Bloqueo de chaves de recuperación de cifrado de disco de BitLocker, FileVault e LUKS¶

Ver unha pantalla azul de BitLocker Recovery en Windows, unha solicitude de inicio de sesión de FileVault bloqueada en macOS ou un ** que non respondecryptsetup O aviso de frase de contrasinal** nunha estación de traballo Linux pode deter a túa vida laboral e persoal. O cifrado de disco completo (FDE) utiliza cifrados simétricos de grao militar, normalmente AES-128 ou AES-256 no modo XTS, para codificar todos os sectores da túa unidade de estado sólido (SSD) ou disco duro (HDD). Sen a chave mestra de volume criptográfica (VMK) ou un protector de cifrado de chave válido, os datos brutos dos chips flash NAND son matemáticamente indistinguibles do ruído aleatorio.

Non obstante, unha pantalla de clave de recuperación súbita raramente significa que a túa unidade está danada ou a túa chave desapareceu para sempre. A maioría dos bloqueos de BitLocker e FileVault desenvólvense automaticamente cando unha actualización rutineira do firmware do BIOS/UEFI, un cambio de base Thunderbolt, o cambio de arranque seguro ou a batería CMOS de pilas de botóns esgotadas alteran os rexistros de configuración da plataforma (PCR) dentro da súa placa base Módulo de plataforma de confianza (TPM 2.0). Aínda que nunca anotou unha clave de recuperación, moitas veces pode ignorar a solicitude revertendo a configuración exacta do firmware UEFI que provocou a medición de TPM ou localizando unha copia de seguridade automática silenciosa da súa chave dentro dunha conta persoal de Microsoft, un directorio de Microsoft Entra ID do traballo ou da escola, un chaveiro de Apple iCloud ou unha copia instantánea de volume desmontada.

Fai isto agora¶

1. PARA antes de facer clic en "Restablecer este PC", "Borrar Mac" ou formatar a partición. Ao reinstalar Windows, macOS ou Linux nunha partición cifrada sobrescribe a cabeceira do volume criptográfico (os bloques de metadatos de BitLocker, o superbloque do contedor APFS ou a cabeceira JSON LUKS2). Unha vez que se sobrescriba esa pequena cabeceira de metadatos, aínda que mañá atopes a túa clave de recuperación válida de 48 díxitos, xa non descifrará os teus ficheiros.
2. Desenchufe todas as unidades USB externas, tarxetas SD, bases Thunderbolt, adaptadores HDMI e controladores de xogos e, a continuación, reinicie. En sistemas Windows que usan os rexistros de configuración da plataforma TPM 2.0 (específicamente PCR 0, PCR 2, PCR 4 e PCR 7), o arranque cunha memoria USB de arranque, un novo firmware conectado ou un concentrador de monitor externo Thunderbolt pode cambiar ou cambiar o controlador externo Option ROM. medición de hash pre-arranque. Desconectar todos os periféricos e realizar un reinicio en frío con frecuencia permite que o TPM libere a chave mestra de volume normalmente sen necesitar o código de 48 díxitos.
3. Comproba todas as contas de Microsoft, Apple ou corporativas que utilizaches nun teléfono ou portátil secundario. Non asumas que sabes que conta de correo electrónico estaba activa cando se desembalou o portátil por primeira vez. En Windows, comproba account.microsoft.com/devices/recoverykey nas súas contas persoais de Outlook/Hotmail/Live e comprobe aka.ms/myrecoverykey en calquera conta de traballo, universidade ou cliente de Microsoft 365 (ID de Entra) na que iniciaches sesión na configuración de Microsoft Word, Teams ou Windows.
4. Coincide cos 8 primeiros caracteres do "ID de chave" que se mostra na túa pantalla bloqueada. Unha pantalla de recuperación de Windows BitLocker mostra un ID de chave de 32 caracteres (ou os primeiros 8 caracteres hexadecimais, como A1B2C3D4). Se tes varias claves almacenadas na túa conta de Microsoft ou en ordenadores antigos, só o contrasinal de recuperación de 48 díxitos cuxo ID de chave coincida con eses 8 caracteres exactos desbloqueará este volume específico da unidade.
5. Reverte os cambios recentes de BIOS/UEFI feitos xusto antes do bloqueo. Se a pantalla de BitLocker apareceu inmediatamente despois de entrar na configuración do BIOS para desactivar Arranque seguro, alterna CSM (Módulo de soporte de compatibilidade), cambia Intel PTT/AMD fTPM ou activa Cambios de orde de arranque, reinicia a BIOSF2, F12, ou Del) e restablece eses conmutadores exactos ao seu estado anterior. En canto PCR 7 e PCR 0 coincidan co seu hash criptográfico orixinal, o TPM abrirá a chave automaticamente.
6. Priorizar a seguridade física se o bloqueo se produce durante unha emerxencia ou unha crise doméstica. Se estás tentando recuperar rexistros médicos, documentos financeiros ou plans de evacuación durante unha crise, lembra que as unidades cifradas conservan os datos indefinidamente mentres están apagadas. Se te enfrontas a unha ameaza física inmediata, deixa atrás o hardware e chama ao teu número de emerxencia local (911 nos Estados Unidos e Canadá, 112 en toda a Unión Europea, 999 no Reino Unido ou consulta a nosa números de emerxencia directorio).

