BitLocker, FileVault og LUKS Disk Encryption Recovery Key Lockout¶

Se en blå BitLocker Recovery-skærm på Windows, en låst FileVault login-prompt på macOS eller en ikke-svarende cryptsetup Adgangssætningsprompt på en Linux-arbejdsstation kan bringe dit arbejde og privatliv til at gå i stå. Fuld-disk-kryptering (FDE) bruger symmetriske krypteringer af militær kvalitet, typisk AES-128 eller AES-256 i XTS-tilstand, til at kryptere alle sektorer af dit solid-state-drev (SSD) eller harddisk (HDD). Uden den kryptografiske Volume Master Key (VMK) eller en gyldig nøglekrypteringsbeskytter er de rå data på NAND-flash-chippene matematisk umulige at skelne fra tilfældig støj.

En pludselig gendannelsesnøgleskærm betyder dog sjældent, at dit drev er beskadiget, eller at din nøgle er forsvundet for altid. De fleste BitLocker- og FileVault-lockouts udløses automatisk, når en rutinemæssig BIOS/UEFI-firmwareopdatering, Thunderbolt dock-ændring, Secure Boot-skift eller dødt CMOS-møntcellebatteri ændrer Platform Configuration Registers (PCR'er) inde i dit bundkort Trusted Platform Module (TPM 2.0). Selvom du aldrig har skrevet en gendannelsesnøgle ned, kan du ofte omgå prompten ved at vende tilbage til den nøjagtige UEFI-firmwareindstilling, der udløste TPM-målingen, eller ved at finde en lydløs automatisk sikkerhedskopi af din nøgle inde i en personlig Microsoft-konto, en Microsoft Entra ID-mappe på arbejde eller skole, en Apple iCloud-nøglering eller en umonteret volumenskyggekopi.

Gør dette nu¶

1. STOP før du klikker på "Nulstil denne pc", "Slet Mac" eller formaterer partitionen. Geninstallering af Windows, macOS eller Linux over en krypteret partition overskriver den kryptografiske volumenheader (BitLocker-metadatablokkene, APFS-containersuperblokken eller LUKS2 JSON-headeren). Når først den lille metadata-header er overskrevet, vil selv finde din gyldige 48-cifrede gendannelsesnøgle i morgen ikke længere dekryptere dine filer.
2. Tag alle eksterne USB-drev, SD-kort, Thunderbolt-dockingstationer, HDMI-adaptere og gaming-controllere ud, og genstart derefter. På Windows-systemer, der bruger TPM 2.0 Platform Configuration Registers (specifikt PCR 0, PCR 2, PCR 4 og PCR 7), opstart med et bootbart USB-thumb-drev, en nytilsluttet, ekstern Thunderbolt-monitor med en Thunderbolt Firm-skærm, kan en nytilsluttet, Thunderbolt Firmware-skærm ændres. hash-måling før opstart. Hvis du trækker stikket ud af alle perifere enheder og udfører en kold genstart ofte, kan TPM'en frigive volumenhovedtasten normalt uden at skulle bruge den 48-cifrede kode.
3. Tjek alle Microsoft-, Apple- eller virksomhedskonti, du nogensinde har brugt på en sekundær telefon eller bærbar computer. Gå ikke ud fra, at du ved, hvilken e-mail-konto der var aktiv, da den bærbare computer først blev pakket ud. På Windows, tjek account.microsoft.com/devices/recoverykey på tværs af dine personlige Outlook/Hotmail/Live-konti, og tjek aka.ms/myrecoverykey på enhver arbejds-, universitets- eller klient Microsoft 365 (Entra ID) konto, du nogensinde har logget ind på i Microsoft Word, Teams eller Windows-indstillinger.
4. Match de første 8 tegn af "Nøgle-id", der vises på din låste skærm. En Windows BitLocker-gendannelsesskærm viser et Nøgle-id på 32 tegn (eller de første 8 hexadecimale tegn, som f.eks. A1B2C3D4). Hvis du har flere nøgler gemt på din Microsoft-konto eller på gamle computere, er det kun den 48-cifrede gendannelsesadgangskode, hvis nøgle-id matcher de nøjagtige 8 tegn, der låser denne specifikke drevenhed op.
5. Tilbagefør eventuelle nylige BIOS/UEFI-ændringer, der er foretaget lige før lockouten. Hvis BitLocker-skærmen dukkede op umiddelbart efter, at du åbnede BIOS-opsætningen for at slå Secure Boot fra, skal du skifte til CSM (Compatibility Support Module), ændre Intel PTT / AMD fTPM eller aktivere ** Boot Order-ændringer**, genstart i BIOS (F2, F12, eller Del) og sæt de nøjagtige skift tilbage til deres tidligere tilstand. Så snart PCR 7 og PCR 0 matcher deres originale kryptografiske hash, ophæver TPM'en automatisk nøglen.
6. Prioriter fysisk sikkerhed, hvis lockouten sker under en nødsituation eller krise i hjemmet. Hvis du forsøger at hente lægejournaler, økonomiske dokumenter eller evakueringsplaner under en krise, skal du huske, at krypterede drev gemmer data på ubestemt tid, mens de er slukket. Hvis du står over for en øjeblikkelig fysisk trussel, skal du lade hardwaren ligge og ringe til dit lokale alarmnummer (911 i USA og Canada, 112 i hele EU, 999 i Storbritannien, eller se vores alarmnumre bibliotek).

