Blocco della chiave di ripristino della crittografia del disco BitLocker, FileVault e LUKS¶

Visualizzazione di una schermata blu BitLocker Recovery su Windows, una richiesta di accesso FileVault bloccata su macOS o una schermata ** che non rispondecryptsetup la richiesta della passphrase** su una workstation Linux può interrompere il tuo lavoro e la tua vita personale. La crittografia dell'intero disco (FDE) utilizza codici simmetrici di livello militare, in genere AES-128 o AES-256 in modalità XTS, per codificare ogni settore dell'unità a stato solido (SSD) o del disco rigido (HDD). Senza la chiave crittografica Volume Master Key (VMK) o una protezione di crittografia della chiave valida, i dati grezzi sui chip flash NAND sono matematicamente indistinguibili dal rumore casuale.

Tuttavia, una schermata improvvisa della chiave di ripristino raramente significa che l'unità è danneggiata o che la chiave è scomparsa per sempre. La maggior parte dei blocchi BitLocker e FileVault vengono attivati ​​automaticamente quando un aggiornamento di routine del firmware BIOS/UEFI, una modifica del dock Thunderbolt, l'attivazione/disattivazione dell'avvio protetto o una batteria pulsante CMOS scarica alterano i registri di configurazione della piattaforma (PCR) all'interno della scheda madre Trusted Platform Module (TPM 2.0). Anche se non hai mai annotato una chiave di ripristino, puoi spesso ignorare la richiesta ripristinando l'esatta impostazione del firmware UEFI che ha attivato la misurazione TPM o individuando un backup automatico silenzioso della chiave all'interno di un account Microsoft personale, una directory ID Microsoft Entra aziendale o scolastica, un portachiavi iCloud di Apple o una copia shadow del volume non montata.

Fallo adesso¶

1. INTERROMPI prima di fare clic su "Reimposta questo PC", "Cancella Mac" o formattare la partizione. La reinstallazione di Windows, macOS o Linux su una partizione crittografata sovrascrive l'intestazione del volume crittografico (i blocchi di metadati BitLocker, il superblocco del contenitore APFS o l'intestazione JSON LUKS2). Una volta sovrascritta la piccola intestazione dei metadati, anche trovare domani la tua chiave di ripristino valida di 48 cifre non potrà più decrittografare i tuoi file.
2. Scollegare tutte le unità USB esterne, le schede SD, i dock Thunderbolt, gli adattatori HDMI e i controller di gioco, quindi riavviare. Sui sistemi Windows che utilizzano i registri di configurazione della piattaforma TPM 2.0 (in particolare PCR 0, PCR 2, PCR 4 e PCR 7), l'avvio con una chiavetta USB avviabile, un dock Thunderbolt appena collegato con firmware Option ROM o un hub monitor esterno può modificare la misurazione dell'hash pre-avvio. Scollegare ogni periferica ed eseguire frequentemente un riavvio a freddo consente al TPM di rilasciare normalmente la chiave master del volume senza bisogno del codice a 48 cifre.
3. Controlla tutti gli account Microsoft, Apple o aziendali che hai utilizzato su un telefono o laptop secondario. Non dare per scontato di sapere quale account e-mail era attivo quando il laptop è stato aperto per la prima volta. Su Windows, controlla account.microsoft.com/devices/recoverykey tra i tuoi account personali Outlook/Hotmail/Live e controlla aka.ms/myrecoverykey su qualsiasi account Microsoft 365 (Entra ID) aziendale, universitario o client a cui hai effettuato l'accesso all'interno di Microsoft Word, Teams o Impostazioni di Windows.
4. Abbina i primi 8 caratteri dell'"ID chiave" visualizzato sulla schermata bloccata. Una schermata di ripristino di Windows BitLocker visualizza un ID chiave di 32 caratteri (o i primi 8 caratteri esadecimali, ad esempio A1B2C3D4). Se disponi di più chiavi archiviate nel tuo account Microsoft o su vecchi computer, solo la password di ripristino di 48 cifre il cui ID chiave corrisponde esattamente a quegli 8 caratteri sbloccherà questo volume di unità specifico.
5. Ripristina eventuali modifiche recenti al BIOS/UEFI apportate prima del blocco. Se la schermata BitLocker è apparsa immediatamente dopo aver effettuato l'accesso alla configurazione del BIOS per disattivare Secure Boot, attivare CSM (Compatibility Support Module), modificare Intel PTT/AMD fTPM o abilitare Modifiche ordine di avvio, riavviare nel BIOS (F2, F12, O Del) e reimpostare gli esatti commutatori allo stato precedente. Non appena PCR 7 e PCR 0 corrispondono al loro hash crittografico originale, il TPM sbloccherà automaticamente la chiave.
6. Dai priorità alla sicurezza fisica se il blocco si verifica durante un'emergenza o una crisi domestica. Se stai tentando di recuperare cartelle cliniche, documenti finanziari o piani di evacuazione durante una crisi, ricorda che le unità crittografate conservano i dati a tempo indeterminato mentre sono spente. Se affronti una minaccia fisica immediata, lascia l'hardware a portata di mano e chiama il numero di emergenza locale (911 negli Stati Uniti e in Canada, 112 in tutta l'Unione Europea, 999 nel Regno Unito, oppure consulta il nostro numeri di emergenza rubrica).

