Skip to content

BitLocker, FileVault eta LUKS Disk Encryption Recovery Key Lockout

Larrialdi zenbakiak desberdinak dira herrialdearen arabera. Orrialde honek 911 erabiltzen du, Estatu Batuetako eta Kanadako zenbakia. Beste herrialde askotan 112, 999 edo beste zenbaki bat erabiltzen dute. Bilatu zure herrialdeko zenbakia.

BitLocker Recovery pantaila urdin bat ikustea Windows-en, blokeatutako FileVault saioa hasteko gonbita macOS-en edo erantzuten ez duen cryptsetup pasaesaldiaren gonbita Linux lan-estazio batean zure lana eta bizitza pertsonala geldiarazi ditzake. Disko osoko enkriptatzeak (FDE) maila militarreko zifraketa simetrikoak erabiltzen ditu, normalean AES-128 edo AES-256 XTS moduan, zure egoera solidoko (SSD) edo disko gogorreko (HDD) sektore guztiak nahasteko. Bolumen Master Key kriptografikorik (VMK) edo baliozko gako-enkriptatutako babesik gabe, NAND flash txipetako datu gordinak matematikoki ezin dira ausazko zaratatik bereizten.

Hala ere, bat-batean berreskuratzeko gakoaren pantailak oso gutxitan esan nahi du diskoa hondatuta dagoela edo zure giltza betiko desagertu dela. BitLocker eta FileVault blokeo gehienak automatikoki abiarazten dira BIOS/UEFI firmware eguneratzeak, Thunderbolt dock aldaketak, Secure Boot toggles edo CMOS txanpon-zelulen bateria hilak zure plakaren barruan Plataformaren Konfigurazio Erregistroak (PCR) aldatzen dituenean Trusted Platform Module (TPM 2.0). Inoiz berreskuratzeko gako bat idatzi ez baduzu ere, sarritan saihestu dezakezu gonbita TPM neurketa akabatu duen UEFI firmware ezarpen zehatza itzuliz edo zure gakoaren babeskopia automatiko isil bat Microsoft kontu pertsonal batean, laneko edo ikastetxeko Microsoft Entra ID direktorio batean, Apple iCloud giltza-kate batean edo muntatu gabeko bolumen itzal kopia batean kokatuz.

Egin hau orain

  1. GELDITU "Berrezarri ordenagailua", "Ezabatu Mac" edo partizioa formateatu aurretik. Windows, macOS edo Linux berriro instalatzeak enkriptatutako partizio baten gainean bolumen kriptografikoaren goiburua gainidazten du (BitLocker metadatuen blokeak, APFS edukiontziaren superblokea edo LUKS2 JSON goiburua). Metadatuen goiburu txiki hori gainidatzi ondoren, bihar zure baliozko 48 digituko berreskuratzeko gakoa aurkitzeak ez du gehiago deszifratuko zure fitxategiak.
  2. Deskonektatu kanpoko USB unitate guztiak, SD txartelak, Thunderbolt dockak, HDMI egokigailuak eta joko-kontrolagailuak, eta berrabiarazi. TPM 2.0 Plataformaren Konfigurazio Erregistroak (bereziki PCR 0, PCR 2, PCR 4 eta PCR 7) erabiltzen dituzten Windows sistemetan (PCR 0, PCR 2, PCR 4 eta PCR 7). abioaren aurreko hash neurketa. Periferiko guztiak deskonektatzeak eta maiz berrabiarazi hotz bat egiteak, TPM-k Bolumen-gako nagusia normalean askatzeko aukera ematen du 48 digituko kodea behar izan gabe.
  3. Egiaztatu bigarren mailako telefono edo ordenagailu eramangarri batean inoiz erabili dituzun Microsoft, Apple edo enpresa-kontu guztiak. Ez ezazu suposatu ordenagailu eramangarria deskargatu zenean zein posta elektronikoko kontu aktibo zegoen badakizu. Windows-en, egiaztatu account.microsoft.com/devices/recoverykey zure Outlook/Hotmail/Live kontu pertsonaletan, eta egiaztatu aka.ms/myrecoverykey Microsoft Word, Teams edo Windows ezarpenetan saioa hasi duzun edozein lan, unibertsitate edo bezero Microsoft 365 (Entra ID) kontutan.
  4. Logetu blokeatutako pantailan bistaratzen den "Key ID"-aren lehen 8 karaktereekin. Windows BitLocker berreskuratzeko pantailak 32 karaktereko Gako ID bat bistaratzen du (edo lehenengo 8 karaktere hamaseimalak, adibidez A1B2C3D4). Zure Microsoft-eko kontuan edo ordenagailu zaharretan hainbat gako gordeta badituzu, 8 karaktere zehatz horiekin bat datorren 48 digituko berreskuratzeko pasahitzek soilik desblokeatuko dute disko-bolumen espezifiko hau.
  5. Berrezarri blokeoa baino lehen egindako azken BIOS/UEFI aldaketak. BIOS konfigurazioa sartu eta berehala BIOS konfigurazioa sartu eta berehala agertzen bada Secure Boot, txandakatu CSM (Compatibility Support Module), aldatu Intel PTT / AMD fTPM edo gaitu ** Boot Order aldaketak** (berrabiarazi BIOS-nF2, F12, edo Del) and set those exact toggles back to their prior state. As soon as PCR 7 and PCR 0 match their original cryptographic hash, the TPM will unseal the key automatically.
  6. Prioritize physical safety if the lockout occurs during an emergency or domestic crisis. If you are attempting to retrieve medical records, financial documents, or evacuation plans during a crisis, remember that encrypted drives retain data indefinitely while powered off. If you face an immediate physical threat, leave the hardware behind and call your local emergency number (911 in the United States and Canada, 112 across the European Union, 999 in the United Kingdom, or see our larrialdi zenbakiak direktorioa).

