BitLocker, FileVault, a Cloi Allwedd Adfer Amgryptio Disg LUKS¶

Gweld sgrin glas BitLocker Recovery ar Windows, anogwr mewngofnodi FileVault wedi'i gloi ar macOS, neu anymateb cryptsetup Gall anogwr cyfrinair ar weithfan Linux ddod â'ch gwaith a'ch bywyd personol i ben. Mae amgryptio disg llawn (FDE) yn defnyddio seiffrau cymesur gradd milwrol, fel arfer AES-128 neu AES-256 yn modd XTS, i sgrialu pob sector o'ch gyriant cyflwr solet (SSD) neu yriant disg caled (HDD). Heb yr Allwedd Meistr Cyfrol cryptograffig (VMK) neu amddiffynwr amgryptio bysell ddilys, mae'r data crai ar y sglodion fflach NAND yn fathemategol anwahanadwy oddi wrth sŵn ar hap.

Fodd bynnag, anaml y mae sgrin allwedd adfer sydyn yn golygu bod eich gyriant wedi'i ddifrodi neu fod eich allwedd wedi diflannu am byth. Mae'r rhan fwyaf o gloi allan BitLocker a FileVault yn cael eu sbarduno'n awtomatig pan fydd diweddariad cadarnwedd BIOS / UEFI arferol, newid doc Thunderbolt, togl Secure Boot, neu fatri ceiniog-gell marw CMOS yn newid y Cofrestrau Ffurfweddu Llwyfan (PCRs) y tu mewn i'ch mamfwrdd ** Modiwl Platfform Ymddiriedol (TPM 2.0)**. Hyd yn oed os na wnaethoch chi erioed ysgrifennu allwedd adfer, gallwch chi osgoi'r anogwr yn aml trwy ddychwelyd yr union osodiad cadarnwedd UEFI a faglodd y mesuriad TPM, neu trwy leoli copi wrth gefn awtomatig tawel o'ch allwedd y tu mewn i gyfrif Microsoft personol, cyfeiriadur Microsoft Entra ID gwaith neu ysgol, keychain Apple iCloud, neu gopi cysgod cyfaint heb ei osod.

Gwnewch hyn nawr¶

1. STOPWCH cyn clicio ar "Ailosod y PC hwn", "Dileu Mac", neu fformatio'r rhaniad. Mae ailosod Windows, macOS, neu Linux dros raniad wedi'i amgryptio yn trosysgrifo'r pennawd cyfaint cryptograffig (blociau metadata BitLocker, uwchfloc cynhwysydd APFS, neu bennawd LUKS2 JSON). Unwaith y bydd y pennawd metadata bach hwnnw wedi'i drosysgrifo, ni fydd hyd yn oed dod o hyd i'ch allwedd adfer 48-digid dilys yfory yn dadgryptio'ch ffeiliau mwyach.
2. Tynnwch y plwg oddi wrth yr holl yriannau USB allanol, cardiau SD, dociau Thunderbolt, addaswyr HDMI, a rheolwyr hapchwarae, ac yna ailgychwyn. Ar systemau Windows gan ddefnyddio Cofrestrau Ffurfweddu Llwyfan TPM 2.0 (yn benodol PCR 0, PCR 2, PCR 4, a PCR 7), cychwyn gyda gyriant bawd USB y gellir ei bootable, dyfais monitro Thunderbolt neu fotws allanol sydd newydd ei atodi gyda botwm Thunderbolt Option. mesur hash cyn-cist. Mae dad-blygio pob ymylol a pherfformio ailgychwyn oer yn aml yn caniatáu i'r TPM ryddhau'r Allwedd Meistr Cyfrol fel arfer heb fod angen y cod 48 digid.
3. Gwiriwch bob cyfrif Microsoft, Apple, neu gorfforaethol rydych chi erioed wedi'i ddefnyddio ar ffôn eilaidd neu liniadur. Peidiwch â chymryd yn ganiataol eich bod chi'n gwybod pa gyfrif e-bost oedd yn weithredol pan gafodd y gliniadur ei ddadflychau gyntaf. Ar Windows, gwiriwch account.microsoft.com/devices/recoverykey ar draws eich cyfrifon Outlook/Hotmail/Live personol, a siec aka.ms/myrecoverykey ar unrhyw gyfrif gwaith, prifysgol, neu gleient Microsoft 365 (Entra ID) y gwnaethoch chi lofnodi i mewn i Microsoft Word, Teams, neu Gosodiadau Windows.
4. ** Cydweddwch yr 8 nod cyntaf o'r "ID Allweddol" a ddangosir ar eich sgrin dan glo.** Mae sgrin adfer Windows BitLocker yn dangos ID Allweddol 32 nod (neu'r 8 nod hecsadegol cyntaf, megis A1B2C3D4). Os oes gennych allweddi lluosog wedi'u storio yn eich cyfrif Microsoft neu ar hen gyfrifiaduron, dim ond y cyfrinair adfer 48 digid y mae ei ID Allwedd yn cyfateb i'r union 8 nod hynny fydd yn datgloi'r gyfrol gyriant penodol hon.
5. Dychwelyd unrhyw newidiadau BIOS/UEFI diweddar a wnaed yn union cyn y cloi allan. Os ymddangosodd sgrin BitLocker yn syth ar ôl i chi fynd i mewn i'r gosodiad BIOS i ddiffodd Cist Diogel , toglwch ** CSM (Modiwl Cefnogi Cydnawsedd), newid ** Intel PTT / AMD fTPM, neu alluogi ** Boot Order changes**, ailgychwyn i'r BIOS (F2, F12, neu Del) a gosod yr union toglau hynny yn ôl i'w cyflwr blaenorol. Cyn gynted ag y bydd PCR 7 a PCR 0 yn cyd-fynd â'u hash cryptograffig gwreiddiol, bydd y TPM yn dad-selio'r allwedd yn awtomatig.
6. Blaenoriaethu diogelwch corfforol os bydd y cloi allan yn digwydd yn ystod argyfwng neu argyfwng domestig. Os ydych chi'n ceisio adalw cofnodion meddygol, dogfennau ariannol, neu gynlluniau gwacáu yn ystod argyfwng, cofiwch fod gyriannau wedi'u hamgryptio yn cadw data am gyfnod amhenodol tra'n cael ei bweru i ffwrdd. Os ydych chi'n wynebu bygythiad corfforol uniongyrchol, gadewch y caledwedd ar ôl a ffoniwch eich rhif argyfwng lleol (911 yn yr Unol Daleithiau a Chanada, 112 ar draws yr Undeb Ewropeaidd, 999 yn y Deyrnas Unedig, neu gweler ein rhifau brys cyfeiriadur).

