BitLocker, FileVault, និង LUKS Disk Encryption Recovery Key Lockout¶

លេខអាសន្នខុសគ្នាតាមប្រទេស. ទំព័រនេះប្រើលេខ 911 ដែលជាលេខសម្រាប់សហរដ្ឋអាមេរិក និងកាណាដា។ ប្រទេសជាច្រើនទៀតប្រើលេខ 112, 999 ឬលេខផ្សេងទៀត។ ស្វែងរកលេខសម្រាប់ប្រទេសរបស់អ្នក។.

ឃើញអេក្រង់ BitLocker Recovery ពណ៌ខៀវនៅលើ Windows, ចាក់សោ FileVault login prompt នៅលើ macOS ឬមិនឆ្លើយតប cryptsetup ប្រអប់បញ្ចូលពាក្យសំងាត់ នៅលើស្ថានីយការងារលីនុចអាចនាំឱ្យការងារ និងជីវិតផ្ទាល់ខ្លួនរបស់អ្នកត្រូវបញ្ឈប់។ ការអ៊ិនគ្រីបថាសពេញ (FDE) ប្រើស៊ីមេទ្រីស៊ីមេទ្រីថ្នាក់យោធា ជាធម្មតា AES-128 ឬ AES-256 ក្នុង របៀប XTS ដើម្បីវាយលុកគ្រប់វិស័យនៃដ្រាយរដ្ឋរឹងរបស់អ្នក (SSD) ឬថាសរឹង (HDD)។ បើគ្មាន cryptographic Volume Master Key (VMK) ឬឧបករណ៍ការពារការអ៊ិនគ្រីបសោត្រឹមត្រូវ ទិន្នន័យឆៅនៅលើ NAND flash chips គឺមិនអាចបែងចែកតាមគណិតវិទ្យាពីសំលេងរំខានចៃដន្យបានទេ។

ទោះជាយ៉ាងណាក៏ដោយ អេក្រង់គ្រាប់ចុចសង្គ្រោះភ្លាមៗកម្រមានន័យថាដ្រាយរបស់អ្នកខូច ឬសោរបស់អ្នកបានបាត់ជារៀងរហូត។ ការចាក់សោរ BitLocker និង FileVault ភាគច្រើនត្រូវបានបង្កឡើងដោយស្វ័យប្រវត្តិ នៅពេលដែលការអាប់ដេតកម្មវិធីបង្កប់ BIOS/UEFI ជាប្រចាំ ការផ្លាស់ប្តូរ Thunderbolt dock, Secure Boot toggle ឬថ្មក្រឡាកាក់ CMOS ដែលងាប់ផ្លាស់ប្តូរការចុះបញ្ជីការកំណត់រចនាសម្ព័ន្ធវេទិកា (PCRs) នៅខាងក្នុង motherboard របស់អ្នក ** ម៉ូឌុលវេទិកាដែលអាចទុកចិត្តបាន (0**. * 2) ។ ទោះបីជាអ្នកមិនដែលសរសេរសោសង្គ្រោះក៏ដោយ ជារឿយៗអ្នកអាចរំលងការជម្រុញដោយត្រឡប់ការកំណត់កម្មវិធីបង្កប់ UEFI ពិតប្រាកដដែលបង្កើនល្បឿនការវាស់វែង TPM ឬដោយកំណត់ទីតាំងការបម្រុងទុកដោយស្វ័យប្រវត្តិដោយស្ងៀមស្ងាត់នៃកូនសោរបស់អ្នកនៅក្នុងគណនី Microsoft ផ្ទាល់ខ្លួន កន្លែងធ្វើការ ឬសាលារៀន ថតឯកសារ Microsoft Entra ID កូនសោ Apple iCloud ឬច្បាប់ចម្លងស្រមោលកម្រិតសំឡេងដែលមិនបានភ្ជាប់។

ធ្វើដូចនេះឥឡូវនេះ¶

ឈប់សិនមុននឹងចុច "កំណត់កុំព្យូទ័រនេះឡើងវិញ" "Erase Mac" ឬធ្វើទ្រង់ទ្រាយភាគថាស។ ការដំឡើង Windows, macOS ឬ Linux ឡើងវិញនៅលើភាគថាសដែលបានអ៊ិនគ្រីបសរសេរជាន់លើបឋមកថាកម្រិតសំឡេងគ្រីប (ប្លុកទិន្នន័យមេតារបស់ BitLocker, ប្លុកធុង APFS superblock ឬ LUKS2 JSON header) ។ នៅពេលដែលបឋមកថាទិន្នន័យមេតាតូចនោះត្រូវបានសរសេរជាន់ពីលើ សូម្បីតែការស្វែងរកលេខសោសង្គ្រោះ 48 ខ្ទង់ត្រឹមត្រូវរបស់អ្នកនៅថ្ងៃស្អែកនឹងលែងឌិគ្រីបឯកសាររបស់អ្នកទៀតហើយ។
** ដកឌុយ USB ខាងក្រៅទាំងអស់ កាត SD, Thunderbolt docks, អាដាប់ទ័រ HDMI និងឧបករណ៍បញ្ជាហ្គេម បន្ទាប់មកចាប់ផ្ដើមឡើងវិញ។** នៅលើប្រព័ន្ធ Windows ដោយប្រើ TPM 2.0 Platform Configuration Registers (ជាពិសេស PCR 0, PCR 2, PCR 4, និង PCR 7) ការចាប់ផ្ដើមជាមួយ ROM ដែលអាចចាប់ផ្ដើមបានជាមួយ Thickware ថ្មីដែលភ្ជាប់ជាមួយ USB ឬមជ្ឈមណ្ឌលម៉ូនីទ័រខាងក្រៅអាចផ្លាស់ប្តូររង្វាស់ហាសមុនពេលចាប់ផ្ដើម។ ការដកគ្រឿងបរិក្ខារនីមួយៗ និងដំណើរការការបិទបើកឡើងវិញជាញឹកញាប់អនុញ្ញាតឱ្យ TPM បញ្ចេញ Volume Master Key ជាធម្មតាដោយមិនត្រូវការលេខកូដ 48 ខ្ទង់។
ពិនិត្យមើលរាល់គណនី Microsoft, Apple ឬសាជីវកម្ម ដែលអ្នកធ្លាប់ប្រើនៅលើទូរសព្ទបន្ទាប់បន្សំ ឬកុំព្យូទ័រយួរដៃ។ កុំសន្មត់ថាអ្នកដឹងថាគណនីអ៊ីមែលណាមួយសកម្ម នៅពេលដែលកុំព្យូទ័រយួរដៃត្រូវបានដោះប្រអប់ដំបូង។ នៅលើ Windows សូមពិនិត្យមើល account.microsoft.com/devices/recoverykey ឆ្លងកាត់គណនី Outlook/Hotmail/Live ផ្ទាល់ខ្លួនរបស់អ្នក ហើយពិនិត្យមើល aka.ms/myrecoverykey នៅលើគណនីការងារ សាកលវិទ្យាល័យ ឬអតិថិជន Microsoft 365 (Entra ID) ដែលអ្នកធ្លាប់បានចូលនៅក្នុង Microsoft Word, Teams ឬ Windows Settings។
** ផ្គូផ្គងតួអក្សរ 8 ដំបូងនៃ "លេខសម្គាល់គន្លឹះ" ដែលបង្ហាញនៅលើអេក្រង់ចាក់សោរបស់អ្នក។** អេក្រង់ស្ដារ Windows BitLocker បង្ហាញ 32 តួអក្សរ លេខសម្គាល់គន្លឹះ (ឬតួអក្សរគោលដប់ប្រាំមួយ 8 ដំបូងដូចជា A1B2C3D4) ប្រសិនបើអ្នកមានសោជាច្រើនដែលរក្សាទុកក្នុងគណនី Microsoft របស់អ្នក ឬនៅលើកុំព្យូទ័រចាស់ មានតែពាក្យសម្ងាត់សង្គ្រោះ 48 ខ្ទង់ដែលលេខសម្គាល់កូនសោត្រូវនឹងតួអក្សរទាំង 8 ពិតប្រាកដនឹងដោះសោបរិមាណដ្រាយជាក់លាក់នេះ។
ត្រឡប់ការផ្លាស់ប្តូរ BIOS/UEFI ថ្មីៗដែលបានធ្វើឡើងមុនការចាក់សោរ។ ប្រសិនបើអេក្រង់ BitLocker លេចឡើងភ្លាមៗបន្ទាប់ពីអ្នកបានបញ្ចូលការកំណត់ BIOS ដើម្បីបិទ Secure Boot បិទបើក CSM (Compatibility Support Module) ផ្លាស់ប្តូរ Intel PTT/AMD fTPM ឬបើក ការផ្លាស់ប្ដូរលំដាប់ចាប់ផ្ដើម ចាប់ផ្ដើមចូលទៅក្នុង BIOS (F2, F12, ឬ Del) ហើយកំណត់បិទបើកពិតប្រាកដទាំងនោះត្រឡប់ទៅស្ថានភាពមុនរបស់ពួកគេ។ ដរាបណា PCR 7 និង PCR 0 ផ្គូផ្គងលេខកូដគ្រីបដើមរបស់ពួកគេ TPM នឹងដកសោដោយស្វ័យប្រវត្តិ។
ផ្តល់អាទិភាពដល់សុវត្ថិភាពរាងកាយ ប្រសិនបើការចាក់សោរកើតឡើងក្នុងអំឡុងពេលមានអាសន្ន ឬវិបត្តិក្នុងស្រុក។ ប្រសិនបើអ្នកកំពុងព្យាយាមទាញយកកំណត់ត្រាវេជ្ជសាស្ត្រ ឯកសារហិរញ្ញវត្ថុ ឬផែនការជម្លៀសខ្លួនក្នុងអំឡុងពេលមានវិបត្តិ សូមចងចាំថាដ្រាយដែលបានអ៊ិនគ្រីបរក្សាទិន្នន័យដោយគ្មានកំណត់ពេលបិទ។ ប្រសិនបើអ្នកប្រឈមមុខនឹងការគម្រាមកំហែងរាងកាយជាបន្ទាន់ សូមទុកផ្នែករឹងចោល ហើយទូរស័ព្ទទៅលេខសង្គ្រោះបន្ទាន់ក្នុងតំបន់របស់អ្នក (911 នៅសហរដ្ឋអាមេរិក និងកាណាដា 112 នៅទូទាំងសហភាពអឺរ៉ុប 999 នៅចក្រភពអង់គ្លេស ឬមើលរបស់យើង លេខសង្គ្រោះបន្ទាន់ ថត) ។

