z dyskiem oraz zużycie samego nośnika. W przypadku dysku SSD mogą występować objawy takie jak sporadyczne znikanie urządzenia, długie zatrzymywanie startu lub pojawianie się błędów odczytu. Nie oznacza to jednak automatycznie, że wymiana dysku rozwiąże problem, ponieważ źródło może znajdować się w konfiguracji zabezpieczeń.

Przed podjęciem działań warto zanotować dokładny tekst komunikatu, sprawdzić, czy dostępny jest klucz odzyskiwania, oraz ustalić, co zmieniło się bezpośrednio przed wystąpieniem usterki. Nie powinno się pochopnie wybierać opcji czyszczenia TPM ani usuwać ochrony szyfrowania, jeśli dane mają pozostać zachowane. Przydatne jest również sprawdzenie, czy komputer widzi właściwy dysk w UEFI i czy nie zmienił się tryb uruchamiania.

Kiedy zgłosić problem do serwisu - TPM error – cannot unlock disk

Do serwisu warto zgłosić się wtedy, gdy klucz odzyskiwania nie jest dostępny, błąd powraca po każdym uruchomieniu, dysk znika z UEFI albo istnieje ryzyko utraty ważnych plików. Szczególnej ostrożności wymaga komputer, który został poddany aktualizacji, naprawie płyty głównej lub zmianie ustawień rozruchowych, a po tej czynności przestał otwierać zaszyfrowaną partycję. W pierwszej kolejności powinno się zabezpieczyć informacje o konfiguracji i unikać działań niszczących zawartość nośnika.

W Warszawskim Pogotowiu Komputerowym 24/7 można rozpocząć od darmowej diagnozy LAPTOPA, podczas której ustala się, czy źródłem problemu jest konfiguracja TPM, środowisko UEFI, rozruch systemu, sam dysk czy brak właściwego klucza odzyskiwania. Ocena powinna obejmować stan nośnika, wykrywanie urządzenia przez firmware, ustawienia bezpiecznego rozruchu oraz możliwość bezpiecznego przywrócenia dostępu do danych. Jeżeli szyfrowanie działa prawidłowo, lecz nie ma klucza odzyskiwania, zakres możliwych działań może być ograniczony i nie powinno się obiecywać odblokowania bez potwierdzenia, że klucz jest dostępny.

Po diagnozie można rozdzielić czynności naprawcze od działań związanych z odzyskiwaniem danych. Naprawa konfiguracji ma sens, gdy nośnik jest sprawny, a problem wynika ze zmienionych ustawień lub uszkodzonego rozruchu. Gdy pojawiają się symptomy awarii dysku, priorytetem staje się wykonanie kopii lub zabezpieczenie odczytywalnych danych przed dalszymi próbami uruchamiania. Takie postępowanie ogranicza ryzyko pogorszenia stanu nośnika i pozwala dobrać dalsze kroki do rzeczywistej przyczyny komunikatu „TPM error – cannot unlock disk”.