BitLocker, FileVault, ken LUKS Disk Enkripsion a Panagsubli ti Tulbek a Panag-lockout¶

Ti pannakakita iti asul nga iskrin ti BitLocker Recovery iti Windows, ti naikandado a FileVault login prompt iti macOS, wenno saan a makasungbat a ** .cryptsetup ti passphrase prompt** iti Linux workstation ket mabalin a mangyeg ti trabaho ken personal a biagmo iti panagsardeng. Ti full-disk encryption (FDE) ket agus-usar kadagiti military-grade a simetriko a cipher, kadawyan a AES-128 wenno AES-256 iti XTS mode, tapno ag-scramble iti tunggal sektor ti solid-state drive-mo (SSD) wenno hard disk drive (HDD). No awan ti kriptograpiko a Volume Master Key (VMK) wenno ti balido a key-encryption protector, ti raw data kadagiti NAND flash chips ket matematikal a saan a mailasin manipud iti naiparparna nga arimbangaw.

Nupay kasta, ti kellaat a recovery key screen ket manmano a kaipapananna a nadadael ti drive-mo wenno naungaw iti agnanayon ti tulbekmo. Kaaduan a BitLocker ken FileVault lockout ket automatiko a maitrigger no ti gagangay a BIOS/UEFI firmware update, panagbalbaliw ti Thunderbolt dock, Secure Boot toggle, wenno natay a CMOS coin-cell battery ket mangbalbaliw kadagiti Platform Configuration Registers (PCRs) iti uneg ti motherboard-mo Mapagtalkan a Platform Module (TPM 2.0). Uray no dika pulos nagsurat iti recovery key, masansan a mabalinmo a liklikan ti prompt babaen ti panangisubli iti eksakto a UEFI firmware setting a nangtrip iti TPM measurement, wenno babaen ti panangbirok iti naulimek nga automatiko a backup ti tulbekmo iti uneg ti personal a Microsoft account, maysa a direktorio ti Microsoft Entra ID iti trabaho wenno eskuelaan, maysa nga Apple iCloud keychain, wenno ti saan a naikabil a volume shadow copy.

--- .

Aramidenyo daytoy ita¶

1. STOP sakbay nga i-klik ti "I-reset daytoy a PC", "Burasen ti Mac", wenno pormat ti panagbingbingay. Ti panangi-install manen ti Windows, macOS, wenno Linux babaen ti na-enkripto a panagbingbingay ket mangisurat ti kriptograpiko a tomo nga ulo (dagiti bloke ti metadata ti BitLocker, ti APFS a paglaon a superblock, wenno ti ulo ti LUKS2 JSON). Apaman a naisurat dayta bassit a metadata header, uray ti panangbirok iti balido a 48-digit a tulbek ti panagsublim inton bigat ket saanen a mang-decrypt kadagiti file-mo.
2. Ikkaten amin nga akinruar a USB drive, SD card, Thunderbolt dock, HDMI adapter, ken gaming controller, kalpasanna i-reboot. Kadagiti sistema ti Windows nga agus-usar kadagiti TPM 2.0 Platform Configuration Registers (espesipiko a PCR 0, PCR 2, PCR 4, ken PCR 7), ag-boot babaen ti bootable USB thumb drive, maysa a baro a naikapet a Thunderbolt dock nga addaan iti Option ROM firmware, wenno ti maysa nga akinruar a monitor hub ket mabalinna a baliwan ti pre-boot hash measurement. Ti panangikkat iti saksakan ti tunggal peripheral ken panangaramid iti nalamiis a panag-reboot iti masansan ket mangipalubos iti TPM a mangiruar iti Volume Master Key a gagangay a saan a kasapulan ti 48-digit a kodigo.
3. I-check ti tunggal Microsoft, Apple, wenno corporate account nga inusarmo iti segundario a telepono wenno laptop. Dimo ​​ipapan nga ammom no ania nga email account ti aktibo idi damo a na-unbox ti laptop. Iti Windows, kitaen account.microsoft.com/devices/recoverykey iti ballasiw dagiti personal nga Outlook/Hotmail/Live account-mo, ken kitaem aka.ms/myrecoverykey iti aniaman nga obra, unibersidad, wenno kliyente a Microsoft 365 (Entra ID) nga account a nakapirmaam iti uneg ti Microsoft Word, Teams, wenno Windows Settings.
4. Iparis ti umuna a 8 a karakter ti "Key ID" a maiparang iti naikandado nga iskrinmo. Ti iskrin ti panagsubli ti Windows BitLocker ket mangiparang ti 32-karakter a Key ID (wenno dagiti umuna a 8 nga heksadecimal a karakter, kas iti A1B2C3D4). No addaanka iti adu a tulbek a naidulin iti Microsoft account-mo wenno kadagiti daan a kompiuter, ti laeng 48-digit a recovery password a ti Key ID-na ket maitunos kadagita nga eksakto a 8 a karakter ti manglukat iti daytoy espesipiko a drive volume.
5. Isubli ti aniaman a nabiit pay a panagbalbaliw ti BIOS/UEFI a naaramid sakbay a mismo ti lockout. No nagparang a dagus ti iskrin ti BitLocker kalpasan a simrekka iti BIOS setup tapno iddepen ti Secure Boot, i-toggle ti CSM (Compatibility Support Module), baliwan ti Intel PTT / AMD fTPM, wenno ipalubos ti ** Boot Order changes**, i-reboot iti BIOS (F2, . F12, wenno Del) ken i-set dagita nga eksakto a toggles nga agsubli iti dati a kasasaadda. Apaman a ti PCR 7 ken PCR 0 ket agpapada ti orihinal a kriptograpiko a hash-da, ti TPM ket automatiko a manglukat ti tulbek.
6. Ipangpangruna ti pisikal a kinatalged no mapasamak ti lockout bayat ti emerhensia wenno domestiko a krisis. No padpadasem ti mangala kadagiti medikal a rekord, pinansial a dokumento, wenno plano ti panagbakwit bayat ti krisis, laglagipem a dagiti encrypted drive ket pagtalinaedenda ti datos iti di nakedngan bayat a naiddep ti koriente. No maipasangoka iti dagus a pisikal a pangta, baybay-am ti hardware ket tawagam ti lokal nga emerhensia a numerom (911 idiay Estados Unidos ken Canada, 112 iti intero a European Union, 999 idiay United Kingdom, wenno kitaem ti numeromi numero ti emerhensia direktorio).