កុំដំណើរការ chkdsk, fsck ឬឧបករណ៍ជួសជុលភាគថាសនៅលើភាគដែលបានអ៊ិនគ្រីបដោយមិនដោះសោវាជាមុន

ការដំណើរការឧបករណ៍ជួសជុលថាសដោយផ្ទាល់ប្រឆាំងនឹងភាគថាសដែលបានចាក់សោឆៅ (ឬការប្រើកម្មវិធីផ្លាស់ប្តូរទំហំភាគថាសភាគីទីបីនៅលើភាគថាស BitLocker ឬ LUKS ដែលបានផ្អាក) អាចខូចផ្នែកមួយក្នុងចំនោមបឋមកថាទិន្នន័យមេតា BitLocker ដែលលែងត្រូវការគ្នាចំនួនបី ឬសរសេរជាន់លើផ្ទៃគ្រាប់ចុច LUKS2 16 មេកាបៃ។ ប្រសិនបើអ្នកសង្ស័យថាការបំផ្លាញផ្នែករឹងរបស់ SSD មូលដ្ឋាន តែងតែបង្កើតរូបភាពកោសល្យវិច្ច័យឆៅតាមវិស័យ (ddrescue) ទៅកាន់ដ្រាយខាងក្រៅ ** មុនពេល ** ព្យាយាមជួសជុលបឋមកថា ឬការសង្គ្រោះកូនសោ។

triage lockout ការអ៊ិនគ្រីបឌីស និងមែកធាងការសម្រេចចិត្តនៃការស្តារឡើងវិញ¶

flowchart TD
    Start["ចាក់សោចេញពីថាសដែលបានអ៊ិនគ្រីប៖ BitLocker, FileVault, ឬ LUKS Prompt"] --> WhichOS{"តើប្រព័ន្ធប្រតិបត្តិការ និងម៉ាស៊ីនអ៊ិនគ្រីបមួយណា?"}

    WhichOS -->|"វីនដូ៖ អេក្រង់សង្គ្រោះ 48 ខ្ទង់ BitLocker"| PeriphCheck["ជំហានទី 1: ដក USB drives, Thunderbolt docks និងម៉ូនីទ័រខាងក្រៅទាំងអស់ចេញ។ ចាប់ផ្ដើមឡើងវិញត្រជាក់"]
    PeriphCheck --> StillLocked{"នៅតែសួររកលេខ ៤៨ ខ្ទង់?"}
    StillLocked -->|"ទេ៖ ចាប់ផ្ដើមជាធម្មតា"| BackupNow["ដំណើរការ 'manage-bde -protectors -get C:' ភ្លាមៗ ហើយរក្សាទុកកូនសោ 48 ខ្ទង់ក្រៅបណ្តាញ"]
    StillLocked -->|"បាទ"| BIOSCheck{"តើអ្នកទើបតែផ្លាស់ប្តូរ BIOS, Secure Boot, CSM ឬធ្វើបច្ចុប្បន្នភាពកម្មវិធីបង្កប់?"}

    BIOSCheck -->|"បាទ"| RevertBIOS["បញ្ចូលការដំឡើង UEFI៖ បើកដំណើរការ Secure Boot, UEFI Boot Mode និង Intel PTT / AMD fTPM ដើម្បីស្ដារ PCR 7 hash"]
    BIOSCheck -->|"ទេ"| HuntKey["ជំហានទី 2៖ ផ្គូផ្គងលេខសម្គាល់ 8-Char Key នៅលើគណនី Microsoft ផ្ទាល់ខ្លួនទាំងអស់ លេខសម្គាល់ការងារ/សាលាចូល ថតសកម្ម និងឯកសារ USB .BEK/.TXT"]
    RevertBIOS --> HuntKey

