BitLocker traži lozinku svaki put kada pokrenete sistem: pravi uzroci i kako ih izbjeći

¿Da li BitLocker traži ključ za oporavak pri svakom pokretanju? Kada BitLocker zatraži ključ za oporavak pri svakom pokretanju, on prestaje biti tihi sloj sigurnosti i postaje svakodnevna smetnja. Ova situacija obično izaziva uzbunu: Da li postoji greška, da li sam nešto dirao u BIOS-u/UEFI-ju, da li je TPM pokvaren ili je Windows promijenio "nešto" bez upozorenja? Stvarnost je da, u većini slučajeva, sam BitLocker radi upravo ono što bi trebao: uđe u način oporavka ako otkrije potencijalno nesigurno pokretanje.

Važno je razumjeti zašto se ovo dešava, gdje pronaći ključ i kako spriječiti da ga ponovo traži. Na osnovu iskustva korisnika iz stvarnog života (kao što je onaj koji je vidio plavu poruku nakon ponovnog pokretanja svog HP Envy-a) i tehničke dokumentacije proizvođača, vidjet ćete da postoje vrlo specifični uzroci (USB-C/Thunderbolt, Secure Boot, promjene firmvera, meni za pokretanje, novi uređaji) i pouzdana rešenja koji ne zahtijevaju nikakve čudne trikove. Osim toga, jasno ćemo vam objasniti šta možete, a šta ne možete učiniti ako ste izgubili ključ, jer Bez ključa za oporavak nije moguće dešifrirati podatke.

Šta je BitLocker ekran za oporavak i zašto se pojavljuje?

BitLocker šifrira sistemski disk i pogone s podacima zaštitite ih od neovlaštenog pristupaKada otkrije promjenu u okruženju za pokretanje (firmver, TPM, redoslijed uređaja za pokretanje, povezani vanjski uređaji itd.), aktivira način rada za oporavak i zahtijeva... 48-cifreni kodOvo je normalno ponašanje i način na koji Windows sprečava nekoga da pokrene mašinu sa promijenjenim parametrima radi izdvajanja podataka.

Microsoft to objašnjava bez uvijanja: Windows zahtijeva ključ kada otkrije nesigurno stanje koje bi moglo ukazivati ​​na pokušaj neovlaštenog pristupa. Na upravljanim ili ličnim računarima, BitLocker uvijek omogućava neko s administratorskim dozvolama (vi, neko drugi ili vaša organizacija). Dakle, kada se ekran ponavlja, to ne znači da je BitLocker "pokvaren", već da nešto u prtljažniku se mijenja svaki put i aktivira provjeru.

Pravi razlozi zašto BitLocker traži ključ pri svakom pokretanju

Postoje vrlo česti uzroci koje su dokumentovali proizvođači i korisnici. Vrijedi ih pregledati jer njihova identifikacija zavisi od odabir pravog rješenja:

• Omogućeno pokretanje i prethodno pokretanje putem USB-C/Thunderbolt (TBT) sistemaNa mnogim modernim računarima, podrška za pokretanje putem USB-C/TBT-a i Thunderbolt pre-boot-a su podrazumevano omogućeni u BIOS-u/UEFI-ju. To može uzrokovati da firmver navede nove putanje pokretanja, što BitLocker interpretira kao promene i traži ključ.
• Sigurno pokretanje i njegova politika- Omogućavanje, onemogućavanje ili promjena pravila (na primjer, sa "Isključeno" na "Samo za Microsoft") može pokrenuti provjeru integriteta i uzrokovati upit za unos ključa.
• Ažuriranja BIOS-a/UEFI-ja i firmveraPrilikom ažuriranja BIOS-a, TPM-a ili samog firmvera, mijenjaju se kritične varijable za pokretanje. BitLocker to detektuje i traži ključ pri sljedećem ponovnom pokretanju, pa čak i pri narednim ponovnim pokretanjima ako platforma ostane u nekonzistentnom stanju.
• Grafički meni za pokretanje u odnosu na Legacy BootPostoje slučajevi u kojima moderni meni za pokretanje sistema Windows 10/11 uzrokuje nedosljednosti i prisiljava na pokretanje promptnog menija za oporavak. Promjena pravila na naslijeđeno može stabilizirati ovaj problem.
• Vanjski uređaji i novi hardverUSB-C/TBT dokovi, priključne stanice, USB fleš diskovi, eksterni diskovi ili PCIe kartice „iza“ Thunderbolt porta pojavljuju se u putanji pokretanja i mijenjaju ono što BitLocker vidi.
• Automatsko otključavanje i TPM stanjaAutomatsko otključavanje volumena podataka i TPM koji ne ažurira mjerenja nakon određenih promjena može dovesti do ponavljajući upiti za oporavak.
• Problematična ažuriranja za WindowsNeka ažuriranja mogu promijeniti komponente za pokretanje/sigurnost, što će prisiliti pojavljivati ​​upit dok se ažuriranje ponovo ne instalira ili dok se verzija ne popravi.