Triage cloi allan amgryptio disg a choeden penderfyniadau adfer¶

flowchart TD
    Start["Wedi'i gloi allan o'r gyriant wedi'i amgryptio: BitLocker, FileVault, neu LUKS Prompt"] --> WhichOS{"Pa System Weithredu a Pheirian Amgryptio?"}

    WhichOS -->|"Windows: Sgrin Adfer 48-Digit BitLocker"| PeriphCheck["Cam 1: Datgysylltwch yr holl yriannau USB, dociau Thunderbolt, a monitorau allanol; ailgychwyn oer"]
    PeriphCheck --> StillLocked{"Dal i ofyn am allwedd 48-digid?"}
    StillLocked -->|"Na: Booted Fel arfer"| BackupNow["Rhedwch 'manage-bde -protectors -get C:' ar unwaith a chadwch allwedd 48 digid all-lein"]
    StillLocked -->|"Oes"| BIOSCheck{"A wnaethoch chi newid BIOS, Secure Boot, CSM, neu ddiweddaru firmware?"}

    BIOSCheck -->|"Oes"| RevertBIOS["Rhowch Gosodiad UEFI: Ail-alluogi Boot Diogel, Modd Boot UEFI, ac Intel PTT / AMD fTPM i adfer stwnsh PCR 7"]
    BIOSCheck -->|"Nac ydw"| HuntKey["Cam 2: Cydweddu ID Allwedd 8-Torgoch ar draws POB Cyfrif Microsoft Personol, ID Mynediad Gwaith/Ysgol, Active Directory, a ffeiliau USB .BEK/.TXT"]
    RevertBIOS --> HuntKey

    WhichOS -->|"macOS: Mae Login FileVault yn Gwrthod Cyfrinair"| ApplePath{"Apple Silicon/T2 Mac yn erbyn Intel Mac?"}
    ApplePath -->|"Pob Mac"| TestLayout["Cam 1: Gwiriwch y Ddewislen Mewnbwn ar ochr dde uchaf y sgrin FileVault am ddiffyg cyfatebiaeth o ran cynllun bysellfwrdd"]
    TestLayout --> FVMethod{"Pa Ddull Adfer A Galluogwyd?"}
    FVMethod -->|"iCloud Cyfrif Escrow"| BootRecovery["Cychwyn i macOS Recovery: Dilyswch gyda Chyfrif Apple trwy Gynorthwyydd Adfer i ailosod cyfrinair"]
    FVMethod -->|"Allwedd Adfer Personol 24-Torgoch (PRK) neu MDM"| EnterPRK["Rhowch allwedd XXXX-XXXX-XXXX-XXXX-XXXX-XXXX yn Recovery Assistant neu gofynnwch am Allwedd Escrow Sefydliadol o TG"]

    WhichOS -->|"Linux: LUKS / cryptsetup Cyfrinair Gwrthodwyd"| LUKSPath["Cam 1: Gollwng i initramfs cragen neu cist Live USB; gwirio cynllun bysellfwrdd yn y consol"]
    LUKSPath --> LUKSHeader{"Ydy Keyslots yn Gyflawn yn 'cryptsetup luksDump'?"}
    LUKSHeader -->|"Ydy: Keyslot Actif"| TestPass["Profwch slotiau bysellau eilaidd (Slot 1-7), tocyn FIDO2/TPM2, neu redeg Modd hashcat 29500 yn erbyn copi wrth gefn o'r pennyn"]
    LUKSHeader -->|"Na: Pennawd Llygredig"| RestoreHeader["Adfer pennyn LUKS o '--header-backup-file' neu ddisg sganio ar gyfer metadata sydd wedi goroesi"]

Deall Amgryptio Disg Llawn a selio TPM 2.0¶

Nid Windows BitLocker, Apple FileVault 2, na Linux dm-crypt Mae / LUKS yn amgryptio eich SSD yn uniongyrchol gyda'ch cyfrinair mewngofnodi neu allwedd adfer. Yn lle hynny, mae'r tri llwyfan yn defnyddio hierarchaeth allweddol dwy haen:

1. Yr Allwedd Meistr Cyfrol (VMK) / Allwedd Amgryptio Cyfrol Llawn (FVEK): Mae allwedd caledwedd ar hap (128-bit, 256-bit, neu 512-bit) yn amgryptio ac yn dadgryptio'r sectorau disg gwirioneddol ar y hedfan.
2. ** Amddiffynwyr Allweddol / Allweddellau (KEKs)**: Mae'r Allwedd Meistr Cyfrol wedi'i lapio gan ddefnyddio Allweddi Amgryptio Allweddol (KEKs) annibynnol, o'r enw * Amddiffynwyr Allweddol * yn BitLocker, * Bagiau Allweddol * yn Apple APFS, a * Keyslots * yn Linux LUKS.
3. Pam mae selio TPM 2.0 yn eich cloi allan ar Windows: Ar Windows 10 a 11, y prif amddiffynwr allwedd yw'r ** Modiwl Platfform Ymddiried (TPM 2.0)** sglodyn (silicon arwahanol neu gadarnwedd ** Intel PTT / AMD fTPM**). Pan fydd BitLocker yn selio'r Allwedd Meistr Cyfrol i'r TPM, mae'n clymu'r allwedd i Cofrestrau Ffurfweddu Llwyfan (PCRs) penodol:
4. ** PCR 0**: cadarnwedd system craidd Hashes UEFI/BIOS.
5. PCR 2: Hashes caledwedd allanol plygadwy Cod ROM Opsiwn (Dociau Thunderbolt, cardiau RAID, GPUs allanol).
6. PCR 4: Hashes y rheolwr cist (bootmgfw.efi) a chyflwr archeb gychwynnol.
7. PCR 7: Polisi Hashes Secure Boot a UEFI db / dbx cronfeydd data tystysgrif.
8. ** PCR 11**: Cydrannau rheoli mynediad Hashes BitLocker.

Pryd bynnag y byddwch chi'n pwyso'r botwm pŵer, mae'r motherboard yn mesur y cydrannau firmware hyn cyn llwythi Windows. Os yw unrhyw ddarn sengl yn PCR 0, PCR 2, PCR 4, neu PCR 7 yn wahanol i'r gwerth a gofnodwyd pan seliwyd BitLocker, mae'r TPM yn gwrthod rhyddhau'r Allwedd Meistr Cyfrol ac yn gorfodi Windows Boot Manager i arddangos y sgrin 48-digid BitLocker Recovery Key sgrin.

Cymhariaeth o saernïaeth Amgryptio Disg Llawn a mecanweithiau adfer¶

Rhan 1: Datrys cloeon adfer Windows BitLocker¶

Pan fydd eich Windows PC yn stopio yn "BitLocker: Rhowch yr allwedd adfer ar gyfer y gyriant hwn" (neu mae Windows Recovery Environment yn gofyn am allwedd cyn caniatáu mynediad Command Prompt neu Safe Mode), gweithiwch drwy'r ddau drac cyfochrog hyn: ** Mae Trac A** yn ceisio annog y TPM i ddatgloi'r gyriant heb fod angen yr allwedd, ac mae Trac B yn chwilio am yr allwedd 48-digid ar draws pob storfa ddigidol a lleol.

Trac A: Osgoi'r anogwr BitLocker heb allwedd adfer (Adfer cyflwr TPM PCR)¶

Os na wnaethoch chi sychu'r TPM â llaw na symud yr NVMe SSD i famfwrdd newydd, mae'r Key Master Volume yn dal i fod y tu mewn i'ch sglodion TPM 2.0. Mae'n gwrthod datgloi oherwydd bod mesuriad PCR cyn cychwyn wedi newid. Rhowch gynnig ar yr adferiadau caledwedd a firmware annistrywiol hyn mewn trefn:

1. Datgysylltwch yr holl galedwedd a dociau allanol:
2. Pwerwch y cyfrifiadur i ffwrdd yn llwyr (daliwch y botwm pŵer am 10 eiliad).
3. Tynnwch y plwg bob gyriant fflach USB, gyriant caled allanol, canolbwynt USB-C, gorsaf docio Thunderbolt, cerdyn SD, a chebl monitor allanol.
4. Datgysylltwch y gwefrydd AC am 15 eiliad, plygiwch y gwefrydd brodorol yn uniongyrchol i'r gliniadur, a'i droi ymlaen. Mae dociau Thunderbolt a chanolbwyntiau USB-C yn aml yn cynnwys cist rhwydwaith PXE mewnol neu'n arddangos ROMau Opsiwn sy'n ymestyn i PCR 2 a PCR 4, gan annilysu cyflwr TPM.
5. Adfer Modd Cist Cist Diogel a UEFI yn Gosodiad BIOS:
6. Ailgychwyn a gwasgwch allwedd BIOS eich mamfwrdd (F2 ar Dell / ASUS / Lenovo / Acer, F10 ar HP, Del ar fyrddau bwrdd gwaith).
7. Os cafodd Secure Boot ei newid yn ddiweddar o Galluogi i Anabledd, gosodwch ef yn ôl i Galluogi (Modd Safonol)) ac arbedwch y newidiadau. I'r gwrthwyneb, pe bai diweddariad BIOS yn troi Secure Boot to Enabled, ceisiwch ei doglo i'r Anabl unwaith.
8. Cadarnhau Mae Modd Cist wedi'i osod i UEFI yn Unig (analluogi Legacy / CSM) a chadarnhau mai Rheolwr Boot Windows yw'r opsiwn cychwyn cyntaf.
9. Gwiriwch fod Intel PTT neu AMD fTPM wedi'i alluogi (Peidiwch byth â chlicio "Clear TPM"):
10. Ar ôl batri CMOS marw neu ailosodiad BIOS, mae mamfyrddau weithiau'n analluogi'r firmware TPM (Intel Platform Trust Technology neu AMD CPU fTPM). Ewch i'r tab Diogelwch neu Cyfrifiadura Ymddiried yn y BIOS a chadarnhewch fod Cyflwr TPM 2.0 wedi'i alluogi**.
11. Rhybudd: Peidiwch byth â dewis "Clear TPM" neu "Dileu fTPM NV" y tu mewn i BIOS. Mae clirio'r TPM yn dinistrio'r Allwedd Root Storio mewnol yn barhaol y tu mewn i'r sglodion silicon, gan wneud yr allwedd adfer 48-digid yn orfodol.
12. Rholiwch yn ôl ddiweddariad capsiwl BIOS bygi:
13. Ar liniaduron Dell, daliwch Ctrl + Esc wrth blygio pŵer AC i mewn i lansio'r ddewislen ** Dell BIOS Recovery** a dewis Rollback BIOS. Ar liniaduron HP, daliwch Win + B wrth wasgu'r botwm pŵer am 2 eiliad i sbarduno dychweliad BIOS Cychwyn Cadarn HP.