Diskkryptering lockout triage og gendannelsesbeslutningstræ¶

flowchart TD
    Start["Låst ude af krypteret drev: BitLocker, FileVault eller LUKS-prompt"] --> WhichOS{"Hvilket operativsystem og krypteringsmotor?"}

    WhichOS -->|"Windows: BitLocker 48-cifret gendannelsesskærm"| PeriphCheck["Trin 1: Tag alle USB-drev, Thunderbolt-docks og eksterne skærme ud; kold genstart"]
    PeriphCheck --> StillLocked{"Beder du stadig om en 48-cifret nøgle?"}
    StillLocked -->|"Nej: Startet normalt"| BackupNow["Kør med det samme 'manage-bde -protectors -get C:' og gem den 48-cifrede nøgle offline"]
    StillLocked -->|"Ja"| BIOSCheck{"Har du lige ændret BIOS, Secure Boot, CSM eller opdateret firmware?"}

    BIOSCheck -->|"Ja"| RevertBIOS["Gå ind i UEFI-opsætning: Genaktiver Secure Boot, UEFI Boot Mode og Intel PTT / AMD fTPM for at gendanne PCR 7-hash"]
    BIOSCheck -->|"Nej"| HuntKey["Trin 2: Match nøgle-id med 8 tegn på tværs af ALLE personlige Microsoft-konti, Work/School Entra ID, Active Directory og USB .BEK/.TXT-filer"]
    RevertBIOS --> HuntKey

    WhichOS -->|"macOS: FileVault-login afviser adgangskode"| ApplePath{"Apple Silicon/T2 Mac vs Intel Mac?"}
    ApplePath -->|"Alle Mac'er"| TestLayout["Trin 1: Tjek inputmenuen øverst til højre på FileVault-skærmen for tastaturlayout-uoverensstemmelse"]
    TestLayout --> FVMethod{"Hvilken gendannelsesmetode blev aktiveret?"}
    FVMethod -->|"Deponering af iCloud-konto"| BootRecovery["Start til macOS-gendannelse: Autentificer med Apple-konto via Recovery Assistant for at nulstille adgangskoden"]
    FVMethod -->|"24-Char Personal Recovery Key (PRK) eller MDM"| EnterPRK["Indtast XXXX-XXXX-XXXX-XXXX-XXXX-XXXX nøglen i Recovery Assistant eller anmod om institutionel Escrow Key fra IT"]

    WhichOS -->|"Linux: LUKS / cryptsetup Adgangssætning afvist"| LUKSPath["Trin 1: Drop til initramfs shell eller boot Live USB; tjek tastaturlayoutet i konsollen"]
    LUKSPath --> LUKSHeader{"Er nøgleslots intakte i 'cryptsetup luksDump'?"}
    LUKSHeader -->|"Ja: Keyslot aktiv"| TestPass["Test sekundære nøgleslots (plads 1-7), FIDO2/TPM2 token, eller kør hashcat Mode 29500 mod header backup"]
    LUKSHeader -->|"Nej: Header beskadiget"| RestoreHeader["Gendan LUKS header fra '--header-backup-file' eller scan disk for overlevende metadata"]

Forståelse af Full-Disk Encryption og TPM 2.0-forsegling¶

Hverken Windows BitLocker, Apple FileVault 2 eller Linux dm-crypt / LUKS krypterer din SSD direkte med din login-adgangskode eller gendannelsesnøgle. I stedet bruger alle tre platforme et to-lags nøglehierarki:

1. ** Volume Master Key (VMK) / Full Volume Encryption Key (FVEK)**: En tilfældig hardwarenøgle (128-bit, 256-bit eller 512-bit) krypterer og dekrypterer de faktiske disksektorer på farten.
2. Key Protectors / Keyslots (KEK'er): Volume Master Key pakkes ved hjælp af uafhængige Key Encryption Keys (KEK'er), kaldet Nøglebeskyttere i BitLocker, Nøgleposer i Apple APFS og Keyslots i Linux LUKS.
3. Hvorfor TPM 2.0-forsegling låser dig ude på Windows: På Windows 10 og 11 er den primære nøglebeskytter Trusted Platform Module (TPM 2.0)-chippen (diskret silicium eller firmware Intel PTT / AMD fTPM). Når BitLocker forsegler volumen-masternøglen i TPM'en, binder den nøglen til specifikke Platform Configuration Registers (PCR'er):
4. PCR 0: Hashes kerne UEFI/BIOS-systemfirmware.
5. PCR 2: Hashes ekstern hardware Option ROM-kode (Thunderbolt docks, RAID-kort, eksterne GPU'er).
6. PCR 4: Hashes boot manager (bootmgfw.efi) og startrækkefølgetilstand.
7. PCR 7: Hashes Sikker opstart politik og UEFI db / dbx certifikatdatabaser.
8. PCR 11: Hashes BitLocker-adgangskontrolkomponenter.

Når du trykker på tænd/sluk-knappen, måler bundkortet disse firmwarekomponenter, før Windows indlæses. Hvis en enkelt bit i PCR 0, PCR 2, PCR 4 eller PCR 7 afviger fra den værdi, der blev registreret, da BitLocker blev forseglet, nægter TPM'en at frigive Volume Master Key og tvinger Windows Boot Manager til at vise skærmen 48-cifret BitLocker Recovery Key.

Sammenligning af Full-Disk Encryption-arkitekturer og gendannelsesmekanismer¶

Del 1: Løsning af Windows BitLocker-gendannelseslockouts¶

Når din Windows-pc stopper ved "BitLocker: Indtast gendannelsesnøglen for dette drev" (eller Windows Recovery Environment beder om en nøgle, før du tillader kommandoprompt eller fejlsikret tilstand-adgang), skal du arbejde gennem disse to parallelle spor: Spor A forsøger at lokke TPM'en til at låse drevet op uden at skulle bruge nøglen, og Spor B på tværs af 8-cifret digital lagringsplads.

Spor A: Omgå BitLocker-prompten uden en gendannelsesnøgle (gendannelse af TPM PCR-tilstand)¶

Hvis du ikke manuelt slettede TPM'en eller flyttede NVMe SSD'en til et nyt bundkort, er Volume Master Key stadig inde i din TPM 2.0-chip. Den nægter at låse op, fordi en PCR-måling før opstart er ændret. Prøv disse ikke-destruktive hardware- og firmwaregendannelser i rækkefølge:

1. Afbryd al ekstern hardware og docks:
2. Sluk computeren helt (hold tænd/sluk-knappen nede i 10 sekunder).
3. Frakobl alle USB-flashdrev, ekstern harddisk, USB-C-hub, Thunderbolt-dockingstation, SD-kort og eksternt skærmkabel.
4. Tag AC-opladeren ud i 15 sekunder, sæt den indbyggede oplader direkte i den bærbare computer, og tænd den. Thunderbolt-dockingstationer og USB-C-hubs indeholder ofte interne PXE-netværksstart- eller display-Option ROM'er, der strækker sig ind i PCR 2 og PCR 4, hvilket gør TPM-tilstanden ugyldig.
5. Gendan Secure Boot og UEFI Boot Mode i BIOS Setup:
6. Genstart og tryk på dit bundkorts BIOS-tast (F2 på Dell/ASUS/Lenovo/Acer, F10 på HP, Del på skrivebordstavler).
7. Hvis Sikker opstart for nylig blev ændret fra Aktiveret til Deaktiveret, skal du indstille det tilbage til Aktiveret (Standardtilstand) og gemme ændringerne. Omvendt, hvis en BIOS-opdatering vendte Secure Boot til Enabled, så prøv at skifte den til Disabled én gang.
8. Bekræft, at Boot Mode er indstillet til UEFI Only (deaktiver Legacy / CSM), og bekræft, at Windows Boot Manager er den første opstartsmulighed.
9. Bekræft, at Intel PTT eller AMD fTPM er aktiveret (klik aldrig på "Ryd TPM"):
10. Efter et dødt CMOS-batteri eller en BIOS-nulstilling deaktiverer bundkort nogle gange firmware-TPM (Intel Platform Trust Technology eller AMD CPU fTPM). Gå til fanen Sikkerhed eller Trusted Computing i BIOS, og bekræft, at TPM 2.0-tilstand er Aktiveret.
11. Advarsel: Vælg aldrig "Clear TPM" eller "Slet fTPM NV" i BIOS. Rydning af TPM ødelægger permanent den interne Storage Root Key inde i siliciumchippen, hvilket gør den 48-cifrede gendannelsesnøgle obligatorisk.
12. Rul en buggy BIOS-kapselopdatering tilbage:
13. På bærbare Dell-computere skal du holde Ctrl + Esc mens du tilslutter vekselstrøm for at starte menuen Dell BIOS Recovery og vælge Tilbageføring af BIOS. På HP bærbare computere skal du holde Win + B mens du holder tænd/sluk-knappen nede i 2 sekunder for at udløse HP Sure Start BIOS-tilbagestilling.