Valutazione del blocco della crittografia del disco e albero decisionale per il ripristino¶

flowchart TD
    Start["Unità crittografata bloccata: BitLocker, FileVault o prompt LUKS"] --> WhichOS{"Quale sistema operativo e motore di crittografia?"}

    WhichOS -->|"Windows: schermata di ripristino di BitLocker a 48 cifre"| PeriphCheck["Passaggio 1: scollega tutte le unità USB, i dock Thunderbolt e i monitor esterni; riavvio a freddo"]
    PeriphCheck --> StillLocked{"Stai ancora chiedendo la chiave a 48 cifre?"}
    StillLocked -->|"No: avviato normalmente"| BackupNow["Esegui immediatamente 'manage-bde -protectors -get C:' e salva la chiave di 48 cifre offline"]
    StillLocked -->|"Sì"| BIOSCheck{"Hai appena modificato BIOS, Secure Boot, CSM o aggiornato il firmware?"}

    BIOSCheck -->|"Sì"| RevertBIOS["Accedi alla configurazione UEFI: riattiva l'avvio protetto, la modalità di avvio UEFI e Intel PTT/AMD fTPM per ripristinare l'hash PCR 7"]
    BIOSCheck -->|"No"| HuntKey["Passaggio 2: abbina l'ID chiave da 8 caratteri su TUTTI gli account Microsoft personali, l'ID Entra aziendale/scuola, Active Directory e i file USB .BEK/.TXT"]
    RevertBIOS --> HuntKey

    WhichOS -->|"macOS: l'accesso a FileVault rifiuta la password"| ApplePath{"Apple Silicon/T2 Mac contro Intel Mac?"}
    ApplePath -->|"Tutti i Mac"| TestLayout["Passaggio 1: controlla il menu di input in alto a destra nella schermata FileVault per la mancata corrispondenza del layout della tastiera"]
    TestLayout --> FVMethod{"Quale metodo di ripristino è stato abilitato?"}
    FVMethod -->|"Deposito in garanzia dell'account iCloud"| BootRecovery["Avvia su macOS Recovery: autenticati con l'account Apple tramite Recovery Assistant per reimpostare la password"]
    FVMethod -->|"Chiave di ripristino personale (PRK) o MDM di 24 caratteri"| EnterPRK["Inserisci la chiave XXXX-XXXX-XXXX-XXXX-XXXX-XXXX in Recovery Assistant o richiedi la chiave di deposito istituzionale all'IT"]

    WhichOS -->|"Linux: LUKS / cryptsetup Passphrase rifiutata"| LUKSPath["Passaggio 1: passare alla shell initramfs o avviare Live USB; controlla il layout della tastiera nella console"]
    LUKSPath --> LUKSHeader{"Gli slot delle chiavi sono intatti in 'cryptsetup luksDump'?"}
    LUKSHeader -->|"Sì: slot per chiavi attivo"| TestPass["Testare gli slot delle chiavi secondari (slot 1-7), il token FIDO2/TPM2 o eseguire la modalità hashcat 29500 rispetto al backup dell'intestazione"]
    LUKSHeader -->|"No: intestazione danneggiata"| RestoreHeader["Ripristina l'intestazione LUKS da '--header-backup-file' o scansiona il disco per verificare i metadati sopravvissuti"]

Comprensione della crittografia dell'intero disco e della sigillatura TPM 2.0¶

Né Windows BitLocker, Apple FileVault 2, né Linux dm-crypt /LUKS crittografa il tuo SSD direttamente con la tua password di accesso o chiave di ripristino. Invece, tutte e tre le piattaforme utilizzano una gerarchia di chiavi a due livelli:

1. La chiave master del volume (VMK)/Chiave di crittografia del volume completo (FVEK): una chiave casuale hardware (128 bit, 256 bit o 512 bit) crittografa e decrittografa i settori del disco effettivi al volo.
2. Key Protector/Keyslot (KEK): la chiave principale del volume viene protetta utilizzando Key Encryption Keys (KEK) indipendenti, chiamate Key Protectors in BitLocker, Key Bag in Apple APFS e Keyslot in Linux LUKS.
3. Perché il sigillo TPM 2.0 ti blocca fuori su Windows: su Windows 10 e 11, la protezione della chiave primaria è il chip Trusted Platform Module (TPM 2.0) (silicio o firmware discreti Intel PTT/AMD fTPM). Quando BitLocker sigilla la chiave master del volume nel TPM, associa la chiave a specifici registri di configurazione della piattaforma (PCR):
4. PCR 0: esegue l'hashing del firmware di sistema UEFI/BIOS core.
5. PCR 2: hash del codice ROM opzionale hardware esterno collegabile (dock Thunderbolt, schede RAID, GPU esterne).
6. PCR 4: esegue l'hashing del boot manager (bootmgfw.efi) e lo stato dell'ordine di avvio.
7. PCR 7: hash criteri Secure Boot e UEFI db / dbx database di certificati.
8. PCR 11: hash dei componenti di controllo dell'accesso BitLocker.

Ogni volta che si preme il pulsante di accensione, la scheda madre misura questi componenti del firmware prima del caricamento di Windows. Se un singolo bit in PCR 0, PCR 2, PCR 4 o PCR 7 differisce dal valore registrato quando BitLocker è stato sigillato, il TPM rifiuta di rilasciare la chiave master del volume e forza Windows Boot Manager a visualizzare la schermata Chiave di ripristino BitLocker a 48 cifre.

Confronto tra architetture di crittografia dell'intero disco e meccanismi di ripristino¶

Parte 1: risoluzione dei blocchi di ripristino di Windows BitLocker¶

Quando il tuo PC Windows si ferma su "BitLocker: inserisci la chiave di ripristino per questa unità" (o l'ambiente di ripristino di Windows richiede una chiave prima di consentire l'accesso al prompt dei comandi o alla modalità provvisoria), segui queste due tracce parallele: la traccia A tenta di convincere il TPM a sbloccare l'unità senza bisogno della chiave e la traccia B ricerca la chiave di 48 cifre in ogni posizione di archiviazione digitale e locale.

Traccia A: ignorare la richiesta di BitLocker senza una chiave di ripristino (ripristino dello stato PCR TPM)¶

Se non hai cancellato manualmente il TPM o spostato l'SSD NVMe in una nuova scheda madre, la chiave master del volume è ancora all'interno del chip TPM 2.0. Si rifiuta di sbloccarsi perché è stata modificata una misurazione PCR pre-avvio. Prova questi ripristini hardware e firmware non distruttivi nell'ordine:

1. Scollegare tutto l'hardware e i dock esterni:
2. Spegni completamente il computer (tieni premuto il pulsante di accensione per 10 secondi).
3. Scollega ogni unità flash USB, disco rigido esterno, hub USB-C, docking station Thunderbolt, scheda SD e cavo per monitor esterno.
4. Scollega il caricabatterie CA per 15 secondi, collega il caricabatterie nativo direttamente al laptop e accendilo. I dock Thunderbolt e gli hub USB-C spesso contengono ROM opzionali di avvio di rete PXE interna o display che si estendono a PCR 2 e PCR 4, invalidando lo stato del TPM.
5. Ripristina l'avvio protetto e la modalità di avvio UEFI nella configurazione del BIOS:
6. Riavviare e premere il tasto BIOS della scheda madre (F2 su Dell/ASUS/Lenovo/Acer, F10 su HP, Del su schede desktop).
7. Se Secure Boot è stato recentemente modificato da Abilitato a Disabilitato, reimpostalo su Abilitato (modalità standard) e salva le modifiche. Al contrario, se un aggiornamento del BIOS ha impostato Secure Boot su Abilitato, prova a impostarlo su Disabilitato una volta.
8. Conferma che la modalità di avvio è impostata su Solo UEFI (disabilita Legacy/CSM) e conferma che Windows Boot Manager è la prima opzione di avvio.
9. Verificare che Intel PTT o AMD fTPM sia abilitato (non fare mai clic su "Cancella TPM"):
10. Dopo una batteria CMOS scarica o un ripristino del BIOS, le schede madri a volte disabilitano il firmware TPM (Intel Platform Trust Technology o AMD CPU fTPM). Vai alla scheda Sicurezza o Trusted Computing nel BIOS e conferma che Lo stato TPM 2.0 sia Abilitato.
11. Avviso: non selezionare mai "Cancella TPM" o "Cancella fTPM NV" nel BIOS. La cancellazione del TPM distrugge permanentemente la chiave root di archiviazione interna nel chip di silicio, rendendo obbligatoria la chiave di ripristino di 48 cifre.
12. Ripristina un aggiornamento della capsula BIOS difettosa:
13. Sui laptop Dell, tieni premuto Ctrl + Esc mentre si collega l'alimentazione CA per avviare il menu Dell BIOS Recovery e selezionare Rollback BIOS. Sui laptop HP, tieni premuto Win + B tenendo premuto il pulsante di accensione per 2 secondi per attivare il rollback del BIOS HP Sure Start.

