Skip to content

Penguncian Kunci Pemulihan Enkripsi Disk BitLocker, FileVault, dan LUKS

Nomor darurat berbeda-beda di setiap negara. Halaman ini menggunakan 911, nomor untuk Amerika Serikat dan Kanada. Banyak negara lain yang menggunakan 112, 999, atau nomor lainnya. Temukan nomor untuk negara Anda.

Melihat layar biru BitLocker Recovery di Windows, perintah masuk FileVault yang terkunci di macOS, atau ** tidak responsifcryptsetup perintah frasa sandi** di workstation Linux dapat menghentikan pekerjaan dan kehidupan pribadi Anda. Enkripsi disk penuh (FDE) menggunakan sandi simetris tingkat militer, biasanya AES-128 atau AES-256 dalam mode XTS, untuk mengacak setiap sektor solid-state drive (SSD) atau hard disk drive (HDD) Anda. Tanpa Volume Master Key (VMK) kriptografi atau pelindung enkripsi kunci yang valid, data mentah pada chip flash NAND secara matematis tidak dapat dibedakan dari gangguan acak.

Namun, layar kunci pemulihan yang tiba-tiba jarang berarti drive Anda rusak atau kunci Anda hilang selamanya. Sebagian besar penguncian BitLocker dan FileVault dipicu secara otomatis ketika pembaruan firmware BIOS/UEFI rutin, perubahan dok Thunderbolt, tombol Boot Aman, atau baterai sel berbentuk koin CMOS yang mati mengubah Register Konfigurasi Platform (PCR) di dalam motherboard Anda Modul Platform Tepercaya (TPM 2.0). Bahkan jika Anda tidak pernah menuliskan kunci pemulihan, Anda sering kali dapat melewati perintah tersebut dengan mengembalikan pengaturan firmware UEFI persis yang membuat pengukuran TPM tersandung, atau dengan menemukan cadangan otomatis senyap dari kunci Anda di dalam akun Microsoft pribadi, direktori Microsoft Entra ID kantor atau sekolah, gantungan kunci Apple iCloud, atau salinan bayangan volume yang tidak dipasang.

Lakukan ini sekarang

  1. BERHENTI sebelum mengklik "Reset PC ini", "Hapus Mac", atau memformat partisi. Menginstal ulang Windows, macOS, atau Linux melalui partisi terenkripsi akan menimpa header volume kriptografi (blok metadata BitLocker, superblock container APFS, atau header LUKS2 JSON). Setelah header metadata kecil itu ditimpa, bahkan menemukan kunci pemulihan 48 digit yang valid besok tidak akan lagi mendekripsi file Anda.
  2. Cabut semua drive USB eksternal, kartu SD, dok Thunderbolt, adaptor HDMI, dan pengontrol game, lalu boot ulang. Pada sistem Windows yang menggunakan Register Konfigurasi Platform TPM 2.0 (khususnya PCR 0, PCR 2, PCR 4, dan PCR 7), melakukan booting dengan thumb drive USB yang dapat di-boot, dok Thunderbolt yang baru dipasang dengan firmware Option ROM, atau hub monitor eksternal dapat mengubah pengukuran hash pra-boot. Mencabut setiap periferal dan melakukan cold reboot secara berkala memungkinkan TPM melepaskan Volume Master Key secara normal tanpa memerlukan kode 48 digit.
  3. Periksa setiap akun Microsoft, Apple, atau perusahaan yang pernah Anda gunakan di ponsel atau laptop sekunder. Jangan berasumsi Anda mengetahui akun email mana yang aktif saat laptop pertama kali dibuka kotaknya. Di Windows, periksa account.microsoft.com/devices/recoverykey di seluruh akun Outlook/Hotmail/Live pribadi Anda, dan periksa aka.ms/myrecoverykey di akun Microsoft 365 (Entra ID) kantor, universitas, atau klien mana pun yang pernah Anda masuki di dalam Microsoft Word, Teams, atau Pengaturan Windows.
  4. Cocokkan 8 karakter pertama "ID Kunci" yang ditampilkan di layar terkunci Anda. Layar pemulihan Windows BitLocker menampilkan 32 karakter ID Kunci (atau 8 karakter heksadesimal pertama, seperti A1B2C3D4). Jika Anda memiliki beberapa kunci yang disimpan di akun Microsoft atau di komputer lama, hanya kata sandi pemulihan 48 digit dengan ID Kunci yang cocok dengan 8 karakter tersebut yang akan membuka kunci volume drive khusus ini.
  5. Kembalikan perubahan BIOS/UEFI terbaru yang dilakukan tepat sebelum penguncian. Jika layar BitLocker muncul segera setelah Anda memasuki pengaturan BIOS untuk mematikan Secure Boot, alihkan CSM (Compatibility Support Module), ubah Intel PTT / AMD fTPM, atau aktifkan ** Perubahan Urutan Boot**, reboot ke BIOS (F2, F12, atau Del) dan atur tombol tersebut kembali ke keadaan sebelumnya. Segera setelah PCR 7 dan PCR 0 cocok dengan hash kriptografi aslinya, TPM akan membuka segel kunci secara otomatis.
  6. Prioritaskan keselamatan fisik jika penguncian terjadi selama keadaan darurat atau krisis domestik. Jika Anda mencoba mengambil catatan medis, dokumen keuangan, atau rencana evakuasi selama krisis, ingatlah bahwa drive terenkripsi menyimpan data tanpa batas waktu saat dimatikan. Jika Anda langsung menghadapi ancaman fisik, tinggalkan perangkat keras tersebut dan hubungi nomor darurat setempat (911 di Amerika Serikat dan Kanada, 112 di seluruh Uni Eropa, 999 di Inggris, atau lihat nomor darurat direktori).

