BitLocker — разблокировка и восстановление доступа¶
BitLocker — технология шифрования дисков, встроенная в Windows (начиная с Vista в редакциях Pro, Enterprise и Education). Она защищает содержимое раздела от несанкционированного доступа, в том числе при извлечении диска из компьютера или краже устройства. При включённом шифровании доступ к данным возможен только после разблокировки тома — с помощью пароля, PIN-кода, USB-ключа или ключа восстановления.
¶Способы разблокировки
Windows предлагает несколько методов разблокировки зашифрованного тома:
| Метод | Описание |
|---|---|
| Автоматический | Том разблокируется при загрузке на доверенном компьютере с TPM-модулем |
| Пароль | Пользователь вводит пароль при загрузке или вручную |
| USB-ключ | Подключается флешка с файлом-ключом .bek |
| PIN-код | Вводится при загрузке в дополнение к TPM |
| Ключ восстановления | 48-значный цифровой код, используется при сбоях |
На компьютерах с TPM-модулем (Trusted Platform Module) разблокировка часто происходит автоматически: при загрузке система проверяет целостность оборудования и открывает том без действий пользователя. Если TPM отсутствует или отключён, применяется ручной ввод пароля.
¶Разблокировка в Windows
¶Через интерфейс системы
Если том заблокирован, но система загружается (например, зашифрован дополнительный диск), достаточно открыть Панель управления → Система и безопасность → Шифрование диска BitLocker (в Windows 10/11 — «Шифрование диска BitLocker» в параметрах). Напротив заблокированного тома нажимается кнопка «Разблокировать диск», после чего вводится пароль или подключается USB-ключ.
Для командной строки используется утилита manage-bde:
`` manage-bde -unlock D: -Password manage-bde -unlock D: -RecoveryPassword XXXXXX-XXXXXX-... manage-bde -unlock D: -RecoveryKey E:\RecoveryKey.bek ``
¶При загрузке
Если зашифрован системный том и задан пароль или PIN, экран разблокировки появляется до загрузки Windows. Вводится пароль или PIN, после чего загрузка продолжается. При подключённом USB-ключе достаточно вставить флешку и нажать Enter.
¶Ключ восстановления
Ключ восстановления — основной способ вернуть доступ, если пароль утерян или TPM не может подтвердить целостность системы. Это 48-значный код, разделённый на восемь групп по шесть цифр.
Ключ можно найти:
- В учётной записи Microsoft — на странице account.microsoft.com, если том был привязан к аккаунту при включении шифрования.
- В Azure Active Directory — на корпоративных устройствах, привязанных к домену.
- В файле — при включении BitLocker ключ сохраняется в виде текстового файла (обычно в папке пользователя) и в виде ключа
.bekна USB-носителе. - В реестре — для разблокированных томов путь:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVolumeInformationCache.
Для разблокировки с ключом восстановления:
`` manage-bde -unlock C: -RecoveryPassword XXXXXX-XXXXXX-XXXXXX-... ``
¶TPM и ошибки разблокировки
Типичные причины отказа автоматической разблокировки:
- Замена аппаратуры — смена материнской платы, процессора или диска приводит к тому, что TPM не распознаёт платформу.
- Сброс настроек BIOS/UEFI — изменение порядка загрузки или отключение TPM.
- Обновление прошивки — обновление UEFI может сбросить состояние TPM.
- Повреждение загрузчика — ошибка конфигурации данных платформы (PCR) блокирует автоматическое разблокирование.
В этих случаях Windows предлагает ввести ключ восстановления. Если ключ утерян, данные на зашифрованном томе восстановлению не подлежат — это принципиальное свойство любого полноценного шифрования.
¶Разблокировка на Linux
В дистрибутивах Linux тома BitLocker (формат VeraCrypt-подобного шифрования, использующий AES) открываются утилитой dislocker:
`` sudo apt install dislocker dislocker -V /dev/sda2 -p -- /mnt/bitlocker mount -o loop,ro /mnt/bitlocker/dislocker-file /mnt/data ``
Для автоматической разблокировки при загрузке используется файл /etc/crypttab с указанием ключа.
¶Отключение шифрования
Полное снятие шифрования выполняется в Панели управления: «Выключить BitLocker» → «Снять шифрование с диска». Процесс может занять от нескольких минут до нескольких часов в зависимости от объёма и скорости диска. В командной строке:
`` manage-bde -off C: ``
После завершения снятия шифрования том становится доступен без ключей и паролей.
¶Рекомендации по хранению ключей
- Ключ восстановления рекомендуется сохранять в нескольких носителях: в учётной записи Microsoft, на печатной копии и на отдельном USB-накопителе.
- На корпоративных устройствах ключи централизованно хранятся в Active Directory или Intune.
- Перед сменой аппаратуры или сбросом BIOS следует убедиться, что ключ восстановления доступен.
Источники:
- Документация Microsoft Learn: BitLocker overview
- Документация Microsoft Learn: manage-bde command
- Документация Microsoft Learn: BitLocker recovery overview
- Руководство по dislocker (GitHub, Aorimn/dislocker)