--- .

Disk encryption lockout triage ken kayo ti pangngeddeng ti panagsubli¶

flowchart TD
    Start["Nakandado manipud iti Na-enkripto a Drive: BitLocker, FileVault, wenno LUKS Prompt"] --> WhichOS{"Ania nga Operating System ken Encryption Engine?"}

    WhichOS -->|"Windows: BitLocker 48-Digit nga Iskrin ti Panagsubli"| PeriphCheck["Addang 1: Ikkaten amin nga USB drive, Thunderbolt docks, ken external monitors; nalamiis a reboot"]
    PeriphCheck --> StillLocked{"Agkidkiddaw pay laeng iti 48-digit a tulbek?"}
    StillLocked -->|"Saan: Nai-boot a Normal"| BackupNow["Dagus nga ipatarayen ti 'manage-bde -protectors -get C:' ken i-save ti 48-digit a tulbek iti offline"]
    StillLocked -->|"Wen"| BIOSCheck{"Binalbaliwanmo kadi ti BIOS, Secure Boot, CSM, wenno i-update ti firmware?"}

    BIOSCheck -->|"Wen"| RevertBIOS["Iserrek ti UEFI Setup: Pagbalinen manen ti Secure Boot, UEFI Boot Mode, ken Intel PTT / AMD fTPM tapno maisubli ti PCR 7 hash"]
    BIOSCheck -->|"Saan"| HuntKey["Addang 2: Iparis ti 8-Char Key ID iti ballasiw ti AMIN a Personal a Microsoft Accounts, Work/School Entra ID, Active Directory, ken USB .BEK/.TXT files"]
    RevertBIOS --> HuntKey

    WhichOS -->|"macOS: Ti Panaglogin ti FileVault ket Laksidenna ti Password"| ApplePath{"Apple Silicon/T2 Mac vs Intel nga Mac?"}
    ApplePath -->|"Amin a Mac"| TestLayout["Addang 1: I-check ti Input Menu iti ngato-kannawan ti FileVault screen para iti di panagtunos ti layout ti teklado"]
    TestLayout --> FVMethod{"Ania a Pamay-an ti Panagsubli ti Na-enable?"}
    FVMethod -->|"Escrow ti Kuenta ti iCloud"| BootRecovery["Boot to macOS Recovery: Ag-authenticate babaen ti Apple Account babaen ti Recovery Assistant tapno mai-reset ti password"]
    FVMethod -->|"24-Char Personal a Tulbek ti Panagsubli (PRK) wenno MDM"| EnterPRK["Iserrek ti XXXX-XXXX-XXXX-XXXX-XXXX-XXXX a tulbek iti Recovery Assistant wenno agkiddaw iti Institusional nga Escrow Key manipud iti IT"]

    WhichOS -->|"Linux: LUKS / cryptsetup Nalaksid ti Passphrase"| LUKSPath["Addang 1: I-drop iti initramfs shell wenno i-boot ti Live USB; kitaen ti layout ti teklado iti console"]
    LUKSPath --> LUKSHeader{"Dagiti kadi Keyslot ket Intact iti 'cryptsetup luksDump'?"}
    LUKSHeader -->|"Wen: Aktibo ti Keyslot"| TestPass["Suboken dagiti sekondario a keyslot (Slot 1-7), FIDO2/TPM2 token, wenno tarayen ti hashcat Mode 29500 a maibusor iti header backup"]
    LUKSHeader -->|"Saan: Nadadael ti Header"| RestoreHeader["Isubli ti ulo ti LUKS manipud iti '--header-backup-file' wenno i-scan ti disk para iti nakalasat a metadata"]

--- .

