UEFI z obsługą BitLocker

UEFI z obsługą BitLocker to firmware zapewniające prawidłową współpracę z tą funkcją szyfrowania dysku systemu Windows.

Rola UEFI w uruchamianiu systemu z BitLockerem

UEFI (Unified Extensible Firmware Interface) to oprogramowanie układowe płyty głównej, które inicjuje podzespoły komputera i przekazuje sterowanie programowi rozruchowemu systemu operacyjnego. W komputerze z systemem Windows zaszyfrowanym funkcją BitLocker UEFI uczestniczy w procesie, który pozwala potwierdzić, że środowisko startowe nie zostało zmienione. Samo UEFI nie szyfruje dysku i nie przechowuje całego klucza odzyskiwania BitLocker. Jego zadaniem jest między innymi udostępnianie mechanizmów bezpiecznego rozruchu oraz pomiarów stanu uruchamiania.

BitLocker może korzystać z modułu TPM (Trusted Platform Module), najczęściej w wersji TPM 2.0, aby przechowywać lub zabezpieczać materiał kryptograficzny potrzebny do automatycznego odblokowania dysku systemowego. Podczas uruchamiania TPM porównuje aktualne pomiary środowiska startowego z wartościami zapisanymi wcześniej w rejestrach PCR (Platform Configuration Register). Jeżeli zmiana konfiguracji UEFI, kolejności rozruchu, ustawień Secure Boot albo programu rozruchowego powoduje niezgodność pomiarów, komputer może zażądać klucza odzyskiwania BitLocker.

Secure Boot, TPM i zaufany łańcuch rozruchu

W konfiguracji UEFI istotną rolę pełni Secure Boot, czyli bezpieczny rozruch. Mechanizm ten weryfikuje podpisy cyfrowe elementów uruchamianych przed startem systemu Windows. UEFI korzysta w tym celu z baz kluczy i dozwolonych podpisów zapisanych w pamięci firmware, w tym z klucza platformy PK, bazy wymianę kluczy KEK oraz baz db i dbx. Baza db zawiera zaufane podpisy, natomiast dbx służy do blokowania podpisanych elementów uznanych za wycofane lub niebezpieczne.

BitLocker i Secure Boot realizują różne funkcje, ale współpracują w ramach jednego łańcucha zaufania. Secure Boot ogranicza możliwość uruchomienia nieautoryzowanego programu przed systemem Windows, a TPM rejestruje pomiary kolejnych etapów startu. Wyłączenie Secure Boot, przełączenie trybu uruchamiania z UEFI na Legacy albo zmiana ustawień związanych z TPM może zostać potraktowana jako zmiana stanu zabezpieczeń. W takiej sytuacji BitLocker może przejść w tryb odzyskiwania, mimo że sam dysk i dane na partycji nie zostały uszkodzone.

Zmiany ustawień firmware a żądanie klucza odzyskiwania

Żądanie klucza odzyskiwania po aktualizacji firmware, wymianie płyty głównej lub zmianie ustawień UEFI nie musi oznaczać awarii szyfrowania. Jest to często prawidłowa reakcja zabezpieczenia na zmianę parametrów, których TPM używał do oceny środowiska startowego. Podobny efekt może wystąpić po zmianie trybu kontrolera pamięci masowej, kolejności urządzeń startowych, ustawień wirtualizacji sprzętowej albo konfiguracji modułu TPM. Dokładny zakres zależy od wersji Windows, firmware, sprzętu oraz zasad zarządzania BitLockerem.

Przed modyfikacją UEFI należy upewnić się, że dostępny jest klucz odzyskiwania BitLocker. W systemie Windows można sprawdzić stan ochrony poleceniem manage-bde -status, które pokazuje między innymi metodę ochrony, procent zaszyfrowanego woluminu i stan blokady. Do czasowego zawieszenia ochrony służy między innymi polecenie manage-bde -protectors -disable C:, a do jej ponownego włączenia manage-bde -protectors -enable C:. Zawieszenie ochrony nie odszyfrowuje danych, lecz pozwala systemowi odnotować planowaną zmianę i ograniczyć ryzyko nieoczekiwanego przejścia do odzyskiwania. Po zakończeniu prac trzeba sprawdzić, czy ochrona została ponownie aktywowana.

Sprawdzanie zgodności UEFI przed naprawą komputera

Diagnostyka powinna obejmować wersję i tryb firmware, stan Secure Boot, wykrywanie modułu TPM oraz ustawienia rozruchu systemu Windows. Należy również odróżnić rozruch UEFI od trybu zgodności Legacy lub CSM, ponieważ przełączenie między tymi trybami może zmienić sposób uruchamiania systemu i wywołać żądanie klucza BitLocker. Warto sprawdzić, czy dysk systemowy korzysta z układu partycji GPT, który jest typowy dla instalacji Windows uruchamianych w trybie UEFI, oraz czy wpis Windows Boot Manager jest obecny w pamięci rozruchowej firmware.

W przypadku problemów nie należy resetować modułu TPM ani przywracać ustawień fabrycznych UEFI bez wcześniejszego zabezpieczenia klucza odzyskiwania i ustalenia skutków takiej operacji. Reset TPM może usunąć informacje potrzebne do automatycznego odblokowania woluminu, chociaż nie zastępuje odszyfrowania dysku. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnostyką problemów z uruchamianiem systemu, ustawieniami UEFI, TPM oraz działaniem BitLocker, z zachowaniem ostrożności wobec zaszyfrowanych danych.