    WhichOS -->|"macOS៖ ការចូល FileVault បដិសេធពាក្យសម្ងាត់"| ApplePath{"Apple Silicon/T2 Mac ទល់នឹង Intel Mac?"}
    ApplePath -->|"Macs ទាំងអស់។"| TestLayout["ជំហានទី 1៖ ពិនិត្យមើលម៉ឺនុយបញ្ចូលនៅខាងស្ដាំកំពូលនៃអេក្រង់ FileVault សម្រាប់ប្លង់ក្ដារចុចមិនត្រូវគ្នា។"]
    TestLayout --> FVMethod{"តើវិធីសាស្ត្រសង្គ្រោះមួយណាត្រូវបានបើក?"}
    FVMethod -->|"គណនី iCloud Escrow"| BootRecovery["ចាប់ផ្ដើមទៅ macOS Recovery៖ ផ្ទៀងផ្ទាត់ជាមួយគណនី Apple តាមរយៈជំនួយការសង្គ្រោះ ដើម្បីកំណត់ពាក្យសម្ងាត់ឡើងវិញ"]
    FVMethod -->|"24-Char Personal Recovery Key (PRK) ឬ MDM"| EnterPRK["បញ្ចូលសោ XXXX-XXXX-XXXX-XXXX-XXXX-XXXX នៅក្នុងជំនួយការសង្គ្រោះ ឬស្នើសុំសោធានាពីស្ថាប័នពី IT"]

    WhichOS -->|"លីនុច៖ LUKS / cryptsetup ឃ្លាសម្ងាត់ត្រូវបានបដិសេធ"| LUKSPath["ជំហានទី 1: ទម្លាក់ទៅកាន់ initramfs shell ឬ boot Live USB; ពិនិត្យប្លង់ក្តារចុចក្នុងកុងសូល។"]
    LUKSPath --> LUKSHeader{"តើ Keyslots នៅដដែលនៅក្នុង 'cryptsetup luksDump' ទេ?"}
    LUKSHeader -->|"បាទ/ចាស៖ Keyslot Active"| TestPass["សាកល្បងរន្ធដោតទីពីរ (រន្ធលេខ 1-7) សញ្ញាសម្ងាត់ FIDO2/TPM2 ឬដំណើរការមុខងារ hashcat 29500 ប្រឆាំងនឹងការបម្រុងទុកបឋមកថា"]
    LUKSHeader -->|"ទេ៖ ក្បាលខូច"| RestoreHeader["ស្តារបឋមកថា LUKS ពី '--header-backup-file' ឬស្កេនថាសសម្រាប់ទិន្នន័យមេតាដែលនៅរស់"]

ការយល់ដឹងអំពីការអ៊ិនគ្រីបឌីសពេញ និងការផ្សាភ្ជាប់ TPM 2.0¶

ទាំង Windows BitLocker, Apple FileVault 2, ឬ Linux dm-crypt / LUKS អ៊ិនគ្រីប SSD របស់អ្នកដោយផ្ទាល់ជាមួយពាក្យសម្ងាត់ចូលរបស់អ្នក ឬកូនសោសង្គ្រោះ។ ផ្ទុយទៅវិញ វេទិកាទាំងបីប្រើឋានានុក្រមគន្លឹះពីរជាន់៖

**The Volume Master Key (VMK) / Full Volume Encryption Key (FVEK) **៖ គ្រាប់ចុចចៃដន្យផ្នែករឹង (128-bit, 256-bit, ឬ 512-bit) អ៊ិនគ្រីប និងឌិគ្រីបផ្នែកថាសពិតៗភ្លាមៗ។
Key Protectors / Keyslots (KEKs)៖ Volume Master Key ត្រូវបានរុំដោយឯករាជ្យ Key Encryption Keys (KEKs) ដែលហៅថា Key Protectors នៅក្នុង BitLocker, Key Bags នៅក្នុង Apple APFS, និង Keyslots នៅក្នុង Linux LUKS។
ហេតុអ្វីបានជាការផ្សាភ្ជាប់ TPM 2.0 ចាក់សោរអ្នកនៅលើ Windows៖ នៅលើ Windows 10 និង 11 អ្នកការពារកូនសោចម្បងគឺជាបន្ទះឈីប Trusted Platform Module (TPM 2.0) (ស៊ីលីកូនដាច់ដោយឡែក ឬកម្មវិធីបង្កប់ Intel PTT / AMD fTPM)។ នៅពេលដែល BitLocker ផ្សាភ្ជាប់ Volume Master Key ទៅក្នុង TPM វាភ្ជាប់គន្លឹះទៅនឹងការចុះឈ្មោះ **Platform Configuration Registers (PCRs) **៖
PCR 0៖ កម្មវិធីបង្កប់ប្រព័ន្ធ Hashes core UEFI/BIOS ។
PCR 2៖ Hashes pluggable external hardware Option ROM codes (Thunderbolt docks, RAID cards, external GPUs)។
PCR 4៖ Hashes the boot manager (bootmgfw.efi) និងស្ថានភាពលំដាប់ចាប់ផ្ដើម។
PCR 7: Hashes Secure Boot policy និង UEFI db / dbx មូលដ្ឋានទិន្នន័យវិញ្ញាបនបត្រ។
PCR 11៖ Hashes BitLocker access control components។

រាល់ពេលដែលអ្នកចុចប៊ូតុងថាមពល បន្ទះ motherboard វាស់សមាសធាតុកម្មវិធីបង្កប់ទាំងនេះ មុនពេល Windows ផ្ទុក។ ប្រសិនបើប៊ីតណាមួយនៅក្នុង PCR 0, PCR 2, PCR 4 ឬ PCR 7 ខុសពីតម្លៃដែលបានកត់ត្រានៅពេលដែល BitLocker ត្រូវបានផ្សាភ្ជាប់ TPM បដិសេធមិនបញ្ចេញ Volume Master Key ហើយបង្ខំ Windows Boot Manager ឱ្យបង្ហាញអេក្រង់ 48 ខ្ទង់ BitLocker Recovery Key។

