Блокировщик диска BitLocker¶
Блокировщик диска BitLocker — средство шифрования полного диска (Full Disk Encryption), разработанное корпорацией Microsoft и впервые включённое в состав Windows Vista в 2006 году. BitLocker обеспечивает шифрование всего раздела системного диска (или любого другого тома) с использованием алгоритма AES (128- или 256-битный ключ), защищая данные от несанкционированного доступа при краже или потере устройства. Средство встроено в редакции Windows 10 и Windows 11 Pro, Enterprise и Education; в домашних редакциях доступен урезанный вариант — BitLocker To Go для съёмных носителей.
¶Принцип работы
При включении BitLocker на системный диск шифруется не каждый файл отдельно, а весь том целиком. Загрузочный код и файлы шифрования хранятся в отдельном незашифрованном разделе системного диска (System Reserved или EFI System Partition). Ключ шифрования (ключ-расшифровщик, Volume Master Key) защищён с помощью TPM (Trusted Platform Module) — аппаратного криптографического модуля, встроенного в большинство современных материнских плат. При загрузке Windows TPM проверяет целостность загрузочной цепочки и выдаёт ключ только в случае, если конфигурация системы не изменена.
Дополнительно могут использоваться:
- PIN-код — четырёх-шестизначный числовой код, запрашиваемый при загрузке;
- USB-накопитель с ключом — файл-ключ, хранящийся на флешке;
- Пароль — при загрузке с внешнего носителя.
¶Почему возникает проблема блокировки
Наиболее частые ситуации, когда BitLocker запрашивает ключ восстановления:
- Изменение аппаратной конфигурации — замена материнской платы, процессора, оперативной памяти, установка нового SSD вместо старого.
- Сбой загрузчика — повреждение загрузочной записи, неудачное обновление Windows.
- Попытка загрузки с другого носителя — например, загрузочный USB-накопитель или Live-дистрибутив Linux.
- Отказ TPM — сброс настроек BIOS/UEFI, отключение модуля TPM.
- Количество неудачных попыток ввода PIN — после трёх неверных вводов система запрашивает ключ восстановления.
¶Способы разблокировки
¶Через ключ восстановления
Ключ восстановления — 48-значное число, сгруппированное в восемь блоков по шесть цифр. Он создаётся при первом включении BitLocker и должен быть сохранён пользователем. Доступные места хранения:
- Аккаунт Microsoft — если шифрование включалось через учётную запись Microsoft, ключ автоматически публикуется на портале
account.microsoft.comв разделе «Безопасность» → «Устройства». Для доступа требуется вход в аккаунт. - Azure Active Directory — для корпоративных устройств, привязанных к домену, ключ хранится в облаке Azure AD и доступен администратору или пользователю через портал Azure.
- Файл на USB-накопителе — при включении BitLocker система предлагает сохранить ключ в виде текстового файла.
- Печать ключа — бумажный лист с распечатанным ключом.
После ввода ключа восстановления в экран блокировки Windows продолжит загрузку и предложит автоматически повторно включить защиту BitLocker.
¶Через командную строку
Если система загружается, но том заблокирован, используется утилита manage-bde, встроенная в Windows:
`` manage-bde -unlock C: -RecoveryPassword XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX manage-bde -protectors -enable C: ``
Первая команда разблокирует том с помощью ключа восстановления, вторая — включит защиту обратно.
¶Через BIOS/UEFI
В некоторых случаях помогает отключение или повторное включение модуля TPM в настройках BIOS/UEFI:
- Перезагрузка компьютера, вход в BIOS/UEFI (обычно клавиша Del, F2 или F12).
- Раздел «Security» → «TPM» → «Clear TPM» или «Disable/Enable».
- Сохранение настроек и перезагрузка.
После очистки TPM Windows запросит ключ восстановления, после чего TPM будет переинициализирован.
¶Через учётную запись администратора
В корпоративной среде администратор домена может получить ключ восстановления через центр администрирования Active Directory (если настроен соответствующий GPO-параметр) или через Microsoft Intune.
¶Что делать, если ключ утерян
При отсутствии ключа восстановления данные на зашифрованном томе восстановить невозможно — это принципиальное свойство криптографической защиты. В этом случае остаётся только переустановка Windows с форматированием зашифрованного раздела. Для предотвращения подобных ситуаций рекомендуется:
- сохранять ключ восстановки минимум в двух местах (аккаунт Microsoft и файл на USB);
- привязывать шифрование к аккаунту Microsoft, а не к локальной учётной записи;
- в корпоративной среде — включить автоматический вывод ключей в Active Directory.
¶Как отключить BitLocker
Полное отключение шифрования выполняется через «Панель управления» → «Система и безопасность» → «Шифрование диска BitLocker» → «Отключить BitLocker». Процесс расшифровки диска может занять от нескольких минут до нескольких часов в зависимости от объёма данных и скорости накопителя. В Windows 10/11 отключение также доступно через «Параметры» → «Конфиденциальность и безопасность» → «Шифрование устройства».
Источники:
- Официальная документация Microsoft по BitLocker
- Справка Windows: управление BitLocker через manage-bde
- Техническая документация Microsoft по TPM и BitLocker
- Инструкции поддержки Microsoft по восстановлению ключа BitLocker