Jangan pernah menjalankan chkdsk, fsck, atau alat perbaikan partisi pada volume terenkripsi tanpa membuka kuncinya terlebih dahulu

Menjalankan utilitas perbaikan disk secara langsung pada partisi mentah yang terkunci (atau menggunakan perangkat lunak pengubah ukuran partisi pihak ketiga pada volume BitLocker atau LUKS yang ditangguhkan) dapat merusak salah satu dari tiga header metadata BitLocker yang berlebihan atau menimpa area slot kunci LUKS2 16 megabita. Jika Anda mencurigai adanya degradasi perangkat keras SSD, selalu buat gambar forensik mentah sektor demi sektor (ddrescue) ke drive eksternal sebelum mencoba perbaikan header atau pemulihan kunci apa pun.

Triase penguncian enkripsi disk dan pohon keputusan pemulihan

flowchart TD
    Start["Terkunci dari Drive Terenkripsi: BitLocker, FileVault, atau LUKS Prompt"] --> WhichOS{"Sistem Operasi dan Mesin Enkripsi yang Mana?"}

    WhichOS -->|"Windows: Layar Pemulihan BitLocker 48-Digit"| PeriphCheck["Langkah 1: Cabut semua drive USB, dok Thunderbolt, dan monitor eksternal; reboot dingin"]
    PeriphCheck --> StillLocked{"Masih meminta kunci 48 digit?"}
    StillLocked -->|"Tidak: Boot Secara Normal"| BackupNow["Segera jalankan 'manage-bde -protectors -get C:' dan simpan kunci 48 digit secara offline"]
    StillLocked -->|"Ya"| BIOSCheck{"Apakah Anda baru saja mengganti BIOS, Secure Boot, CSM, atau memperbarui firmware?"}

    BIOSCheck -->|"Ya"| RevertBIOS["Masuk ke UEFI Setup: aktifkan kembali Secure Boot, UEFI Boot Mode, dan Intel PTT / AMD fTPM untuk memulihkan hash PCR 7"]
    BIOSCheck -->|"Tidak"| HuntKey["Langkah 2: Cocokkan ID Kunci 8-Char di SEMUA Akun Microsoft Pribadi, ID Masuk Kantor/Sekolah, Direktori Aktif, dan file USB .BEK/.TXT"]
    RevertBIOS --> HuntKey

    WhichOS -->|"macOS: Login FileVault Menolak Kata Sandi"| ApplePath{"Apple Silicon/T2 Mac vs Intel Mac?"}
    ApplePath -->|"Semua Mac"| TestLayout["Langkah 1: Periksa Menu Input di kanan atas layar FileVault untuk mengetahui ketidakcocokan tata letak keyboard"]
    TestLayout --> FVMethod{"Metode Pemulihan Mana yang Diaktifkan?"}
    FVMethod -->|"Eskro Akun iCloud"| BootRecovery["Boot ke Pemulihan macOS: Otentikasi dengan Akun Apple melalui Asisten Pemulihan untuk mengatur ulang kata sandi"]
    FVMethod -->|"Kunci Pemulihan Pribadi (PRK) atau MDM 24-Char"| EnterPRK["Masukkan kunci XXXX-XXXX-XXXX-XXXX-XXXX-XXXX di Asisten Pemulihan atau minta Kunci Escrow Institusional dari TI"]

    WhichOS -->|"Linux: Frasa Sandi LUKS / cryptsetup Ditolak"| LUKSPath["Langkah 1: Masuk ke shell initramfs atau boot Live USB; periksa tata letak keyboard di konsol"]
    LUKSPath --> LUKSHeader{"Apakah Keyslots Utuh di 'cryptsetup luksDump'?"}
    LUKSHeader -->|"Ya: Slot Kunci Aktif"| TestPass["Uji slot kunci sekunder (Slot 1-7), token FIDO2/TPM2, atau jalankan Mode hashcat 29500 terhadap cadangan header"]
    LUKSHeader -->|"Tidak: Header Rusak"| RestoreHeader["Pulihkan header LUKS dari '--header-backup-file' atau pindai disk untuk mencari metadata yang masih ada"]

Memahami Enkripsi Disk Penuh dan penyegelan TPM 2.0

Baik Windows BitLocker, Apple FileVault 2, maupun Linux dm-crypt / LUKS mengenkripsi SSD Anda secara langsung dengan kata sandi login atau kunci pemulihan Anda. Sebaliknya, ketiga platform menggunakan hierarki kunci dua tingkat:

  1. Kunci Master Volume (VMK) / Kunci Enkripsi Volume Penuh (FVEK): Kunci acak perangkat keras (128-bit, 256-bit, atau 512-bit) mengenkripsi dan mendekripsi sektor disk sebenarnya dengan cepat.
  2. Pelindung Kunci / Slot Kunci (KEK): Kunci Master Volume dibungkus menggunakan Kunci Enkripsi Kunci (KEK) independen, yang disebut Pelindung Kunci di BitLocker, Kantong Kunci di Apple APFS, dan Slot Kunci di Linux LUKS.
  3. Mengapa penyegelan TPM 2.0 mengunci Anda di Windows: Pada Windows 10 dan 11, pelindung kunci utama adalah chip Trusted Platform Module (TPM 2.0) (silikon atau firmware diskrit Intel PTT / AMD fTPM). Saat BitLocker menyegel Kunci Master Volume ke dalam TPM, BitLocker akan mengikat kunci tersebut ke Platform Configuration Registers (PCRs) tertentu:
  4. PCR 0: Meng-hash firmware sistem UEFI/BIOS inti.
  5. PCR 2: Hash kode ROM Opsi perangkat keras eksternal yang dapat dicolokkan (Dok Thunderbolt, kartu RAID, GPU eksternal).
  6. PCR 4: Meng-hash manajer boot (bootmgfw.efi) dan status urutan boot.
  7. PCR 7: Kebijakan hash Boot Aman dan UEFI db / dbx database sertifikat.
  8. PCR 11: Meng-hash komponen kontrol akses BitLocker.