Spor B: Udtømmende søgning efter din 48-cifrede BitLocker-gendannelsesnøgle¶

Hvis TPM ikke kan gendannes (eller hvis du flyttede SSD'en ind i et eksternt USB-kabinet), skal du angive det 48-cifrede numeriske gendannelsesadgangskode (XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX) eller en .BEK startnøglefil. Skriv de første 8 tegn i nøgle-id'et, der vises på skærmen (f.eks. Key ID: 4F8A9C12) og tjek disse seks steder:

1. Personlige Microsoft-konti (account.microsoft.com/devices/recoverykey)¶

Besøg https://account.microsoft.com/devices/recoverykey (eller https://aka.ms/myrecoverykey) på en telefon eller sekundær computer. - Tjek hver historisk konto: Enhedskryptering sikkerhedskopierer nøglen til den Microsoft-konto, der først blev brugt, da pc'en blev pakket ud, selvom du senere skiftede til et lokalt login. Log ind og test alle gamle @hotmail.com, @live.com, @outlook.com, eller linket @gmail.com konti, plus kontoen for enhver ægtefælle, forælder eller tekniker, der hjalp med at konfigurere pc'en eller loggede på Microsoft Office eller Xbox Game Pass på den pågældende maskine.

2. Arbejde, skole eller universitet Entra ID / Azure AD (myaccount.microsoft.com)¶

Selv på en personlig bærbar computer til hjemmet, hvis du nogensinde loggede ind på Microsoft 365-apps (Word, Excel, Teams) med en arbejds-, universitets- eller klient-e-mailadresse og efterlod "Tillad min organisation at administrere min enhed" markeret, spærrede Windows automatisk din BitLocker-gendannelsesnøgle til den pågældende organisations Microsoft Entra ID-lejer: 1. Besøg https://myaccount.microsoft.com/device-list og log ind med din arbejds- eller skole-e-mail. 2. Vælg dit computernavn, og klik på Se BitLocker-nøgler. 3. Hvis din arbejds- eller skolekonto allerede er deaktiveret, skal du ringe til organisationens IT Help Desk og give dem dit 8-tegns nøgle-id. Administratorer kan hente nøgler til deaktiverede konti under Enheder > Alle enheder > Gendannelsesnøgler i entra.microsoft.com.

3. On-Premises Corporate Active Directory (msFVE-RecoveryInformation)¶

Hvis computeren blev knyttet til et Active Directory-domæne, kan en domæneadministrator slå nøglen op ved hjælp af dens 8-tegns nøgle-id ved hjælp af PowerShell:

Get-ADObject -Filter {objectClass -eq 'msFVE-RecoveryInformation'} -Properties msFVE-RecoveryPassword, whenCreated |
  Where-Object { $_.Name -like "*4F8A9C12*" } | Select-Object Name, msFVE-RecoveryPassword, whenCreated

4. Automatiserede eller manuelle tekstfiler på USB-flashdrev og skydrev¶

Når Windows gemmer en gendannelsesnøgle til en fil eller et USB-drev, navngiver det filen BitLocker Recovery Key [GUID].txt eller gemmer en skjult .BEK fil (attrib +h +s). Kør denne PowerShell-søgning på tværs af alle USB-drev, eksterne harddiske, OneDrive, Google Drive og Dropbox-mapper på en anden pc:

Get-PSDrive -PSProvider FileSystem | ForEach-Object {
    Get-ChildItem -Path $_.Root -Include "*BitLocker*Recovery*Key*.txt", "*.bek" -Recurse -Force -ErrorAction SilentlyContinue
} | Select-Object FullName, LastWriteTime

5. Udpakning af nøglen til et sekundært datadrev (D:) fra en Unlocked C: Skillevæg¶

Hvis C: starter normalt og kun et sekundært drev D: er låst, skal du åbne et Administrator PowerShell-vindue på C: og løb manage-bde -protectors -get D: at se om C: stadig holder den automatiske oplåsning af registreringsdatabasenøglen, eller inspicér tidligere Volume Shadow Copies af din Documents mappe til slettet BitLocker Recovery Key *.txt filer.