Triaxe de bloqueo de cifrado de disco e árbore de decisións de recuperación¶

flowchart TD
    Start["Bloqueado da unidade cifrada: BitLocker, FileVault ou LUKS Prompt"] --> WhichOS{"Que sistema operativo e motor de cifrado?"}

    WhichOS -->|"Windows: pantalla de recuperación de 48 díxitos de BitLocker"| PeriphCheck["Paso 1: Desconecta todas as unidades USB, as bases Thunderbolt e os monitores externos; reinicio en frío"]
    PeriphCheck --> StillLocked{"Aínda solicitas a chave de 48 díxitos?"}
    StillLocked -->|"Non: iniciado normalmente"| BackupNow["Execute inmediatamente 'manage-bde -protectors -get C:' e garda a chave de 48 díxitos sen conexión"]
    StillLocked -->|"Si"| BIOSCheck{"Acabas de cambiar o BIOS, Secure Boot, CSM ou actualizar o firmware?"}

    BIOSCheck -->|"Si"| RevertBIOS["Ingrese á configuración de UEFI: volva habilitar o arranque seguro, o modo de arranque UEFI e Intel PTT/AMD fTPM para restaurar o hash de PCR 7"]
    BIOSCheck -->|"Non"| HuntKey["Paso 2: Coincide o ID de chave de 8 caracteres en TODAS as contas persoais de Microsoft, ID de entrada de traballo/escola, Active Directory e ficheiros USB .BEK/.TXT"]
    RevertBIOS --> HuntKey

    WhichOS -->|"macOS: o inicio de sesión de FileVault rexeita o contrasinal"| ApplePath{"Apple Silicon/T2 Mac vs Intel Mac?"}
    ApplePath -->|"Todos os Mac"| TestLayout["Paso 1: Comprobe o menú de entrada na parte superior dereita da pantalla de FileVault para ver a falta de coincidencia na disposición do teclado"]
    TestLayout --> FVMethod{"Que método de recuperación estivo activado?"}
    FVMethod -->|"Garantía da conta de iCloud"| BootRecovery["Iniciar a recuperación de macOS: autentíquese coa conta de Apple mediante o Asistente de recuperación para restablecer o contrasinal"]
    FVMethod -->|"Clave de recuperación persoal de 24 caracteres (PRK) ou MDM"| EnterPRK["Introduce a clave XXXX-XXXX-XXXX-XXXX-XXXX-XXXX no Asistente de recuperación ou solicita a clave de depósito institucional de TI"]

    WhichOS -->|"Linux: LUKS / cryptsetup Frase de contraseña rexeitada"| LUKSPath["Paso 1: solta a initramfs shell ou inicia Live USB; comprobar a disposición do teclado na consola"]
    LUKSPath --> LUKSHeader{"As ranuras de chave están intactas en 'cryptsetup luksDump'?"}
    LUKSHeader -->|"Si: Keyslot activo"| TestPass["Proba as ranuras de chaves secundarias (ranuras 1-7), o token FIDO2/TPM2 ou executa o modo hashcat 29500 contra a copia de seguranza da cabeceira"]
    LUKSHeader -->|"Non: cabeceira corrompida"| RestoreHeader["Restaura a cabeceira LUKS desde '--header-backup-file' ou escanea o disco para buscar metadatos supervivientes"]