Setiap kali Anda menekan tombol daya, motherboard akan mengukur komponen firmware ini sebelum Windows dimuat. Jika ada satu bit pun di PCR 0, PCR 2, PCR 4, atau PCR 7 berbeda dari nilai yang tercatat saat BitLocker disegel, TPM menolak untuk melepaskan Volume Master Key dan memaksa Windows Boot Manager untuk menampilkan layar 48-digit BitLocker Recovery Key.

Perbandingan arsitektur Enkripsi Disk Penuh dan mekanisme pemulihan

Atribut Teknis Pengunci Bit Windows (fvevol.sys) macOS FileVault 2 (APFS + Enklave Aman) Linux LUKS1 / LUKS2 (dm-crypt / cryptsetup)
Sandi & Mode Default AES-128-XTS atau AES-256-XTS (AES-CBC pada drive Windows ⅞ lama) AES-128-XTS (Akselerasi perangkat keras melalui mesin Apple Silicon AES / T2) AES-256-XTS (aes-xts-plain64, ukuran kunci efektif 512-bit)
Jangkar Perangkat Keras TPM 2.0 (Intel PTT / AMD fTPM / SPI Diskrit/LPC TPM) Chip Keamanan Apple T2 atau Prosesor Apple Silicon Secure Enclave (SEP) Opsional systemd-cryptenroll dengan TPM 2.0, FIDO2 YubiKey, atau PKCS#11
Format Kunci Pemulihan 48 digit dalam delapan grup numerik 6 digit (123456-123456-...) 24 karakter alfanumerik dalam enam grup 4 karakter (XXXX-XXXX-...) Hingga 8 Keyslot independen (LUKS1) atau 32 Keyslot (LUKS2)
Eskrow Cloud Otomatis Akun Microsoft Pribadi (account.microsoft.com), ID Entra, atau Direktori Aktif lokal Token pemulihan Akun Apple (iCloud) opsional atau Escrow Institusional MDM Tidak ada secara default (Penyebaran perusahaan dapat menggunakan Red Hat Tang/Clevis atau Vault)
Lokasi Header Pada Disk Tiga salinan metadata redundan di seluruh partisi (ditambah sektor boot volume) Disimpan dalam struktur Superblock Kontainer APFS dan Volume Key Bag 2 MB pertama (LUKS1) atau 16 MB (LUKS2) tepat di awal perangkat blok
Pembatasan Kecepatan Perangkat Keras Upaya tak terbatas untuk kunci 48 digit (\(2^{128}\) entropi membuat brute force menjadi tidak mungkin) Ditegakkan secara ketat dalam silikon oleh Secure Enclave (meningkatkan penundaan hingga penghapusan/penguncian) Tidak ada dalam perangkat lunak, diatur oleh biaya iterasi memori-hard Argon2id / PBKDF2

Bagian 1: Menyelesaikan penguncian pemulihan Windows BitLocker

Saat PC Windows Anda berhenti di "BitLocker: Masukkan kunci pemulihan untuk drive ini" (atau Lingkungan Pemulihan Windows meminta kunci sebelum mengizinkan akses Command Prompt atau Safe Mode), kerjakan melalui dua jalur paralel berikut: Track A mencoba membujuk TPM untuk membuka kunci drive tanpa memerlukan kunci, dan Track B mencari kunci 48 digit di setiap lokasi penyimpanan digital dan lokal.

Jalur A: Melewati perintah BitLocker tanpa kunci pemulihan (Memulihkan status TPM PCR)

Jika Anda tidak menghapus TPM secara manual atau memindahkan NVMe SSD ke motherboard baru, Volume Master Key masih ada di dalam chip TPM 2.0 Anda. Ia menolak untuk membuka kunci karena pengukuran PCR pra-boot berubah. Coba pemulihan perangkat keras dan firmware non-destruktif berikut secara berurutan:

  1. Putuskan sambungan semua perangkat keras dan dok eksternal:
  2. Matikan komputer sepenuhnya (tahan tombol daya selama 10 detik).
  3. Cabut setiap flash drive USB, hard drive eksternal, hub USB-C, stasiun dok Thunderbolt, kartu SD, dan kabel monitor eksternal.
  4. Cabut pengisi daya AC selama 15 detik, sambungkan pengisi daya asli langsung ke laptop, dan hidupkan. Dock Thunderbolt dan hub USB-C sering kali berisi boot jaringan PXE internal atau menampilkan ROM Opsi yang diperluas ke PCR 2 dan PCR 4, sehingga menjadikan status TPM tidak valid.
  5. Kembalikan Mode Boot Aman dan UEFI di Pengaturan BIOS:
  6. Nyalakan ulang dan tekan tombol BIOS motherboard Anda (F2 di Dell/ASUS/Lenovo/Acer, F10 di HP, Del di papan desktop).
  7. Jika Secure Boot baru saja diubah dari Enabled menjadi Disabled, setel kembali ke Enabled (Standard Mode) dan simpan perubahan. Sebaliknya, jika pembaruan BIOS mengubah Boot Aman menjadi Diaktifkan, coba alihkan ke Disabled satu kali.
  8. Konfirmasikan Mode Boot diatur ke UEFI Only (nonaktifkan Legacy / CSM) dan konfirmasikan Windows Boot Manager adalah opsi boot pertama.
  9. Pastikan Intel PTT atau AMD fTPM diaktifkan (Jangan pernah klik "Hapus TPM"):
  10. Setelah baterai CMOS mati atau reset BIOS, motherboard terkadang menonaktifkan firmware TPM (Intel Platform Trust Technology atau AMD CPU fTPM). Buka tab Keamanan atau Komputasi Tepercaya di BIOS dan konfirmasikan Status TPM 2.0 Diaktifkan.
  11. Peringatan: Jangan pernah memilih "Clear TPM" atau "Erase fTPM NV" di dalam BIOS. Menghapus TPM secara permanen akan menghancurkan Kunci Root Penyimpanan internal di dalam chip silikon, sehingga kunci pemulihan 48 digit wajib digunakan.
  12. Memutar kembali pembaruan kapsul BIOS yang bermasalah:
  13. Di laptop Dell, tahan Ctrl + Esc sambil mencolokkan daya AC untuk membuka menu Dell BIOS Recovery dan pilih Rollback BIOS. Di laptop HP, tahan Win + B sambil menekan tombol power selama 2 detik untuk memicu rollback BIOS HP Sure Start.

Track B: Pencarian menyeluruh untuk Kunci Pemulihan BitLocker 48 digit Anda

Jika TPM tidak dapat dipulihkan (atau jika Anda memindahkan SSD ke dalam wadah USB eksternal), Anda harus memberikan kata sandi pemulihan numerik 48 digit (XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX) atau a .BEK file kunci startup. Tuliskan 8 karakter pertama ID Kunci yang ditampilkan di layar (misalnya, Key ID: 4F8A9C12) dan periksa enam lokasi berikut:

1. Akun Microsoft Pribadi (account.microsoft.com/devices/recoverykey)

Kunjungi https://account.microsoft.com/devices/recoverykey (atau https://aka.ms/myrecoverykey) di ponsel atau komputer sekunder. - Periksa setiap akun historis: Enkripsi Perangkat mencadangkan kunci ke Akun Microsoft mana pun yang pertama kali digunakan saat PC dibuka kotaknya, bahkan jika Anda kemudian beralih ke login lokal. Masuk dan uji semua yang lama @hotmail.com, @live.com, @outlook.com, atau ditautkan @gmail.com akun, ditambah akun pasangan, orang tua, atau teknisi yang membantu menyiapkan PC atau masuk ke Microsoft Office atau Xbox Game Pass di mesin tersebut.

2. ID Masuk Kantor, Sekolah, atau Universitas/Azure AD (myaccount.microsoft.com)

Bahkan di laptop pribadi di rumah, jika Anda pernah masuk ke aplikasi Microsoft 365 (Word, Excel, Teams) dengan alamat email kantor, universitas, atau klien dan membiarkan "Izinkan organisasi saya mengelola perangkat saya" dicentang, Windows secara otomatis menyimpan kunci pemulihan BitLocker Anda ke penyewa Microsoft Entra ID organisasi tersebut: 1. Kunjungi https://myaccount.microsoft.com/device-list dan masuk dengan email kantor atau sekolah Anda. 2. Pilih nama komputer Anda dan klik Lihat kunci BitLocker. 3. Jika akun kerja atau sekolah Anda sudah dinonaktifkan, hubungi IT Help Desk organisasi tersebut dan berikan ID Kunci 8 karakter Anda. Administrator dapat mengambil kunci untuk akun yang dinonaktifkan pada Perangkat > Semua perangkat > Kunci pemulihan di entra.microsoft.com.

3. Direktori Aktif Perusahaan Lokal (msFVE-RecoveryInformation)

Jika komputer tergabung ke domain Direktori Aktif, Administrator Domain dapat mencari kunci berdasarkan ID Kunci 8 karakternya menggunakan PowerShell: 

Get-ADObject -Filter {objectClass -eq 'msFVE-RecoveryInformation'} -Properties msFVE-RecoveryPassword, whenCreated |
  Where-Object { $_.Name -like "*4F8A9C12*" } | Select-Object Name, msFVE-RecoveryPassword, whenCreated

4. File Teks Otomatis atau Manual di USB Flash Drive dan Cloud Drive

Saat Windows menyimpan kunci pemulihan ke file atau drive USB, Windows akan menamai file tersebut BitLocker Recovery Key [GUID].txt atau menyimpan yang tersembunyi .BEK berkas (attrib +h +s). Jalankan pencarian PowerShell ini di semua drive USB, hard drive eksternal, folder OneDrive, Google Drive, dan Dropbox di PC lain: 

Get-PSDrive -PSProvider FileSystem | ForEach-Object {
    Get-ChildItem -Path $_.Root -Include "*BitLocker*Recovery*Key*.txt", "*.bek" -Recurse -Force -ErrorAction SilentlyContinue
} | Select-Object FullName, LastWriteTime

5. Mengekstrak Kunci untuk Drive Data Sekunder (D:) dari Tidak Terkunci C: Partisi

Jika C: boot secara normal dan hanya drive sekunder D: terkunci, buka jendela Administrator PowerShell C: dan lari manage-bde -protectors -get D: untuk melihat apakah C: masih menyimpan kunci registri buka kunci otomatis, atau periksa Salinan Volume Shadow Anda sebelumnya Documents folder untuk dihapus BitLocker Recovery Key *.txt file.