Pannakaawat iti Full-Disk Encryption ken TPM 2.0 a panagselio¶

Saan a Windows BitLocker, Apple FileVault 2, wenno Linux dm-crypt / Direkta nga i-encrypt ti LUKS ti SSD-mo babaen ti login password wenno recovery key-mo. Imbes ketdi, amin dagiti tallo a plataporma ket agus-usar ti dua-tier a hirarkia ti tulbek:

1. Ti Volume Master Key (VMK) / Full Volume Encryption Key (FVEK): Ti hardware random key (128-bit, 256-bit, wenno 512-bit) ket mangi-enkripto ken mang-decrypt kadagiti aktual a sektor ti disk iti panagtayab.
2. Dagiti Key Protector / Keyslots (KEKs): Ti Volume Master Key ket nabalkot babaen ti panagusar kadagiti agwaywayas a Key Encryption Keys (KEKs), a maawagan iti Key Protectors iti BitLocker, Key Bags iti Apple APFS, ken Keyslots iti Linux LUKS.
3. Apay a ti TPM 2.0 sealing ket mangikandado kenka iti Windows: Iti Windows 10 ken 11, ti kangrunaan a mangsalaknib iti tulbek ket ti Trusted Platform Module (TPM 2.0) chip (discrete silicon wenno firmware Intel PTT / AMD fTPM). No ti BitLocker ket selioanna ti Volume Master Key iti TPM, daytoy ket mangisilpo ti tulbek kadagiti espesipiko a Platform Configuration Registers (PCRs):
4. PCR 0: I-hash ti kangrunaan a firmware ti sistema ti UEFI/BIOS.
5. PCR 2: I-hash ti maisaksak nga akinruar a hardware Pagpilian a kodigo ti ROM (Thunderbolt docks, RAID cards, akinruar a GPU).
6. PCR 4: I-hash ti manager ti panagrugi (bootmgfw.efi) ken estado ti boot order.
7. PCR 7: I-hash ti patakaran ti Natalged a Boot ken UEFI db / . dbx dagiti database ti sertipiko.
8. PCR 11: Hashes dagiti paset ti panangtengngel ti akses ti BitLocker.

Tunggal i-press-mo ti power button, rukoden ti motherboard dagitoy a firmware components sakbay nga ag-load ti Windows. No ti ania man a maymaysa a bit iti PCR 0, PCR 2, PCR 4, wenno PCR 7 ket naiduma manipud iti pateg a nairekord idi ti BitLocker ket naselioan, ti TPM ket agkedked a mangiruar ti Volume Master Key ken piliten ti Windows Boot Manager a mangipakita ti 48-digit a BitLocker Recovery Key nga iskrin.

Panagpada dagiti arkitektura ti Full-Disk Encryption ken dagiti mekanismo ti panagsubli¶

--- .

Paset 1: Panangrisut kadagiti lockout ti panagsubli ti Windows BitLocker¶

No agsardeng ti Windows PC-m iti "BitLocker: Iserrek ti recovery key para iti daytoy a drive" (wenno ti Windows Recovery Environment ket agkiddaw iti tulbek sakbay a palubosanna ti Command Prompt wenno Safe Mode access), agtrabaho babaen kadagitoy dua nga agpapada a track: Ti Track A ket padasenna nga allukoyen ti TPM a manglukat iti drive a saan a kasapulan ti tulbek, ken Track B ket manganup iti 48-digit a tulbek iti ballasiw ti tunggal digital ken lokal a lokasion ti pagipempenan.

Track A: Panangliklik iti BitLocker prompt nga awan ti tulbek ti panagsubli (Panangisubli ti kasasaad ti TPM PCR) .¶

No saanmo a manual a pinunas ti TPM wenno inyakar ti NVMe SSD iti baro a motherboard, ti Volume Master Key ket adda pay laeng iti uneg ti TPM 2.0 chip-mo. Agkedked daytoy nga ag-unlock gapu ta nagbaliw ti pre-boot PCR measurement. Padasem dagitoy a saan a makadadael a panagisubli ti hardware ken firmware nga agsasaruno:

1. Idiskonekta amin nga external hardware ken docks:
2. Naan-anay nga iddepen ti kompiuter (i-hold ti power button iti 10 a segundo).
3. Ikkaten ti tunggal USB flash drive, makinruar a hard drive, USB-C hub, Thunderbolt docking station, SD card, ken makinruar a kable ti monitor.
4. Ikkaten ti saksakan ti AC charger iti 15 a segundo, direkta nga isaksak ti native charger iti laptop, sa iddepen. Dagiti Thunderbolt dock ken dagiti USB-C hub ket masansan nga aglaon kadagiti akin-uneg a PXE a network boot wenno display Option ROMs nga agsaknap iti PCR 2 ken PCR 4, a mangpabasol ti kasasaad ti TPM.
5. Isubli ti Natalged a Boot ken UEFI Boot Mode iti BIOS Setup:
6. I-reboot ken i-press ti motherboard BIOS key-mo (F2 iti Dell/ASUS/Lenovo/Acer, . F10 iti HP, . Del kadagiti tabla ti desktop).
7. No ti Secure Boot ket nabiit pay a nabaliwan manipud iti Enabled aginggana iti Disabled, i-set manen daytoy iti Enabled (Standard Mode) ken i-save dagiti panagbalbaliw. Iti kasumbangirna, no ti maysa nga update ti BIOS ket nangibaliktad ti Secure Boot iti Enabled, padasen nga i-toggle daytoy iti Disabled iti maminsan.
8. Pasingkedan ti Boot Mode ket naikabil iti UEFI Laeng (disable ti Legacy / CSM) ken pasingkedan ti Windows Boot Manager ket isu ti umuna a pagpilian ti panagrugi.
9. Beripikar nga na-enable ti Intel PTT wenno AMD fTPM (Dika pulos i-click ti "Clear TPM"):
10. Kalpasan ti natay a bateria ti CMOS wenno ti BIOS reset, dagiti motherboard no dadduma balbaliwanda ti firmware TPM (Intel Platform Trust Technology wenno AMD CPU fTPM). Mapan iti Security wenno Trusted Computing tab iti BIOS ken pasingkedan ti TPM 2.0 State ket Enabled.
11. Pakdaar: Dimo ​​pulos pilien ti "Clear TPM" wenno "Erase fTPM NV" iti uneg ti BIOS. Ti panangikkat iti TPM ket permanente a mangdadael ti akin-uneg a Storage Root Key iti uneg ti silicon chip, a mamagbalin a mandatory ti 48-digit a recovery key.
12. I-roll back ti buggy nga update ti kapsula ti BIOS:
13. Kadagiti laptop ti Dell, i-hold ti ** .Ctrl + Esc** bayat ti panangisaksak iti AC power tapno mairugi ti Dell BIOS Recovery menu ken pilien ti Rollback BIOS. Kadagiti laptop ti HP, i-hold ti ** .Win + B** bayat nga i-press ti power button iti 2 a segundo tapno ma-trigger ti HP Sure Start BIOS rollback.