ការប្រៀបធៀបស្ថាបត្យកម្ម Full-Disk Encryption និងយន្តការសង្គ្រោះ¶

គុណលក្ខណៈបច្ចេកទេស	Windows BitLocker (`fvevol.sys`)	macOS FileVault 2 (APFS + Secure Enclave)	លីនុច LUKS1 / LUKS2 (`dm-crypt` / `cryptsetup`)
លេខសម្ងាត់ និងរបៀបលំនាំដើម	AES-128-XTS ឬ AES-256-XTS (AES-CBC នៅលើដ្រាយវីនដូ ⅞ ចាស់)	AES-128-XTS (Hardware-accelerated តាមរយៈ Apple Silicon AES engine / T2)	AES-256-XTS (`aes-xts-plain64`ទំហំសោដែលមានប្រសិទ្ធភាព 512 ប៊ីត)
យុថ្កាផ្នែករឹង	TPM 2.0 (Intel PTT / AMD fTPM / Discrete SPI / LPC TPM)	Apple T2 Security Chip ឬ Apple Silicon Secure Enclave Processor (SEP)	ស្រេចចិត្ត `systemd-cryptenroll` ជាមួយ TPM 2.0, FIDO2 YubiKey ឬ PKCS#11
ទម្រង់សោការងើបឡើងវិញ	48 ខ្ទង់ ក្នុងក្រុមលេខ 6 ខ្ទង់ចំនួនប្រាំបី (`123456-123456-...`)	24 តួអក្សរអក្សរក្រម ក្នុងក្រុមចំនួនប្រាំមួយ 4 (`XXXX-XXXX-...`)	រហូតដល់ 8 គ្រាប់ចុចឯករាជ្យ (LUKS1) ឬ 32 Keyslots (LUKS2)
Cloud Escrow ដោយស្វ័យប្រវត្តិ	គណនី Microsoft ផ្ទាល់ខ្លួន (`account.microsoft.com`) លេខសម្គាល់ចូល ឬ ថតសកម្មដែលមានស្រាប់	ស្រេចចិត្ត គណនី Apple (iCloud) សញ្ញាសម្ងាត់នៃការស្តារឡើងវិញ ឬ MDM Institutional Escrow	គ្មានតាមលំនាំដើមទេ (ការដាក់ពង្រាយសហគ្រាសអាចប្រើ Red Hat Tang/Clevis ឬ Vault)
ទីតាំងបឋមកថានៅលើឌីស	ចម្លងទិន្នន័យមេតាដែលលែងត្រូវការតទៅទៀតចំនួនបីនៅទូទាំងភាគថាស (បូកផ្នែកចាប់ផ្ដើមកម្រិតសំឡេង)	រក្សាទុកក្នុងរចនាសម្ព័ន្ធ APFS Container Superblock និង Volume Key Bag	2 MB ដំបូង (LUKS1) ឬ 16 MB (LUKS2) នៅពេលចាប់ផ្តើមពិតប្រាកដនៃឧបករណ៍ទប់ស្កាត់
ដែនកំណត់អត្រាផ្នែករឹង	ការព្យាយាមគ្មានដែនកំណត់សម្រាប់សោ 48 ខ្ទង់ (\(2^{128}\) entropy ធ្វើឱ្យ brute-force មិនអាចទៅរួច)	អនុវត្តយ៉ាងតឹងរ៉ឹងនៅក្នុងស៊ីលីកុនដោយ Secure Enclave (ការពន្យារពេលកើនឡើងរហូតដល់លុប/ចាក់សោ)	មិនមាននៅក្នុងកម្មវិធីទេ ដែលគ្រប់គ្រងដោយ Argon2id / PBKDF2 ថ្លៃដើមអង្គចងចាំរឹង

ផ្នែកទី 1: ការដោះស្រាយការចាក់សោការសង្គ្រោះ Windows BitLocker¶

នៅពេលដែលកុំព្យូទ័រ Windows របស់អ្នកឈប់នៅ "BitLocker: បញ្ចូលសោសង្គ្រោះសម្រាប់ដ្រាយវ៍នេះ" (ឬ Windows Recovery Environment សួររកកូនសោមួយមុនពេលអនុញ្ញាតឱ្យចូលប្រើ Command Prompt ឬ Safe Mode) ធ្វើការតាមរយៈបទស្របគ្នាទាំងពីរនេះ៖ Track A ព្យាយាមបញ្ជូល TPM ឱ្យដោះសោរដ្រាយដោយមិនត្រូវការសោ ហើយ Track B ស្វែងរកទីតាំងផ្ទុកទិន្នន័យ 48-Digital ។

បទ A: ឆ្លងកាត់ប្រអប់បញ្ចូល BitLocker ដោយគ្មានសោសង្គ្រោះ (ការស្ដារស្ថានភាព TPM PCR)¶

ប្រសិនបើអ្នកមិនបានលុប TPM ដោយដៃ ឬផ្លាស់ទី NVMe SSD ទៅក្នុង motherboard ថ្មីទេនោះ Volume Master Key នៅតែស្ថិតនៅក្នុងបន្ទះឈីប TPM 2.0 របស់អ្នក។ វាបដិសេធក្នុងការដោះសោ ដោយសារការវាស់វែង PCR មុនចាប់ផ្ដើមបានផ្លាស់ប្តូរ។ សាកល្បងការស្ដារផ្នែករឹង និងកម្មវិធីបង្កប់ដែលមិនបំផ្លាញទាំងនេះតាមលំដាប់លំដោយ៖

**ផ្តាច់ផ្នែករឹងខាងក្រៅ និងចតទាំងអស់ **៖
បិទកុំព្យូទ័រទាំងស្រុង (សង្កត់ប៊ូតុងថាមពលរយៈពេល 10 វិនាទី)។
ដោះដោត USB flash drive នីមួយៗ ដ្រាយវ៍រឹងខាងក្រៅ មជ្ឈមណ្ឌល USB-C ស្ថានីយ៍ចត Thunderbolt កាត SD និងខ្សែម៉ូនីទ័រខាងក្រៅ។
ដកឆ្នាំងសាក AC ចេញរយៈពេល 15 វិនាទី ដោតឆ្នាំងសាកដើមដោយផ្ទាល់ទៅក្នុងកុំព្យូទ័រយួរដៃ ហើយបើកវា។ Thunderbolt docks និង USB-C hubs ជាញឹកញាប់មានការចាប់ផ្ដើមបណ្តាញ PXE ខាងក្នុង ឬបង្ហាញ Option ROMs ដែលលាតសន្ធឹងទៅក្នុង PCR 2 និង PCR 4 ដែលធ្វើអោយស្ថានភាព TPM មិនត្រឹមត្រូវ។
** Restore Secure Boot និង UEFI Boot Mode នៅក្នុង BIOS Setup **៖
ចាប់ផ្ដើមឡើងវិញហើយចុចគ្រាប់ចុច BIOS របស់ motherboard របស់អ្នក (F2 នៅលើ Dell/ASUS/Lenovo/Acer, F10 នៅលើ HP, Del នៅលើបន្ទះកុំព្យូទ័រ) ។
ប្រសិនបើ Secure Boot ត្រូវបានផ្លាស់ប្តូរពី Enabled ទៅ Disabled សូមកំណត់វាត្រឡប់ទៅ Enabled (Standard Mode) ហើយរក្សាទុកការផ្លាស់ប្តូរ។ ផ្ទុយទៅវិញ ប្រសិនបើការអាប់ដេត BIOS បានត្រឡប់ Secure Boot ទៅ Enabled សូមព្យាយាមបិទបើកវាទៅ Disabled ម្តង។
បញ្ជាក់របៀបចាប់ផ្ដើមត្រូវបានកំណត់ទៅ UEFI Only (បិទ ** កេរ្តិ៍ដំណែល / CSM**) ហើយបញ្ជាក់ ** កម្មវិធីគ្រប់គ្រងការចាប់ផ្ដើមវីនដូ ** គឺជាជម្រើសចាប់ផ្ដើមដំបូង។
** ផ្ទៀងផ្ទាត់ Intel PTT ឬ AMD fTPM ត្រូវបានបើក (កុំចុច "ជម្រះ TPM") **៖
បន្ទាប់ពីថ្ម CMOS ងាប់ ឬកំណត់ BIOS ឡើងវិញ ពេលខ្លះ motherboards បិទកម្មវិធីបង្កប់ TPM (Intel Platform Trust Technology ឬ AMD CPU fTPM) ចូលទៅកាន់ផ្ទាំង Security ឬ Trusted Computing នៅក្នុង BIOS ហើយបញ្ជាក់ ** TPM 2.0 State** is Enabled។
ការព្រមាន៖ កុំជ្រើសរើស "ជម្រះ TPM" ឬ "Erase fTPM NV" នៅក្នុង BIOS។ ការសម្អាត TPM ជាអចិន្ត្រៃយ៍បំផ្លាញគ្រាប់ចុចឫសផ្ទុកខាងក្នុងនៅខាងក្នុងបន្ទះឈីបស៊ីលីកុន ធ្វើឱ្យលេខកូដសង្គ្រោះ 48 ខ្ទង់ចាំបាច់។
** ត្រឡប់ការអាប់ដេតគ្រាប់ចុច BIOS ដែលមានកំហុស **៖
នៅលើកុំព្យូទ័រយួរដៃ Dell សូមសង្កត់ Ctrl + Esc ខណៈពេលដែលដោតភ្លើង AC ដើម្បីបើកដំណើរការម៉ឺនុយ ** Dell BIOS Recovery** ហើយជ្រើសរើស ** Rollback BIOS ** ។ នៅលើកុំព្យូទ័រយួរដៃ HP សង្កត់ Win + B ខណៈពេលដែលចុចប៊ូតុងថាមពលរយៈពេល 2 វិនាទីដើម្បីកេះ HP Sure Start BIOS វិលត្រឡប់មកវិញ។