Na određenim platformama (npr. Dell sa USB-C/TBT portovima), sama kompanija potvrđuje da je tipičan uzrok omogućavanje podrške za pokretanje putem USB-C/TBT sistema i prethodnog pokretanja putem TBT sistema po defaultu. Onemogućavanje istih, nestati sa liste za pokretanje i zaustaviti aktiviranje načina oporavka. Jedini negativni efekat je taj što Nećete moći pokrenuti PXE sistem sa USB-C/TBT ili određenih dokova..

Gdje pronaći BitLocker ključ za oporavak (a gdje ne)

Prije nego što bilo šta dodirnete, morate pronaći ključ. Microsoft i sistem administratori su jasni: postoji samo nekoliko važećih mjesta gdje se može pohraniti ključ za oporavak:

• Microsoft račun (MSA)Ako se prijavite s Microsoft računom i enkripcija je omogućena, ključ se obično sigurnosno kopira na vaš online profil. Možete provjeriti https://account.microsoft.com/devices/recoverykey s drugog uređaja.
• Azure AD- Za poslovne/školske račune, ključ se pohranjuje u vašem Azure Active Directory profilu.
• Lokalni Active Directory (AD)U tradicionalnim korporativnim okruženjima, administrator ga može preuzeti pomoću ID ključa koji se pojavljuje na BitLocker ekranu.
• Štampano ili PDFMožda ste ga odštampali kada ste omogućili šifriranje ili ste ga sačuvali u lokalnu datoteku ili USB disk. Također provjerite sigurnosne kopije.
• Sačuvano u datoteci na drugom disku ili u oblaku vaše organizacije, ako su se poštovale dobre prakse.

Ako ga ne možete pronaći ni na jednoj od ovih stranica, ne postoje "čarobne prečice": Ne postoji legitimna metoda za dešifriranje bez ključaNeki alati za oporavak podataka omogućavaju vam pokretanje sistema u WinPE i istraživanje diskova, ali će vam i dalje trebati 48-cifreni ključ za pristup šifriranom sadržaju sistemskog volumena.

Brze provjere prije nego što počnete

Postoji niz jednostavnih testova koji mogu uštedjeti vrijeme i spriječiti nepotrebne promjene. Iskoristite ih da identificirati pravi okidač iz načina oporavka:

• Isključite sve vanjsko: dock-ovi, memorija, diskovi, kartice, monitori sa USB-C, itd. Pokreće se samo sa osnovnom tastaturom, mišem i ekranom.
• Pokušajte unijeti ključ jednom i provjerite da li nakon ulaska u Windows možete obustaviti i nastaviti zaštitu radi ažuriranja TPM-a.
• Provjerite stvarni status BitLockera sa naredbom: manage-bde -statusPokazat će vam da li je volumen OS-a šifriran, metodu (npr. XTS-AES 128), postotak i da li su zaštitnici aktivni.
• Zapišite ID ključa koji se pojavljuje na plavom ekranu za oporavak. Ako se oslanjate na svoj IT tim, oni mogu koristiti taj ID da pronađu tačan ključ u AD/Azure AD.