Never run chkdsk, fsck, or partition repair tools on an encrypted volume without unlocking it first

Running disk repair utilities directly against a raw locked partition (or using third-party partition resizing software on a suspended BitLocker or LUKS volume) can corrupt one of the three redundant BitLocker metadata headers or overwrite the 16-megabyte LUKS2 keyslot area. If you suspect underlying SSD hardware degradation, always create a sector-by-sector raw forensic image (ddrescue) to an external drive before attempting any header repair or key recovery.

Disk encryption lockout triage and recovery decision tree

flowchart TD
    Start["Locked Out of Encrypted Drive: BitLocker, FileVault, or LUKS Prompt"] --> WhichOS{"Which Operating System and Encryption Engine?"}

    WhichOS -->|"Windows: BitLocker 48-Digit Recovery Screen"| PeriphCheck["Step 1: Unplug all USB drives, Thunderbolt docks, and external monitors; cold reboot"]
    PeriphCheck --> StillLocked{"Still asking for 48-digit key?"}
    StillLocked -->|"No: Booted Normally"| BackupNow["Immediately run 'manage-bde -protectors -get C:' and save 48-digit key offline"]
    StillLocked -->|"Bai"| BIOSCheck{"Did you just change BIOS, Secure Boot, CSM, or update firmware?"}

    BIOSCheck -->|"Bai"| RevertBIOS["Enter UEFI Setup: Re-enable Secure Boot, UEFI Boot Mode, and Intel PTT / AMD fTPM to restore PCR 7 hash"]
    BIOSCheck -->|"Ez"| HuntKey["Step 2: Match 8-Char Key ID across ALL Personal Microsoft Accounts, Work/School Entra ID, Active Directory, and USB .BEK/.TXT files"]
    RevertBIOS --> HuntKey

    WhichOS -->|"macOS: FileVault Login Rejects Password"| ApplePath{"Apple Silicon/T2 Mac vs Intel Mac?"}
    ApplePath -->|"All Macs"| TestLayout["Step 1: Check Input Menu in top-right of FileVault screen for keyboard layout mismatch"]
    TestLayout --> FVMethod{"Which Recovery Method Was Enabled?"}
    FVMethod -->|"iCloud Account Escrow"| BootRecovery["Boot to macOS Recovery: Authenticate with Apple Account via Recovery Assistant to reset password"]
    FVMethod -->|"24-Char Personal Recovery Key (PRK) or MDM"| EnterPRK["Enter XXXX-XXXX-XXXX-XXXX-XXXX-XXXX key in Recovery Assistant or request Institutional Escrow Key from IT"]

    WhichOS -->|"Linux: LUKS / cryptsetup Passphrase Rejected"| LUKSPath["Step 1: Drop to initramfs shell or boot Live USB; check keyboard layout in console"]
    LUKSPath --> LUKSHeader{"Are Keyslots Intact in 'cryptsetup luksDump'?"}
    LUKSHeader -->|"Yes: Keyslot Active"| TestPass["Test secondary keyslots (Slot 1-7), FIDO2/TPM2 token, or run hashcat Mode 29500 against header backup"]
    LUKSHeader -->|"No: Header Corrupted"| RestoreHeader["Restore LUKS header from '--header-backup-file' or scan disk for surviving metadata"]

Understanding Full-Disk Encryption and TPM 2.0 sealing

Neither Windows BitLocker, Apple FileVault 2, nor Linux dm-crypt / LUKS encrypts your SSD directly with your login password or recovery key. Instead, all three platforms use a two-tier key hierarchy:

  1. The Volume Master Key (VMK) / Full Volume Encryption Key (FVEK): A hardware random key (128-bit, 256-bit, or 512-bit) encrypts and decrypts the actual disk sectors on the fly.
  2. Key Protectors / Keyslots (KEKs): The Volume Master Key is wrapped using independent Key Encryption Keys (KEKs), called Key Protectors in BitLocker, Key Bags in Apple APFS, and Keyslots in Linux LUKS.
  3. Why TPM 2.0 sealing locks you out on Windows: On Windows 10 and 11, the primary key protector is the Trusted Platform Module (TPM 2.0) chip (discrete silicon or firmware Intel PTT / AMD fTPM). When BitLocker seals the Volume Master Key into the TPM, it binds the key to specific Platform Configuration Registers (PCRs):
  4. PCR 0: Hashes core UEFI/BIOS system firmware.
  5. PCR 2: Hashes pluggable external hardware Option ROM code (Thunderbolt docks, RAID cards, external GPUs).
  6. PCR 4: Hashes the boot manager (bootmgfw.efi) and boot order state.
  7. PCR 7: Hashes Secure Boot policy and UEFI db / dbx certificate databases.
  8. PCR 11: Hashes BitLocker access control components.