Track B: Naan-anay a panagsapul iti 48-digit a BitLocker Recovery Key-mo¶

No saan a maisubli ti TPM (wenno no inyakarmo ti SSD iti akinruar a USB enclosure), masapul nga isuplaymo ti 48-digit a numeric recovery password (XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX) wenno a .BEK startup a tulbek a file. Isurat ti umuna a 8 a karakter ti Key ID a naipakita iti iskrin (kas pagarigan, Key ID: 4F8A9C12) ken kitaen dagitoy innem a lokasion:

1. Personal nga Kuenta ti Microsoft (account.microsoft.com/devices/recoverykey) .¶

Panagbisita ** .https://account.microsoft.com/devices/recoverykey** (wenno https://aka.ms/myrecoverykey) iti telepono wenno segundario a kompiuter. - I-check ti tunggal historical account: I-backup ti Device Encryption ti tulbek iti aniaman a Microsoft Account ti immuna a nausar idi na-unbox ti PC, uray no nagbaliwka idi agangay iti lokal a login. Ag-sign in ken suboken amin a daan @hotmail.com, . @live.com, . @outlook.com, wenno naisilpo @gmail.com accounts, agraman ti account ti aniaman nga asawa, nagannak, wenno teknisian a timmulong a nangipasdek iti PC wenno nagpirma iti Microsoft Office wenno Xbox Game Pass iti dayta a makina.

2. Trabaho, Eskuelaan, wenno Unibersidad Entra ID / Azure AD (myaccount.microsoft.com) .¶

Uray iti personal a laptop iti pagtaengan, no napadasam a nagpirma kadagiti Microsoft 365 apps (Word, Excel, Teams) nga addaan iti trabaho, unibersidad, wenno kliyente nga email address ken nabati ti "Palubosan ti organisasionko a mangimaton iti alikamenko" a nasukimaten, automatiko nga in-escrow ti Windows ti tulbek ti panagsubli ti BitLocker-mo iti Microsoft Entra ID nga agnaed iti dayta nga organisasion: 1. Panagbisita ** .https://myaccount.microsoft.com/device-list** ken ag-sign in babaen ti email-mo iti trabaho wenno pagadalan. 2. Pilien ti nagan ti kompiuteryo ken i-click ti View BitLocker keys. 3. No ti account-mo iti trabaho wenno pagadalan ket na-disable, tawagam ti IT Help Desk dayta nga organisasion ket itedmo kadakuada ti 8-character Key ID-mo. Dagiti administrador ket mabalinda nga alaen dagiti tulbek para kadagiti na-deactivate nga account iti baba ti Alikamen > Amin nga alikamen > Dagiti tulbek ti panagsubli iti entra.microsoft.com.

3. Aktibo a Direktorio ti Korporasion iti Lugar (msFVE-RecoveryInformation) .¶

No ti kompiuter ket naisilpo iti maysa nga Aktibo a Direktorio a dominio, ti maysa nga Administrador ti Domain ket mabalinna a kitaen ti tulbek babaen ti 8-karakter a Key IDna babaen ti panagusar ti PowerShell:

Get-ADObject -Filter {objectClass -eq 'msFVE-RecoveryInformation'} -Properties msFVE-RecoveryPassword, whenCreated |
  Where-Object { $_.Name -like "*4F8A9C12*" } | Select-Object Name, msFVE-RecoveryPassword, whenCreated

4. Automated wenno Manual a Text Files kadagiti USB Flash Drive ken Cloud Drive¶

No i-save ti Windows ti recovery key iti file wenno USB drive, ipanaganna ti file BitLocker Recovery Key [GUID].txt wenno isalakan ti nailemmeng .BEK file (attrib +h +s). Ipataray daytoy a panagbirok ti PowerShell iti ballasiw dagiti amin a USB drive, akinruar a hard drive, OneDrive, Google Drive, ken Dropbox a folder iti sabali a PC:

Get-PSDrive -PSProvider FileSystem | ForEach-Object {
    Get-ChildItem -Path $_.Root -Include "*BitLocker*Recovery*Key*.txt", "*.bek" -Recurse -Force -ErrorAction SilentlyContinue
} | Select-Object FullName, LastWriteTime

5. Panag-extract ti Tulbek para iti Segundario a Data Drive (D:) manipud iti maysa nga Unlocked C: Panagbingaybingay¶

No C: boots normal ken segundario laeng a drive D: ket naikandado, luktan ti maysa a tawa ti Administrator PowerShell on C: ken agtaray manage-bde -protectors -get D: tapno makita no C: iggemna pay laeng ti auto-unlock registry key, wenno sukimaten dagiti napalabas a Volume Shadow Copies ti Documents folder para iti nabura BitLocker Recovery Key *.txt dagiti file.

6. I-print ti Pakasaritaan ti Spooler ken PDF / OneNote Printouts¶

No in-klikmo ti "Imaldit ti tulbek ti panagsubli" bayat ti panagisaad, kitaem ti Microsoft OneNote ken sapulem ti Documents folder para iti .pdf wenno .xps dagiti file a naparsua babaen ti "Microsoft Print to PDF".

Track C: Panaglukat ken panag-decrypt ti BitLocker drive manipud iti WinRE Command Prompt (manage-bde) .¶

No ti panangi-type iti 48-digit a recovery password iti asul nga iskrin ket ag-loop manen iti BitLocker iti sumaruno a reboot wenno ag-crash iti Windows, i-unlock ken i-suspende ti BitLocker manipud iti Windows Recovery Environment (WinRE) Command Prompt:

1. Pinduten ti ** .Esc** iti iskrin ti BitLocker, kalpasanna i-klik ti Laktawan daytoy a drive -> Troubleshoot -> Advanced options -> Command Prompt.
2. Kitaen ti kasasaad ken i-unlock ti OS volume (C:):

   manage-bde -status
   manage-bde -unlock C: -RecoveryPassword 123456-123456-123456-123456-123456-123456-123456-123456
   

   (Wenno i-unlock babaen ti binary .BEK file iti USB stick a namapa a kas F: via manage-bde -unlock C: -RecoveryKey "F:\key.BEK"). .*
3. Isuspende dagiti protector tapno saan nga agsubli ti prompt iti sumaruno a panag-reboot:

   manage-bde -protectors -disable C:
   

   I-reboot iti Windows, sa agtaray manage-bde -protectors -enable C: iti nangato a Command Prompt tapno maselioan manen ti Volume Master Key maibusor kadagiti baro nga UEFI PCR hashes.
4. No saan a maka-boot ti Windows, kopiaen dagiti files out wenno naan-anay a decrypt:

   robocopy C:\Users\YourUsername F:\RescueBackup /E /ZB /R:1 /W:1 /XJ
   manage-bde -off C:
   

Track D: Panag-mount ti BitLocker SSD iti Linux (dislocker / . cryptsetup) para iti panangispal iti file¶

No natay ti Windows motherboard-mo, ikabil ti M.2 NVMe wenno SATA SSD iti makinruar a USB-C enclosure (nga agrukod iti agarup 10 a sentimetro por 3 sentimetro, wenno 4 a pulgada por 1.2 a pulgada) ken i-unlock daytoy iti aniaman a Linux PC wenno Ubuntu Live USB:

# Method 1: Modern cryptsetup (v2.3+ natively supports BITLOCKER volumes)
sudo cryptsetup open --type bitlocker /dev/nvme0n1p3 bitlocker_unlocked
# Type the 48-digit recovery key INCLUDING hyphens when prompted
sudo mkdir -p /mnt/windows_data
sudo mount -t ntfs3 -o ro /dev/mapper/bitlocker_unlocked /mnt/windows_data

# Method 2: Using dislocker
sudo apt update && sudo apt install -y dislocker ntfs-3g
sudo mkdir -p /mnt/dislocker_raw /mnt/windows_rescue
sudo dislocker -V /dev/nvme0n1p3 -p123456-123456-123456-123456-123456-123456-123456-123456 -- /mnt/dislocker_raw
sudo mount -t ntfs-3g -o loop,ro /mnt/dislocker_raw/dislocker-file /mnt/windows_rescue

--- .

Paset 2: Panangrisut kadagiti lockout ti Apple macOS FileVault 2 ken Secure Enclave¶

Iti macOS (High Sierra babaen ti macOS Sequoia ken baro pay), ti FileVault 2 ket mangi-enkripto ti sibubukel a APFS (Apple File System) a tomo. Kadagiti Mac nga addaan iti Apple Silicon (M1, M2, M3, M4) wenno ti Apple T2 Security Chip, ti tomo ket aktual a kanayon a na-encrypt iti panaginana babaen ti panagusar kadagiti tulbek ti hardware iti uneg ti Secure Enclave Processor (SEP). Ti pananglukat ti FileVault ket mangbalkot iti dayta a hardware a Volume Encryption Key (VEK) iti Key Encryption Key (KEK) a nagtaud manipud iti macOS login password-mo ken ti FileVault Recovery Key-mo.