6. Udskriv spoolerhistorik og PDF / OneNote-udskrifter¶

Hvis du klikkede på "Udskriv gendannelsesnøglen" under opsætningen, skal du kontrollere Microsoft OneNote og søge i din Documents mappe til .pdf eller .xps filer oprettet via "Microsoft Print to PDF".

Spor C: Oplåsning og dekryptering af et BitLocker-drev fra WinRE Command Prompt (manage-bde)¶

Hvis indtastning af den 48-cifrede gendannelsesadgangskode på den blå skærm går tilbage til BitLocker ved næste genstart eller går ned i Windows, skal du låse op og suspendere BitLocker fra Windows Recovery Environment (WinRE) Kommandoprompt:

1. Tryk på Esc på BitLocker-skærmen, og klik derefter på Spring dette drev over -> Fejlfinding -> Avancerede indstillinger -> Kommandoprompt.
2. Tjek status og lås op for OS-lydstyrken (C:):

   manage-bde -status
   manage-bde -unlock C: -RecoveryPassword 123456-123456-123456-123456-123456-123456-123456-123456
   

   (Eller lås op ved hjælp af en binær .BEK fil på en USB-stick kortlagt som F: via manage-bde -unlock C: -RecoveryKey "F:\key.BEK").
3. Suspender beskyttere, så prompten ikke vender tilbage ved næste genstart:

   manage-bde -protectors -disable C:
   

   Genstart i Windows, og kør derefter manage-bde -protectors -enable C: i en forhøjet kommandoprompt for at genforsegle Volume Master Key mod de nye UEFI PCR-hashes.
4. Hvis Windows ikke kan starte, skal du kopiere filer ud eller dekryptere fuldstændigt:

   robocopy C:\Users\YourUsername F:\RescueBackup /E /ZB /R:1 /W:1 /XJ
   manage-bde -off C:
   

Spor D: Montering af en BitLocker SSD på Linux (dislocker / cryptsetup) til filredning¶

Hvis dit Windows-bundkort døde, skal du placere M.2 NVMe eller SATA SSD'en i et eksternt USB-C-kabinet (måler omkring 10 centimeter gange 3 centimeter eller 4 tommer gange 1,2 tommer) og låse det op på enhver Linux-pc eller Ubuntu Live USB:

# Method 1: Modern cryptsetup (v2.3+ natively supports BITLOCKER volumes)
sudo cryptsetup open --type bitlocker /dev/nvme0n1p3 bitlocker_unlocked
# Type the 48-digit recovery key INCLUDING hyphens when prompted
sudo mkdir -p /mnt/windows_data
sudo mount -t ntfs3 -o ro /dev/mapper/bitlocker_unlocked /mnt/windows_data

# Method 2: Using dislocker
sudo apt update && sudo apt install -y dislocker ntfs-3g
sudo mkdir -p /mnt/dislocker_raw /mnt/windows_rescue
sudo dislocker -V /dev/nvme0n1p3 -p123456-123456-123456-123456-123456-123456-123456-123456 -- /mnt/dislocker_raw
sudo mount -t ntfs-3g -o loop,ro /mnt/dislocker_raw/dislocker-file /mnt/windows_rescue

Del 2: Løsning af Apple macOS FileVault 2 og Secure Enclave lockouts¶

På macOS (High Sierra gennem macOS Sequoia og nyere) krypterer FileVault 2 hele APFS (Apple File System)-volumen. På Mac'er med Apple Silicon (M1, M2, M3, M4) eller Apple T2 Security Chip er lydstyrken faktisk altid krypteret i hvile ved hjælp af hardwarenøgler inde i Secure Enclave Processor (SEP). Når du tænder for FileVault, ombrydes den hardware Volume Encryption Key (VEK) med en Key Encryption Key (KEK) afledt af din macOS-login-adgangskode og din FileVault-gendannelsesnøgle.