Traccia B: ricerca esaustiva della chiave di ripristino BitLocker da 48 cifre¶

Se non è possibile ripristinare il TPM (o se hai spostato l'SSD in un contenitore USB esterno), devi fornire la password di ripristino numerica di 48 cifre (XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX) o a .BEK file della chiave di avvio. Annotare i primi 8 caratteri dell'ID chiave mostrato sullo schermo (ad esempio, Key ID: 4F8A9C12) e controlla queste sei posizioni:

1. Account Microsoft personali (account.microsoft.com/devices/recoverykey)¶

Visita https://account.microsoft.com/devices/recoverykey (O https://aka.ms/myrecoverykey) su un telefono o un computer secondario. - Controlla ogni account storico: Device Encryption esegue il backup della chiave dell'account Microsoft utilizzato per la prima volta quando il PC è stato estratto dalla confezione, anche se in seguito sei passato a un accesso locale. Accedi e prova tutto vecchio @hotmail.com, @live.com, @outlook.como collegati @gmail.com account, più l'account di qualsiasi coniuge, genitore o tecnico che ha contribuito a configurare il PC o ha effettuato l'accesso a Microsoft Office o Xbox Game Pass su quel computer.

2. ID Entra aziendale, scolastico o universitario/Azure AD (myaccount.microsoft.com)¶

Anche su un portatile personale, se hai effettuato l'accesso alle app Microsoft 365 (Word, Excel, Teams) con un indirizzo e-mail aziendale, universitario o del cliente e hai lasciato selezionato "Consenti alla mia organizzazione di gestire il mio dispositivo", Windows ha depositato automaticamente la chiave di ripristino di BitLocker nel tenant Microsoft Entra ID dell'organizzazione: 1. Visita https://myaccount.microsoft.com/device-list e accedi con la tua email aziendale o scolastica. 2. Seleziona il nome del tuo computer e fai clic su Visualizza chiavi BitLocker. 3. Se il tuo account di lavoro o della scuola è già disabilitato, chiama l'Help Desk IT dell'organizzazione e fornisci il tuo ID chiave di 8 caratteri. Gli amministratori possono recuperare le chiavi per gli account disattivati in Dispositivi > Tutti i dispositivi > Chiavi di ripristino in entra.microsoft.com.

3. Active Directory aziendale locale (msFVE-RecoveryInformation)¶

Se il computer è stato aggiunto a un dominio Active Directory, un amministratore di dominio può cercare la chiave tramite l'ID chiave di 8 caratteri utilizzando PowerShell:

Get-ADObject -Filter {objectClass -eq 'msFVE-RecoveryInformation'} -Properties msFVE-RecoveryPassword, whenCreated |
  Where-Object { $_.Name -like "*4F8A9C12*" } | Select-Object Name, msFVE-RecoveryPassword, whenCreated

4. File di testo automatizzati o manuali su unità flash USB e unità cloud¶

Quando Windows salva una chiave di ripristino in un file o in un'unità USB, assegna un nome al file BitLocker Recovery Key [GUID].txt o salva un file nascosto .BEK file (attrib +h +s). Esegui questa ricerca di PowerShell su tutte le unità USB, i dischi rigidi esterni, le cartelle OneDrive, Google Drive e Dropbox su un altro PC:

Get-PSDrive -PSProvider FileSystem | ForEach-Object {
    Get-ChildItem -Path $_.Root -Include "*BitLocker*Recovery*Key*.txt", "*.bek" -Recurse -Force -ErrorAction SilentlyContinue
} | Select-Object FullName, LastWriteTime

5. Estrazione della chiave per un'unità dati secondaria (D:) da un sbloccato C: Partizione¶

Se C: si avvia normalmente e solo un'unità secondaria D: è bloccato, aprire una finestra di PowerShell dell'amministratore su C: e corri manage-bde -protectors -get D: per vedere se C: contiene ancora la chiave di registro di sblocco automatico o controlla le copie shadow del volume precedenti del tuo Documents cartella per eliminati BitLocker Recovery Key *.txt file.