Comprender o cifrado de disco completo e o selado TPM 2.0¶

Nin Windows BitLocker, Apple FileVault 2 nin Linux dm-crypt / LUKS cifra o teu SSD directamente co teu contrasinal de inicio de sesión ou clave de recuperación. Pola contra, as tres plataformas usan unha xerarquía de claves de dous niveis:

1. A chave mestra de volume (VMK)/Chave de cifrado de volume completo (FVEK): unha clave aleatoria de hardware (128 bits, 256 bits ou 512 bits) cifra e descifra os sectores de disco reais sobre a marcha.
2. Key Protectors/keyslots (KEKs): a chave mestra de volume envólvese usando Key Encryption Keys (KEKs) independentes, chamados Key Protectors en BitLocker, Key Bags en Apple APFS e Keyslots en Linux LUKS.
3. Por que o selado TPM 2.0 te bloquea en Windows: en Windows 10 e 11, o protector de chave principal é o chip Trusted Platform Module (TPM 2.0) (silicio ou firmware discreto Intel PTT/AMD fTPM). Cando BitLocker sela a chave mestra de volume no TPM, vincula a chave a Rexistros de configuración de plataforma (PCR) específicos:
4. PCR 0: hashes de firmware do sistema UEFI/BIOS central.
5. PCR 2: código ROM opcional de hardware externo conectable hash (bases Thunderbolt, tarxetas RAID, GPU externas).
6. PCR 4: hash o xestor de arranque (bootmgfw.efi) e o estado da orde de arranque.
7. PCR 7: política de hash Arranque seguro e UEFI db / dbx bases de datos de certificados.
8. PCR 11: hash os compoñentes de control de acceso de BitLocker.

Sempre que preme o botón de acendido, a placa base mide estes compoñentes do firmware antes de que se cargue Windows. Se algún bit en PCR 0, PCR 2, PCR 4 ou PCR 7 difire do valor rexistrado cando se selou BitLocker, o TPM négase a liberar a chave mestra de volume e obriga o xestor de arranque de Windows a mostrar a pantalla de Chave de recuperación de BitLocker de 48 díxitos.

Comparación de arquitecturas de cifrado de disco completo e mecanismos de recuperación¶

Parte 1: Resolvendo os bloqueos de recuperación de Windows BitLocker¶

Cando o teu PC con Windows se detén en "BitLocker: insira a clave de recuperación para esta unidade" (ou o entorno de recuperación de Windows solicita unha chave antes de permitir o acceso ao símbolo do sistema ou ao modo seguro), traballa a través destas dúas pistas paralelas: Track A tenta persuadir ao TPM para que desbloquee a unidade sen necesitar a chave e Rastre B4 busca a localización de teclas dixitais e 8 díxitos en cada localización de almacenamento local.

Pista A: ignorando o indicador de BitLocker sen unha chave de recuperación (restaurando o estado TPM PCR)¶

Se non borraches manualmente o TPM nin moveches o SSD NVMe a unha nova placa base, a chave mestra de volume aínda está dentro do teu chip TPM 2.0. Négase a desbloquear porque cambiou unha medición de PCR previa ao arranque. Proba estas restauracións non destrutivas de hardware e firmware en orde:

1. Disconnect all external hardware and docks:
2. Power the computer completely off (hold the power button for 10 seconds).
3. Unplug every USB flash drive, external hard drive, USB-C hub, Thunderbolt docking station, SD card, and external monitor cable.
4. Unplug the AC charger for 15 seconds, plug the native charger directly into the laptop, and turn it on. Thunderbolt docks and USB-C hubs frequently contain internal PXE network boot or display Option ROMs that extend into PCR 2 and PCR 4, invalidating the TPM state.
5. Restore Secure Boot and UEFI Boot Mode in BIOS Setup:
6. Reboot and press your motherboard BIOS key (F2 on Dell/ASUS/Lenovo/Acer, F10 on HP, Del on desktop boards).
7. If Secure Boot was recently changed from Enabled to Disabled, set it back to Enabled (Standard Mode) and save changes. Conversely, if a BIOS update flipped Secure Boot to Enabled, try toggling it to Disabled once.
8. Confirm Boot Mode is set to UEFI Only (disable Legacy / CSM) and confirm Windows Boot Manager is the first boot option.
9. Verify Intel PTT or AMD fTPM is enabled (Never click "Clear TPM"):
10. After a dead CMOS battery or a BIOS reset, motherboards sometimes disable the firmware TPM (Intel Platform Trust Technology ou AMD CPU fTPM). Go to the Security or Trusted Computing tab in BIOS and confirm TPM 2.0 State is Enabled.
11. Warning: Never select "Clear TPM" or "Erase fTPM NV" inside BIOS. Clearing the TPM permanently destroys the internal Storage Root Key inside the silicon chip, making the 48-digit recovery key mandatory.
12. Roll back a buggy BIOS capsule update:
13. On Dell laptops, hold Ctrl + Esc while plugging in AC power to launch the Dell BIOS Recovery menu and select Rollback BIOS. On HP laptops, hold Win + B while pressing the power button for 2 seconds to trigger HP Sure Start BIOS rollback.

