BitLocker To Go використовує той самий механізм шифрування, що й BitLocker для системного диска, але застосовується до змінних носіїв — зовнішніх HDD, SSD і USB-накопичувачів. Механіка розблокування аналогічна описаній у нашому посібнику з відновлення даних із внутрішнього тому BitLocker, однак на практиці зі змінними дисками виникають інші проблеми: немає TPM, на який можна було б перейти як на резервний варіант, видимий розділ FAT32 часто помилково сприймають як увесь диск, а фізичні від’єднання під час операції трапляються частіше. У цьому посібнику розглянуто особливості роботи із зовнішніми та USB-накопичувачами.
Зміст
- Чим BitLocker To Go відрізняється
- Діагностика проблеми
- Коли відновлення можливе, а коли — ні
- Де знайти ключ відновлення
- Відновлення даних за допомогою RS Partition Recovery
| Ситуація | Що робити | Складність |
|---|---|---|
| Ви забули пароль, але маєте ключ відновлення або файл BEK | Розблокуйте диск безпосередньо за допомогою ключа під час відновлення | Низька |
| Диск було від’єднано або він утратив живлення під час шифрування | Розблокуйте диск за допомогою ключа та виконайте сканування; за потреби окремо відновіть процес шифрування | Середня |
| Видимий лише невеликий розділ FAT32, а решта диска виглядає порожньою | Зашифрований том розташований в окремому прихованому розділі — його не втрачено | Низька |
| Windows пропонує відформатувати диск, але форматування ще не виконано | Не натискайте «Форматувати»; безпосередньо проскануйте диск на наявність сигнатури FVE | Висока |
| Диск уже було відформатовано (швидке або повне форматування) | Нічого — форматування знищує метадані FVE, до яких прив’язаний ключ | Не підлягає відновленню |
| Ключ відновлення саме для цього диска ніде не було збережено | Відновити дані неможливо — шифрування виконує своє завдання | Не підлягає відновленню |
Чим BitLocker To Go відрізняється
Структура тому та метадані FVE (Full Volume Encryption, повне шифрування тому) ідентичні тим, що використовуються на внутрішньому диску. Відрізняється лише набір доступних засобів захисту, оскільки знімний диск не прив’язаний до апаратного забезпечення конкретного комп’ютера. Автоматичне розблокування за допомогою TPM тут узагалі не застосовується: захист TPM існує лише для системного тому, з якого завантажується певний комп’ютер. Тому під час підключення зовнішнього диска до кожного нового комп’ютера потрібно явно вказати пароль, смарт-картку або ключ відновлення. Коли в Провіднику Windows вмикають BitLocker To Go, за замовчуванням використовується захист паролем, а також створюється ключ відновлення у стандартному форматі з 48 цифр, який можна зберегти в обліковому записі Microsoft, роздрукувати або зберегти у файлі.
Автоматичне розблокування доступне і для зовнішніх дисків, але воно прив’язане до конкретного комп’ютера, а не до самого диска: після того як певний комп’ютер із Windows розблокує диск за допомогою пароля, він запам’ятовує це й під час наступних підключень більше не запитує пароль. Ці відомості зберігаються на комп’ютері, а не на диску, тому під час першого підключення того самого диска до будь-якого іншого середовища — іншого ПК, Live-середовища Linux або робочої станції відновлення — пароль буде потрібен знову. На практиці це означає, що для зовнішнього диска ключ відновлення або пароль ніколи не є справді необов’язковими, на відміну від системного диска, для якого за ввімкненого автоматичного розблокування вони можуть здаватися непотрібними. Рано чи пізно на якомусь комп’ютері доведеться скористатися одним із них. Перевірити налаштовані на підключеному диску засоби захисту можна, указавши призначену йому літеру:
manage-bde -protectors -get E:
Діагностика проблеми
Якщо у Провіднику файлів на диску відображається лише невеликий розділ FAT32, а решта даних не видно, це не означає, що вони зникли. Диски, зашифровані в старіших версіях Windows, могли містити додатковий невеликий розділ FAT32 поруч із зашифрованим томом. На ньому зберігався BitLocker To Go Reader — окремий інструмент, за допомогою якого системи рівня Windows 7 без вбудованої підтримки BitLocker могли розблокувати диск. Сам зашифрований том розташований в окремому розділі, який Windows підключає лише після розблокування; він нікуди не зник. Керування дисками або спеціалізована програма для відновлення розділів покаже обидва розділи, навіть якщо автоматично літеру диска призначено лише розділу FAT32.