6. Cetak Riwayat Spooler dan Cetakan PDF / OneNote

Jika Anda mengklik "Cetak kunci pemulihan" selama penyiapan, periksa Microsoft OneNote dan cari Documents folder untuk .pdf atau .xps file yang dibuat melalui "Microsoft Print ke PDF".

Track C: Membuka kunci dan mendekripsi drive BitLocker dari WinRE Command Prompt (manage-bde)

Jika mengetikkan kata sandi pemulihan 48 digit di layar biru kembali ke BitLocker pada boot ulang berikutnya atau membuat Windows crash, buka kunci dan tangguhkan BitLocker dari Command Prompt Windows Recovery Environment (WinRE):

  1. Tekan Esc di layar BitLocker, lalu klik Lewati drive ini -> Pemecahan Masalah -> Opsi lanjutan -> Prompt Perintah.
  2. Periksa status dan buka kunci volume OS (C:): 
    manage-bde -status
manage-bde -unlock C: -RecoveryPassword 123456-123456-123456-123456-123456-123456-123456-123456
    (Atau buka kunci menggunakan biner .BEK file pada stik USB yang dipetakan sebagai F: melalui manage-bde -unlock C: -RecoveryKey "F:\key.BEK").
  3. Tangguhkan pelindung agar perintah tidak kembali pada reboot berikutnya: 
    manage-bde -protectors -disable C:
    Reboot ke Windows, lalu jalankan manage-bde -protectors -enable C: di Command Prompt yang ditinggikan untuk menyegel kembali Volume Master Key terhadap hash UEFI PCR yang baru.
  4. Jika Windows tidak dapat boot, salin file atau dekripsi sepenuhnya: 
    robocopy C:\Users\YourUsername F:\RescueBackup /E /ZB /R:1 /W:1 /XJ
manage-bde -off C:

Jalur D: Memasang SSD BitLocker di Linux (dislocker / cryptsetup) untuk penyelamatan file

Jika motherboard Windows Anda mati, letakkan M.2 NVMe atau SATA SSD ke dalam wadah USB-C eksternal (berukuran sekitar 10 sentimeter kali 3 sentimeter, atau 4 inci kali 1,2 inci) dan buka kuncinya di PC Linux atau Ubuntu Live USB mana pun:

# Method 1: Modern cryptsetup (v2.3+ natively supports BITLOCKER volumes)
sudo cryptsetup open --type bitlocker /dev/nvme0n1p3 bitlocker_unlocked
# Type the 48-digit recovery key INCLUDING hyphens when prompted
sudo mkdir -p /mnt/windows_data
sudo mount -t ntfs3 -o ro /dev/mapper/bitlocker_unlocked /mnt/windows_data

# Method 2: Using dislocker
sudo apt update && sudo apt install -y dislocker ntfs-3g
sudo mkdir -p /mnt/dislocker_raw /mnt/windows_rescue
sudo dislocker -V /dev/nvme0n1p3 -p123456-123456-123456-123456-123456-123456-123456-123456 -- /mnt/dislocker_raw
sudo mount -t ntfs-3g -o loop,ro /mnt/dislocker_raw/dislocker-file /mnt/windows_rescue

Bagian 2: Menyelesaikan penguncian Apple macOS FileVault 2 dan Secure Enclave

Di macOS (High Sierra hingga macOS Sequoia dan yang lebih baru), FileVault 2 mengenkripsi seluruh volume APFS (Apple File System). Pada Mac dengan Apple Silicon (M1, M2, M3, M4) atau Apple T2 Security Chip, volume sebenarnya selalu dienkripsi saat disimpan menggunakan kunci perangkat keras di dalam Secure Enclave Processor (SEP). Mengaktifkan FileVault menggabungkan Kunci Enkripsi Volume (VEK) perangkat keras tersebut dengan Kunci Enkripsi Kunci (KEK) yang berasal dari kata sandi masuk macOS dan Kunci Pemulihan FileVault Anda.

Karena FileVault memerlukan dekripsi volume APFS sebelum macOS dimuat dari disk, layar pertama yang Anda lihat saat menyalakan Mac yang mendukung FileVault bukanlah jendela masuk macOS normal, melainkan layar buka kunci FileVault EFI / iBoot pra-boot.

Langkah 1: Singkirkan penyebab #1 penguncian FileVault secara tiba-tiba (Tata letak keyboard pra-boot & keyboard eksternal)

Sebelum berasumsi kata sandi Anda rusak atau memulai pengaturan ulang, periksa tiga kebiasaan pra-boot berikut yang menyebabkan kata sandi yang valid terguncang dan ditolak di layar boot FileVault:

  1. Sakelar Menu Input Keyboard Pra-boot: Layar FileVault pra-boot menggunakan driver keyboard firmware yang dilucuti yang sering kali defaultnya adalah U.S. QWERTY (atau ABC) meskipun Anda mengetikkan kata sandi menggunakan tata letak Inggris Raya, Jerman (QWERTZ), Prancis (AZERTY), atau Dvorak di dalam macOS. Lihat pojok kanan atas layar login FileVault, klik ikon menu Input Keyboard, dan pilih tata letak keyboard yang tepat.
  2. Pengaturan Waktu Keyboard Bluetooth & Num Lock: Keyboard Bluetooth pihak ketiga sering kali kehilangan dua penekanan tombol pertamanya saat aktif di layar pra-boot, atau tidak memiliki indikator status Num Lock. Colokkan keyboard USB berkabel langsung ke Mac (atau gunakan keyboard bawaan MacBook) dan ketik perlahan.
  3. Beberapa Pengguna Admin di Mac yang Sama: Di FileVault, setiap akun pengguna macOS resmi memiliki token kriptografi independennya sendiri di Kantong Kunci APFS (diskutil apfs listCryptoUsers /). Jika akun Anda bergetar dan gagal, klik ikon pengguna Administrator lain di layar FileVault dan masuk dengan kata sandi mereka. Setelah berada di dalam macOS, admin tersebut dapat mengatur ulang kata sandi Anda di Pengaturan Sistem > Pengguna & Grup.