Rješenje 1: Obustavite i nastavite BitLocker da biste osvježili TPM

Ako se možete prijaviti unosom ključa, najbrži način je obustavljanje i ponovno nastavljanje zaštite da bi BitLocker ažurirao TPM mjerenja na trenutno stanje računara.

1. Unesite ključ za oporavak kada se pojavi.
2. U Windowsu, idite na Kontrolna tabla → Sistem i bezbednost → BitLocker šifrovanje diska.
3. Na sistemskom disku (C:), pritisnite Obustavi zaštitu. Potvrdi.
4. Sačekajte nekoliko minuta i pritisnite Zaštita životopisaOvo prisiljava BitLocker da prihvati trenutno stanje pokretanja kao "dobro".

Ova metoda je posebno korisna nakon promjene firmvera ili manjih UEFI podešavanja. Ako nakon ponovnog pokretanja više ne traži lozinku, riješit ćete petlju bez diranja BIOS-a.

Rješenje 2: Otključajte i privremeno onemogućite zaštitnike iz WinRE okruženja

Kada ne možete proći dalje od upita za oporavak ili želite biti sigurni da pokretanje više neće tražiti ključ, možete koristiti Windows Recovery Environment (WinRE) i upravljaj-bde za podešavanje zaštitnika.

1. Na ekranu za oporavak pritisnite Esc da biste vidjeli napredne opcije i odabrali Preskoči ovu jedinicu.
2. Idite na Rješavanje problema → Napredne opcije → Komandni redak.
3. Otključajte volumen OS-a pomoću: manage-bde -unlock C: -rp TU-CLAVE-DE-48-DÍGITOS (zamijenite svojom lozinkom).
4. Privremeno onemogućite zaštitne mehanizme: manage-bde -protectors -disable C: i ponovo pokrenite.

Nakon pokretanja Windowsa, moći ćete zaštitnici životopisa iz Kontrolne ploče ili pomoću manage-bde -protectors -enable C:, i provjerite da li je petlja nestala. Ovaj manevar je siguran i obično zaustavlja brzo ponavljanje kada je sistem stabilan.

Rješenje 3: Podesite USB-C/Thunderbolt i UEFI mrežni stek u BIOS-u/UEFI-ju

Na USB-C/TBT uređajima, posebno laptopima i priključnim stanicama, onemogućavanje određenih medija za pokretanje sprječava da firmver uvede "nove" putanje koje zbunjuju BitLocker. Na primjer, na mnogim Dell modelima to su... preporučene opcije:

1. Uđite u BIOS/UEFI (uobičajene tipke: F2 o F12 kada je uključen).
2. Potražite odjeljak za konfiguraciju USB i Thunderbolt. U zavisnosti od modela, ovo može biti pod Konfiguracija sistema, Integrisani uređaji ili slično.
3. Onemogućava podršku za Pokretanje preko USB-C kabla o Thunderbolt 3.
4. Isključi USB-C/TBT prethodno pokretanje (i, ako postoji, „PCIe iza TBT-a“).
5. Isključi UEFI mrežni stek ako ne koristite PXE.
6. U POST ponašanju, konfigurirajte Brzi početak u "Sveobuhvatno".

Nakon spremanja i ponovnog pokretanja, trajni upit bi trebao nestati. Imajte na umu kompromis: Izgubit ćete mogućnost pokretanja sistema putem PXE-a s USB-C/TBT-a ili s nekih dokova.Ako vam je potreban u IT okruženjima, razmislite o tome da ga ostavite aktivnim i upravljate izuzetkom pomoću politika.