6. Cronologia dello spooler di stampa e stampe PDF/OneNote¶

Se hai fatto clic su "Stampa la chiave di ripristino" durante la configurazione, controlla Microsoft OneNote e cerca il tuo file Documents cartella per .pdf o .xps file creati tramite "Microsoft Print to PDF".

Traccia C: sblocco e decrittografia di un'unità BitLocker dal prompt dei comandi WinRE (manage-bde)¶

Se digitando la password di ripristino di 48 cifre nella schermata blu si torna a BitLocker al successivo riavvio o si arresta in modo anomalo Windows, sbloccare e sospendere BitLocker dal Ambiente ripristino Windows (WinRE) Prompt dei comandi:

1. Premi Escnella schermata BitLocker, quindi fare clic su Salta questa unità -> Risoluzione dei problemi -> Opzioni avanzate -> Prompt dei comandi.
2. Controlla lo stato e sblocca il volume del sistema operativo (C:):

   manage-bde -status
   manage-bde -unlock C: -RecoveryPassword 123456-123456-123456-123456-123456-123456-123456-123456
   

   (Oppure sblocca utilizzando un file binario .BEK file su una chiavetta USB mappata come F: tramite manage-bde -unlock C: -RecoveryKey "F:\key.BEK").
3. Sospendere le protezioni in modo che la richiesta non venga restituita al successivo riavvio:

   manage-bde -protectors -disable C:
   

   Riavvia in Windows, quindi esegui manage-bde -protectors -enable C: in un prompt dei comandi con privilegi elevati per sigillare nuovamente la chiave master del volume rispetto ai nuovi hash UEFI PCR.
4. Se Windows non si avvia, copia i file o decriptali completamente:

   robocopy C:\Users\YourUsername F:\RescueBackup /E /ZB /R:1 /W:1 /XJ
   manage-bde -off C:
   

Traccia D: montaggio di un SSD BitLocker su Linux (dislocker / cryptsetup) per il salvataggio dei file¶

Se la tua scheda madre Windows è morta, posiziona l'SSD M.2 NVMe o SATA in un contenitore USB-C esterno (che misura circa 10 centimetri per 3 centimetri o 4 pollici per 1,2 pollici) e sbloccalo su qualsiasi PC Linux o Ubuntu Live USB:

# Method 1: Modern cryptsetup (v2.3+ natively supports BITLOCKER volumes)
sudo cryptsetup open --type bitlocker /dev/nvme0n1p3 bitlocker_unlocked
# Type the 48-digit recovery key INCLUDING hyphens when prompted
sudo mkdir -p /mnt/windows_data
sudo mount -t ntfs3 -o ro /dev/mapper/bitlocker_unlocked /mnt/windows_data

# Method 2: Using dislocker
sudo apt update && sudo apt install -y dislocker ntfs-3g
sudo mkdir -p /mnt/dislocker_raw /mnt/windows_rescue
sudo dislocker -V /dev/nvme0n1p3 -p123456-123456-123456-123456-123456-123456-123456-123456 -- /mnt/dislocker_raw
sudo mount -t ntfs-3g -o loop,ro /mnt/dislocker_raw/dislocker-file /mnt/windows_rescue

Parte 2: risoluzione dei blocchi di Apple macOS FileVault 2 e Secure Enclave¶

Su macOS (da High Sierra a macOS Sequoia e versioni successive), FileVault 2 crittografa l'intero volume APFS (Apple File System). Sui Mac con Apple Silicon (M1, M2, M3, M4) o Chip di sicurezza Apple T2, il volume viene effettivamente sempre crittografato quando è inattivo utilizzando le chiavi hardware all'interno del Secure Enclave Processor (SEP). L'attivazione di FileVault racchiude la chiave di crittografia del volume (VEK) hardware con una chiave di crittografia della chiave (KEK) derivata dalla password di accesso a macOS e dalla chiave di ripristino di FileVault.

Poiché FileVault richiede la decrittografia del volume APFS prima che macOS venga caricato dal disco, la prima schermata che vedi quando accendi un Mac abilitato per FileVault non è la normale finestra di accesso di macOS, è la schermata di sblocco EFI/iBoot di FileVault pre-avvio.