បទ B: ការស្វែងរកយ៉ាងអស់ពីចិត្តសម្រាប់លេខ 48 ខ្ទង់ BitLocker Recovery Key របស់អ្នក។¶

ប្រសិនបើ TPM មិនអាចស្ដារឡើងវិញបានទេ (ឬប្រសិនបើអ្នកផ្លាស់ទី SSD ទៅក្នុងឯករភជប់ USB ខាងក្រៅ) អ្នកត្រូវតែផ្តល់លេខសម្ងាត់សង្គ្រោះលេខ 48 ខ្ទង់ (XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX) ឬ ក .BEK ឯកសារគន្លឹះចាប់ផ្តើម។ សរសេរ ** តួអក្សរ 8 ដំបូងនៃលេខសម្គាល់គន្លឹះ ** ដែលបង្ហាញនៅលើអេក្រង់ (ឧទាហរណ៍ Key ID: 4F8A9C12) ហើយពិនិត្យមើលទីតាំងទាំងប្រាំមួយ៖

1. គណនី Microsoft ផ្ទាល់ខ្លួន (`account.microsoft.com/devices/recoverykey`)¶

ទស្សនា https://account.microsoft.com/devices/recoverykey (ឬ https://aka.ms/myrecoverykey) នៅលើទូរស័ព្ទ ឬកុំព្យូទ័របន្ទាប់បន្សំ។ - ពិនិត្យរាល់គណនីប្រវត្តិ៖ ការអ៊ិនគ្រីបឧបករណ៍ បម្រុងទុកសោទៅគណនី Microsoft ណាមួយដែលត្រូវបានប្រើដំបូង នៅពេលដែលកុំព្យូទ័រត្រូវបានដោះប្រអប់ បើទោះបីជាអ្នកបានប្តូរទៅការចូលក្នុងតំបន់នៅពេលក្រោយក៏ដោយ។ ចូល និងសាកល្បងចាស់ទាំងអស់។ @hotmail.com, @live.com, @outlook.comឬភ្ជាប់ @gmail.com គណនី រួមទាំងគណនីរបស់ប្តីប្រពន្ធ ឪពុកម្តាយ ឬអ្នកបច្ចេកទេសណាម្នាក់ដែលបានជួយដំឡើងកុំព្យូទ័រ ឬចូល Microsoft Office ឬ Xbox Game Pass នៅលើម៉ាស៊ីននោះ។

2. ការងារ សាលារៀន ឬសាកលវិទ្យាល័យ លេខសម្គាល់ / Azure AD (`myaccount.microsoft.com`)¶

សូម្បីតែនៅលើកុំព្យូទ័រផ្ទាល់ខ្លួននៅផ្ទះក៏ដោយ ប្រសិនបើអ្នកធ្លាប់បានចូលទៅក្នុងកម្មវិធី Microsoft 365 (Word, Excel, Teams) ជាមួយនឹងអាសយដ្ឋាន ការងារ សាកលវិទ្យាល័យ ឬអតិថិជន ហើយបានចាកចេញពី "អនុញ្ញាតឱ្យស្ថាប័នរបស់ខ្ញុំគ្រប់គ្រងឧបករណ៍របស់ខ្ញុំ" បានគូសធីក នោះ Windows បានដកសោការស្ដារ BitLocker របស់អ្នកដោយស្វ័យប្រវត្តិទៅក្នុងអ្នកជួល Microsoft Entra ID របស់ស្ថាប័ននោះ៖ 1. ទស្សនា https://myaccount.microsoft.com/device-list ហើយចូលដោយប្រើអ៊ីមែលការងារ ឬសាលារបស់អ្នក។ 2. ជ្រើសរើសឈ្មោះកុំព្យូទ័ររបស់អ្នក ហើយចុច View BitLocker keys។ 3. ប្រសិនបើគណនីការងារ ឬសាលារៀនរបស់អ្នកត្រូវបានបិទរួចហើយ សូមទូរស័ព្ទទៅ ** IT Help Desk ** របស់ស្ថាប័ននោះ ហើយផ្តល់ឱ្យពួកគេនូវ ** លេខសម្គាល់គន្លឹះ 8 តួអក្សរ** របស់អ្នក។ អ្នកគ្រប់គ្រងអាចទាញយកសោសម្រាប់គណនីដែលបិទដំណើរការនៅក្រោម ឧបករណ៍> ឧបករណ៍ទាំងអស់> កូនសោសង្គ្រោះ នៅក្នុង entra.microsoft.com.

3. On-Premises Corporate Active Directory (`msFVE-RecoveryInformation`)¶

ប្រសិនបើកុំព្យូទ័រត្រូវបានភ្ជាប់ទៅកាន់ Active Directory domain អ្នកគ្រប់គ្រង Domain អាចរកមើលសោដោយលេខសម្គាល់ 8 តួអក្សររបស់វាដោយប្រើ PowerShell៖

Get-ADObject -Filter {objectClass -eq 'msFVE-RecoveryInformation'} -Properties msFVE-RecoveryPassword, whenCreated |
  Where-Object { $_.Name -like "*4F8A9C12*" } | Select-Object Name, msFVE-RecoveryPassword, whenCreated

4. ឯកសារអត្ថបទដោយស្វ័យប្រវត្តិ ឬដោយដៃនៅលើ USB Flash Drives និង Cloud Drives¶

នៅពេលដែល Windows រក្សាទុកសោសង្គ្រោះទៅឯកសារ ឬ USB drive វាដាក់ឈ្មោះឯកសារ BitLocker Recovery Key [GUID].txt ឬរក្សាទុកការលាក់ .BEK ឯកសារ (attrib +h +s) ដំណើរការការស្វែងរក PowerShell នេះនៅលើគ្រប់ USB drives, external hard drives, OneDrive, Google Drive, និង Dropbox folders នៅលើកុំព្យូទ័រផ្សេងទៀត៖

Get-PSDrive -PSProvider FileSystem | ForEach-Object {
    Get-ChildItem -Path $_.Root -Include "*BitLocker*Recovery*Key*.txt", "*.bek" -Recurse -Force -ErrorAction SilentlyContinue
} | Select-Object FullName, LastWriteTime

