Відновлення даних із диска, зашифрованого BitLocker, — це не одна й та сама задача в кожному випадку. Забутий пароль, коли ключ відновлення все ще під рукою, — це справа на п’ять хвилин. Пошкоджена таблиця розділів на зашифрованому томі або системний диск, що втратив прив’язку до TPM після зміни апаратного забезпечення, — це зовсім інша ситуація: том усе ще існує, але знайти та розблокувати його вже складніше, ніж просто ввести пароль у Windows. Цей посібник охоплює обидва випадки — для системного тому (C) і будь-якого додаткового зашифрованого тому даних (D).
Зміст
- Не диски, а томи: що насправді захищає BitLocker
- Чому зашифрований BitLocker диск стає недоступним
- Де знайти ключ відновлення BitLocker
- Як відновити дані з диска, зашифрованого BitLocker, за допомогою RS Partition Recovery
- Чому звичайне сканування не працює на заблокованому томі BitLocker
| Ситуація | Що робити | Складність |
|---|---|---|
| Забуто пароль, але доступний 48-значний ключ відновлення або файл BEK | Безпосередньо розблокуйте за допомогою ключа під час відновлення | Низька |
| TPM не може розблокувати диск після зміни материнської плати/UEFI | Використайте ключ відновлення замість автоматичного розблокування TPM | Середня |
| Пошкоджено таблицю розділів, том відображається як RAW або нерозподілений | Програмне забезпечення для відновлення знаходить том за його сигнатурою FVE, а не за таблицею розділів | Висока |
| Шифрування або дешифрування було перервано посеред процесу | Том частково зашифрований; розблокуйте його за допомогою ключа та скануйте як зазвичай | Середня |
| Ключ відновлення повністю втрачено, резервної копії ніде немає | Відновити дані неможливо — шифрування виконує свою функцію | Не підлягає відновленню |
Не диски, а томи: що насправді захищає BitLocker
BitLocker шифрує том, а не фізичний диск. На одному диску може бути кілька розділів, і лише деякі з них можуть бути захищені BitLocker — процес відновлення залежить від того, з яким саме розділом ви маєте справу і в якому він стані.
На низькому рівні BitLocker створює Full Volume Encryption Key (FVEK) і шифрує кожен сектор тому за допомогою AES у режимі CBC або XTS, а у старіших версіях Windows додає Elephant Diffuser. FVEK обгортається за допомогою Volume Master Key (VMK), а VMK захищається одним або кількома механізмами: TPM (Trusted Platform Module), PIN-кодом, паролем, смарткарткою або 48-значним ключем відновлення. Для цього не потрібно напряму знати FVEK — достатньо одного працездатного захисника, щоб розгорнути VMK і отримати доступ до тому. Перевірити, які захисники налаштовані в працюючій системі, можна так:
manage-bde -protectors -get C:
Це також пояснює, чому пошкоджена таблиця розділів не є тупиком для відновлення даних BitLocker.
FVE-метадані, які описують том, не залежать від таблиці розділів — це окрема структура з власною сигнатурою. Якщо таблиця розділів втрачена, у Windows том відображається як RAW або нерозмічений простір, але зашифровані сектори й заголовок FVE нікуди не зникають. Інструмент, який читає лише таблицю розділів, повідомить: «розділів не знайдено». RS Partition Recovery сканує сигнатуру FVE безпосередньо на рівні диска, ще до введення будь-якого ключа, тому визначає том BitLocker навіть тоді, коли таблиця розділів уже відсутня.
Не виконуйте швидке форматування або «ініціалізацію диска» на томі, який відображається як RAW або нерозмічений, якщо він може бути захищений BitLocker. Обидві операції можуть перезаписати область таблиці розділів і FVE-метадані, потрібні для визначення місця розташування тому, перетворивши відновлювану ситуацію на невідновлювану.
Самі захисники зазвичай відрізняються для системного тому й тому з даними, хоча формат FVE-метаданих у них однаковий:
- Системний/завантажувальний том (C): зазвичай захищений TPM, часто у поєднанні з PIN-кодом. TPM прив’язує ключ до конкретної материнської плати та конфігурації завантаження, тому якщо перенести диск на інший комп’ютер, захисник TPM стає непридатним — увійти можна лише за допомогою ключа відновлення або пароля, якщо їх було налаштовано.
- Том із даними (D): зазвичай використовує пароль, смарткартку або автоматичне розблокування, коли VMK для D шифрується ключем, що зберігається (також у зашифрованому вигляді) на системному томі, і автоматично стає доступним після запуску Windows на оригінальному комп’ютері. Поза цією початковою ОС автоматичне розблокування не спрацьовує, і для D потрібен власний працездатний захисник — зазвичай окремий ключ відновлення, відмінний від того, що використовується для C.
Саме тому один і той самий диск може під час завантаження запитувати ключ відновлення для C, а потім відмовлятися приймати будь-що, крім зовсім іншого ключа для D: два томи не обов’язково захищені однаковим механізмом, хоча сам процес розшифрування однаковий після надання дійсного захисника.
Чому зашифрований BitLocker диск стає недоступним
Несправність захисника — це лише одна категорія проблем. На практиці проблеми з доступом зазвичай зводяться до кількох повторюваних сценаріїв:
- Заміна материнської плати, оновлення UEFI/BIOS або зміна конфігурації Secure Boot робить стан TPM недійсним, і система переходить до запиту ключа відновлення.