Passaggio 1: escludere la causa n. 1 dei blocchi improvvisi di FileVault (layout di tastiera pre-avvio e tastiere esterne)¶

Prima di dare per scontato che la tua password sia stata danneggiata o di avviare un ripristino, controlla queste tre stranezze di preavvio che causano la vibrazione e il rifiuto di password valide nella schermata di avvio di FileVault:

1. Interruttore del menu di input da tastiera pre-avvio: la schermata FileVault di pre-avvio utilizza un driver della tastiera firmware ridotto che spesso viene impostato per impostazione predefinita su U.S. QWERTY (o ABC) anche se hai digitato la password utilizzando un layout britannico, tedesco (QWERTZ), francese (AZERTY) o Dvorak all'interno di macOS. Guarda l'angolo in alto a destra della schermata di accesso di FileVault, fai clic sull'icona del menu Immissione da tastiera e seleziona il layout di tastiera esatto.
2. Temporizzazioni tastiera Bluetooth e Bloc Num: le tastiere Bluetooth di terze parti spesso perdono i primi due tasti premuti quando si attivano nella schermata di preavvio o non dispongono di indicatori di stato del Bloc Num. Collega una tastiera USB cablata direttamente al Mac (o utilizza la tastiera integrata del MacBook) e digita lentamente.
3. Più utenti amministratori sullo stesso Mac: in FileVault, ogni account utente macOS autorizzato dispone del proprio token crittografico indipendente nella borsa delle chiavi APFS (diskutil apfs listCryptoUsers /). Se il tuo account vacilla e fallisce, fai clic su un'altra icona dell'utente amministratore nella schermata FileVault e accedi con la password. Una volta entrato in macOS, l'amministratore può reimpostare la tua password in Impostazioni di sistema > Utenti e gruppi.

Passaggio 2: sblocco di FileVault tramite account Apple (iCloud) o chiave di ripristino personale di 24 caratteri¶

Se la password continua a non funzionare nella schermata di accesso di FileVault:

1. Attendi la richiesta di ripristino: dopo aver digitato una password errata per tre volte nella schermata di accesso di FileVault, macOS visualizza le opzioni per reimpostare utilizzando il tuo account Apple o inserire la chiave di ripristino.
2. Oppure avvia direttamente in macOS Recovery (Recovery Assistant):
3. Apple Silicon Mac (M1/M2/M3/M4): spegni completamente, quindi tieni premuto il pulsante di accensione (Touch ID) per 10 secondi finché non viene visualizzato "Caricamento delle opzioni di avvio...", fai clic su Opzioni, quindi fai clic su Continua.
4. Mac Intel: accendi il Mac e tieni premuto Command (⌘) + R finché non viene visualizzato il logo Apple.
5. All'interno del Reset Password Finestra Assistente ripristino:
6. Connettiti al Wi-Fi nell'angolo in alto a destra dello schermo o collega Ethernet.
7. Opzione A (impegno dell'account Apple): se hai abilitato il ripristino di iCloud, seleziona Hai dimenticato tutte le password? -> Accedi con l'account Apple. Inserisci l'e-mail, la password e il codice 2FA a 6 cifre del tuo account Apple (se hai perso il telefono, consulta il nostro Blocco MFA e ripristino dell'autenticatore guida) per sbloccare il volume APFS e impostare una nuova password.
8. Opzione B (chiave di ripristino personale di 24 caratteri): seleziona Inserisci chiave di ripristino FileVault e digita il codice alfanumerico di 24 caratteri (XXXX-XXXX-XXXX-XXXX-XXXX-XXXX).
9. Opzione C (impegno MDM aziendale/universitario): se il tuo Mac è gestito tramite Jamf Pro, Kandji, Mosyle o Microsoft Intune, chiama l'help desk IT con il numero di serie del tuo Mac in modo che possano leggerti la chiave di ripristino FileVault di 24 caratteri depositata in deposito.