Fordi FileVault kræver dekryptering af APFS-volumen før macOS indlæses fra disken, er den første skærm, du ser, når du tænder for en FileVault-aktiveret Mac, ikke det normale macOS-loginvindue, det er før-boot FileVault EFI / iBoot-oplåsningsskærmen.

Trin 1: Udelukke #1 årsagen til pludselige FileVault-lockouts (før-boot tastaturlayout og eksterne tastaturer)¶

Før du antager, at din adgangskode er gået i stykker eller starter en nulstilling, skal du kontrollere disse tre præ-boot særheder, der får gyldige adgangskoder til at ryste og afvise på FileVault-startskærmen:

1. Pre-boot Keyboard Input Menu Switch: Før-boot FileVault-skærmen bruger en afisoleret firmware-tastaturdriver, der ofte er standard til U.S. QWERTY (eller ABC), selvom du har indtastet din adgangskode med et britisk, tysk (QWERTZ), fransk (AZERTY) eller Dvorak-layout i macOS. Se på øverste højre hjørne af FileVault-loginskærmen, klik på Tastaturinput-menuikonet, og vælg dit nøjagtige tastaturlayout.
2. Bluetooth Keyboard Timing & Num Lock: Tredjeparts Bluetooth-tastaturer taber ofte deres første to tastetryk, mens de vågner ved før-boot-skærmen, eller mangler Num Lock-tilstandsindikatorer. Sæt et kablet USB-tastatur direkte i Mac'en (eller brug det indbyggede MacBook-tastatur), og skriv langsomt.
3. Flere administratorbrugere på samme Mac: I FileVault har hver autoriseret macOS-brugerkonto sit eget uafhængige kryptografiske token i APFS Key Bag (diskutil apfs listCryptoUsers /). Hvis din konto ryster og fejler, skal du klikke på et andet administratorbrugerikon på FileVault-skærmen og logge på med deres adgangskode. Når du er inde i macOS, kan denne administrator nulstille din adgangskode i Systemindstillinger > Brugere og grupper.

Trin 2: Oplåsning af FileVault via Apple-konto (iCloud) eller 24-tegns personlig gendannelsesnøgle¶

Hvis din adgangskode stadig fejler på FileVault-loginskærmen:

1. Vent på gendannelsesprompt: Efter at have indtastet en forkert adgangskode tre gange på FileVault-loginskærmen, viser macOS muligheder for at nulstille ved hjælp af din Apple-konto eller indtaste din gendannelsesnøgle.
2. Eller boot direkte ind i macOS Recovery (Recovery Assistant):
3. Apple Silicon Macs (M1/M2/M3/M4): Luk helt ned, og tryk derefter på og hold Power (Touch ID)-knappen nede i 10 sekunder, indtil "Indlæser startindstillinger..." vises, klik på Indstillinger, og klik på Fortsæt.
4. Intel Macs: Tænd Mac og hold Command (⌘) + R indtil Apple-logoet vises.
5. Inde i Reset Password Recovery Assistant-vindue:
6. Opret forbindelse til Wi-Fi i øverste højre hjørne af skærmen, eller tilslut Ethernet.
7. Mulighed A (Apple Account Escrow): Hvis du aktiverede iCloud-gendannelse, skal du vælge Glemt alle adgangskoder? -> Log ind med Apple-konto. Indtast din Apple-konto-e-mail, adgangskode og 6-cifrede 2FA-kode (hvis du har mistet din telefon, se vores MFA lockout og godkendelsesgendannelse guide) for at låse APFS-enheden op og indstille en ny adgangskode.
8. Mulighed B (24-tegns personlig gendannelsesnøgle): Vælg Enter FileVault-gendannelsesnøgle og skriv din 24-tegns alfanumeriske kode (XXXX-XXXX-XXXX-XXXX-XXXX-XXXX).
9. Mulighed C (Corporate / University MDM Escrow): Hvis din Mac administreres via Jamf Pro, Kandji, Mosyle eller Microsoft Intune, skal du ringe til din IT Help Desk med din Macs serienummer, så de kan læse dig den deponerede FileVault-gendannelsesnøgle på 24 tegn.