Rješenje 4: Sigurno pokretanje (omogući, onemogući ili politika „Samo za Microsoft“)

Sigurno pokretanje (Secure Boot) štiti od zlonamjernog softvera u lancu pokretanja. Promjena njegovog statusa ili pravila može biti upravo ono što vašem računaru treba. izaći iz petljeDvije opcije koje obično funkcioniraju:

• Aktivirajte ga ako je onemogućeno ili odaberite politiku "Samo Microsoft" na kompatibilnim uređajima.
• ugasi ga ako nepotpisana komponenta ili problematični firmver uzrokuju zahtjev za ključem.

Da biste to promijenili: idite na WinRE → Preskoči ovaj disk → Rješavanje problema → Napredne opcije → Konfiguracija UEFI firmvera → Ponovo pokrenite. U UEFI-ju pronađite Secure Boot, prilagodite željenu opciju i sačuvajte promjene pritiskom na F10. Ako upit prestane, potvrdili ste da je root bio Nekompatibilnost sigurnog pokretanja.

Rješenje 5: Legacy Boot Menu sa BCDEdit-om

Na nekim sistemima, grafički meni za pokretanje sistema Windows 10/11 aktivira način rada za oporavak. Promjena pravila na "legacy" stabilizuje pokretanje i sprečava BitLocker da ponovo traži ključ.

1. Otvorite a Komandni redak kao administrator.
2. Trčanje: bcdedit /set {default} bootmenupolicy legacy i pritisnite Enter.

Ponovo pokrenite računar i provjerite da li je upit nestao. Ako se ništa ne promijeni, možete vratiti postavku pomoću jednaka jednostavnost promjena politike na "standardnu".

Rješenje 6: Ažurirajte BIOS/UEFI i firmver

Zastarjeli ili neispravni BIOS može uzrokovati Greške u mjerenju TPM-a i prisilni način oporavka. Ažuriranje na najnoviju stabilnu verziju od proizvođača je obično dar s neba.

1. Posjetite stranicu za podršku proizvođača i preuzmite najnoviju verziju BIOS / UEFI za vaš model.
2. Pročitajte konkretne upute (ponekad je dovoljno samo pokrenuti EXE datoteku u Windowsu; ponekad je potrebno USB FAT32 i Flashback).
3. Tokom procesa, održavajte alimentación estable i izbjegavajte prekide. Nakon završetka, prvo pokretanje može zatražiti unos ključa (normalno). Zatim, obustavite i nastavite BitLocker.

Mnogi korisnici prijavljuju da nakon ažuriranja BIOS-a, upit prestane da se pojavljuje nakon... unos jednim ključem i ciklus zaštite od obustave/nastavka rada.

Rješenje 7: Windows Update, vraćanje zakrpa i njihova ponovna integracija

Također postoje slučajevi kada je ažuriranje sustava Windows promijenilo osjetljive dijelove sustava za pokretanje. Možete pokušati ponovo instalirati ili deinstalirati problematično ažuriranje:

1. Postavke → Ažuriranje i sigurnost → Pogledajte historiju ažuriranja.
2. Unesite Deinstalirajte ažuriranja, identificirajte sumnjivu i uklonite je.
3. Ponovno pokretanje, privremeno obustavljanje BitLockera, ponovno pokretanje instalirati ažuriranje a zatim nastavlja zaštitu.

Ako se upit prestane pojavljivati ​​nakon ovog ciklusa, problem je bio u srednje stanje što je lanac povjerenja start-upova učinilo nekoherentnim.

Rješenje 8: Onemogućite automatsko otključavanje podatkovnih pogona

U okruženjima s više šifriranih diskova, samootključavanje Zaključavanje volumena podataka povezano s TPM-om može ometati. Možete ga onemogućiti iz Kontrolne ploče → BitLocker → “Onemogući automatsko otključavanje" na pogođenim diskovima i ponovo pokrenite računar da biste provjerili da li se upit prestao ponavljati.

Iako se može činiti beznačajnim, u timovima sa složeni lanci za čizme i više diskova, uklanjanje te zavisnosti može dovoljno pojednostaviti proces da se riješi petlja.