Passaggio 3: sbloccare manualmente un volume APFS FileVault dal Terminale (diskutil apfs unlockVolume)¶

Se il Recovery Assistant grafico non riesce a montare l'unità, apri Utilità -> Terminale all'interno di macOS Recovery e sblocca manualmente il volume APFS:

# 1. List all APFS containers and encrypted volumes to find the Volume Identifier (e.g., disk3s5)
diskutil apfs list

# 2. List all cryptographic users (UUIDs) authorized to unlock that APFS volume
diskutil apfs listCryptoUsers /dev/disk3s5

# 3. Unlock the APFS volume using either your user password OR your 24-character Recovery Key:
diskutil apfs unlockVolume /dev/disk3s5 -passphrase "YOUR-XXXX-XXXX-XXXX-XXXX-XXXX-KEY"

# 4. Copy critical files from '/Volumes/Macintosh HD - Data' to an external USB drive:
cp -Rv "/Volumes/Macintosh HD - Data/Users/yourusername/Documents" "/Volumes/ExternalUSB/Backup/"

Parte 3: Risoluzione di Linux LUKS (dm-crypt / cryptsetup) blocchi di crittografia¶

Le distribuzioni Linux (Ubuntu, Fedora, Debian, Arch Linux, Red Hat Enterprise Linux, Pop._OS e Qubes OS) si basano su LUKS (Linux Unified Key Setup), tipicamente LUKS2, gestito da cryptsetup e dm-crypt. Quando una macchina Linux entra in un file (initramfs) o dracut conchiglia che dicecryptsetup failed, bad password or options, segui questi quattro passaggi:

Passaggio 1: verifica la mappa dei tasti della console rispetto al layout della tastiera grafica¶

Durante il preavvio initramfs fase, il sistema utilizza la mappatura dei tasti della console Linux (/etc/vconsole.conf), che spesso il valore predefinito è us anche se hai configurato un layout di programmazione britannico, tedesco, francese o personalizzato all'interno di GNOME o KDE. Avvia un Linux Live USB, apri un terminale grafico in cui puoi digitare la tua passphrase in modo visibile in un editor di testo per verificare ogni carattere e sbloccare l'unità da Live USB:

lsblk -f
sudo cryptsetup luksOpen /dev/nvme0n1p3 my_encrypted_root

Passaggio 2: ispezionare l'intestazione LUKS e controllare gli slot delle chiavi secondarie (cryptsetup luksDump)¶

LUKS1 supporta 8 Keyslot indipendenti (da 0 a 7) e LUKS2 supporta fino a 32 Keyslot (da 0 a 31), più hardware Token (systemd-tpm2 o systemd-fido2). Ispeziona l'intestazione senza modificare nulla sul disco:

sudo cryptsetup luksDump /dev/nvme0n1p3

sudo systemd-cryptenroll --wipe-slot=tpm2 --tpm2-device=auto --tpm2-pcrs=7 /dev/nvme0n1p3

Passaggio 3: ripristino da un'intestazione LUKS2 danneggiata o sovrascritta¶

In LUKS, tutti gli slot delle chiavi risiedono nei primi 2 megabyte (LUKS1) o 16 megabyte (LUKS2) della partizione. Se cryptsetup luksDump dice not a valid LUKS device, procedi nel seguente modo:

1. Immagina i primi 32 MB prima di toccare qualsiasi cosa:

   sudo dd if=/dev/nvme0n1p3 of=~/damaged_luks_first32mb.img bs=1M count=32 status=progress
   

2. Tentativo di riparazione automatica dei metadati JSON secondari di LUKS2 (cryptsetup repair):
3. LUKS2 archivia due copie ridondanti dei metadati dell'intestazione binaria e JSON all'offset 0x0000 e compensare 0x4000 (16KB). Se solo la copia primaria al byte 0 fosse danneggiata, sudo cryptsetup repair /dev/nvme0n1p3 lo ricostruisce da 0x4000.
4. Ripristina da un backup di intestazione LUKS salvato (luksHeaderRestore):
5. Sblocca in modo non distruttivo utilizzando un file di backup dell'intestazione esterno:

   sudo cryptsetup luksOpen --header /path/to/luks-header.bak /dev/nvme0n1p3 rescued_volume
   

Passaggio 4: testare le passphrase parzialmente ricordate con hashcat¶

Sebbene non sia possibile applicare la forza bruta a una chiave di ripristino BitLocker casuale di 48 cifre o a una chiave di ripristino Apple di 24 caratteri (\(2^{128}\) bit di entropia), puoi può testare variazioni di una passphrase LUKS scelta da un essere umano o di una password utente personalizzata BitLocker se ricordi le parole di base:

# For Linux LUKS2 (mode 29500) or LUKS1 (mode 14600):
sudo dd if=/dev/nvme0n1p3 of=luks_header.bin bs=1M count=16
hashcat -m 29500 luks_header.bin my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

# For BitLocker protected by a custom User Password (mode 22100):
bitlocker2john -i /dev/nvme0n1p3 | grep "\$bitlocker\$0\$" > user_pass.hash
hashcat -m 22100 user_pass.hash my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