Trin 3: Oplåsning af en FileVault APFS-volumen manuelt fra Terminal (diskutil apfs unlockVolume)¶

Hvis den grafiske Recovery Assistant ikke kan montere dit drev, skal du åbne Utilities -> Terminal inde i macOS Recovery og låse APFS-diskenheden op manuelt:

# 1. List all APFS containers and encrypted volumes to find the Volume Identifier (e.g., disk3s5)
diskutil apfs list

# 2. List all cryptographic users (UUIDs) authorized to unlock that APFS volume
diskutil apfs listCryptoUsers /dev/disk3s5

# 3. Unlock the APFS volume using either your user password OR your 24-character Recovery Key:
diskutil apfs unlockVolume /dev/disk3s5 -passphrase "YOUR-XXXX-XXXX-XXXX-XXXX-XXXX-KEY"

# 4. Copy critical files from '/Volumes/Macintosh HD - Data' to an external USB drive:
cp -Rv "/Volumes/Macintosh HD - Data/Users/yourusername/Documents" "/Volumes/ExternalUSB/Backup/"

Del 3: Løsning af Linux LUKS (dm-crypt / cryptsetup) kryptering lockouts¶

Linux-distributioner (Ubuntu, Fedora, Debian, Arch Linux, Red Hat Enterprise Linux, Pop._OS og Qubes OS) er afhængige af LUKS (Linux Unified Key Setup), typisk LUKS2, administreret af cryptsetup og dm-crypt. Når en Linux-maskine falder ind i en (initramfs) eller dracut skal siger cryptsetup failed, bad password or options, følg disse fire trin:

Trin 1: Tjek konsoltastaturet i forhold til det grafiske tastaturlayout¶

Under pre-boot initramfs fase bruger systemet Linux-konsollens keymap (/etc/vconsole.conf), som ofte er standard til us selvom du har konfigureret et britisk, tysk, fransk eller brugerdefineret programmørlayout i GNOME eller KDE. Start en Linux Live USB, åbn en grafisk terminal, hvor du kan skrive din adgangssætning synligt i en teksteditor for at bekræfte hvert tegn, og lås drevet op fra Live USB:

lsblk -f
sudo cryptsetup luksOpen /dev/nvme0n1p3 my_encrypted_root

Trin 2: Undersøg LUKS-headeren og kontroller sekundære nøgleslots (cryptsetup luksDump)¶

LUKS1 understøtter 8 uafhængige nøgleslots (0 til 7) og LUKS2 understøtter op til 32 nøgleslots (0 til 31) plus hardware Tokens (systemd-tpm2 eller systemd-fido2). Undersøg din header uden at ændre noget på disken:

sudo cryptsetup luksDump /dev/nvme0n1p3

sudo systemd-cryptenroll --wipe-slot=tpm2 --tpm2-device=auto --tpm2-pcrs=7 /dev/nvme0n1p3

Trin 3: Gendannelse fra en beskadiget eller overskrevet LUKS2-header¶

I LUKS lever alle nøgleslots i de første 2 megabyte (LUKS1) eller 16 megabyte (LUKS2) af partitionen. Hvis cryptsetup luksDump siger not a valid LUKS device, tag disse trin:

1. Billed de første 32 MB, før du rører ved noget:

   sudo dd if=/dev/nvme0n1p3 of=~/damaged_luks_first32mb.img bs=1M count=32 status=progress
   

2. Forsøg automatisk LUKS2 sekundær JSON metadata reparation (cryptsetup repair):
3. LUKS2 gemmer to redundante kopier af de binære og JSON-header-metadata ved offset 0x0000 og offset 0x4000 (16 KB). Hvis kun den primære kopi ved byte 0 blev klippet, sudo cryptsetup repair /dev/nvme0n1p3 rekonstruerer det ud fra 0x4000.
4. Gendan fra en gemt LUKS Header Backup (luksHeaderRestore):
5. Lås op ikke-destruktivt ved hjælp af en ekstern header backup-fil:

   sudo cryptsetup luksOpen --header /path/to/luks-header.bak /dev/nvme0n1p3 rescued_volume
   

Trin 4: Test af delvist huskede adgangssætninger med hashcat¶

Selvom du ikke kan brute-force en tilfældig 48-cifret BitLocker-gendannelsesnøgle eller 24-tegns Apple-gendannelsesnøgle (\(2^{128}\) bits af entropi), kan teste variationer af en menneskevalgt LUKS-adgangssætning eller BitLocker-brugeradgangskode, hvis du husker basisordene:

# For Linux LUKS2 (mode 29500) or LUKS1 (mode 14600):
sudo dd if=/dev/nvme0n1p3 of=luks_header.bin bs=1M count=16
hashcat -m 29500 luks_header.bin my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