Whenever you press the power button, the motherboard measures these firmware components before Windows loads. If any single bit in PCR 0, PCR 2, PCR 4, or PCR 7 differs from the value recorded when BitLocker was sealed, the TPM refuses to release the Volume Master Key and forces Windows Boot Manager to display the 48-digit BitLocker Recovery Key screen.

Comparison of Full-Disk Encryption architectures and recovery mechanisms

Technical Attribute Windows BitLocker (fvevol.sys) macOS FileVault 2 (APFS + Secure Enclave) Linux LUKS1 / LUKS2 (dm-crypt / cryptsetup)
Default Cipher & Mode AES-128-XTS or AES-256-XTS (AES-CBC on older Windows ⅞ drives) AES-128-XTS (Hardware-accelerated via Apple Silicon AES engine / T2) AES-256-XTS (aes-xts-plain64, 512-bit effective key size)
Hardware Anchor TPM 2.0 (Intel PTT / AMD fTPM / Discrete SPI/LPC TPM) Apple T2 Security Chip or Apple Silicon Secure Enclave Processor (SEP) Optional systemd-cryptenroll with TPM 2.0, FIDO2 YubiKey, or PKCS#11
Recovery Key Format 48 digits in eight 6-digit numeric groups (123456-123456-...) 24 alphanumeric characters in six 4-character groups (XXXX-XXXX-...) Up to 8 independent Keyslots (LUKS1) or 32 Keyslots (LUKS2)
Automatic Cloud Escrow Personal Microsoft Account (account.microsoft.com), Entra ID, or on-prem Active Directory Optional Apple Account (iCloud) recovery token or MDM Institutional Escrow None by default (Enterprise deployments may use Red Hat Tang/Clevis or Vault)
On-Disk Header Location Three redundant metadata copies across the partition (plus volume boot sector) Stored in the APFS Container Superblock and Volume Key Bag structures First 2 MB (LUKS1) or 16 MB (LUKS2) at the exact start of the block device
Hardware Rate Limiting Unlimited attempts for the 48-digit key (\(2^{128}\) entropy makes brute-force impossible) Strictly enforced in silicon by Secure Enclave (escalating delays up to wipe/lockout) None in software, governed by Argon2id / PBKDF2 memory-hard iteration cost

Part 1: Resolving Windows BitLocker recovery lockouts

When your Windows PC halts at "BitLocker: Enter the recovery key for this drive" (or Windows Recovery Environment asks for a key before allowing Command Prompt or Safe Mode access), work through these two parallel tracks: Track A attempts to coax the TPM into unlocking the drive without needing the key, and Track B hunts down the 48-digit key across every digital and local storage location.

A pista: BitLocker-en gonbita saihestuz berreskuratze-gakorik gabe (TPM PCR egoera leheneratu)

TPM eskuz ezabatu edo NVMe SSDa plaka berri batera eraman ez baduzu, Bolumen Master Key zure TPM 2.0 txiparen barruan dago oraindik. Desblokeatzeari uko egiten dio abioaren aurreko PCR neurketa bat aldatu delako. Saiatu suntsitzen ez diren hardware eta firmware leheneratu hauek ordenan:

  1. Deskonektatu kanpoko hardware eta kai guztiak:
  2. Ordenagailua guztiz itzali (sakatu pizteko botoia 10 segundoz).
  3. Deskonektatu USB flash drive, kanpoko disko gogor, USB-C hub, Thunderbolt docking station, SD txartela eta kanpoko monitore-kable guztiak.
  4. Deskonektatu AC kargagailua 15 segundoz, konektatu jatorrizko kargagailua ordenagailu eramangarrira zuzenean eta piztu. Thunderbolt kaiek eta USB-C zentroek maiz barneko PXE sareko abiarazte edo pantailako aukera-ROMak izaten dituzte PCR 2 eta PCR 4-etara hedatzen direnak, TPM egoera baliogabetuz.
  5. Berrezarri abio segurua eta UEFI abio modua BIOS konfigurazioan:
  6. Berrabiarazi eta sakatu zure plakako BIOS tekla (F2 Dell/ASUS/Lenovo/Acer-en, F10 HP-n, Del mahaigaineko plaketan).
  7. Duela gutxi Abio segurua Gaituta izatetik Desgaituta izatera aldatu bada, ezarri berriro Gaituta (modu estandarra) eta gorde aldaketak. Aitzitik, BIOSaren eguneratze batek Abio segurua gaituta irauli badu, saiatu Desgaituta aukerara aldatzen behin.
  8. Egiaztatu Abiatzeko modua UEFI Bakarrik gisa ezarrita dagoela (desgaitu Legacy / CSM) eta berretsi Windows Boot Manager lehen abio aukera dela.
  9. Egiaztatu Intel PTT edo AMD fTPM gaituta dagoela (inoiz ez egin klik "Garbitu TPM"):
  10. CMOS bateria agortu ondoren edo BIOS berrezarri ondoren, plaka amak batzuetan firmware TPM desgaitzen dute (Intel Platform Trust Technology edo AMD CPU fTPM). Joan BIOSeko Segurtasuna edo Konputazio fidagarria fitxara eta baieztatu TPM 2.0 egoera Gaituta dagoela.
  11. Abisua: Inoiz ez hautatu "Garbitu TPM" edo "Erase fTPM NV" BIOS barruan. TPM garbitzeak betirako suntsitzen du siliziozko txiparen barneko Biltegiratze Erroko gakoa, eta 48 digituko berreskuratzeko gakoa derrigorrezkoa da.
  12. Atzera egin BIOS kapsularen eguneratze akats bat:
  13. Dell ordenagailu eramangarrietan, eduki sakatuta Ctrl + Esc AC korrontea konektatzen duzun bitartean Dell BIOS berreskuratzea menua abiarazteko eta Atzera BIOS hautatu. HP ordenagailu eramangarrietan, eduki sakatuta Win + B Pizteko botoia 2 segundoz sakatzen duzun bitartean HP Sure Start BIOSaren atzera botatzeko.