Gapu ta kasapulan ti FileVault ti panang-decrypt iti tomo ti APFS sakbay nga agkarga ti macOS manipud iti disk, ti umuna nga iskrin a makitam no i-on-mo ti FileVault-enabled Mac ket saan a ti normal a macOS login window, daytoy ket ti pre-boot FileVault EFI / iBoot unlock screen.

Addang 1: Ilaksid ti #1 a pakaigapuan ti kellaat a FileVault lockouts (Pre-boot keyboard layout & external keyboards) .¶

Sakbay nga ipapan a nadadael ti password-mo wenno mangrugi ti panag-reset, kitaem dagitoy tallo a pre-boot quirks a pakaigapuan ti panagkintayeg ken panagkedked dagiti balido a password iti iskrin ti panagrugi ti FileVault:

1. Pre-boot Keyboard Input Menu Switch: Ti pre-boot a FileVault screen ket agus-usar ti nauksob a firmware keyboard driver a masansan a default iti U.S. QWERTY (wenno ABC) uray no in-type-mo ti password-mo babaen ti UK, German (QWERTZ), French (AZERTY), wenno Dvorak layout iti uneg ti macOS. Kitaen ti ngato-kannawan a suli ti FileVault login screen, i-klik ti Keyboard Input menu icon, ken pilien ti eksakto a layout ti teklado.
2. Bluetooth Keyboard Timing & Num Lock: Masansan nga ibaba dagiti third-party Bluetooth keyboard ti umuna a dua a keystroke-da bayat ti panagriingda iti pre-boot screen, wenno awanan kadagiti Num Lock state indicators. Isaksakmo ti wired USB keyboard a direkta iti Mac (wenno usaren ti built-in a MacBook keyboard) ken in-inut nga i-type.
3. Adu nga Agus-usar ti Admin iti Isu met laeng a Mac: Iti FileVault, tunggal maysa nga autorisado nga account ti agar-aramat ti macOS ket addaan iti bukodna nga agwaywayas a kriptograpiko a token iti APFS Key Bag (diskutil apfs listCryptoUsers /). No agkintayeg ken mapaay ti account-mo, i-klik ti ** sabali nga ikono ti agar-aramat ti Administrador** iti iskrin ti FileVault ken aglog-in babaen ti password-da. Apaman a makastrek iti uneg ti macOS, mabalin nga i-reset dayta nga admin ti password-mo iti System Settings > Users & Groups.

Addang 2: Pananglukat iti FileVault babaen ti Apple Account (iCloud) wenno 24-Character Personal Recovery Key¶

No ti passwordmo ket mapaay pay laeng iti iskrin ti panaglogin ti FileVault:

1. Urayen ti Recovery Prompt: Kalpasan ti panangi-type iti di umiso a password iti mamitlo iti FileVault login screen, ipakita ti macOS dagiti pagpilian a mangi-reset babaen ti Apple Account-mo wenno iserrek ti Recovery Key-mo.
2. Wenno direkta nga ag-boot iti macOS Recovery (Recovery Assistant):
3. Apple Silicon Macs (M1/M2/M3/M4): Naan-anay nga iddepen, kalpasanna i-press ken i-hold ti Power (Touch ID) button iti 10 a segundo agingga nga agparang ti "Loading startup options...", i-click ti Options, ken i-click ti Continue.
4. Intel Macs: I-on ti Mac ken i-hold ti Command (⌘) + R agingga nga agparang ti logo ti Apple.
5. Iti uneg ti Reset Password Bintana ti Katulongan ti Panagsubli:
6. Agkonekta iti Wi-Fi iti ngato a kannawan a suli ti iskrin wenno isaksakmo ti Ethernet.
7. Pilien A (Apple Account Escrow): No pinagbalinmo ti iCloud recovery, piliem ti Nalipatam amin a password? -> Ag-sign in babaen ti Apple Account. Isuratmo ti email, password, ken 6-digit a 2FA code ti Apple Account-mo (no napukawmo ti teleponom, kitaem ti... MFA lockout ken panagsubli ti authenticator giya) tapno mailukat ti tomo ti APFS ken mangiset ti baro a password.
8. Pilien B (24-Karakter a Personal a Tulbek ti Panagsubli): Pilien ti Iserrek ti FileVault Recovery Key ken i-type ti 24-karakter nga alphanumeric a kodigom (XXXX-XXXX-XXXX-XXXX-XXXX-XXXX).
9. Option C (Corporate / University MDM Escrow): No ti Mac-mo ket maiturturong babaen ti Jamf Pro, Kandji, Mosyle, wenno Microsoft Intune, tawagam ti IT Help Desk-mo babaen ti serial number ti Mac-mo tapno mabasada kenka ti escrowed 24-character FileVault Recovery Key.