Track B: Exhaustive search for your 48-digit BitLocker Recovery Key¶

If the TPM cannot be restored (or if you moved the SSD into an external USB enclosure), you must supply the 48-digit numeric recovery password (XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX) or a .BEK startup key file. Write down the first 8 characters of the Key ID shown on screen (for example, Key ID: 4F8A9C12) and check these six locations:

1. Personal Microsoft Accounts (account.microsoft.com/devices/recoverykey)¶

Visit https://account.microsoft.com/devices/recoverykey (ou https://aka.ms/myrecoverykey) on a phone or secondary computer. - Check every historical account: Device Encryption backs up the key to whichever Microsoft Account was first used when the PC was unboxed, even if you later switched to a local login. Sign in and test all old @hotmail.com, @live.com, @outlook.com, or linked @gmail.com accounts, plus the account of any spouse, parent, or technician who helped set up the PC or signed into Microsoft Office or Xbox Game Pass on that machine.

2. Work, School, or University Entra ID / Azure AD (myaccount.microsoft.com)¶

Even on a personal home laptop, if you ever signed into Microsoft 365 apps (Word, Excel, Teams) with a work, university, or client email address and left "Allow my organization to manage my device" checked, Windows automatically escrowed your BitLocker recovery key into that organization's Microsoft Entra ID tenant: 1. Visit https://myaccount.microsoft.com/device-list and sign in with your work or school email. 2. Select your computer name and click View BitLocker keys. 3. If your work or school account is already disabled, call that organization's IT Help Desk and give them your 8-character Key ID. Administrators can retrieve keys for deactivated accounts under Devices > All devices > Recovery keys in entra.microsoft.com.

3. On-Premises Corporate Active Directory (msFVE-RecoveryInformation)¶

If the computer was joined to an Active Directory domain, a Domain Administrator can look up the key by its 8-character Key ID using PowerShell:

Get-ADObject -Filter {objectClass -eq 'msFVE-RecoveryInformation'} -Properties msFVE-RecoveryPassword, whenCreated |
  Where-Object { $_.Name -like "*4F8A9C12*" } | Select-Object Name, msFVE-RecoveryPassword, whenCreated

4. Ficheiros de texto automatizados ou manuais en unidades flash USB e unidades na nube¶

Cando Windows garda unha clave de recuperación nun ficheiro ou unidade USB, dálle un nome ao ficheiro BitLocker Recovery Key [GUID].txt ou garda un oculto .BEK ficheiro (attrib +h +s). Executa esta busca de PowerShell en todas as unidades USB, discos duros externos, OneDrive, Google Drive e cartafoles de Dropbox noutro PC:

Get-PSDrive -PSProvider FileSystem | ForEach-Object {
    Get-ChildItem -Path $_.Root -Include "*BitLocker*Recovery*Key*.txt", "*.bek" -Recurse -Force -ErrorAction SilentlyContinue
} | Select-Object FullName, LastWriteTime

5. Extraer a chave dunha unidade de datos secundaria (D:) dun Desbloqueado C: Partición¶

Se C: arranca normalmente e só unha unidade secundaria D: está bloqueado, abra unha xanela de Administrador PowerShell C: e corre manage-bde -protectors -get D: a ver se C: aínda ten a clave de rexistro de desbloqueo automático ou inspeccione as copias de sombra de volume anteriores do seu Documents cartafol para borrar BitLocker Recovery Key *.txt ficheiros.