5. ស្រង់គន្លឹះសម្រាប់ Drive ទិន្នន័យបន្ទាប់បន្សំ (`D:`) ពីការដោះសោ `C:` ភាគថាស¶

ប្រសិនបើ C: ចាប់ផ្ដើមជាធម្មតា ហើយមានតែដ្រាយទីពីរប៉ុណ្ណោះ។ D: ត្រូវបានចាក់សោ បើកបង្អួច PowerShell អ្នកគ្រប់គ្រង C: និងរត់ manage-bde -protectors -get D: ដើម្បីមើលថាតើ C: នៅតែរក្សាសោបញ្ជីឈ្មោះដោះសោដោយស្វ័យប្រវត្តិ ឬពិនិត្យមើលការថតចម្លងស្រមោលកម្រិតសំឡេងពីមុនរបស់អ្នក Documents ថតឯកសារសម្រាប់លុប BitLocker Recovery Key *.txt ឯកសារ។

6. Print Spooler History និង PDF/OneNote Printouts¶

ប្រសិនបើអ្នកចុច "បោះពុម្ពសោសង្គ្រោះ" កំឡុងពេលដំឡើង សូមពិនិត្យមើល Microsoft OneNote ហើយស្វែងរករបស់អ្នក។ Documents ថតឯកសារសម្រាប់ .pdf ឬ .xps ឯកសារដែលបានបង្កើតតាមរយៈ "Microsoft Print to PDF" ។

បទ C: ដោះសោ និងឌិគ្រីប Drive BitLocker ពី WinRE Command Prompt (`manage-bde`)¶

ប្រសិនបើវាយលេខសំងាត់សង្គ្រោះ 48 ខ្ទង់នៅអេក្រង់ពណ៌ខៀវវិលត្រលប់ទៅ BitLocker វិញនៅពេលចាប់ផ្តើមឡើងវិញបន្ទាប់ ឬគាំង Windows ដោះសោ និងផ្អាក BitLocker ពី Windows Recovery Environment (WinRE) Command Prompt:

ចុច Esc នៅអេក្រង់ BitLocker បន្ទាប់មកចុច Skip this drive -> Troubleshoot -> Advanced options -> Command Prompt។
ពិនិត្យស្ថានភាព និងដោះសោកម្រិតសំឡេង OS (C:):
```
manage-bde -status
manage-bde -unlock C: -RecoveryPassword 123456-123456-123456-123456-123456-123456-123456-123456
```
(ឬដោះសោដោយប្រើប្រព័ន្ធគោលពីរ .BEK ឯកសារនៅលើដំបង USB ដែលគូសផែនទីជា F: តាមរយៈ manage-bde -unlock C: -RecoveryKey "F:\key.BEK")
** ផ្អាកអ្នកការពារ ដើម្បីកុំឱ្យប្រអប់បញ្ចូលឡើងវិញនៅពេលចាប់ផ្ដើមឡើងវិញបន្ទាប់ **៖
```
manage-bde -protectors -disable C:
```
ចាប់ផ្ដើមឡើងវិញទៅក្នុង Windows បន្ទាប់មកដំណើរការ manage-bde -protectors -enable C: នៅក្នុងប្រអប់បញ្ចូលពាក្យបញ្ជាកម្រិតខ្ពស់ដើម្បីបិទត្រា Volume Master Key ឡើងវិញប្រឆាំងនឹងសញ្ញា UEFI PCR ថ្មី។
ប្រសិនបើ Windows មិនអាចចាប់ផ្ដើមបានទេ ចម្លងឯកសារចេញ ឬឌិគ្រីបទាំងស្រុង៖
```
robocopy C:\Users\YourUsername F:\RescueBackup /E /ZB /R:1 /W:1 /XJ
manage-bde -off C:
```

បទ D: ការដំឡើង BitLocker SSD នៅលើ Linux (`dislocker` / `cryptsetup`) សម្រាប់ការសង្គ្រោះឯកសារ¶

ប្រសិនបើ motherboard Windows របស់អ្នកបានស្លាប់ សូមដាក់ M.2 NVMe ឬ SATA SSD ទៅក្នុងស្រោម USB-C ខាងក្រៅ (វាស់ប្រហែល 10 សង់ទីម៉ែត្រ គុណនឹង 3 សង់ទីម៉ែត្រ ឬ 4 អ៊ីង x 1.2 អ៊ីង) ហើយដោះសោវានៅលើ Linux PC ឬ Ubuntu Live USB៖

# Method 1: Modern cryptsetup (v2.3+ natively supports BITLOCKER volumes)
sudo cryptsetup open --type bitlocker /dev/nvme0n1p3 bitlocker_unlocked
# Type the 48-digit recovery key INCLUDING hyphens when prompted
sudo mkdir -p /mnt/windows_data
sudo mount -t ntfs3 -o ro /dev/mapper/bitlocker_unlocked /mnt/windows_data

# Method 2: Using dislocker
sudo apt update && sudo apt install -y dislocker ntfs-3g
sudo mkdir -p /mnt/dislocker_raw /mnt/windows_rescue
sudo dislocker -V /dev/nvme0n1p3 -p123456-123456-123456-123456-123456-123456-123456-123456 -- /mnt/dislocker_raw
sudo mount -t ntfs-3g -o loop,ro /mnt/dislocker_raw/dislocker-file /mnt/windows_rescue

ផ្នែកទី 2៖ ការដោះស្រាយ Apple macOS FileVault 2 និង Secure Enclave lockouts¶

នៅលើ macOS (High Sierra តាមរយៈ macOS Sequoia និងថ្មីជាងនេះ) FileVault 2 អ៊ិនគ្រីបបរិមាណ APFS (Apple File System) ទាំងមូល។ នៅលើ Macs ដែលមាន Apple Silicon (M1, M2, M3, M4) ឬ Apple T2 Security Chip បរិមាណគឺពិតជា ត្រូវបានអ៊ិនគ្រីបជានិច្ចនៅពេលសម្រាក ដោយប្រើគ្រាប់ចុចផ្នែករឹងនៅខាងក្នុង Secure Enclave Processor (SEP)។ ការបើក FileVault រុំថា hardware Volume Encryption Key (VEK) ជាមួយនឹង Key Encryption Key (KEK) ដែលបានមកពីពាក្យសម្ងាត់ចូល macOS របស់អ្នក និង FileVault Recovery Key របស់អ្នក។

ដោយសារតែ FileVault តម្រូវឱ្យឌិគ្រីបបរិមាណ APFS * មុនពេល* macOS ផ្ទុកពីថាស អេក្រង់ដំបូងដែលអ្នកឃើញនៅពេលអ្នកបើក FileVault-enabled Mac មិនមែនជាបង្អួចចូល macOS ធម្មតានោះទេ វាគឺជា អេក្រង់ដោះសោ FileVault EFI / iBoot ជាមុន។

ជំហានទី 1: ដកចេញនូវមូលហេតុ #1 នៃការចាក់សោរ FileVault ភ្លាមៗ (ប្លង់ក្តារចុចមុនចាប់ផ្ដើម និងក្តារចុចខាងក្រៅ)¶