B pista: zure 48 digituko BitLocker berreskuratzeko gakoaren bilaketa zehatza

TPM ezin bada leheneratu (edo SSDa kanpoko USB itxitura batera eraman baduzu), 48 digituko zenbakizko berreskuratzeko pasahitza eman behar duzu (XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX) edo a .BEK abiarazteko gako fitxategia. Idatzi pantailan agertzen diren gako IDaren lehen 8 karaktereak (adibidez, Key ID: 4F8A9C12) eta egiaztatu sei kokapen hauek:

1. Microsoft kontu pertsonalak (account.microsoft.com/devices/recoverykey)

Bisitatu https://account.microsoft.com/devices/recoverykey (edo https://aka.ms/myrecoverykey) telefono edo bigarren ordenagailu batean. - Egiaztatu historiako kontu guztiak: Gailuaren enkriptizazioak gakoaren babeskopia egiten du ordenagailua deskargatu zenean lehen Microsoft-eko kontu batean erabili zen, nahiz eta gero tokiko saio-hasiera batera aldatu. Hasi saioa eta probatu zahar guztiak @hotmail.com, @live.com, @outlook.com, edo lotuta @gmail.com kontuak, gehi makina horretan ordenagailua konfiguratzen lagundu duen edo Microsoft Office edo Xbox Game Pass-en saioa hasi duen edozein ezkontide, guraso edo teknikariren kontua.

2. Laneko, Eskolako edo Unibertsitateko Sarrera ID / Azure AD (myaccount.microsoft.com)

Etxeko ordenagailu eramangarri pertsonal batean ere, inoiz hasi bazenuen Microsoft 365 aplikazioetan (Word, Excel, Teams) laneko, unibertsitateko edo bezeroaren helbide elektroniko batekin eta "Utzi nire erakundeak nire gailua kudeatzeko" markatuta utzi baduzu, Windows-ek automatikoki gordeko du zure BitLocker berreskuratzeko gakoa erakunde horren Microsoft Entra ID maizterrean: 1. Bisitatu https://myaccount.microsoft.com/device-list eta hasi saioa zure laneko edo eskolako helbide elektronikoarekin. 2. Hautatu zure ordenagailuaren izena eta egin klik Ikusi BitLocker gakoak. 3. Zure laneko edo ikastetxeko kontua dagoeneko desgaituta badago, deitu erakunde horren IT Laguntza Zerbitzura eta eman zure 8 karaktereko gako ID. Administratzaileek desaktibatuta dauden kontuen gakoak berreskura ditzakete Gailuak > Gailu guztiak > Berreskuratzeko gakoak atalean. entra.microsoft.com.

3. Direktorio aktibo korporatiboa lokalean (msFVE-RecoveryInformation)

Ordenagailua Active Directory domeinu batera sartu bazen, domeinu-administratzaile batek gakoa bila dezake 8 karaktereko gako IDaren arabera, PowerShell erabiliz: 

Get-ADObject -Filter {objectClass -eq 'msFVE-RecoveryInformation'} -Properties msFVE-RecoveryPassword, whenCreated |
  Where-Object { $_.Name -like "*4F8A9C12*" } | Select-Object Name, msFVE-RecoveryPassword, whenCreated

4. Testu fitxategi automatizatuak edo eskuzkoak USB flash unitateetan eta hodeiko unitateetan

Windows-ek berreskuratzeko gako bat fitxategi edo USB disko batean gordetzen duenean, fitxategiari izena ematen dio BitLocker Recovery Key [GUID].txt edo ezkutuko bat gordetzen du .BEK fitxategia (attrib +h +s). Exekutatu PowerShell bilaketa hau USB unitate, kanpoko disko gogor, OneDrive, Google Drive eta Dropbox karpeta guztietan beste ordenagailu batean: 

Get-PSDrive -PSProvider FileSystem | ForEach-Object {
    Get-ChildItem -Path $_.Root -Include "*BitLocker*Recovery*Key*.txt", "*.bek" -Recurse -Force -ErrorAction SilentlyContinue
} | Select-Object FullName, LastWriteTime

5. Bigarren datu-unitate baterako gakoa ateratzea (D:) Desblokeatu batetik C: Zatiketa

Bada C: normalean abiarazten du eta bigarren mailako disko bat bakarrik D: blokeatuta dago, ireki Administrator PowerShell leiho bat C: eta korrika manage-bde -protectors -get D: to see if C: oraindik desblokeatzeko automatikoko erregistro-gakoa dauka, edo ikuskatu zure aurreko bolumenaren itzal-kopiak Documents ezabatzeko karpeta BitLocker Recovery Key *.txt fitxategiak.