Langkah 2: Membuka Kunci FileVault melalui Akun Apple (iCloud) atau Kunci Pemulihan Pribadi 24 Karakter

Jika kata sandi Anda masih gagal di layar login FileVault:

  1. Tunggu Perintah Pemulihan: Setelah mengetik kata sandi yang salah tiga kali di layar masuk FileVault, macOS menampilkan opsi untuk mengatur ulang menggunakan Akun Apple atau memasukkan Kunci Pemulihan Anda.
  2. Atau boot langsung ke Pemulihan macOS (Recovery Assistant):
  3. Apple Silicon Macs (M1/M2/M3/M4): Matikan sepenuhnya, lalu tekan dan tahan tombol Power (Touch ID) selama 10 detik hingga "Loading startup options..." muncul, klik Options, dan klik Continue.
  4. Intel Mac: Nyalakan Mac dan tahan Command (⌘) + Rsampai muncul logo Apple.
  5. Di dalam Reset Password Jendela Asisten Pemulihan:
  6. Hubungkan ke Wi-Fi di sudut kanan atas layar atau colokkan Ethernet.
  7. Opsi A (Escrow Akun Apple): Jika Anda mengaktifkan pemulihan iCloud, pilih Lupa semua kata sandi? -> Masuk dengan Akun Apple. Masukkan email Akun Apple Anda, kata sandi, dan 6 digit kode 2FA (jika Anda kehilangan ponsel, lihat Penguncian MFA dan pemulihan autentikator panduan) untuk membuka kunci volume APFS dan mengatur kata sandi baru.
  8. Opsi B (Kunci Pemulihan Pribadi 24 Karakter): Pilih Masukkan Kunci Pemulihan FileVault dan ketik kode alfanumerik 24 karakter Anda (XXXX-XXXX-XXXX-XXXX-XXXX-XXXX).
  9. Opsi C (Escrow MDM Perusahaan / Universitas): Jika Mac Anda dikelola melalui Jamf Pro, Kandji, Mosyle, atau Microsoft Intune, hubungi Meja Bantuan TI Anda dengan nomor seri Mac Anda sehingga mereka dapat membacakan Kunci Pemulihan FileVault 24 karakter yang disimpan untuk Anda.

Langkah 3: Membuka kunci volume FileVault APFS secara manual dari Terminal (diskutil apfs unlockVolume)

Jika Asisten Pemulihan grafis gagal memasang drive Anda, buka Utilitas -> Terminal di dalam Pemulihan macOS dan buka kunci volume APFS secara manual:

# 1. List all APFS containers and encrypted volumes to find the Volume Identifier (e.g., disk3s5)
diskutil apfs list

# 2. List all cryptographic users (UUIDs) authorized to unlock that APFS volume
diskutil apfs listCryptoUsers /dev/disk3s5

# 3. Unlock the APFS volume using either your user password OR your 24-character Recovery Key:
diskutil apfs unlockVolume /dev/disk3s5 -passphrase "YOUR-XXXX-XXXX-XXXX-XXXX-XXXX-KEY"

# 4. Copy critical files from '/Volumes/Macintosh HD - Data' to an external USB drive:
cp -Rv "/Volumes/Macintosh HD - Data/Users/yourusername/Documents" "/Volumes/ExternalUSB/Backup/"

SSD Apple Silicon dan T2 Mac tidak dapat dilepas dan dibaca di casing eksternal

Berbeda dengan PC Windows standar, Apple Silicon Mac (M1/M2/M3/M4) dan T2 Intel Mac mengikat kunci enkripsi perangkat keras APFS di dalam Prosesor Secure Enclave yang disolder ke papan logika. Jika papan logika MacBook gagal menyala, bawalah ke bengkel khusus komponen papan logika untuk memperbaiki rel daya pada papan asli Anda daripada mengganti papan logika (yang akan menghapus semua data secara permanen).

Bagian 3: Menyelesaikan Linux LUKS (dm-crypt / cryptsetup) penguncian enkripsi

Distribusi Linux (Ubuntu, Fedora, Debian, Arch Linux, Red Hat Enterprise Linux, Pop._OS, dan Qubes OS) mengandalkan LUKS (Linux Unified Key Setup), biasanya LUKS2, dikelola oleh cryptsetup dan dm-crypt. Ketika mesin Linux masuk ke dalam (initramfs) atau dracut dia akan berkata cryptsetup failed, bad password or options, ikuti empat langkah berikut:

Langkah 1: Periksa peta tombol konsol vs tata letak keyboard grafis

Selama pra-boot initramfs fase, sistem menggunakan keymap konsol Linux (/etc/vconsole.conf), yang sering kali defaultnya adalah us bahkan jika Anda mengonfigurasi tata letak pemrogram khusus Inggris, Jerman, Prancis, atau khusus di dalam GNOME atau KDE. Boot Linux Live USB, buka terminal grafis tempat Anda dapat mengetikkan frasa sandi secara jelas di editor teks untuk memverifikasi setiap karakter, dan membuka kunci drive dari Live USB: 

lsblk -f
sudo cryptsetup luksOpen /dev/nvme0n1p3 my_encrypted_root

Langkah 2: Periksa header LUKS dan periksa slot kunci sekunder (cryptsetup luksDump)