Trac B: Chwiliad trylwyr am eich Allwedd Adfer BitLocker 48-digid¶

Os na ellir adfer y TPM (neu os symudoch yr SSD i gae USB allanol), rhaid i chi gyflenwi'r cyfrinair adfer rhifol 48 digid (XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX) neu a .BEK ffeil allwedd cychwyn. Ysgrifennwch 8 nod cyntaf yr ID Allwedd a ddangosir ar y sgrin (er enghraifft, Key ID: 4F8A9C12) a gwiriwch y chwe lleoliad hyn:

1. Cyfrifon Microsoft Personol (account.microsoft.com/devices/recoverykey)¶

Ymweliadhttps://account.microsoft.com/devices/recoverykey (neu https://aka.ms/myrecoverykey) ar ffôn neu gyfrifiadur eilaidd. - Gwiriwch bob cyfrif hanesyddol: Mae Amgryptio Dyfais yn gwneud copi wrth gefn o'r allwedd i ba bynnag Gyfrif Microsoft a ddefnyddiwyd gyntaf pan gafodd y PC ei ddadflychau, hyd yn oed os gwnaethoch chi newid i fewngofnodi lleol yn ddiweddarach. Mewngofnodwch a phrofwch bob hen @hotmail.com, @live.com, @outlook.com, neu'n gysylltiedig @gmail.com cyfrifon, ynghyd â chyfrif unrhyw briod, rhiant, neu dechnegydd a helpodd i sefydlu'r PC neu lofnodi i mewn i Microsoft Office neu Xbox Game Pass ar y peiriant hwnnw.

2. Gwaith, Ysgol, neu Brifysgol Entra ID / Azure AD (myaccount.microsoft.com)¶

Hyd yn oed ar liniadur cartref personol, os gwnaethoch erioed lofnodi i apiau Microsoft 365 (Word, Excel, Teams) gyda cyfeiriad e-bost gwaith, prifysgol, neu gleient a gadael "Caniatáu i'm sefydliad reoli fy nyfais" wedi'i wirio, mae Windows wedi hebrwng eich allwedd adfer BitLocker yn awtomatig i denant Microsoft Entra ID y sefydliad hwnnw: 1. Ymweliadhttps://myaccount.microsoft.com/device-list a llofnodwch gyda'ch e-bost gwaith neu ysgol. 2. Dewiswch enw eich cyfrifiadur a chliciwch Gweld bysellau BitLocker. 3. Os yw eich cyfrif gwaith neu ysgol eisoes yn anabl, ffoniwch Desg Gymorth TG y sefydliad hwnnw a rhowch eich ID Allwedd 8 nod** iddynt. Gall gweinyddwyr adfer allweddi ar gyfer cyfrifon wedi'u dadactifadu o dan Dyfeisiau> Pob dyfais> Allweddi adfer i mewn entra.microsoft.com.

3. Cyfeiriadur Gweithredol Corfforaethol ar y Safle (msFVE-RecoveryInformation)¶

Os cafodd y cyfrifiadur ei gysylltu â pharth Active Directory, gall Gweinyddwr Parth edrych i fyny'r allwedd trwy ei ID Allwedd 8-cymeriad gan ddefnyddio PowerShell:

Get-ADObject -Filter {objectClass -eq 'msFVE-RecoveryInformation'} -Properties msFVE-RecoveryPassword, whenCreated |
  Where-Object { $_.Name -like "*4F8A9C12*" } | Select-Object Name, msFVE-RecoveryPassword, whenCreated

4. Ffeiliau Testun Awtomataidd neu â Llaw ar Gyriannau Fflach USB a Gyriannau Cwmwl¶

Pan fydd Windows yn arbed allwedd adfer i ffeil neu yriant USB, mae'n enwi'r ffeil BitLocker Recovery Key [GUID].txt neu yn arbed cudd .BEK ffeil (attrib +h +s). Rhedeg y chwiliad PowerShell hwn ar draws pob gyriant USB, gyriannau caled allanol, ffolderi OneDrive, Google Drive, a Dropbox ar gyfrifiadur personol arall:

Get-PSDrive -PSProvider FileSystem | ForEach-Object {
    Get-ChildItem -Path $_.Root -Include "*BitLocker*Recovery*Key*.txt", "*.bek" -Recurse -Force -ErrorAction SilentlyContinue
} | Select-Object FullName, LastWriteTime

5. Tynnu'r Allwedd ar gyfer Gyriant Data Eilaidd (D:) o Unlocked C: Rhaniad¶

Os C: esgidiau fel arfer a dim ond gyriant eilaidd D: wedi'i gloi, agorwch ffenestr Administrator PowerShell ymlaen C: a rhedeg manage-bde -protectors -get D: i weld os C: dal yn dal yr allwedd cofrestrfa auto-datgloi, neu archwilio Copïau Cysgodol Cyfrol blaenorol o'ch Documents ffolder i'w dileu BitLocker Recovery Key *.txt ffeiliau.

6. Argraffu Hanes Spooler ac Allbrintiau PDF / OneNote¶

Os wnaethoch chi glicio "Argraffu'r allwedd adfer" yn ystod y gosodiad, gwiriwch Microsoft OneNote a chwiliwch eich Documents ffolder ar gyfer .pdf neu .xps ffeiliau wedi'u creu trwy "Microsoft Print to PDF".

Trac C: Datgloi a dadgryptio gyriant BitLocker o WinRE Command Prompt (manage-bde)¶

Os yw teipio'r cyfrinair adfer 48-digid wrth y sgrin las yn dolennu yn ôl i BitLocker ar yr ailgychwyn nesaf neu'n chwalu Windows, datgloi ac atal BitLocker o'r ** Amgylchedd Adfer Windows (WinRE) ** Anogwr Gorchymyn:

1. Pwyswch Esc ar y sgrin BitLocker, yna cliciwch ** Hepgor y gyriant hwn -> Datrys Problemau -> Opsiynau uwch -> Anogwr Gorchymyn**.
2. Gwiriwch statws a datgloi cyfaint yr OS (C:):

   manage-bde -status
   manage-bde -unlock C: -RecoveryPassword 123456-123456-123456-123456-123456-123456-123456-123456
   

3. (Neu datgloi gan ddefnyddio deuaidd .BEK ffeil ar ffon USB wedi'i fapio fel F: trwy manage-bde -unlock C: -RecoveryKey "F:\key.BEK").*
4. ** Ataliwch amddiffynwyr fel nad yw'r anogwr yn dychwelyd ar yr ailgychwyn nesaf**:

   manage-bde -protectors -disable C:
   

   Ailgychwyn i mewn i Windows, yna rhedeg manage-bde -protectors -enable C: mewn Anogwr Gorchymyn uchel i ail-selio'r Allwedd Meistr Cyfrol yn erbyn hashes PCR UEFI newydd.
5. Os na all Windows gychwyn, copïwch ffeiliau neu ddadgryptio'n llawn:

   robocopy C:\Users\YourUsername F:\RescueBackup /E /ZB /R:1 /W:1 /XJ
   manage-bde -off C:
   

Trac D: Gosod SSD BitLocker ar Linux (dislocker / cryptsetup) ar gyfer achub ffeiliau¶

Os bu farw eich mamfwrdd Windows, rhowch y M.2 NVMe neu SATA SSD i mewn i amgaead USB-C allanol (yn mesur tua 10 centimetr wrth 3 centimetr, neu 4 modfedd wrth 1.2 modfedd) a'i ddatgloi ar unrhyw Linux PC neu Ubuntu Live USB:

# Method 1: Modern cryptsetup (v2.3+ natively supports BITLOCKER volumes)
sudo cryptsetup open --type bitlocker /dev/nvme0n1p3 bitlocker_unlocked
# Type the 48-digit recovery key INCLUDING hyphens when prompted
sudo mkdir -p /mnt/windows_data
sudo mount -t ntfs3 -o ro /dev/mapper/bitlocker_unlocked /mnt/windows_data

# Method 2: Using dislocker
sudo apt update && sudo apt install -y dislocker ntfs-3g
sudo mkdir -p /mnt/dislocker_raw /mnt/windows_rescue
sudo dislocker -V /dev/nvme0n1p3 -p123456-123456-123456-123456-123456-123456-123456-123456 -- /mnt/dislocker_raw
sudo mount -t ntfs-3g -o loop,ro /mnt/dislocker_raw/dislocker-file /mnt/windows_rescue

Rhan 2: Datrys Apple macOS FileVault 2 a Secure Enclave lockouts¶

Ar macOS (High Sierra trwy macOS Sequoia a mwy newydd), mae FileVault 2 yn amgryptio'r gyfrol APFS (System Ffeil Apple) gyfan. Ar Macs gyda Apple Silicon (M1, M2, M3, M4) neu Sglodion Diogelwch Apple T2, mae'r gyfrol mewn gwirionedd bob amser wedi'i hamgryptio wrth orffwys gan ddefnyddio allweddi caledwedd y tu mewn i'r Prosesydd Enclave Diogel (SEP). Mae troi FileVault ymlaen yn lapio'r Allwedd Amgryptio Cyfrol caledwedd (VEK) hwnnw gydag Allwedd Amgryptio Allweddol (KEK) sy'n deillio o'ch cyfrinair mewngofnodi macOS a'ch Allwedd Adfer FileVault.