Addang 3: Pananglukat ti maysa a tomo ti FileVault APFS a manual manipud iti Terminal (diskutil apfs unlockVolume) .¶

No ti graphical Recovery Assistant ket mapaay a mangikabil ti drive-mo, luktam ti Utilities -> Terminal iti uneg ti macOS Recovery ken i-unlock ti APFS volume a manual:

# 1. List all APFS containers and encrypted volumes to find the Volume Identifier (e.g., disk3s5)
diskutil apfs list

# 2. List all cryptographic users (UUIDs) authorized to unlock that APFS volume
diskutil apfs listCryptoUsers /dev/disk3s5

# 3. Unlock the APFS volume using either your user password OR your 24-character Recovery Key:
diskutil apfs unlockVolume /dev/disk3s5 -passphrase "YOUR-XXXX-XXXX-XXXX-XXXX-XXXX-KEY"

# 4. Copy critical files from '/Volumes/Macintosh HD - Data' to an external USB drive:
cp -Rv "/Volumes/Macintosh HD - Data/Users/yourusername/Documents" "/Volumes/ExternalUSB/Backup/"

--- .

Paset 3: Panagsolbar ti Linux LUKS (dm-crypt / . cryptsetup) dagiti lockout ti enkripsion¶

Dagiti panagiwaras ti Linux (Ubuntu, Fedora, Debian, Arch Linux, Red Hat Enterprise Linux, Pop._OS, ken Qubes OS) ket agpannurayda iti LUKS (Linux Unified Key Setup), kadawyan a LUKS2, a tinarabay babaen cryptsetup ken dm-crypt. No ti makina ti Linux ket agtinnag iti maysa (initramfs) wenno dracut shell nga agkuna ** .cryptsetup failed, bad password or options**, suroten dagitoy uppat nga addang:

Addang 1: I-check ti console keymap vs graphical a layout ti teklado¶

Bayat ti pre-boot initramfs paset, ti sistema ket agus-usar ti Linux a konsola a keymap (/etc/vconsole.conf), a masansan a default iti ** .us** uray no inkonfiguram ti UK, Aleman, Pranses, wenno kostumbre a layout ti programmer iti uneg ti GNOME wenno KDE. I-boot ti Linux Live USB, luktam ti graphical terminal a mabalinmo nga i-type ti passphrase-mo a makita iti text editor tapno mapaneknekan ti tunggal karakter, ken luktam ti drive manipud iti Live USB:

lsblk -f
sudo cryptsetup luksOpen /dev/nvme0n1p3 my_encrypted_root

Addang 2: Sukimaten ti ulo ti LUKS ken kitaen dagiti segundario a keyslots (cryptsetup luksDump) .¶

Ti LUKS1 ket mangsuporta ti 8 nga agwaywayas a Keyslot (0 aginggana ti 7) ken ti LUKS2 ket mangsuporta aginggana ti 32 a Keyslot (0 aginggana ti 31), agraman ti hardware Tokens (systemd-tpm2 wenno systemd-fido2). Sukimaten ti header-mo a dika agbaliw iti aniaman iti disk:

sudo cryptsetup luksDump /dev/nvme0n1p3

sudo systemd-cryptenroll --wipe-slot=tpm2 --tpm2-device=auto --tpm2-pcrs=7 /dev/nvme0n1p3

Addang 3: Panagsubli manipud iti nadadael wenno naisurat a LUKS2 header¶

Iti LUKS, amin dagiti keyslot ket agbiag iti umuna a 2 megabyte (LUKS1) wenno 16 megabyte (LUKS2) ti panagbingbingay. No cryptsetup luksDump kuna ** .not a valid LUKS device**, aramiden dagitoy nga addang:

1. Iladawan ti umuna a 32 MB sakbay a sagiden ti aniaman:

   sudo dd if=/dev/nvme0n1p3 of=~/damaged_luks_first32mb.img bs=1M count=32 status=progress
   

2. Padasen ti automatiko a LUKS2 sekondario a JSON a metadata a panagtarimaan (cryptsetup repair):
3. Ti LUKS2 ket mangidulin ti dua a redundante a kopia ti binary ken JSON header metadata iti offset 0x0000 ken offset 0x4000 (16 KB) nga. No ti laeng kangrunaan a kopia iti byte 0 ket na-clobber, . sudo cryptsetup repair /dev/nvme0n1p3 bangonen manen dayta manipud 0x4000.
4. Isubli manipud iti naidulin a LUKS Header Backup (luksHeaderRestore):
5. Ilukat ti saan a makadadael babaen ti panagusar ti akinruar a header backup file:

   sudo cryptsetup luksOpen --header /path/to/luks-header.bak /dev/nvme0n1p3 rescued_volume
   

Addang 4: Panangsubok kadagiti paset a nalagip a passphrases babaen ti hashcat¶

Bayat a saanmo a ma-brute-force ti naiparparna a 48-digit a BitLocker Recovery Key wenno 24-karakter nga Apple Recovery Key (\(2^{128}\) bits ti entropy), mabalinmo a suboken dagiti panagduduma ti napili ti tao a LUKS a passphrase wenno BitLocker a kostumbre a password ti agar-aramat no malagipmo dagiti batayan a balikas:

# For Linux LUKS2 (mode 29500) or LUKS1 (mode 14600):
sudo dd if=/dev/nvme0n1p3 of=luks_header.bin bs=1M count=16
hashcat -m 29500 luks_header.bin my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

# For BitLocker protected by a custom User Password (mode 22100):
bitlocker2john -i /dev/nvme0n1p3 | grep "\$bitlocker\$0\$" > user_pass.hash
hashcat -m 22100 user_pass.hash my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

--- .