6. Inprimatu Spooler historia eta PDF / OneNote inprimaketak

Konfigurazioan zehar "Inprimatu berreskuratzeko gakoa" sakatu baduzu, egiaztatu Microsoft OneNote eta bilatu Documents karpetarako .pdf edo .xps files created via "Microsoft Print to PDF".

Track C: Unlocking and decrypting a BitLocker drive from WinRE Command Prompt (manage-bde)

If typing the 48-digit recovery password at the blue screen loops back to BitLocker on the next reboot or crashes Windows, unlock and suspend BitLocker from the Windows Recovery Environment (WinRE) Command Prompt:

  1. Sakatu Esc BitLocker pantailan, eta egin klik Saltatu unitate hau -> Arazoak -> Aukera aurreratuak -> Komando-gonbita.
  2. Egiaztatu egoera eta desblokeatu sistema eragilearen bolumena (C:): 
    manage-bde -status
manage-bde -unlock C: -RecoveryPassword 123456-123456-123456-123456-123456-123456-123456-123456
    (Or unlock using a binary .BEK file on a USB stick mapped as F: bidez manage-bde -unlock C: -RecoveryKey "F:\key.BEK").
  3. Suspend protectors so the prompt does not return on the next reboot: 
    manage-bde -protectors -disable C:
    Reboot into Windows, then run manage-bde -protectors -enable C: in an elevated Command Prompt to re-seal the Volume Master Key against the new UEFI PCR hashes.
  4. If Windows cannot boot, copy files out or fully decrypt: 
    robocopy C:\Users\YourUsername F:\RescueBackup /E /ZB /R:1 /W:1 /XJ
manage-bde -off C:

Track D: Mounting a BitLocker SSD on Linux (dislocker / cryptsetup) for file rescue

If your Windows motherboard died, place the M.2 NVMe or SATA SSD into an external USB-C enclosure (measuring about 10 centimeters by 3 centimeters, or 4 inches by 1.2 inches) and unlock it on any Linux PC or Ubuntu Live USB:

# Method 1: Modern cryptsetup (v2.3+ natively supports BITLOCKER volumes)
sudo cryptsetup open --type bitlocker /dev/nvme0n1p3 bitlocker_unlocked
# Type the 48-digit recovery key INCLUDING hyphens when prompted
sudo mkdir -p /mnt/windows_data
sudo mount -t ntfs3 -o ro /dev/mapper/bitlocker_unlocked /mnt/windows_data

# Method 2: Using dislocker
sudo apt update && sudo apt install -y dislocker ntfs-3g
sudo mkdir -p /mnt/dislocker_raw /mnt/windows_rescue
sudo dislocker -V /dev/nvme0n1p3 -p123456-123456-123456-123456-123456-123456-123456-123456 -- /mnt/dislocker_raw
sudo mount -t ntfs-3g -o loop,ro /mnt/dislocker_raw/dislocker-file /mnt/windows_rescue

Part 2: Resolving Apple macOS FileVault 2 and Secure Enclave lockouts

On macOS (High Sierra through macOS Sequoia and newer), FileVault 2 encrypts the entire APFS (Apple File System) volume. On Macs with Apple Silicon (M1, M2, M3, M4) or the Apple T2 Security Chip, the volume is actually always encrypted at rest using hardware keys inside the Secure Enclave Processor (SEP). Turning on FileVault wraps that hardware Volume Encryption Key (VEK) with a Key Encryption Key (KEK) derived from your macOS login password and your FileVault Recovery Key.

Because FileVault requires decrypting the APFS volume before macOS loads from disk, the first screen you see when you turn on a FileVault-enabled Mac is not the normal macOS login window, it is the pre-boot FileVault EFI / iBoot unlock screen.

Step 1: Rule out the #1 cause of sudden FileVault lockouts (Pre-boot keyboard layout & external keyboards)

Before assuming your password broke or starting a reset, check these three pre-boot quirks that cause valid passwords to shake and reject at the FileVault boot screen:

  1. Pre-boot Keyboard Input Menu Switch: The pre-boot FileVault screen uses a stripped-down firmware keyboard driver that frequently defaults to U.S. QWERTY (or ABC) even if you typed your password using a UK, German (QWERTZ), French (AZERTY), or Dvorak layout inside macOS. Look at the top-right corner of the FileVault login screen, click the Keyboard Input menu icon, and select your exact keyboard layout.
  2. Bluetooth teklatuaren denbora eta Num Blokeoa: Hirugarrenen Bluetooth teklatuek sarritan uzten dituzte lehen bi teklak abiaraztearen aurreko pantailan esnatzen diren bitartean, edo Num Blokeoaren egoera adierazleak falta dituzte. Konektatu kabledun USB teklatua zuzenean Mac-era (edo erabili integratutako MacBook teklatua) eta idatzi poliki-poliki.
  3. Erabiltzaile anitz administratzaile Mac berean: FileVault-en, baimendutako macOS erabiltzaile-kontu bakoitzak bere token kriptografiko independentea du APFS Key Bag-en (diskutil apfs listCryptoUsers /). Zure kontua astindu eta huts egiten badu, egin klik ** beste Administratzaile erabiltzaile baten ikonoa** FileVault pantailan eta hasi saioa bere pasahitzarekin. Behin macOS-en sartuta, administratzaile horrek zure pasahitza berrezarri dezake Sistemaren ezarpenak > Erabiltzaileak eta taldeak atalean.