មុនពេលសន្មត់ថាពាក្យសម្ងាត់របស់អ្នកខូច ឬចាប់ផ្តើមកំណត់ឡើងវិញ សូមពិនិត្យមើលចំណុចប្រទាក់ក្រឡាជាមុនទាំងបីនេះ ដែលបណ្តាលឱ្យពាក្យសម្ងាត់ត្រឹមត្រូវញ័រ និងបដិសេធនៅអេក្រង់ចាប់ផ្ដើម FileVault៖

Pre-boot Keyboard Input Menu Switch៖ អេក្រង់ FileVault pre-boot ប្រើកម្មវិធីបញ្ជាក្តារចុចកម្មវិធីបង្កប់ដែលដកចេញដែលតែងតែកំណត់លំនាំដើមទៅ U.S. QWERTY (ឬ ABC) ទោះបីជាអ្នកវាយបញ្ចូលពាក្យសម្ងាត់របស់អ្នកដោយប្រើ UK, German (QWERTZ), French (AZERTY) ឬ Dvorak layout នៅក្នុង macOS ក៏ដោយ។ សូមក្រឡេកមើល ជ្រុងខាងស្តាំខាងលើនៃអេក្រង់ចូល FileVault ចុចរូបតំណាង ក្តារចុចបញ្ចូលក្នុងម៉ឺនុយ ហើយជ្រើសរើសប្លង់ក្តារចុចពិតប្រាកដរបស់អ្នក។
ការកំណត់ពេលវេលាក្ដារចុចប៊្លូធូស & លេខចាក់សោ៖ ក្តារចុចប៊្លូធូសភាគីទីបីជារឿយៗទម្លាក់ការចុចគ្រាប់ចុចពីរដំបូងរបស់ពួកគេ ខណៈពេលភ្ញាក់ពីដំណេកនៅអេក្រង់មុនចាប់ផ្ដើម ឬខ្វះសូចនាករស្ថានភាព Num Lock ។ ដោត ក្តារចុច USB មានខ្សែ ដោយផ្ទាល់ទៅក្នុង Mac (ឬប្រើក្តារចុច MacBook ដែលភ្ជាប់មកជាមួយ) ហើយវាយយឺតៗ។
** អ្នកប្រើប្រាស់អ្នកគ្រប់គ្រងច្រើននាក់នៅលើ Mac ដូចគ្នា**៖ នៅក្នុង FileVault គណនីអ្នកប្រើប្រាស់ macOS ដែលមានការអនុញ្ញាតនីមួយៗមាននិមិត្តសញ្ញាគ្រីបគ្រីបឯករាជ្យរបស់ខ្លួននៅក្នុង APFS Key Bag (diskutil apfs listCryptoUsers /) ប្រសិនបើគណនីរបស់អ្នករង្គោះរង្គើ និងបរាជ័យ សូមចុច រូបតំណាងអ្នកប្រើប្រាស់អ្នកគ្រប់គ្រងផ្សេងទៀត នៅលើអេក្រង់ FileVault ហើយចូលដោយប្រើពាក្យសម្ងាត់របស់ពួកគេ។ នៅពេលដែលនៅខាងក្នុង macOS អ្នកគ្រប់គ្រងនោះអាចកំណត់ពាក្យសម្ងាត់របស់អ្នកឡើងវិញនៅក្នុង ការកំណត់ប្រព័ន្ធ > អ្នកប្រើប្រាស់ និងក្រុម។

ជំហានទី 2: ដោះសោ FileVault តាមរយៈ Apple Account (iCloud) ឬ 24-Character Personal Recovery Key¶

ប្រសិនបើពាក្យសម្ងាត់របស់អ្នកនៅតែបរាជ័យនៅអេក្រង់ចូល FileVault៖

** រង់ចាំការរំលឹកការស្តារឡើងវិញ**៖ បន្ទាប់ពីវាយបញ្ចូលពាក្យសម្ងាត់មិនត្រឹមត្រូវចំនួនបីដងនៅអេក្រង់ចូល FileVault នោះ macOS បង្ហាញជម្រើសដើម្បីកំណត់ឡើងវិញដោយប្រើគណនី Apple របស់អ្នក ឬបញ្ចូលសោសង្គ្រោះរបស់អ្នក។
** ឬចាប់ផ្ដើមដោយផ្ទាល់ទៅក្នុង macOS Recovery (Recovery Assistant) **៖
Apple Silicon Macs (M1/M2/M3/M4)៖ បិទទាំងស្រុង បន្ទាប់មកចុចឱ្យជាប់ប៊ូតុង Power (Touch ID) រយៈពេល 10 វិនាទី រហូតដល់ "Loading startup options..." លេចចេញមក ចុច Options ហើយចុច Continue។
Intel Macs៖ បើក Mac ហើយសង្កត់ Command (⌘) + R រហូតដល់ស្លាកសញ្ញា Apple លេចឡើង។
** នៅខាងក្នុង Reset Password បង្អួចជំនួយការសង្គ្រោះ **៖
ភ្ជាប់ទៅ Wi-Fi នៅជ្រុងខាងស្តាំខាងលើនៃអេក្រង់ ឬដោតអ៊ីសឺរណិត។
ជម្រើស A (Apple Account Escrow)៖ ប្រសិនបើអ្នកបើកការសង្គ្រោះ iCloud សូមជ្រើសរើស **ភ្លេចពាក្យសម្ងាត់ទាំងអស់មែនទេ? -> ចូលដោយប្រើគណនី Apple ** ។ បញ្ចូលអ៊ីមែលគណនី Apple របស់អ្នក ពាក្យសម្ងាត់ និងលេខកូដ 2FA 6 ខ្ទង់ (ប្រសិនបើអ្នកបាត់ទូរសព្ទរបស់អ្នក សូមមើលរបស់យើង ការចាក់សោរ MFA និងការសង្គ្រោះអ្នកផ្ទៀងផ្ទាត់ មគ្គុទេសក៍) ដើម្បីដោះសោកម្រិតសំឡេង APFS និងកំណត់ពាក្យសម្ងាត់ថ្មី។
ជម្រើស B (24-Character Personal Recovery Key): ជ្រើសរើស Enter FileVault Recovery Key ហើយវាយលេខកូដអក្សរក្រមលេខ 24 របស់អ្នក (XXXX-XXXX-XXXX-XXXX-XXXX-XXXX)
ជម្រើស C (សាជីវកម្ម / សាកលវិទ្យាល័យ MDM Escrow)៖ ប្រសិនបើ Mac របស់អ្នកត្រូវបានគ្រប់គ្រងតាមរយៈ Jamf Pro, Kandji, Mosyle ឬ Microsoft Intune សូមទូរស័ព្ទទៅផ្នែកជំនួយផ្នែកព័ត៌មានវិទ្យារបស់អ្នកជាមួយនឹងលេខស៊េរីរបស់ Mac របស់អ្នក ដូច្នេះពួកគេអាចអានអ្នកនូវ 24 តួអក្សរ FileVault Recovery Key ។

ជំហានទី 3: ដោះសោកម្រិតសំឡេង FileVault APFS ដោយដៃពីស្ថានីយ (`diskutil apfs unlockVolume`)¶