Rješenje 9: Uklonite novi hardver i periferne uređaje

Ako ste dodali karticu, promijenili priključne stanice ili povezali novi uređaj neposredno prije problema, pokušajte privremeno ga ukloniteKonkretno, uređaji "iza Thunderbolta" mogu se pojaviti kao putanje za pokretanje. Ako njihovo uklanjanje zaustavi upit, završili ste. kriv i možete ga ponovo uvesti nakon što se konfiguracija stabilizira.

Scenarij iz stvarnog života: laptop traži lozinku nakon ponovnog pokretanja

Tipičan slučaj: HP Envy se pokreće s crnim ekranom, zatim prikazuje plavi okvir koji traži potvrdu, a zatim... BitLocker ključNakon unošenja, Windows se normalno pokreće s PIN-om ili otiskom prsta i sve izgleda ispravno. Nakon ponovnog pokretanja, zahtjev se ponavlja. Korisnik pokreće dijagnostiku, ažurira BIOS i ništa se ne mijenja. Šta se dešava?

Najvjerovatnije je neki dio čizme ostavljen nedosledno (nedavna promjena firmvera, izmijenjeno Secure Boot, naveden vanjski uređaj) i TPM nije ažurirao svoja mjerenja. U ovim situacijama, najbolji koraci su:

• Unesite jednom ključem, obustaviti i nastaviti bitlocker.
• Proverite manage-bde -status za potvrdu enkripcije i zaštitnika.
• Ako problem i dalje postoji, provjerite BIOS: Onemogućite USB-C/TBT prethodno pokretanje i UEFI mrežni stek ili prilagodite Secure Boot.

Nakon podešavanja BIOS-a i izvršavanja ciklusa obustave/nastavka rada, normalno je da zahtjev nestatiAko ne, primijenite privremeno onemogućavanje zaštitnika iz WinRE-a i pokušajte ponovo.

Može li se BitLocker zaobići bez ključa za oporavak?

Trebalo bi biti jasno: nije moguće dešifrirati volumen zaštićen BitLockerom bez 48-cifreni kod ili valjanog zaštitnika. Ono što možete učiniti je, ako znate ključ, otključavanje jačine zvuka a zatim privremeno onemogućite zaštitne mehanizme kako bi se pokretanje nastavilo bez traženja dok stabilizujete platformu.

Neki alati za oporavak nude WinPE medije za pokretanje kako bi se pokušali spasiti podaci, ali da bi se pročitao šifrirani sadržaj sistemskog diska, oni će i dalje morati biti... ključAko ga nemate, alternativa je formatiranje diska i instalirati Windows od nule, pod pretpostavkom gubitka podataka.

Formatiranje i instaliranje Windowsa: krajnja opcija

Ako nakon svih postavki i dalje ne možete proći dalje od upita (i nemate ključ), jedini operativni način je formatirajte disk i ponovo instalirajte Windows. Iz WinRE → Komandna linija možete koristiti diskpart da biste identificirali disk i formatirali ga, a zatim instalirali s instalacijskog USB-a.

Prije nego što dođete do ove tačke, iscrpite potragu za ključem na legitimnim lokacijama i konsultujte se sa svojim administrator Ako se radi o korporativnom uređaju. Imajte na umu da neki proizvođači nude WinPE izdanja softvera za oporavak za kopiranje datoteka s drugih nešifriranih diskova, ali to ne uklanja potrebu za ključem za šifrirani volumen operativnog sistema.

Poslovna okruženja: Azure AD, AD i oporavak ID-a ključa

Na poslovnim ili školskim uređajima, normalno je da ključ bude u Azure AD ili u Aktivni direktorij. Na ekranu za oporavak pritisnite Esc vidjeti ID ključa, zapišite ga i pošaljite administratoru. Pomoću tog identifikatora, oni mogu pronaći tačan ključ povezan s uređajem i odobriti vam pristup.