2. urratsa: FileVault desblokeatu Apple kontuaren bidez (iCloud) edo 24 karaktereko berreskuratzeko gako pertsonalaren bidez

Zure pasahitzak oraindik huts egiten badu FileVault saioa hasteko pantailan:

  1. Itxaron berreskuratzeko abisua: FileVault-en saioa hasteko pantailan pasahitz oker bat hiru aldiz idatzi ondoren, macOS-ek zure Apple kontua erabiliz berrezartzeko aukerak erakusten ditu edo zure Berreskuratze-gakoa sartu.
  2. Or boot directly into macOS Recovery (Recovery Assistant)*:
  3. Apple Silicon Macs (M1/M2/M3/M4): itzali guztiz, eta, ondoren, eduki sakatuta Pictu (Touch ID) botoia 10 segundoz "Abioko aukerak kargatzen..." agertu arte, sakatu Aukerak eta sakatu Jarraitu.
  4. Intel Macs: piztu Mac eta eduki sakatuta Command (⌘) + R Appleren logotipoa agertu arte.
  5. Inside the Reset Password Berreskuratze Laguntzailea leihoa:
  6. Konektatu Wi-Fi pantailaren goiko eskuineko izkinan edo konektatu Ethernet.
  7. A aukera (Apple kontuaren fidantza): iCloud berreskuratzea gaitu baduzu, hautatu Pasahitz guztiak ahaztu dituzu? -> Hasi saioa Apple kontuarekin. Sartu zure Apple kontuko helbide elektronikoa, pasahitza eta 6 digituko 2FA kodea (telefonoa galdu baduzu, ikusi gure MFA blokeoa eta autentifikatzailea berreskuratzea guide) to unlock the APFS volume and set a new password.
  8. Option B (24-Character Personal Recovery Key): Select Enter FileVault Recovery Key and type your 24-character alphanumeric code (XXXX-XXXX-XXXX-XXXX-XXXX-XXXX).
  9. Option C (Corporate / University MDM Escrow): If your Mac is managed via Jamf Pro, Kandji, Mosyle, or Microsoft Intune, call your IT Help Desk with your Mac's serial number so they can read you the escrowed 24-character FileVault Recovery Key.

Step 3: Unlocking a FileVault APFS volume manually from Terminal (diskutil apfs unlockVolume)

If the graphical Recovery Assistant fails to mount your drive, open Utilities -> Terminal inside macOS Recovery and unlock the APFS volume manually:

# 1. List all APFS containers and encrypted volumes to find the Volume Identifier (e.g., disk3s5)
diskutil apfs list

# 2. List all cryptographic users (UUIDs) authorized to unlock that APFS volume
diskutil apfs listCryptoUsers /dev/disk3s5

# 3. Unlock the APFS volume using either your user password OR your 24-character Recovery Key:
diskutil apfs unlockVolume /dev/disk3s5 -passphrase "YOUR-XXXX-XXXX-XXXX-XXXX-XXXX-KEY"

# 4. Copy critical files from '/Volumes/Macintosh HD - Data' to an external USB drive:
cp -Rv "/Volumes/Macintosh HD - Data/Users/yourusername/Documents" "/Volumes/ExternalUSB/Backup/"

Apple Silicon and T2 Macs cannot have their SSDs removed and read in external enclosures

Unlike standard Windows PCs, Apple Silicon Macs (M1/M2/M3/M4) and T2 Intel Macs tie APFS hardware encryption keys inside the Secure Enclave Processor soldered to the logic board. If a MacBook logic board fails to power on, take it to a specialized logic-board component repair shop to fix the power rail on your original board rather than replacing the logic board (which permanently wipes all data).

Part 3: Resolving Linux LUKS (dm-crypt / cryptsetup) encryption lockouts

Linux distributions (Ubuntu, Fedora, Debian, Arch Linux, Red Hat Enterprise Linux, Pop._OS, and Qubes OS) rely on LUKS (Linux Unified Key Setup), typically LUKS2, managed by cryptsetup eta dm-crypt. When a Linux machine drops into an (initramfs) edo dracut shell saying cryptsetup failed, bad password or options, follow these four steps:

Step 1: Check console keymap vs graphical keyboard layout

During the pre-boot initramfs phase, the system uses the Linux console keymap (/etc/vconsole.conf), which often defaults to us even if you configured a UK, German, French, or custom programmer layout inside GNOME or KDE. Boot a Linux Live USB, open a graphical terminal where you can type your passphrase visibly in a text editor to verify every character, and unlock the drive from the Live USB: 

lsblk -f
sudo cryptsetup luksOpen /dev/nvme0n1p3 my_encrypted_root

Step 2: Inspect the LUKS header and check secondary keyslots (cryptsetup luksDump)