LUKS1 mendukung 8 Keyslot independen (0 hingga 7) dan LUKS2 mendukung hingga 32 Keyslot (0 hingga 31), ditambah Token perangkat keras (systemd-tpm2 atau systemd-fido2). Periksa header Anda tanpa mengubah apa pun pada disk:

sudo cryptsetup luksDump /dev/nvme0n1p3
1. Apakah itu terlihat LUKS header information dengan UUID dan Slot Kunci yang valid? Jika ya, header LUKS Anda masih utuh dan data Anda dapat dipulihkan segera setelah frasa sandi slot kunci aktif diberikan. 2. Apakah beberapa Keyslot diaktifkan (Keyslot 0, Keyslot 1)? Banyak administrator dan pemasang perusahaan mendaftarkan frasa sandi atau file kunci pemulihan sekunder di Keyslot 1. Bahkan jika Anda lupa frasa sandi utama di Keyslot 0, frasa sandi cadangan di Keyslot 1 akan segera membuka kunci volume. 3. Jika buka kunci otomatis TPM2 rusak (systemd-cryptenroll --tpm2-device=auto): Ketika pembaruan kernel atau BIOS merusak buka kunci otomatis TPM2 PCR 7, buka kunci dengan frasa sandi Keyslot 0 Anda dan daftarkan ulang token TPM: 
sudo systemd-cryptenroll --wipe-slot=tpm2 --tpm2-device=auto --tpm2-pcrs=7 /dev/nvme0n1p3

Langkah 3: Memulihkan dari header LUKS2 yang rusak atau tertimpa

Di LUKS, semua slot kunci berada di 2 megabita (LUKS1) atau 16 megabita (LUKS2) pertama dari partisi. Jika cryptsetup luksDump mengatakan not a valid LUKS device, lakukan langkah-langkah berikut:

  1. Gambar 32 MB pertama sebelum menyentuh apa pun: 
    sudo dd if=/dev/nvme0n1p3 of=~/damaged_luks_first32mb.img bs=1M count=32 status=progress
  2. Mencoba perbaikan metadata JSON sekunder LUKS2 otomatis (cryptsetup repair):
  3. LUKS2 menyimpan dua salinan metadata header biner dan JSON yang berlebihan di offset 0x0000 dan mengimbangi 0x4000 (16 KB). Jika hanya salinan utama pada byte 0 yang dikalahkan, sudo cryptsetup repair /dev/nvme0n1p3 merekonstruksinya dari 0x4000.
  4. Pulihkan dari Cadangan Header LUKS yang disimpan (luksHeaderRestore):
  5. Buka kunci secara non-destruktif menggunakan file cadangan header eksternal: 
    sudo cryptsetup luksOpen --header /path/to/luks-header.bak /dev/nvme0n1p3 rescued_volume

Langkah 4: Menguji frasa sandi yang diingat sebagian dengan hashcat

Meskipun Anda tidak dapat memaksa Kunci Pemulihan BitLocker 48 digit secara acak atau Kunci Pemulihan Apple 24 karakter (\(2^{128}\) bit entropi), Anda dapat menguji variasi frasa sandi LUKS yang dipilih manusia atau sandi pengguna khusus BitLocker jika Anda mengingat kata dasarnya:

# For Linux LUKS2 (mode 29500) or LUKS1 (mode 14600):
sudo dd if=/dev/nvme0n1p3 of=luks_header.bin bs=1M count=16
hashcat -m 29500 luks_header.bin my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

# For BitLocker protected by a custom User Password (mode 22100):
bitlocker2john -i /dev/nvme0n1p3 | grep "\$bitlocker\$0\$" > user_pass.hash
hashcat -m 22100 user_pass.hash my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

Pencegahan: Cara membuat cadangan enkripsi disk anti-lockout sekarang juga

Saat Anda mendapatkan kembali akses ke komputer Anda (atau di komputer lain yang Anda miliki saat ini), luangkan waktu lima menit untuk menjalankan perintah ini sehingga kegagalan motherboard atau pembaruan firmware tidak akan pernah lagi menjebak file Anda:

1. Di Windows (Ekspor Kunci Pemulihan BitLocker Anda & jeda sebelum pembaruan BIOS)

Buka Administrator PowerShell atau Command Prompt dan ekspor kata sandi pemulihan 48 digit Anda saat ini: 

# Display all BitLocker recovery keys and Key IDs across all drives
Get-BitLockerVolume | Select-Object MountPoint, VolumeStatus, -ExpandProperty KeyProtector |
  Where-Object { $_.KeyProtectorType -eq 'RecoveryPassword' } |
  Select-Object MountPoint, KeyProtectorId, RecoveryPassword
- Sebelum memperbarui BIOS atau menukar perangkat keras: Selalu jalankan Suspend-BitLocker -MountPoint "C:" -RebootCount 1 di Administrator PowerShell sebelum mem-flash pembaruan BIOS motherboard, mengaktifkan Secure Boot, atau mengganti CPU/motherboard. Ini untuk sementara menyimpan pelindung yang jelas untuk satu reboot dan secara otomatis menyegel kembali hash TPM PCR baru setelah pembaruan selesai.