Інша ситуація — коли шифрування або розшифрування зупинилося посеред процесу, зазвичай через від’єднання диска, перебій живлення або розрив USB-з’єднання. У такому разі том опиняється у змішаному стані: частину даних уже оброблено, а частину — ще ні. Це окрема проблема, не тотожна фактичному пошкодженню диска, тому важливо розрізнити ці випадки, перш ніж переходити до інших дій.
Якщо Windows повідомляє, що диск не читається, або пропонує його відформатувати, це може вказувати на одну з двох принципово різних проблем: пошкоджену таблицю розділів за збереженого зашифрованого тому або справжню фізичну несправність. Портативні диски частіше зазнають пошкоджень через падіння, несправність мікросхеми USB–SATA-мосту чи контролера, ніж диски, які постійно встановлені всередині корпусу. Тому перед тим, як вважати проблему суто логічною, варто виключити фізичне пошкодження. Типові ознаки — нестабільне визначення диска під час підключення до різних USB-портів, незвичні шуми або раптове зникнення диска під час передавання даних.
Є ще один сценарій, який варто розпізнати, а не намагатися усунути звичайними методами: диск налаштовано на автоматичне розблокування на одному комп’ютері, а потім підключено до іншого, де його раніше не використовували. Такий комп’ютер попросить пароль або ключ відновлення, наче диск підключено вперше, адже для нього це справді перше підключення.
Перевірте стан, перш ніж робити будь-що інше:
manage-bde -status E:
Ця команда покаже відсоток виконання шифрування та стан блокування. Це допоможе відрізнити перерване шифрування від іншої проблеми з диском і правильно визначити подальші дії.
Коли відновлення можливе, а коли — ні
Після виявлення проблеми можливість відновлення залежить від одного: чи залишилися неушкодженими метадані FVE — структура, що пов’язує зашифрований том із його VMK, а через нього — з паролем, ключем відновлення або файлом BEK. Нижче наведено найпоширеніші практичні випадки:
- Файли видалено або втрачено, але том і надалі нормально розблоковується. Це найпростіший випадок: метадані FVE не зазнали змін, а було видалено лише записи файлової системи для окремих файлів. Робочий пароль, ключ відновлення або файл BEK розблоковує том так само, як і раніше.
- Том відображається як RAW, нерозподілений або такий, що «потребує форматування». Якщо після цього на диск фактично нічого не записували, метадані FVE та зашифровані сектори зазвичай зберігаються, навіть якщо таблицю розділів було пошкоджено. Таблиця розділів і заголовок FVE є окремими структурами, тому втрата однієї з них не обов’язково означає втрату іншої.
- Процес шифрування або розшифрування було перервано. Том переходить у змішаний стан: частина даних уже оброблена, а частина — ще ні. Однак сам заголовок FVE через переривання не пошкоджується. Якщо є робочий засіб захисту, том можна розблокувати й просканувати незалежно від того, наскільки далеко просунувся процес.
- Диск під’єднали до комп’ютера, на якому для нього не налаштовано автоматичне розблокування. Сам том не змінився — на новому комп’ютері просто немає збережених даних для автоматичного розблокування. Ключ відновлення або пароль працюватиме так само, як і на початковому комп’ютері.
- Диск відформатували, але на ньому було більше одного розділу. Якщо перший розділ видалили, а потім диск переформатували, повторне форматування зазвичай перезаписує лише цільову область. Метадані FVE другого або третього розділу, розташованого далі на диску, можуть залишитися неушкодженими. Такі розділи все ще можна відновити, навіть якщо перший уже втрачено. Тому варто просканувати весь фізичний диск, а не вважати його повністю безнадійним.