6. Imprima o historial de Spooler e as impresións PDF/OneNote¶

Se fixo clic en "Imprimir a clave de recuperación" durante a configuración, marque Microsoft OneNote e busque o seu Documents carpeta para .pdf ou .xps ficheiros creados mediante "Microsoft Print to PDF".

Pista C: Desbloquear e descifrar unha unidade BitLocker desde o símbolo do sistema de WinRE (manage-bde)¶

Se escribe o contrasinal de recuperación de 48 díxitos na pantalla azul volve a BitLocker no próximo reinicio ou falla Windows, desbloquea e suspende BitLocker do Windows Recovery Environment (WinRE) Símbolo do sistema:

1. Preme Esc na pantalla de BitLocker e, a continuación, fai clic en Omitir esta unidade -> Solución de problemas -> Opcións avanzadas -> Símbolo do sistema.
2. Comproba o estado e desbloquea o volume do sistema operativo (C:):

   manage-bde -status
   manage-bde -unlock C: -RecoveryPassword 123456-123456-123456-123456-123456-123456-123456-123456
   

   (Ou desbloqueo usando un binario .BEK ficheiro nunha memoria USB mapeada como F: vía manage-bde -unlock C: -RecoveryKey "F:\key.BEK").
3. Suspender os protectores para que o aviso non volva no seguinte reinicio:

   manage-bde -protectors -disable C:
   

   Reinicie en Windows e, a continuación, execute manage-bde -protectors -enable C: nun símbolo de comandos elevado para volver selar a chave mestra de volume contra os novos hash UEFI PCR.
4. Se Windows non pode arrancar, copie os ficheiros ou desencripte completamente:

   robocopy C:\Users\YourUsername F:\RescueBackup /E /ZB /R:1 /W:1 /XJ
   manage-bde -off C:
   

Pista D: Montaxe dun SSD BitLocker en Linux (dislocker / cryptsetup) para o rescate de arquivos¶

Se a súa placa base de Windows morreu, coloque o SSD M.2 NVMe ou SATA nunha carcasa USB-C externa (que mide uns 10 centímetros por 3 centímetros ou 4 polgadas por 1,2 polgadas) e desbloquealo en calquera PC Linux ou Ubuntu Live USB:

# Method 1: Modern cryptsetup (v2.3+ natively supports BITLOCKER volumes)
sudo cryptsetup open --type bitlocker /dev/nvme0n1p3 bitlocker_unlocked
# Type the 48-digit recovery key INCLUDING hyphens when prompted
sudo mkdir -p /mnt/windows_data
sudo mount -t ntfs3 -o ro /dev/mapper/bitlocker_unlocked /mnt/windows_data

# Method 2: Using dislocker
sudo apt update && sudo apt install -y dislocker ntfs-3g
sudo mkdir -p /mnt/dislocker_raw /mnt/windows_rescue
sudo dislocker -V /dev/nvme0n1p3 -p123456-123456-123456-123456-123456-123456-123456-123456 -- /mnt/dislocker_raw
sudo mount -t ntfs-3g -o loop,ro /mnt/dislocker_raw/dislocker-file /mnt/windows_rescue

Parte 2: Resolvendo os bloqueos de Apple macOS FileVault 2 e Secure Enclave¶

En macOS (High Sierra a través de macOS Sequoia e máis recentes), FileVault 2 cifra todo o volume APFS (Apple File System). En Macs con Apple Silicon (M1, M2, M3, M4) ou o Chip de seguranza Apple T2, o volume está en realidade sempre cifrado en repouso mediante chaves de hardware dentro do Secure Enclave Processor (SEP). Ao activar FileVault, esa clave de cifrado de volume de hardware (VEK) inclúe unha clave de cifrado de clave (KEK) derivada do teu contrasinal de inicio de sesión en macOS e da túa clave de recuperación de FileVault.

Debido a que FileVault require descifrar o volume APFS *antes de que se cargue macOS desde o disco, a primeira pantalla que ves cando acendes un Mac compatible con FileVault non é a xanela normal de inicio de sesión de macOS, é a pantalla de desbloqueo de FileVault EFI/iBoot de prearranque.