Pananglapped: Kasano ti mangaramid iti lockout-proof a disk encryption backup ita¶

Iti kanito a makastrekka manen iti kompiuteram (wenno iti tunggal sabali a kompiuter a kukuam ita), mangbusboska iti lima a minuto a mangipatungpal kadagitoy a bilin tapno ti pannakapaay ti motherboard wenno pannaka-update ti firmware ket saanen a pulos a makasilaw manen kadagiti file-mo:

1. Iti Windows (I-export ti BitLocker Recovery Key-mo & agsardeng sakbay nga ag-update ti BIOS)¶

Luktam ti Administrator PowerShell wenno Command Prompt ken i-export ti agdama a 48-digit a password ti panagsublim:

# Display all BitLocker recovery keys and Key IDs across all drives
Get-BitLockerVolume | Select-Object MountPoint, VolumeStatus, -ExpandProperty KeyProtector |
  Where-Object { $_.KeyProtectorType -eq 'RecoveryPassword' } |
  Select-Object MountPoint, KeyProtectorId, RecoveryPassword

2. Iti macOS (Beripikar wenno i-rotate ti FileVault Recovery Key-mo) .¶

Luktam ti Terminal ken kitaem no siasino ti autorisado a manglukat iti APFS startup disk-mo:

sudo fdesetup status
diskutil apfs listCryptoUsers /

sudo fdesetup changerecovery -personal

3. Iti Linux (I-back up ti LUKS header-mo ken agpalista iti fallback Keyslot) .¶

Kanayon nga idulinda ti kopia ti 16-megabyte a LUKS header-mo iti akinruar a USB thumb drive ken mangilista iti nayimprenta a 64-karakter a recovery passphrase iti Keyslot 1:

# 1. Back up the binary LUKS header to an external USB drive
sudo cryptsetup luksHeaderBackup /dev/nvme0n1p3 --header-backup-file /media/usb/luks-header-nvme0n1p3.bak

# 2. Add an independent emergency recovery passphrase into Keyslot 1
sudo cryptsetup luksAddKey --key-slot 1 /dev/nvme0n1p3

Listaan ​​ti tsek ti panagsagana iti emerhensia ti enkripsion¶

• I-export ti 48-digit a BitLocker Recovery Key-mo (agraman ti 8-karakter a Key ID-na) ken idulinna iti uneg ti... manager ti password ken naimaldit iti papel iti uneg ti fireproof safe iti di kumurang a 1.5 metro (5 feet) iti ngato ti lebel ti suelo.
• I-print wenno i-save ti 24-karakter a macOS FileVault Recovery Key-mo iti abay ti Apple Account-mo a 28-karakter a recovery key.
• I-back up ti 16-megabyte a Linux LUKS nga ulo (cryptsetup luksHeaderBackup) iti offline USB drive isu a ti aksidente a panagsurat iti partision ket saan a makadadael amin a keyslot.
• Taginayonen ti independiente, automated 3-2-1 ti panag-backup ti kompiuter isu nga uray ti nakaam-amak nga ipapatay ti SSD controller wenno nalipatan a tulbek ti encryption dina pulos dadaelen dagiti di masukatan a retrato, dokumento ti buis, wenno source code-mo.

--- .

Masansan a maisaludsod¶

--- .

Mainaig a giya¶

• Windows Blue Screen (BSOD) ken panagtarimaan ti boot
• macOS kernel panic, nangisit nga iskrin, ken panagimbag
• Napaay ti panagrugi ti sistema ti Linux ken pannakatarimaan ti GRUB
• Password manager lockout ken emerhensia a panagsubli ti vault
• Pannakadadael ti hard drive ken panagsubli ti datos
• Computer backups: 3-2-1 nga estratehia ken panagsubli iti didigra
• Direktorio dagiti numero ti emerhensia

--- .

Nasukimat dagiti gubuayan¶

• Nailian nga Instituto ti Pagalagadan ken Teknolohia (NIST) (Estados Unidos): Naisangsangayan a Publikasion ti NIST 800-111: Giya kadagiti Teknolohia ti Panag-enkripsio ti Pagidulin para kadagiti Alikamen ti End User & FIPS 197 (AES-XTS).
• Opisial a Dokumentasion ti Microsoft Learn: Pakabuklan ti Panagsubli ti BitLocker, Dagiti Rehistro ti Panagkonfigura ti Plataforma ti TPM (PCR 0-11) a Profile ti Panagpaneknek, ken manage-bde Reperensia ti Linya ti Bilin.
• Giya ti Seguridad ti Plataforma ti Apple: Panag-enkripsio ti Tomo babaen ti FileVault, APFS Key Bags, Natalged nga Enclave Hardware a Ramut ti Panagtalek, ken Institusional/Personal a Panagsubli ti Tulbek nga Escrow. -Mapagtalkan a Grupo ti Panagkomputar (TCG) (Internasional): TPM 2.0 nga Espesipikasion ti Biblioteka ken Espesipikasion ti Profile ti Firmware ti Plataforma ti Kliente ti PC.
• GitLab Cryptsetup / LUKS2 Opisial nga Espesipikasion: LUKS2 On-Disk Format nga Espesipikasion, Argon2id PBKDF Memory-Hard Keyslots, ken dagiti Pamay-an ti Panag-backup/Panagtarimaan ti Header.