Справді остаточними є лише деякі випадки. На диску з одним розділом, який уже відформатували — швидко або повністю, — для засобів відновлення може не залишитися необхідних даних: форматування замінює структури, у яких зберігаються VMK і заголовок FVE. Тому навіть правильний початковий пароль або ключ відновлення вже не матиме метаданих, необхідних для розблокування. Такий самий остаточний результат можливий, якщо пароль і ключ відновлення назавжди втрачені й не залишилося жодного засобу захисту, який можна було б перевірити, а також якщо фізичне пошкодження достатньо серйозне, щоб зруйнувати сектори, у яких безпосередньо зберігається заголовок FVE, а не лише запис таблиці розділів, що вказує на нього.
Запит Windows «Відформатувати цей диск?» сам по собі ще нічого не змінює — відмова від форматування нічого вам не коштує. Наслідки починаються після підтвердження. Якщо диск відображається як RAW, недоступний або неформатований, спочатку проскануйте його програмою для відновлення даних і лише потім форматуйте.
Де знайти ключ відновлення
Ключ відновлення диска найчастіше можна знайти в одному з кількох місць. Якщо під час налаштування шифрування на ПК було виконано вхід до облікового запису Microsoft, ключ зазвичай автоматично зберігається в резервній копії та доступний за адресою account.microsoft.com/devices/recoverykey. Якщо його там немає, перевірте, чи не маєте ви роздрукованої копії або збереженого текстового файла, створеного під час першого шифрування диска. За замовчуванням Windows називає такі файли за унікальним ідентифікатором диска, тож відповідність ключа потрібному диску легко перевірити. На комп’ютері, яким керує організація, адміністратор домену або Azure AD може знайти ключ за пристроєм чи ідентифікатором ключа (Key ID). Якщо ж том налаштовано на розблокування за допомогою файла ключа запуску, а не введенням пароля, саме файл BEK є обліковими даними — окремий ключ відновлення не потрібен.
Ключі відновлення прив’язані до конкретного диска, а не до облікового запису користувача загалом: ключ, збережений для одного зовнішнього диска, не розблокує інший, навіть якщо обидва диски було зашифровано на одному ПК. Якщо у вас є кілька ключів, зіставте потрібний за ідентифікатором ключа (Key ID).
Відновлення даних за допомогою RS Partition Recovery
RS Partition Recovery розпізнає том BitLocker за сигнатурою FVE та ще до початку сканування запитує пароль, ключ відновлення або файл BEK. Процес такий самий, як і для внутрішнього диска, але для зовнішніх носіїв слід врахувати кілька особливостей:
Підключайте диск безпосередньо, а не через USB-концентратор або док-станцію сумнівної якості. Нестабільне USB-з’єднання під час тривалого сканування часто призводить до його перезапуску.
Запускайте сканування всього фізичного пристрою, а не окремої логічної літери диска. Це важливо з двох причин, описаних вище: так програма зможе побачити зашифрований розділ разом із розділом виявлення FAT32, а також знайти другий або третій розділ, який зберігся після повного форматування диска, навіть якщо перший розділ на цьому диску було втрачено.
Якщо потрібно лише переконатися, що диск не має фізичних пошкоджень, перш ніж шукати ключ відновлення, сканування можна запустити без введення будь-якого засобу захисту. Це не розшифрує вміст файлів, але покаже, чи наявний том BitLocker і чи збережена його структура. Така перевірка допомагає на ранньому етапі виключити несправність диска.
Коли будете готові до розшифрування, введіть пароль, 48-значний ключ відновлення або один чи кілька файлів .bek. Якщо незрозуміло, який саме файл підходить, можна додати кілька файлів BEK одночасно: програма зіставить їх за ідентифікатором ключа (Key ID), тому вручну вгадувати не потрібно.
Неправильний ключ буде безпосередньо визначено як помилку розблокування. Програма не продовжуватиме сканування мовчки, переходячи до пошуку файлів за сигнатурами в даних, які все ще залишаються зашифрованими.
Після розблокування том розшифровується під час сканування в режимі реального часу — так само, як і на внутрішньому диску.
Зберігайте відновлені файли на іншому фізичному диску — ніколи не зберігайте їх на тому самому зовнішньому диску, з якого виконується відновлення.