Paso 1: descarta a causa número 1 dos bloqueos repentinos de FileVault (disposición do teclado antes do inicio e teclados externos)¶

Antes de asumir que o teu contrasinal rompeu ou de iniciar un restablecemento, comprobe estas tres peculiaridades previas ao arranque que provocan que os contrasinais válidos se sacuden e rexeiten na pantalla de inicio de FileVault:

1. Pre-boot Keyboard Input Menu Switch: The pre-boot FileVault screen uses a stripped-down firmware keyboard driver that frequently defaults to U.S. QWERTY (or ABC) even if you typed your password using a UK, German (QWERTZ), French (AZERTY), or Dvorak layout inside macOS. Look at the top-right corner of the FileVault login screen, click the Keyboard Input menu icon, and select your exact keyboard layout.
2. Bluetooth Keyboard Timing & Num Lock: Third-party Bluetooth keyboards often drop their first two keystrokes while waking up at the pre-boot screen, or lack Num Lock state indicators. Plug a wired USB keyboard directly into the Mac (or use the built-in MacBook keyboard) and type slowly.
3. Multiple Admin Users on the Same Mac: In FileVault, each authorized macOS user account has its own independent cryptographic token in the APFS Key Bag (diskutil apfs listCryptoUsers /). Se a túa conta treme e falla, fai clic en ** outra icona de usuario administrador** na pantalla de FileVault e inicia sesión co seu contrasinal. Unha vez dentro de macOS, ese administrador pode restablecer o teu contrasinal en Configuración do sistema > Usuarios e grupos.

Paso 2: desbloquear FileVault mediante a conta de Apple (iCloud) ou a clave de recuperación persoal de 24 caracteres¶

Se o teu contrasinal aínda falla na pantalla de inicio de sesión de FileVault:

1. Agarde a solicitude de recuperación: despois de escribir un contrasinal incorrecto tres veces na pantalla de inicio de sesión de FileVault, macOS mostra opcións para restablecer coa súa conta de Apple ou introducir a súa clave de recuperación.
2. Ou iniciar directamente en macOS Recovery (Recovery Assistant):
3. Apple Silicon Macs (M1/M2/M3/M4): apaga por completo, despois manteña premido o botón de encendido (Touch ID) durante 10 segundos ata que apareza "Cargando opcións de inicio...", fai clic en Opcións e fai clic en Continuar.
4. Macs Intel: acende o Mac e mantén premido Command (⌘) + R ata que apareza o logotipo de Apple.
5. ** Dentro Reset Password Ventá do asistente de recuperación**:
6. Conéctate á wifi na esquina superior dereita da pantalla ou conecta Ethernet.
7. Opción A (Deposito de conta de Apple): se activaches a recuperación de iCloud, selecciona Esqueciches todos os contrasinais? -> Inicia sesión coa conta de Apple. Introduza o correo electrónico da súa conta de Apple, o contrasinal e o código 2FA de 6 díxitos (se perdeu o teléfono, consulte o noso Bloqueo de MFA e recuperación do autenticador guide) to unlock the APFS volume and set a new password.
8. Option B (24-Character Personal Recovery Key): Select Enter FileVault Recovery Key and type your 24-character alphanumeric code (XXXX-XXXX-XXXX-XXXX-XXXX-XXXX).
9. Option C (Corporate / University MDM Escrow): If your Mac is managed via Jamf Pro, Kandji, Mosyle, or Microsoft Intune, call your IT Help Desk with your Mac's serial number so they can read you the escrowed 24-character FileVault Recovery Key.

Paso 3: desbloquear un volume FileVault APFS manualmente desde o terminal (diskutil apfs unlockVolume)¶

Se o asistente de recuperación gráfico non pode montar a túa unidade, abre Utilidades -> Terminal dentro de macOS Recovery e desbloquea o volume APFS manualmente:

# 1. List all APFS containers and encrypted volumes to find the Volume Identifier (e.g., disk3s5)
diskutil apfs list

# 2. List all cryptographic users (UUIDs) authorized to unlock that APFS volume
diskutil apfs listCryptoUsers /dev/disk3s5

# 3. Unlock the APFS volume using either your user password OR your 24-character Recovery Key:
diskutil apfs unlockVolume /dev/disk3s5 -passphrase "YOUR-XXXX-XXXX-XXXX-XXXX-XXXX-KEY"