Gan fod FileVault yn gofyn am ddadgryptio cyfaint APFS * cyn * mae macOS yn llwytho o ddisg, nid y sgrin gyntaf a welwch pan fyddwch chi'n troi Mac sydd wedi'i alluogi gan FileVault ymlaen yw'r ffenestr mewngofnodi macOS arferol, dyma'r sgrin ddatgloi ** cyn-cist FileVault EFI / iBoot**.

Cam 1: Diystyru achos #1 cloi allan sydyn FileVault (Cynllun bysellfwrdd cyn-cychwyn a bysellfyrddau allanol)¶

Cyn cymryd yn ganiataol bod eich cyfrinair wedi torri neu ddechrau ailosod, gwiriwch y tri quirc cyn-gist hyn sy'n achosi i gyfrineiriau dilys ysgwyd a gwrthod ar sgrin cychwyn FileVault:

1. Switsh Dewislen Mewnbwn Bysellfwrdd Cyn-cist: Mae'r sgrin FileVault cyn-cist yn defnyddio gyrrwr bysellfwrdd cadarnwedd wedi'i dynnu i lawr sy'n aml yn rhagosod i ** U.S. QWERTY** (neu ABC) hyd yn oed os gwnaethoch chi deipio'ch cyfrinair gan ddefnyddio gosodiad DU, Almaeneg (QWERTZ), Ffrangeg (AZERTY), neu Dvorak y tu mewn i macOS. Edrychwch ar gornel dde uchaf sgrin mewngofnodi FileVault**, cliciwch ar eicon dewislen Mewnbwn Bysellfwrdd**, a dewiswch eich union gynllun bysellfwrdd.
2. Amseriad Bysellfwrdd Bluetooth a Num Lock: Mae bysellfyrddau Bluetooth trydydd parti yn aml yn gollwng eu dwy drawiad bysell gyntaf wrth ddeffro ar y sgrin cyn cychwyn, neu nid oes ganddynt ddangosyddion cyflwr Num Lock. Plygiwch bysellfwrdd USB â gwifrau yn uniongyrchol i'r Mac (neu defnyddiwch fysellfwrdd MacBook) a theipiwch yn araf.
3. Ddefnyddwyr Gweinyddol Lluosog ar yr Un Mac: Yn FileVault, mae gan bob cyfrif defnyddiwr macOS awdurdodedig ei docyn cryptograffig annibynnol ei hun ym Mag Allwedd APFS (diskutil apfs listCryptoUsers /). Os bydd eich cyfrif yn ysgwyd ac yn methu, cliciwch eicon defnyddiwr Gweinyddwr arall ar y sgrin FileVault a mewngofnodwch gyda'u cyfrinair. Unwaith y byddwch y tu mewn i macOS, gall y gweinyddwr hwnnw ailosod eich cyfrinair yn Gosodiadau System> Defnyddwyr a Grwpiau.

Cam 2: Datgloi FileVault trwy Gyfrif Apple (iCloud) neu Allwedd Adfer Personol 24-Cymeriad¶

Os yw'ch cyfrinair yn dal i fethu ar sgrin mewngofnodi FileVault:

1. ** Arhoswch am yr Anogwr Adfer **: Ar ôl teipio cyfrinair anghywir dair gwaith ar sgrin mewngofnodi FileVault, mae macOS yn dangos opsiynau i ailosod gan ddefnyddio'ch Cyfrif Apple neu nodi'ch Allwedd Adfer.
2. ** Neu cychwynnwch yn syth i macOS Recovery (Recovery Assistant)**:
3. ** Apple Silicon Macs (M1/M2/M3/M4)**: Caewch i lawr yn gyfan gwbl, yna pwyswch a dal y botwm Power (Touch ID) am 10 eiliad nes bod "Opsiynau cychwyn llwytho..." yn ymddangos, cliciwch Options, a chliciwch Parhau.
4. Intel Macs: Trowch y Mac ymlaen a dal Command (⌘) + R nes bod logo Apple yn ymddangos.
5. ** Y tu mewn i'r Reset Password Ffenestr Cynorthwyydd Adfer**:
6. Cysylltwch â Wi-Fi yng nghornel dde uchaf y sgrin neu plygiwch Ethernet.
7. Opsiwn A (Apple Account Escrow): Os gwnaethoch chi alluogi adferiad iCloud, dewiswch Wedi anghofio pob cyfrinair? -> Mewngofnodwch gyda Chyfrif Apple. Rhowch eich e-bost Cyfrif Apple, cyfrinair, a chod 2FA 6 digid (os gwnaethoch golli'ch ffôn, gweler ein Cloi allan MFA ac adfer dilysydd canllaw) i ddatgloi cyfaint APFS a gosod cyfrinair newydd.
8. Opsiwn B (Allwedd Adfer Personol 24-Cymeriad): Dewiswch Rhowch Allwedd Adfer FileVault a theipiwch eich cod alffaniwmerig 24 nod (XXXX-XXXX-XXXX-XXXX-XXXX-XXXX).
9. Opsiwn C (Escrow MDM Corfforaethol / Prifysgol): Os yw'ch Mac yn cael ei reoli trwy Jamf Pro, Kandji, Mosyle, neu Microsoft Intune, ffoniwch eich Desg Gymorth TG gyda rhif cyfresol eich Mac fel y gallant ddarllen yr Allwedd Adfer FileVault 24-cymeriad i chi.