LUKS1 supports 8 independent Keyslots (0 to 7) and LUKS2 supports up to 32 Keyslots (0 to 31), plus hardware Tokens (systemd-tpm2 edo systemd-fido2). Inspect your header without changing anything on disk:

sudo cryptsetup luksDump /dev/nvme0n1p3
1. Does it show LUKS header information with valid UUID and Keyslots? If yes, your LUKS header is intact and your data is recoverable as soon as any active keyslot passphrase is supplied. 2. Are multiple Keyslots enabled (Keyslot 0, Keyslot 1)? Many administrators and enterprise installers enroll a secondary recovery passphrase or keyfile in Keyslot 1. Even if you forgot your primary passphrase in Keyslot 0, your fallback passphrase in Keyslot 1 will unlock the volume immediately. 3. If TPM2 auto-unlock broke (systemd-cryptenroll --tpm2-device=auto): kernel edo BIOS eguneratze batek TPM2 PCR 7 desblokeatze automatikoa hausten duenean, desblokeatu Keyslot 0 pasaesaldiarekin eta erregistratu berriro TPM tokena: 
sudo systemd-cryptenroll --wipe-slot=tpm2 --tpm2-device=auto --tpm2-pcrs=7 /dev/nvme0n1p3

3. urratsa: LUKS2 goiburu hondatuta edo gainidatzita batetik berreskuratzea

LUKSen, giltza-zerbitzu guztiak partizioaren lehen 2 megabyte (LUKS1) edo **16 megabyte (LUKS2)**etan bizi dira. Bada cryptsetup luksDump dio not a valid LUKS device, eman urrats hauek:

  1. Iruditu lehenengo 32 MB ezer ukitu aurretik: 
    sudo dd if=/dev/nvme0n1p3 of=~/damaged_luks_first32mb.img bs=1M count=32 status=progress
  2. ** Saiatu automatikoki LUKS2 bigarren mailako JSON metadatuen konponketa (cryptsetup repair)***:
  3. LUKS2-k bitar eta JSON goiburuko metadatuen bi kopia erredundante gordetzen ditu offsetean 0x0000 eta desplazamendua 0x4000 (16 KB). 0 byte-ko kopia nagusia bakarrik zapuztu bazen, sudo cryptsetup repair /dev/nvme0n1p3 bertatik berreraikitzen du 0x4000.
  4. ** Leheneratu gordetako LUKS goiburuko babeskopi batetik (luksHeaderRestore)***:
  5. Desblokeatu modu ez suntsitzailean kanpoko goiburuko babeskopia fitxategi bat erabiliz: 
    sudo cryptsetup luksOpen --header /path/to/luks-header.bak /dev/nvme0n1p3 rescued_volume

4. urratsa: partzialki gogoratzen diren pasaesaldiekin probatzea hashcat

Ausazko 48 digituko BitLocker berreskuratzeko gakoa edo 24 karaktereko Apple berreskuratzeko gakoa (\(2^{128}\) entropia-bit) bat indargabetu ezin baduzu ere, ** ahal** ditzakezu probatu gizakiak aukeratutako LUKS pasahitz edo BitLocker erabiltzailearen pasahitz pertsonalizatuaren aldaerak oinarrizko hitzak gogoratzen badituzu:

# For Linux LUKS2 (mode 29500) or LUKS1 (mode 14600):
sudo dd if=/dev/nvme0n1p3 of=luks_header.bin bs=1M count=16
hashcat -m 29500 luks_header.bin my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

# For BitLocker protected by a custom User Password (mode 22100):
bitlocker2john -i /dev/nvme0n1p3 | grep "\$bitlocker\$0\$" > user_pass.hash
hashcat -m 22100 user_pass.hash my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

Prebentzioa: nola sortu blokeoa babesteko disko enkriptatzeko babeskopia oraintxe bertan

Zure ordenagailurako sarbidea berreskuratzen duzun momentuan (edo gaur egun duzun beste ordenagailu guztietan), eman bost minutu komando hauek exekutatzen, plaka-matxurak edo firmware-eguneratzeak zure fitxategiak berriro harrapatzeko:

1. Windows-en (Esportatu zure BitLocker berreskuratzeko gakoa eta pausatu BIOS eguneratu aurretik)

Ireki Administratzailearen PowerShell edo Komando-gonbita eta esportatu zure uneko 48 digituko berreskuratzeko pasahitza: 

# Display all BitLocker recovery keys and Key IDs across all drives
Get-BitLockerVolume | Select-Object MountPoint, VolumeStatus, -ExpandProperty KeyProtector |
  Where-Object { $_.KeyProtectorType -eq 'RecoveryPassword' } |
  Select-Object MountPoint, KeyProtectorId, RecoveryPassword
- BIOSa eguneratu edo hardwarea aldatu aurretik: exekutatu beti Suspend-BitLocker -MountPoint "C:" -RebootCount 1 Administrator PowerShell-en, plakako BIOS eguneratzea keinukatu aurretik, abio segurua aldatu edo CPU/plaka bat ordezkatu aurretik. Honek aldi baterako babesle argi bat gordetzen du berrabiarazteko eta automatikoki berriro zigilatzen ditu TPM PCR hash berriak eguneratzea amaitzen denean.