# 4. Copy critical files from '/Volumes/Macintosh HD - Data' to an external USB drive:
cp -Rv "/Volumes/Macintosh HD - Data/Users/yourusername/Documents" "/Volumes/ExternalUSB/Backup/"

Part 3: Resolving Linux LUKS (dm-crypt / cryptsetup) encryption lockouts¶

Linux distributions (Ubuntu, Fedora, Debian, Arch Linux, Red Hat Enterprise Linux, Pop._OS, and Qubes OS) rely on LUKS (Linux Unified Key Setup), typically LUKS2, managed by cryptsetup e dm-crypt. When a Linux machine drops into an (initramfs) ou dracut shell saying cryptsetup failed, bad password or options, follow these four steps:

Step 1: Check console keymap vs graphical keyboard layout¶

During the pre-boot initramfs phase, the system uses the Linux console keymap (/etc/vconsole.conf), which often defaults to us even if you configured a UK, German, French, or custom programmer layout inside GNOME or KDE. Boot a Linux Live USB, open a graphical terminal where you can type your passphrase visibly in a text editor to verify every character, and unlock the drive from the Live USB:

lsblk -f
sudo cryptsetup luksOpen /dev/nvme0n1p3 my_encrypted_root

Step 2: Inspect the LUKS header and check secondary keyslots (cryptsetup luksDump)¶

LUKS1 admite 8 Keyslots independentes (0 a 7) e LUKS2 admite ata 32 Keyslots (0 a 31), ademais de hardware Tokens (systemd-tpm2 ou systemd-fido2). Inspeccione a súa cabeceira sen cambiar nada no disco:

sudo cryptsetup luksDump /dev/nvme0n1p3

sudo systemd-cryptenroll --wipe-slot=tpm2 --tpm2-device=auto --tpm2-pcrs=7 /dev/nvme0n1p3

Paso 3: Recuperación dunha cabeceira LUKS2 corrompida ou sobrescrita¶

En LUKS, todas as ranuras de chaves viven nos primeiros 2 megabytes (LUKS1) ou 16 megabytes (LUKS2) da partición. Se cryptsetup luksDump di not a valid LUKS device, siga estes pasos:

1. Imaxe os primeiros 32 MB antes de tocar nada:

   sudo dd if=/dev/nvme0n1p3 of=~/damaged_luks_first32mb.img bs=1M count=32 status=progress
   

2. ** Intentar a reparación automática de metadatos JSON secundarios de LUKS2 (cryptsetup repair)**:
3. LUKS2 almacena dúas copias redundantes dos metadatos da cabeceira binaria e JSON en compensación 0x0000 e compensar 0x4000 (16 KB). Se só a copia principal no byte 0 fose destruída, sudo cryptsetup repair /dev/nvme0n1p3 reconstrúeo a partir 0x4000.
4. Restaurar desde unha copia de seguranza da cabeceira LUKS gardada (luksHeaderRestore):
5. Desbloquee de forma non destrutiva usando un ficheiro de copia de seguridade de cabeceira externo:

   sudo cryptsetup luksOpen --header /path/to/luks-header.bak /dev/nvme0n1p3 rescued_volume
   

Paso 4: proba de frases de acceso parcialmente lembradas con hashcat¶

Aínda que non podes forzar unha clave de recuperación aleatoria de 48 díxitos de BitLocker ou unha clave de recuperación de Apple de 24 caracteres (\(2^{128}\) bits de entropía), podes probar variacións dunha frase de paso LUKS escollida por humanos ou contrasinal de usuario personalizado de BitLocker se lembras as palabras básicas:

# For Linux LUKS2 (mode 29500) or LUKS1 (mode 14600):
sudo dd if=/dev/nvme0n1p3 of=luks_header.bin bs=1M count=16
hashcat -m 29500 luks_header.bin my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

# For BitLocker protected by a custom User Password (mode 22100):
bitlocker2john -i /dev/nvme0n1p3 | grep "\$bitlocker\$0\$" > user_pass.hash
hashcat -m 22100 user_pass.hash my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

Prevención: como crear unha copia de seguridade de cifrado de disco a proba de bloqueo agora mesmo¶

No momento en que recuperes o acceso ao teu ordenador (ou a calquera outro ordenador que posúas hoxe en día), dedica cinco minutos a executar estes comandos para que un fallo da tarxeta nai ou a actualización do firmware non poidan volver atrapar os teus ficheiros:

1. En Windows (exporta a túa clave de recuperación de BitLocker e fai unha pausa antes das actualizacións da BIOS)¶

Abre un PowerShell de administrador ou Símbolo de comandos e exporta o teu contrasinal de recuperación actual de 48 díxitos:

# Display all BitLocker recovery keys and Key IDs across all drives
Get-BitLockerVolume | Select-Object MountPoint, VolumeStatus, -ExpandProperty KeyProtector |
  Where-Object { $_.KeyProtectorType -eq 'RecoveryPassword' } |
  Select-Object MountPoint, KeyProtectorId, RecoveryPassword

2. En macOS (verifique ou xire a chave de recuperación de FileVault)¶

Abre Terminal e comproba quen está autorizado para desbloquear o teu disco de inicio APFS:

sudo fdesetup status
diskutil apfs listCryptoUsers /

sudo fdesetup changerecovery -personal

3. En Linux (faga unha copia de seguranza da súa cabeceira LUKS e rexistre unha ranura de teclas alternativa)¶

Conserve sempre unha copia da súa cabeceira LUKS de 16 megabytes nunha unidade USB externa e rexistre unha frase de acceso de recuperación de 64 caracteres impresa na ranura clave 1:

# 1. Back up the binary LUKS header to an external USB drive
sudo cryptsetup luksHeaderBackup /dev/nvme0n1p3 --header-backup-file /media/usb/luks-header-nvme0n1p3.bak

# 2. Add an independent emergency recovery passphrase into Keyslot 1
sudo cryptsetup luksAddKey --key-slot 1 /dev/nvme0n1p3

Lista de verificación de preparación para emerxencias de cifrado¶

• Exporta a túa clave de recuperación de BitLocker de 48 díxitos (incluíndo o ID da chave de 8 caracteres) e gárdaa no teu xestor de contrasinais e impreso en papel dentro dunha caixa forte ignífuga a polo menos 1,5 metros (5 pés) sobre o nivel do chan.
• Imprime ou garda a túa clave de recuperación de FileVault de macOS de 24 caracteres xunto coa clave de recuperación de 28 caracteres da túa conta de Apple.
• Fai unha copia de seguranza do teu encabezado LUKS de Linux de 16 megabytes (cryptsetup luksHeaderBackup) nunha unidade USB sen conexión polo que unha sobreescritura accidental da partición non pode destruír todas as ranuras de teclas.
• Manter un sistema independente e automatizado 3-2-1 Copia de seguridade do ordenador de xeito que mesmo unha morte catastrófica do controlador SSD ou a chave de cifrado esquecida nunca destrúe as túas fotos insubstituíbles, documentos fiscais ou código fonte.

Preguntas frecuentes¶

Guías relacionadas¶

• Pantalla azul de Windows (BSOD) e reparación de arranque
• Pánico do núcleo de macOS, pantalla negra e recuperación
• Fallo de arranque do sistema Linux e reparación de GRUB
• Bloqueo do xestor de contrasinais e recuperación da bóveda de emerxencia
• Fallo do disco duro e recuperación de datos
• Copias de seguridade informáticas: estratexia 3-2-1 e recuperación ante desastres
• Directorio de números de emerxencia

Fontes comprobadas¶

• National Institute of Standards and Technology (NIST) (Estados Unidos): NIST Special Publication 800-111: Guide to Storage Encryption Technologies for End User Devices & FIPS 197 (AES-XTS).
• Documentación oficial de Microsoft Learn: Descrición xeral da recuperación de BitLocker, rexistros de configuración da plataforma TPM (PCR 0-11) Perfil de validación e manage-bde Referencia da liña de comandos.
• Guía de seguranza da plataforma de Apple: Cifrado de volume con FileVault, bolsas de chaves APFS, raíz de confianza do hardware de Secure Enclave e depósito de claves de recuperación institucional/persoal. -Trusted Computing Group (TCG) (Internacional): Especificación da biblioteca TPM 2.0 e especificación do perfil de firmware da plataforma de cliente de PC.
• Especificación oficial de GitLab Cryptsetup / LUKS2: Especificación de formato en disco LUKS2, ranuras de teclas de memoria Argon2id PBKDF e procedementos de copia de seguridade/reparación de cabeceira.