Također, pregledajte politiku pokretanja vaše organizacije. Ako se oslanjate na PXE pokretanje putem USB-C/TBT-a, možda ga ne želite onemogućiti; umjesto toga, vaš IT tim može potpiši lanac ili standardizirajte konfiguraciju koja izbjegava ponavljajući upit.

Modeli i dodaci sa posebnim učinkom

Neki Dell računari sa USB-C/TBT i pripadajućim dokovima su pokazali ovo ponašanje: WD15, TB16, TB18DC, kao i određene Latitude serije (5280/5288, 7280, 7380, 5480/5488, 7480, 5580), XPS, Precision 3520 i druge porodice (Inspiron, OptiPlex, Vostro, Alienware, G serija, fiksne i mobilne radne stanice i Pro linije). To ne znači da ne uspijevaju, ali sa Omogućeno pokretanje i prethodno pokretanje putem USB-C/TBT-a BitLocker će vjerovatnije "vidjeti" nove putanje pokretanja.

Ako koristite ove platforme sa priključnim stanicama, dobra je ideja da pričvrstite stabilna konfiguracija BIOS-a i dokumentirajte potrebu ili nepotrebu za PXE kroz te portove kako biste izbjegli upit.

Mogu li spriječiti da se BitLocker ikada aktivira?

U Windowsu 10/11, ako se prijavite s Microsoft računom, neki računari se aktiviraju šifriranje uređaja gotovo transparentno i sačuvajte ključ u svom MSA-u. Ako koristite lokalni račun i provjerite je li BitLocker onemogućen, ne bi se trebao automatski aktivirati.

Sada, razumno je ne "kastrirati" ga zauvijek, već kontroliraj toOnemogućite BitLocker na svim diskovima ako ga ne želite, potvrdite da "Šifriranje uređaja" nije aktivno i sačuvajte kopiju ključa ako ga omogućite u budućnosti. Onemogućavanje kritičnih Windows servisa se ne preporučuje jer može... ugroziti sigurnost sistema ili izazvati nuspojave.

Brza pitanja i odgovori

Gdje je moja lozinka ako koristim Microsoft račun? Idite na https://account.microsoft.com/devices/recoverykey s drugog računara. Tamo ćete vidjeti listu ključeva za svaki uređaj s njihovim ID.

Mogu li zatražiti ključ od Microsofta ako koristim lokalni račun? Ne. Ako ga niste sačuvali ili napravili sigurnosnu kopiju u Azure AD/AD, Microsoft ga nema. Provjerite ispise, PDF-ove i sigurnosne kopije, jer Bez ključa nema dešifriranja.

¿upravljaj-bde Da li mi status pomaže? Da, prikazuje da li je volumen šifriran, metoda (npr. XTS-AES 128), da li je zaštita omogućena i da li je disk zaključan. Ovo je korisno za odlučivanje šta dalje uraditi.

Šta se dešava ako onemogućim pokretanje sistema putem USB-C/TBT? Upit obično nestaje, ali zauzvrat Nećete moći pokrenuti sistem putem PXE-a iz tih luka ili iz nekih baza. Procijenite to prema vašem scenariju.

Ako BitLocker traži ključ pri svakom pokretanju, obično ćete vidjeti trajnu promjenu pokretanja: USB-C/TBT portovi s podrškom za pokretanje, Secure Boot Neusklađeni, nedavno ažurirani firmver ili eksterni hardver u putanji pokretanja. Pronađite ključ gdje pripada (MSA, Azure AD, AD, Print ili File), unesite ga i izvršite "obustaviti i nastaviti"da biste stabilizirali TPM. Ako se problem nastavi, prilagodite BIOS/UEFI (USB-C/TBT, UEFI mrežni paket, Secure Boot), isprobajte stari meni s BCDEdit-om i ažurirajte BIOS i Windows. U korporativnim okruženjima koristite ID ključa za preuzimanje informacija iz direktorija. I zapamtite: Bez ključa nema pristupa šifriranim podacima; u tom slučaju, formatiranje i instaliranje će biti posljednje sredstvo za povratak na posao.