# For BitLocker protected by a custom User Password (mode 22100):
bitlocker2john -i /dev/nvme0n1p3 | grep "\$bitlocker\$0\$" > user_pass.hash
hashcat -m 22100 user_pass.hash my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

Forebyggelse: Sådan bygger du en lockoutsikker diskkrypteringsbackup lige nu¶

I det øjeblik du genvinder adgang til din computer (eller på hver anden computer, du ejer i dag), skal du bruge fem minutter på at udføre disse kommandoer, så en fejl på bundkortet eller firmwareopdatering aldrig kan fange dine filer igen:

1. På Windows (Eksporter din BitLocker-gendannelsesnøgle og sæt pause før BIOS-opdateringer)¶

Åbn en Administrator PowerShell eller Kommandoprompt og eksporter din nuværende 48-cifrede gendannelsesadgangskode:

# Display all BitLocker recovery keys and Key IDs across all drives
Get-BitLockerVolume | Select-Object MountPoint, VolumeStatus, -ExpandProperty KeyProtector |
  Where-Object { $_.KeyProtectorType -eq 'RecoveryPassword' } |
  Select-Object MountPoint, KeyProtectorId, RecoveryPassword

2. På macOS (Bekræft eller drej din FileVault-gendannelsesnøgle)¶

Åbn Terminal og kontroller, hvem der er autoriseret til at låse din APFS-startdisk op:

sudo fdesetup status
diskutil apfs listCryptoUsers /

sudo fdesetup changerecovery -personal

3. På Linux (Sikkerhedskopier din LUKS-header, og tilmeld en reservenøgleplads)¶

Opbevar altid en kopi af din 16-megabyte LUKS-header på et eksternt USB-drev, og tilmeld en udskrevet 64-tegns gendannelsesadgangssætning i nøgleslot 1:

# 1. Back up the binary LUKS header to an external USB drive
sudo cryptsetup luksHeaderBackup /dev/nvme0n1p3 --header-backup-file /media/usb/luks-header-nvme0n1p3.bak

# 2. Add an independent emergency recovery passphrase into Keyslot 1
sudo cryptsetup luksAddKey --key-slot 1 /dev/nvme0n1p3

Kryptering nødberedskab tjekliste¶

• Eksporter din 48-cifrede BitLocker-gendannelsesnøgle (inklusive dens 8-tegns Nøgle-id) og gem den i din password manager og trykt på papir inde i en brandsikker pengeskab mindst 1,5 meter (5 fod) over gulvniveau.
• Udskriv eller gem din 24-tegns macOS FileVault-gendannelsesnøgle sammen med din Apple-konto 28-tegns gendannelsesnøgle.
• Sikkerhedskopier din 16-megabyte Linux LUKS-header (cryptsetup luksHeaderBackup) til et offline USB-drev, så en utilsigtet partitionsoverskrivning ikke kan ødelægge alle nøgleslots.
• Oprethold en uafhængig, automatiseret 3-2-1 computer backup så selv en katastrofal SSD-controllerdød eller glemt krypteringsnøgle ødelægger aldrig dine uerstattelige fotos, skattedokumenter eller kildekode.

Ofte stillede spørgsmål¶

Relaterede guider¶

• Windows Blue Screen (BSOD) og bootreparation
• macOS-kernepanik, sort skærm og gendannelse
• Linux-systemstartfejl og GRUB-reparation
• Adgangskodemanager lockout og nødboksgendannelse
• Harddiskfejl og datagendannelse
• Computersikkerhedskopiering: 3-2-1 strategi og gendannelse efter katastrofer
• Nødnummeroversigt

Kilder tjekket¶

• National Institute of Standards and Technology (NIST) (USA): NIST Special Publication 800-111: Guide to Storage Encryption Technologies for End User Devices & FIPS 197 (AES-XTS).
• Microsoft Learn Officiel dokumentation: BitLocker Recovery Overview, TPM Platform Configuration Registers (PCR 0-11) Valideringsprofil og manage-bde Kommandolinjereference.
• Apple Platform Security Guide: Volumenkryptering med FileVault, APFS Key Bags, Secure Enclave Hardware Root of Trust og institutionel/personlig gendannelsesnøgle Escrow. -Trusted Computing Group (TCG) (International): TPM 2.0 Library Specification og PC Client Platform Firmware Profile Specification.
• GitLab Cryptsetup / LUKS2 officielle specifikation: LUKS2 On-Disk Format Specification, Argon2id PBKDF Memory-Hard Keyslots og Header Backup/Repair Procedures.