2. Di macOS (Verifikasi atau putar Kunci Pemulihan FileVault Anda)

Buka Terminal dan periksa siapa yang berwenang untuk membuka kunci disk startup APFS Anda: 

sudo fdesetup status
diskutil apfs listCryptoUsers /
Jika Anda ingin membuat Kunci Pemulihan Pribadi 24 karakter baru sehingga Anda dapat menuliskannya dan menyimpannya di pengelola kata sandi dan brankas di rumah: 
sudo fdesetup changerecovery -personal

3. Di Linux (Cadangkan header LUKS Anda dan daftarkan Keyslot cadangan)

Selalu simpan salinan header LUKS 16 megabita Anda di USB thumb drive eksternal dan daftarkan frasa sandi pemulihan 64 karakter yang dicetak ke dalam Keyslot 1: 

# 1. Back up the binary LUKS header to an external USB drive
sudo cryptsetup luksHeaderBackup /dev/nvme0n1p3 --header-backup-file /media/usb/luks-header-nvme0n1p3.bak

# 2. Add an independent emergency recovery passphrase into Keyslot 1
sudo cryptsetup luksAddKey --key-slot 1 /dev/nvme0n1p3

Daftar periksa kesiapan darurat enkripsi

  • Ekspor Kunci Pemulihan BitLocker 48 digit Anda (termasuk 8 karakter ID Kunci) dan simpan di dalam pengelola kata sandi dan dicetak di atas kertas di dalam brankas tahan api setidaknya 1,5 meter (5 kaki) di atas permukaan lantai.
  • Cetak atau simpan Kunci Pemulihan FileVault macOS 24 karakter Anda bersama kunci pemulihan 28 karakter Akun Apple Anda.
  • Cadangkan header LUKS Linux 16 megabita Anda (cryptsetup luksHeaderBackup) ke drive USB offline sehingga penimpaan partisi yang tidak disengaja tidak dapat menghancurkan semua slot kunci.
  • Pertahankan independen, otomatis 3-2-1 cadangan komputer sehingga bahkan kematian pengontrol SSD yang parah atau kunci enkripsi yang terlupakan tidak akan menghancurkan foto, dokumen pajak, atau kode sumber Anda yang tak tergantikan.

Pertanyaan yang sering diajukan

Why did my Windows 11 laptop suddenly ask for a BitLocker Recovery Key when I never turned on BitLocker?

Almost all modern Windows 10 and 11 laptops ship with "Device Encryption" (using the BitLocker engine) pre-staged at the factory. The moment you sign in with a Microsoft Account or a work/school account during setup, Windows silently activates BitLocker and uploads your 48-digit recovery key to `account.microsoft.com/devices/recoverykey`. Later, when a routine Windows Update installs a UEFI/BIOS firmware update that alters the motherboard TPM 2.0 measurements, BitLocker locks the drive and demands that 48-digit key.

Can a professional data recovery lab or forensic company bypass BitLocker, FileVault 2, or LUKS without the key?

No. If the Volume Master Key is properly sealed and you have neither the recovery key nor a guessable user password, no data recovery lab can brute-force AES-128-XTS or AES-256-XTS encryption. The only exceptions where a lab can help are: (1) repairing a physically dead motherboard so the original onboard TPM 2.0 or Apple Secure Enclave chip can boot and release the key automatically; (2) sniffing an uninsulated discrete LPC/SPI TPM bus if the TPM already considers the boot state valid; or (3) running GPU dictionary attacks (`hashcat`) against a human-chosen passphrase whose root words you partially remember.

I have multiple BitLocker recovery keys in my Microsoft Account for the same computer name. How do I know which one to type?

Never go by the computer hostname alone, because reinstalling Windows creates a new key under the same name. Look at the blue BitLocker screen on your PC and note the **Key ID** (the first 8 hexadecimal characters, like `3A9F82C1`). Match those exact 8 characters against the **Key ID** column listed at `account.microsoft.com/devices/recoverykey`.

If I clean-install Windows over a locked BitLocker drive, can I use data recovery software like Recuva or PhotoRec to get my photos back?

No. File-carving tools like PhotoRec or Recuva scan raw disk sectors for recognizable file headers (such as `FF D8 FF` for JPEGs). On an AES-XTS encrypted drive, every sector is scrambled into high-entropy ciphertext with zero recognizable file headers, and formatting over the partition destroys the BitLocker metadata headers needed to ever decrypt the drive.

Panduan terkait

Sumber diperiksa

  • Institut Standar dan Teknologi Nasional (NIST) (Amerika Serikat): Publikasi Khusus NIST 800-111: Panduan Teknologi Enkripsi Penyimpanan untuk Perangkat Pengguna Akhir & FIPS 197 (AES-XTS).
  • Dokumentasi Resmi Microsoft Learn: Ikhtisar Pemulihan BitLocker, Profil Validasi Register Konfigurasi Platform TPM (PCR 0-11), dan manage-bde Referensi Baris Perintah.
  • Panduan Keamanan Platform Apple: Enkripsi Volume dengan FileVault, Kantong Kunci APFS, Akar Kepercayaan Perangkat Keras Enklave Aman, dan Escrow Kunci Pemulihan Institusi/Pribadi. -Trusted Computing Group (TCG) (Internasional): Spesifikasi Perpustakaan TPM 2.0 dan Spesifikasi Profil Firmware Platform Klien PC.
  • Spesifikasi Resmi GitLab Cryptsetup / LUKS2: Spesifikasi Format On-Disk LUKS2, Slot Kunci Keras Memori Argon2id PBKDF, dan Prosedur Pencadangan/Perbaikan Header.