Zablokowane szyfrowanie dysku

Zablokowane szyfrowanie dysku wskazuje na brak modułu TPM lub niespełnione wymagania sprzętowe do aktywacji BitLocker.

Co oznacza komunikat o zablokowanym szyfrowaniu dysku

Zablokowane szyfrowanie dysku oznacza, że system Windows nie może rozpocząć albo dokończyć konfiguracji funkcji BitLocker. BitLocker szyfruje wolumin przy użyciu mechanizmu dostępnego w systemie Windows, a klucze potrzebne do odblokowania danych mogą być chronione przez moduł TPM (Trusted Platform Module). TPM jest układem bezpieczeństwa obecnym na płycie głównej lub zintegrowanym z firmware. Przechowuje informacje używane do potwierdzenia, że komputer uruchomił się w oczekiwanym środowisku.

Sam brak modułu TPM nie zawsze oznacza fizyczną awarię. W wielu komputerach moduł jest obecny, ale wyłączony w ustawieniach UEFI. W zależności od producenta może występować pod nazwą Intel Platform Trust Technology (Intel PTT), AMD fTPM albo po prostu Security Device Support. Jeżeli system nie wykrywa takiej funkcji, BitLocker może zgłosić niespełnienie wymagań sprzętowych. Przyczyną może być również nieprawidłowo skonfigurowany tryb uruchamiania, nieaktualne oprogramowanie UEFI, zmiana płyty głównej lub ograniczenia konkretnej edycji Windows.

Rola TPM, UEFI i konfiguracji systemu Windows

TPM pomaga powiązać ochronę klucza szyfrowania z określoną konfiguracją uruchamiania komputera. Podczas startu system może sprawdzić między innymi stan firmware i elementów procesu rozruchowego. Jeżeli konfiguracja zmieni się w sposób uznany za podejrzany, dostęp do klucza może zostać wstrzymany do czasu podania klucza odzyskiwania. Nie jest to hasło użytkownika ani kod PIN konta Windows. Klucz odzyskiwania jest osobnym ciągiem cyfr, który należy zachować przed rozpoczęciem szyfrowania.

Znaczenie ma także sposób uruchamiania systemu. Współczesne komputery korzystają zwykle z UEFI i dysku przygotowanego w układzie GPT, natomiast starsze instalacje mogą działać w trybie Legacy BIOS z tablicą partycji MBR. Przełączenie trybu rozruchu po włączeniu BitLockera może spowodować żądanie klucza odzyskiwania, ponieważ zmienia się środowisko startowe. Secure Boot, czyli bezpieczne uruchamianie, wzmacnia kontrolę nad oprogramowaniem ładowanym przed Windowsem, ale jego dostępność i wymagania zależą od konfiguracji sprzętu oraz wersji systemu. Nie należy zmieniać ustawień UEFI przypadkowo, ponieważ błędna zmiana może uniemożliwić uruchomienie systemu.

Sprawdzenie przyczyny przed rozpoczęciem szyfrowania

Diagnostyka powinna rozpocząć się od ustalenia, czy system widzi moduł zabezpieczeń i czy działa on prawidłowo. W systemie Windows można sprawdzić stan modułu TPM w konsoli zarządzania TPM, uruchamianej poleceniem tpm.msc. Informacje o module obejmują między innymi jego dostępność, producenta oraz wersję specyfikacji. W Menedżerze urządzeń można natomiast sprawdzić, czy w kategorii urządzeń zabezpieczeń występuje moduł Trusted Platform Module i czy system nie zgłasza przy nim błędu sterownika.

Należy również sprawdzić edycję Windows, stan partycji systemowej, wolne miejsce oraz ewentualne komunikaty w panelu BitLocker. Szyfrowanie może być niedostępne, gdy komputer ma niezgodny układ partycji, uszkodzone metadane rozruchowe, aktywną politykę organizacyjną albo system wykrywa problem z usługami odpowiedzialnymi za ochronę urządzenia. W komputerze używanym prywatnie warto odróżnić blokadę funkcji od zaszyfrowania już istniejącego woluminu. Wyłączenie BitLockera podczas szyfrowania lub zmiana ustawień firmware bez kopii klucza odzyskiwania zwiększa ryzyko utraty dostępu do plików.

Przed naprawą konfiguracji trzeba ustalić, gdzie zapisano klucz odzyskiwania. Może on być powiązany z kontem Microsoft, zapisany na nośniku USB, wydrukowany albo przechowywany w innym bezpiecznym miejscu, zależnie od sposobu konfiguracji urządzenia. Samo odblokowanie szyfrowania nie usuwa potrzeby posiadania tego klucza. Jeżeli moduł TPM został wyczyszczony, płyta główna wymieniona albo ustawienia rozruchu zmienione, system może zażądać klucza przy następnym uruchomieniu.

Przywrócenie działania BitLockera w laptopie lub komputerze PC

Usunięcie blokady polega na dopasowaniu konfiguracji sprzętowej i systemowej, a nie na mechanicznym „odblokowaniu” dysku. W pierwszej kolejności sprawdza się, czy TPM jest dostępny i włączony w UEFI, czy system uruchamia się w prawidłowym trybie oraz czy firmware nie wymaga aktualizacji. Aktualizację UEFI wykonuje się wyłącznie zgodnie z dokumentacją producenta i przy stabilnym zasilaniu. Włączenie lub wyczyszczenie TPM bez wcześniejszego sprawdzenia stanu BitLockera może doprowadzić do żądania klucza odzyskiwania, dlatego ta operacja wymaga ostrożności.

Jeżeli problem wynika z uszkodzenia systemu, konieczne może być sprawdzenie środowiska rozruchowego, usług ochrony urządzenia i integralności plików Windows. Gdy przyczyną jest niezgodność płyty głównej, brak właściwej funkcji firmware albo ograniczenie edycji systemu, sama zmiana ustawień nie wystarczy. Warszawskie Pogotowie Komputerowe wykonuje diagnostykę i naprawę laptopów, komputerów PC oraz ich podzespołów, w tym problemów z konfiguracją zabezpieczeń i szyfrowaniem dysku.