Cam 3: Datgloi cyfaint FileVault APFS â llaw o Terminal (diskutil apfs unlockVolume)¶

Os bydd y Cynorthwyydd Adfer graffigol yn methu â gosod eich gyriant, agorwch Utilities -> Terminal y tu mewn i macOS Recovery a datgloi cyfaint APFS â llaw:

# 1. List all APFS containers and encrypted volumes to find the Volume Identifier (e.g., disk3s5)
diskutil apfs list

# 2. List all cryptographic users (UUIDs) authorized to unlock that APFS volume
diskutil apfs listCryptoUsers /dev/disk3s5

# 3. Unlock the APFS volume using either your user password OR your 24-character Recovery Key:
diskutil apfs unlockVolume /dev/disk3s5 -passphrase "YOUR-XXXX-XXXX-XXXX-XXXX-XXXX-KEY"

# 4. Copy critical files from '/Volumes/Macintosh HD - Data' to an external USB drive:
cp -Rv "/Volumes/Macintosh HD - Data/Users/yourusername/Documents" "/Volumes/ExternalUSB/Backup/"

Rhan 3: Datrys Linux LUKS (dm-crypt / cryptsetup) cloeon amgryptio¶

Mae dosbarthiadau Linux (Ubuntu, Fedora, Debian, Arch Linux, Red Hat Enterprise Linux, Pop._OS, a Qubes OS) yn dibynnu ar LUKS (Linux Unified Key Setup), fel arfer LUKS2, a reolir gan cryptsetup a dm-crypt. Pan fydd peiriant Linux yn disgyn i mewn i (initramfs) neu dracut cragen yn dweud cryptsetup failed, bad password or options, dilynwch y pedwar cam hyn:

Cam 1: Gwiriwch fysellfap y consol yn erbyn cynllun bysellfwrdd graffigol¶

Yn ystod y rhag-gist initramfs cam, mae'r system yn defnyddio map bysellwedd consol Linux (/etc/vconsole.conf), sy'n aml yn methu â us hyd yn oed os ydych wedi ffurfweddu cynllun rhaglennydd y DU, Almaeneg, Ffrangeg neu raglennydd arferol y tu mewn i GNOME neu KDE. Cychwyn Linux Live USB, agor terfynell graffigol lle gallwch deipio'ch cyfrin-ymadrodd yn weladwy mewn golygydd testun i wirio pob nod, a datgloi'r gyriant o'r Live USB:

lsblk -f
sudo cryptsetup luksOpen /dev/nvme0n1p3 my_encrypted_root

Cam 2: Archwiliwch bennyn LUKS a gwiriwch slotiau bysellau eilaidd (cryptsetup luksDump)¶

Mae LUKS1 yn cefnogi 8 slot bysell annibynnol (0 i 7) a mae LUKS2 yn cefnogi hyd at 32 slot allweddi (0 i 31), ynghyd â chaledwedd Tocynnau (systemd-tpm2 neu systemd-fido2). Archwiliwch eich pennawd heb newid unrhyw beth ar ddisg:

sudo cryptsetup luksDump /dev/nvme0n1p3

sudo systemd-cryptenroll --wipe-slot=tpm2 --tpm2-device=auto --tpm2-pcrs=7 /dev/nvme0n1p3

Cam 3: Adfer o bennawd LUKS2 llygredig neu drosysgrifedig¶

Yn LUKS, mae pob slot bysell yn byw yn 2 megabeit cyntaf (LUKS1) neu 16 megabeit (LUKS2) cyntaf y rhaniad. Os cryptsetup luksDump yn dweud not a valid LUKS device, cymerwch y camau hyn:

1. Delwedd y 32 MB cyntaf cyn cyffwrdd ag unrhyw beth:

   sudo dd if=/dev/nvme0n1p3 of=~/damaged_luks_first32mb.img bs=1M count=32 status=progress
   

2. Ceisiwch atgyweirio metadata JSON eilaidd awtomatig LUKS2 (cryptsetup repair):
3. Mae LUKS2 yn storio dau gopi segur o'r metadata pennyn deuaidd a JSON wrth wrthbwyso 0x0000 a gwrthbwyso 0x4000 (16 KB). Os mai dim ond y copi cynradd yn beit 0 gafodd ei globio, sudo cryptsetup repair /dev/nvme0n1p3 yn ei ail-greu o 0x4000.
4. Adfer o Bennawd Wrth Gefn LUKS sydd wedi'i gadw (luksHeaderRestore):
5. Datgloi'n annistrywiol gan ddefnyddio ffeil wrth gefn pennawd allanol:

   sudo cryptsetup luksOpen --header /path/to/luks-header.bak /dev/nvme0n1p3 rescued_volume
   

Cam 4: Profi cyfrineiriau a gofiwyd yn rhannol gyda hashcat¶

Er na allwch orfodi Allwedd Adfer BitLocker 48 digid ar hap ar hap neu Allwedd Adfer Apple 24-cymeriad (\(2 ^{128}\) darnau o entropi), gallwch **brofi amrywiadau o gyfrinair LUKS a ddewiswyd gan ddyn neu gyfrinair defnyddiwr pwrpasol BitLocker os cofiwch y geiriau sylfaenol:

# For Linux LUKS2 (mode 29500) or LUKS1 (mode 14600):
sudo dd if=/dev/nvme0n1p3 of=luks_header.bin bs=1M count=16
hashcat -m 29500 luks_header.bin my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

# For BitLocker protected by a custom User Password (mode 22100):
bitlocker2john -i /dev/nvme0n1p3 | grep "\$bitlocker\$0\$" > user_pass.hash
hashcat -m 22100 user_pass.hash my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