Prevenzione: come creare subito un backup con crittografia del disco a prova di blocco¶

Nel momento in cui riacquisti l'accesso al tuo computer (o a qualsiasi altro computer che possiedi oggi), trascorri cinque minuti eseguendo questi comandi in modo che un guasto della scheda madre o un aggiornamento del firmware non possano mai più intrappolare i tuoi file:

1. Su Windows (esporta la chiave di ripristino BitLocker e fai una pausa prima degli aggiornamenti del BIOS)¶

Apri un PowerShell di amministratore o un prompt dei comandi ed esporta la tua attuale password di ripristino di 48 cifre:

# Display all BitLocker recovery keys and Key IDs across all drives
Get-BitLockerVolume | Select-Object MountPoint, VolumeStatus, -ExpandProperty KeyProtector |
  Where-Object { $_.KeyProtectorType -eq 'RecoveryPassword' } |
  Select-Object MountPoint, KeyProtectorId, RecoveryPassword

2. Su macOS (verifica o ruota la chiave di ripristino di FileVault)¶

Apri Terminale e controlla chi è autorizzato a sbloccare il disco di avvio APFS:

sudo fdesetup status
diskutil apfs listCryptoUsers /

sudo fdesetup changerecovery -personal

3. Su Linux (esegui il backup dell'intestazione LUKS e registra un Keyslot di fallback)¶

Conserva sempre una copia dell'intestazione LUKS da 16 megabyte su una chiavetta USB esterna e registra una passphrase di ripristino stampata di 64 caratteri nel Keyslot 1:

# 1. Back up the binary LUKS header to an external USB drive
sudo cryptsetup luksHeaderBackup /dev/nvme0n1p3 --header-backup-file /media/usb/luks-header-nvme0n1p3.bak

# 2. Add an independent emergency recovery passphrase into Keyslot 1
sudo cryptsetup luksAddKey --key-slot 1 /dev/nvme0n1p3

Elenco di controllo per la preparazione alle emergenze della crittografia¶

• Esporta la tua chiave di ripristino BitLocker da 48 cifre (incluso il suo ID chiave da 8 caratteri) e archiviala nel tuo gestore delle password e stampato su carta all'interno di una cassaforte ignifuga ad almeno 1,5 metri (5 piedi) sopra il livello del pavimento.
• Stampa o salva la tua chiave di ripristino macOS FileVault da 24 caratteri insieme alla chiave di ripristino da 28 caratteri del tuo account Apple.
• Eseguire il backup dell'intestazione Linux LUKS da 16 megabyte (cryptsetup luksHeaderBackup) su un'unità USB offline in modo che una sovrascrittura accidentale della partizione non possa distruggere tutti gli slot delle chiavi.
• Mantenere un sistema indipendente e automatizzato Backup del computer 3-2-1 in modo che anche la morte catastrofica del controller SSD o la chiave di crittografia dimenticata non distrugga mai le tue foto, i documenti fiscali o il codice sorgente insostituibili.

Domande frequenti¶

Guide correlate¶

• Schermata blu di Windows (BSOD) e riparazione dell'avvio
• Panico del kernel macOS, schermata nera e ripristino
• Errore di avvio del sistema Linux e riparazione di GRUB
• Blocco del gestore password e ripristino del vault di emergenza
• Guasto del disco rigido e ripristino dei dati
• Backup del computer: strategia 3-2-1 e disaster recovery
• Rubrica dei numeri di emergenza

Fonti controllate¶

• National Institute of Standards and Technology (NIST) (Stati Uniti): Pubblicazione speciale NIST 800-111: Guida alle tecnologie di crittografia dello storage per dispositivi utente finale e FIPS 197 (AES-XTS).
• Documentazione ufficiale di Microsoft Learn: Panoramica sul ripristino di BitLocker, profilo di convalida dei registri di configurazione della piattaforma TPM (PCR 0-11) e manage-bde Riferimento alla riga di comando.
• Guida alla sicurezza della piattaforma Apple: Crittografia del volume con FileVault, key bag APFS, root of trust hardware Secure Enclave e deposito di chiavi di ripristino istituzionale/personale. -Trusted Computing Group (TCG) (internazionale): Specifica della libreria TPM 2.0 e specifica del profilo firmware della piattaforma client PC.
• Specifiche ufficiali GitLab Cryptsetup / LUKS2: Specifica del formato su disco LUKS2, slot per chiavi rigide in memoria Argon2id PBKDF e procedure di backup/riparazione dell'intestazione.