- Процес шифрування або розшифрування переривається — через зникнення живлення, примусове вимкнення або аварійне завершення процесу
manage-bde— унаслідок чого том залишається частково зашифрованим. - Диск переносять на іншу машину, де взагалі немає прив’язки до TPM, і працює лише ключ відновлення або пароль.
- Пошкоджується або перезаписується таблиця розділів (помилки диспетчера дисків, невдала перевстановлення ОС, випадкове повторне розбиття на розділи), і том відображається як RAW або нерозподілений, хоча під поверхнею він усе ще зашифрований і неушкоджений.
- Контролер домену, на якому зберігається ключ відновлення, стає недоступним, або ключ ніколи не був переданий у сховище, доступне поточному користувачеві.
- Диск із пошкодженими секторами зачіпає область, що містить метадані FVE, і сам BitLocker уже не може розпізнати власний заголовок.
Швидкий спосіб перевірити стан тому та захисників, перш ніж робити будь-що інше:
manage-bde -status C:
Ця команда показує відсоток шифрування, метод і стан блокування — це корисно, щоб відрізнити перерваний процес шифрування від справді пошкодженого тому перед вибором способу відновлення.
Де знайти ключ відновлення BitLocker
Перш ніж припускати, що дані втрачено, варто перевірити типові місця, де може зберігатися ключ відновлення BitLocker:
- Обліковий запис Microsoft — якщо ПК було налаштовано з ним, ключ часто автоматично завантажується і доступний на account.microsoft.com/devices/recoverykey.
- Роздрукована копія або текстовий файл, збережений під час налаштування, зазвичай із назвою, що містить унікальний ID диска (наприклад,
BitLocker Recovery Key XXXXXXXX-XXXX-...txt). - Azure AD / Entra ID — для пристроїв, керованих для роботи або навчання; адміністратор може знайти ключ за пристроєм або Key ID.
- Доменний адміністратор, якщо комп’ютер приєднано до локального домену Active Directory, де зберігаються ключі BitLocker.
- Збережений USB-носій, якщо для тому було налаштовано розблокування за допомогою файлу ключа запуску (BEK), а не введеного пароля.
Якщо знайдено кілька ключів, зіставте їх за Key ID — тим самим ID, що відображається на екрані розблокування або повідомляється RS Partition Recovery під час виявлення тому, оскільки кожен захисник прив’язаний до конкретного VMK.
Як відновити дані з диска, зашифрованого BitLocker, за допомогою RS Partition Recovery
RS Partition Recovery виявляє том BitLocker під час початкового сканування диска, незалежно від того, чи збережена таблиця розділів. Ключ, пароль або файл BEK запитується перед початком аналізу, а не в його середині — отже, робочий процес такий:
Підключіть диск і запустіть сканування. Програма визначає том BitLocker за його сигнатурою FVE, навіть якщо таблиця розділів відсутня або том відображається як RAW.
Коли з’явиться запит, введіть пароль, 48-значний ключ відновлення або один чи кілька файлів ключів .bek. За потреби можна додати кілька файлів BEK одночасно, якщо незрозуміло, який із них підходить.
Якщо ключ неправильний, програма одразу повідомляє про помилку розблокування — вона не переходить до беззмістовного сканування зашифрованих секторів так, ніби це звичайні дані.
Після розблокування том розшифровується на льоту під час аналізу — так само, як вбудований драйвер BitLocker розшифровує його під час звичайного використання Windows.
Перегляньте відновлене дерево файлів і збережіть результати на інший фізичний диск, а не на диск-джерело.
Частково зашифрований том — тобто такий, у якому процес шифрування або розшифрування було перервано посередині — обробляється так само: достатньо надати робочий захисний механізм, і інструмент продовжить аналіз без потреби спочатку завершувати або повертати процес назад.
Чому звичайне сканування не працює на заблокованому томі BitLocker
Зашифровані сектори статистично не відрізняються від випадкових даних. Інструмент відновлення, який сканує заблокований том BitLocker, шукаючи сигнатури типів файлів — заголовок JPEG, локальний заголовок ZIP тощо, — інколи може випадково знайти такі байтові шаблони всередині зашифрованого потоку. У результаті це виглядає як звичайне сканування: список «відновлених» файлів .jpg, .zip або .docx. Жоден із них не відкриється, тому що насправді там ніколи не було реального файлу — збіглася лише сигнатура. Це поширене джерело непорозумінь, коли інструмент взагалі не розпізнає BitLocker і просто сприймає том як неструктуровані дані.
Забутий пароль BitLocker не можна відновити так само, як забутий пароль облікового запису Windows за допомогою інструмента для підбору хешів. Паролі входу до Windows перевіряються за збереженим на цьому ж комп’ютері хешем; захисники BitLocker обчислюють ключ, який використовується безпосередньо в шифруванні AES, без жодного еквівалентного обходу. Єдиний спосіб отримати доступ без початкового пароля — це ключ відновлення або, якщо це було налаштовано, файл BEK.
Поширені запитання
manage-bde -resume C:. Якщо це не вдається, або ваша мета — просто витягти файли, розблокування тому за допомогою ключа відновлення та безпосереднє сканування його вмісту дозволяє отримати файли незалежно від того, наскільки далеко просунувся процес.