Atal: Sut i adeiladu copi wrth gefn amgryptio disg sy'n atal cloi allan ar hyn o bryd¶

Yr eiliad y byddwch chi'n adennill mynediad i'ch cyfrifiadur (neu ar bob cyfrifiadur arall rydych chi'n berchen arno heddiw), treuliwch bum munud yn gweithredu'r gorchmynion hyn fel na all methiant mamfwrdd neu ddiweddariad firmware ddal eich ffeiliau eto:

1. Ar Windows (Allforio eich Allwedd Adfer BitLocker a saib cyn diweddariadau BIOS)¶

Agorwch Administrator PowerShell neu Command Prompt ac allforiwch eich cyfrinair adfer 48 digid cyfredol:

# Display all BitLocker recovery keys and Key IDs across all drives
Get-BitLockerVolume | Select-Object MountPoint, VolumeStatus, -ExpandProperty KeyProtector |
  Where-Object { $_.KeyProtectorType -eq 'RecoveryPassword' } |
  Select-Object MountPoint, KeyProtectorId, RecoveryPassword

2. Ar macOS (Gwiriwch neu gylchdroi eich Allwedd Adfer FileVault)¶

Agorwch Terfynell a gwiriwch pwy sydd â'r awdurdod i ddatgloi eich disg cychwyn APFS:

sudo fdesetup status
diskutil apfs listCryptoUsers /

sudo fdesetup changerecovery -personal

3. Ar Linux (Gwneud copi wrth gefn o'ch pennyn LUKS a chofrestru Keyslot wrth gefn)¶

Cadwch gopi o'ch pennyn 16-megabeit LUKS ar yriant bawd USB allanol bob amser a chofrestrwch gyfrinair adfer 64-cymeriad wedi'i argraffu yn Keyslot 1:

# 1. Back up the binary LUKS header to an external USB drive
sudo cryptsetup luksHeaderBackup /dev/nvme0n1p3 --header-backup-file /media/usb/luks-header-nvme0n1p3.bak

# 2. Add an independent emergency recovery passphrase into Keyslot 1
sudo cryptsetup luksAddKey --key-slot 1 /dev/nvme0n1p3

Rhestr wirio parodrwydd brys amgryptio¶

• Allforiwch eich Allwedd Adfer BitLocker 48 digid (gan gynnwys ei ** ID Allwedd **) a'i storio y tu mewn i'ch rheolwr cyfrinair a wedi'i argraffu ar bapur y tu mewn i sêff gwrth-dân o leiaf 1.5 metr (5 troedfedd) uwchben lefel y llawr.
• Argraffwch neu arbedwch eich Allwedd Adfer FileVault macOS 24-cymeriad ochr yn ochr â'ch allwedd adfer 28 nod Cyfrif Apple.
• Gwneud copi wrth gefn o'ch pennawd 16-megabyte Linux LUKS (cryptsetup luksHeaderBackup) i yriant USB all-lein felly ni all trosysgrifo rhaniad damweiniol ddinistrio'r holl allweddi.
• Cynnal awtomataidd annibynnol 3-2-1 cyfrifiadur wrth gefn fel na fydd hyd yn oed allwedd marwolaeth rheolwr SSD trychinebus neu allwedd amgryptio anghofiedig byth yn dinistrio'ch lluniau na ellir eu hadnewyddu, dogfennau treth, neu god ffynhonnell.

Cwestiynau cyffredin¶

Canllawiau cysylltiedig¶

• Sgrin Las Windows (BSOD) ac atgyweirio cist
• panig cnewyllyn macOS, sgrin ddu, ac adferiad
• Methiant cychwyn system Linux ac atgyweirio GRUB
• Cloi allan rheolwr cyfrinair ac adfer gladdgell mewn argyfwng
• Methiant gyriant caled ac adfer data
• Copïau wrth gefn o gyfrifiaduron: strategaeth 3-2-1 ac adfer ar ôl trychineb
• Cyfeiriadur rhifau brys

Ffynonellau wedi'u gwirio¶

• Y Sefydliad Cenedlaethol Safonau a Thechnoleg (NIST) (Unol Daleithiau): Cyhoeddiad Arbennig NIST 800-111: Canllaw i Dechnolegau Amgryptio Storio ar gyfer Dyfeisiau Defnyddiwr Terfynol & FIPS 197 (AES-XTS).
• Dogfennaeth Swyddogol Microsoft Learn: Trosolwg Adfer BitLocker, Proffil Dilysu Cofrestrau Ffurfweddu Platfform TPM (PCR 0-11), a manage-bde Cyfeirnod y Llinell Orchymyn.
• Canllaw Diogelwch Llwyfan Apple: Amgryptio Cyfrol gyda FileVault, Bagiau Allweddol APFS, Gwraidd Ymddiriedaeth Caledwedd Enclave Diogel, ac Escrow Allwedd Adfer Sefydliadol/Personol. -Grŵp Cyfrifiadura Ymddiried (TCG) (Rhyngwladol): * Manyleb Llyfrgell TPM 2.0 a Manyleb Proffil Cadarnwedd Platfform PC Cleient*.
• GitLab Cryptsetup / LUKS2 Manyleb Swyddogol: Manyleb Fformat Ar-Ddisg LUKS2, Argon2id PBKDF Keyslots Cof-Caled, a Gweithdrefnau Pennawd Wrth Gefn/Trwsio.