2. MacOS-en (Egiaztatu edo biratu FileVault berreskuratzeko gakoa)

Open Terminal and check who is authorized to unlock your APFS startup disk: 

sudo fdesetup status
diskutil apfs listCryptoUsers /
24 karaktereko berreskuratzeko gako pertsonal berri bat sortu nahi baduzu, idatzi eta zure pasahitz kudeatzailean eta etxeko seguruan gordetzeko: 
sudo fdesetup changerecovery -personal

3. Linux-en (Babeskopia egin zure LUKS goiburuaren eta erregistratu ordezko Keyslot bat)

Gorde beti zure 16 megabyte-ko LUKS goiburuaren kopia bat kanpoko USB unitate txiki batean eta erregistratu inprimatutako 64 karaktereko berreskuratzeko pasaesaldi bat Keyslot 1-en: 

# 1. Back up the binary LUKS header to an external USB drive
sudo cryptsetup luksHeaderBackup /dev/nvme0n1p3 --header-backup-file /media/usb/luks-header-nvme0n1p3.bak

# 2. Add an independent emergency recovery passphrase into Keyslot 1
sudo cryptsetup luksAddKey --key-slot 1 /dev/nvme0n1p3

Enkriptatzea larrialdietarako prestatzeko zerrenda

  • Esportatu zure 48 digituko BitLocker berreskuratzeko gakoa (bere 8 karaktereko Gako ID barne) eta gorde ezazu zure barruan. password manager eta paperean inprimatuta suaren aurkako kutxa baten barruan, gutxienez 1,5 metro (5 oin) zoruaren mailatik gora.
  • Print or save your 24-character macOS FileVault Recovery Key alongside your Apple Account 28-character recovery key.
  • Back up your 16-megabyte Linux LUKS header (cryptsetup luksHeaderBackup) to an offline USB drive so an accidental partition overwrite cannot destroy all keyslots.
  • Maintain an independent, automated 3-2-1 computer backup so that even a catastrophic SSD controller death or forgotten encryption key never destroys your irreplaceable photos, tax documents, or source code.

Maiz egiten diren galderak

Why did my Windows 11 laptop suddenly ask for a BitLocker Recovery Key when I never turned on BitLocker?

Almost all modern Windows 10 and 11 laptops ship with "Device Encryption" (using the BitLocker engine) pre-staged at the factory. The moment you sign in with a Microsoft Account or a work/school account during setup, Windows silently activates BitLocker and uploads your 48-digit recovery key to `account.microsoft.com/devices/recoverykey`. Later, when a routine Windows Update installs a UEFI/BIOS firmware update that alters the motherboard TPM 2.0 measurements, BitLocker locks the drive and demands that 48-digit key.

Can a professional data recovery lab or forensic company bypass BitLocker, FileVault 2, or LUKS without the key?

No. If the Volume Master Key is properly sealed and you have neither the recovery key nor a guessable user password, no data recovery lab can brute-force AES-128-XTS or AES-256-XTS encryption. The only exceptions where a lab can help are: (1) repairing a physically dead motherboard so the original onboard TPM 2.0 or Apple Secure Enclave chip can boot and release the key automatically; (2) sniffing an uninsulated discrete LPC/SPI TPM bus if the TPM already considers the boot state valid; or (3) running GPU dictionary attacks (`hashcat`) against a human-chosen passphrase whose root words you partially remember.

I have multiple BitLocker recovery keys in my Microsoft Account for the same computer name. How do I know which one to type?

Never go by the computer hostname alone, because reinstalling Windows creates a new key under the same name. Look at the blue BitLocker screen on your PC and note the **Key ID** (the first 8 hexadecimal characters, like `3A9F82C1`). Match those exact 8 characters against the **Key ID** column listed at `account.microsoft.com/devices/recoverykey`.

If I clean-install Windows over a locked BitLocker drive, can I use data recovery software like Recuva or PhotoRec to get my photos back?

No. File-carving tools like PhotoRec or Recuva scan raw disk sectors for recognizable file headers (such as `FF D8 FF` for JPEGs). On an AES-XTS encrypted drive, every sector is scrambled into high-entropy ciphertext with zero recognizable file headers, and formatting over the partition destroys the BitLocker metadata headers needed to ever decrypt the drive.

Erlazionatutako gidak

Iturriak egiaztatu

  • National Institute of Standards and Technology (NIST) (United States): NIST Special Publication 800-111: Guide to Storage Encryption Technologies for End User Devices & FIPS 197 (AES-XTS).
  • Microsoft Learn Official Documentation: BitLocker Recovery Overview, TPM Platform Configuration Registers (PCR 0-11) Validation Profile, and manage-bde Komando-lerroko erreferentzia.
  • Apple Plataformaren Segurtasun Gida: Bolumenaren enkriptatzea FileVault-ekin, APFS gako-poltsekin, Secure Enclave Hardware Root of Trust eta Instituzional/Pertsonala Berreskuratzeko Gakoen fidantza. -Trusted Computing Group (TCG) (Nazioartekoa): TPM 2.0 Liburutegiaren Zehaztapena eta PC Bezeroen Plataformaren Firmware Profilaren Zehaztapena.
  • GitLab Cryptsetup / LUKS2 Zehaztapen Ofiziala: LUKS2 Diskoaren formatuaren zehaztapena, Argon2id PBKDF Memoria gogorreko gako-zerbitzuak eta goiburuko babeskopia/konponketa prozedurak.