ប្រសិនបើជំនួយការសង្គ្រោះក្រាហ្វិកបរាជ័យក្នុងការដំឡើងដ្រាយរបស់អ្នក សូមបើក ឧបករណ៍ប្រើប្រាស់ -> ស្ថានីយ នៅខាងក្នុង macOS Recovery ហើយដោះសោកម្រិតសំឡេង APFS ដោយដៃ៖

# 1. List all APFS containers and encrypted volumes to find the Volume Identifier (e.g., disk3s5)
diskutil apfs list

# 2. List all cryptographic users (UUIDs) authorized to unlock that APFS volume
diskutil apfs listCryptoUsers /dev/disk3s5

# 3. Unlock the APFS volume using either your user password OR your 24-character Recovery Key:
diskutil apfs unlockVolume /dev/disk3s5 -passphrase "YOUR-XXXX-XXXX-XXXX-XXXX-XXXX-KEY"

# 4. Copy critical files from '/Volumes/Macintosh HD - Data' to an external USB drive:
cp -Rv "/Volumes/Macintosh HD - Data/Users/yourusername/Documents" "/Volumes/ExternalUSB/Backup/"

Apple Silicon និង T2 Macs មិនអាចយក SSDs របស់ពួកគេចេញ និងអាននៅក្នុងឯករភជប់ខាងក្រៅបានទេ។

មិនដូចកុំព្យូទ័រ Windows ស្តង់ដារនោះទេ ** Apple Silicon Macs (M1/M2/M3/M4) និង T2 Intel Macs** ភ្ជាប់ APFS hardware keys encryption នៅក្នុង Secure Enclave Processor ដែលភ្ជាប់ទៅនឹងបន្ទះ logic ។ ប្រសិនបើបន្ទះតក្កវិជ្ជា MacBook បរាជ័យក្នុងការបើកភ្លើង សូមយកវាទៅហាងជួសជុលផ្នែកតក្កវិជ្ជាឯកទេស ដើម្បីជួសជុលផ្លូវដែកនៅលើបន្ទះ ដើម របស់អ្នក ជាជាងការជំនួសបន្ទះតក្កវិជ្ជា (ដែលលុបទិន្នន័យទាំងអស់ជាអចិន្ត្រៃយ៍)។

ផ្នែកទី 3: ការដោះស្រាយលីនុច LUKS (`dm-crypt` / `cryptsetup`) ការចាក់សោការអ៊ិនគ្រីប¶

ការចែកចាយលីនុច (ubuntu, Fedora, Debian, Arch Linux, Red Hat Enterprise Linux, Pop._OS, និង Qubes OS) ពឹងផ្អែកលើ LUKS (Linux Unified Key Setup) ជាធម្មតា LUKS2 គ្រប់គ្រងដោយ cryptsetup និង dm-crypt. នៅពេលដែលម៉ាស៊ីនលីនុចធ្លាក់ចូលទៅក្នុង (initramfs) ឬ dracut សែលនិយាយថា cryptsetup failed, bad password or options សូមអនុវត្តតាមជំហានទាំងបួននេះ៖

ជំហានទី 1: ពិនិត្យ console keymap vs graphical keyboard layout¶

កំឡុងពេលមុនចាប់ផ្ដើម initramfs ដំណាក់កាល ប្រព័ន្ធប្រើផែនទីគ្រាប់ចុចកុងសូលលីនុច (/etc/vconsole.conf) ដែលជារឿយៗកំណត់លំនាំដើមទៅ us ទោះបីជាអ្នកបានកំណត់រចនាសម្ព័ន្ធ UK អាល្លឺម៉ង់ បារាំង ឬប្លង់អ្នកសរសេរកម្មវិធីផ្ទាល់ខ្លួននៅខាងក្នុង GNOME ឬ KDE ក៏ដោយ។ ចាប់ផ្ដើម Linux Live USB បើកស្ថានីយក្រាហ្វិក ដែលអ្នកអាចវាយពាក្យសម្ងាត់របស់អ្នកដោយមើលឃើញនៅក្នុងកម្មវិធីនិពន្ធអត្ថបទ ដើម្បីផ្ទៀងផ្ទាត់តួអក្សរនីមួយៗ ហើយដោះសោដ្រាយចេញពី Live USB៖

lsblk -f
sudo cryptsetup luksOpen /dev/nvme0n1p3 my_encrypted_root

ជំហានទី 2: ពិនិត្យបឋមកថា LUKS និងពិនិត្យគ្រាប់ចុចបន្ទាប់បន្សំ (`cryptsetup luksDump`)¶

** LUKS1 គាំទ្រ 8 Keyslots ឯករាជ្យ (0 ដល់ 7) ** និង ** LUKS2 គាំទ្ររហូតដល់ 32 Keyslots (0 ដល់ 31) ** បូកនឹង hardware **Tokens ** (systemd-tpm2 ឬ systemd-fido2) ពិនិត្យបឋមកថារបស់អ្នកដោយមិនផ្លាស់ប្តូរអ្វីនៅលើថាស៖

sudo cryptsetup luksDump /dev/nvme0n1p3

1. ** វាបង្ហាញ LUKS header information ជាមួយនឹង UUID និង Keyslots ត្រឹមត្រូវ?** ប្រសិនបើបាទ/ចាស បឋមកថា LUKS របស់អ្នកនៅដដែល ហើយទិន្នន័យរបស់អ្នកអាចទាញយកមកវិញបានភ្លាមៗនៅពេលដែលឃ្លាសម្ងាត់សកម្មណាមួយត្រូវបានផ្គត់ផ្គង់។ 2. ** គ្រាប់ចុចជាច្រើនត្រូវបានបើក (Keyslot 0, Keyslot 1)?** អ្នកគ្រប់គ្រង និងអ្នកដំឡើងសហគ្រាសជាច្រើនចុះឈ្មោះពាក្យសម្ងាត់សង្គ្រោះបន្ទាប់បន្សំ ឬឯកសារគន្លឹះនៅក្នុង Keyslot 1។ ទោះបីជាអ្នកភ្លេចឃ្លាសម្ងាត់ចម្បងរបស់អ្នកនៅក្នុង Keyslot 0 ក៏ដោយ ឃ្លាសម្ងាត់របស់អ្នកនៅក្នុង Keyslot 1 នឹងដោះសោកម្រិតសំឡេងភ្លាមៗ។ 3. ** ប្រសិនបើ TPM2 ដោះសោដោយស្វ័យប្រវត្តិបានខូច (systemd-cryptenroll --tpm2-device=auto)**៖ នៅពេលដែលការអាប់ដេតខឺណែល ឬ BIOS បំបែក TPM2 PCR 7 auto-unlock ដោះសោដោយប្រើឃ្លាសម្ងាត់ Keyslot 0 ហើយចុះឈ្មោះឡើងវិញនូវសញ្ញាសម្ងាត់ TPM ឡើងវិញ៖

sudo systemd-cryptenroll --wipe-slot=tpm2 --tpm2-device=auto --tpm2-pcrs=7 /dev/nvme0n1p3

ជំហានទី 3៖ ការងើបឡើងវិញពីបឋមកថា LUKS2 ដែលខូច ឬសរសេរជាន់លើ¶

នៅក្នុង LUKS គ្រាប់ចុចទាំងអស់រស់នៅក្នុង 2 មេកាបៃដំបូង (LUKS1) ឬ 16 មេកាបៃ (LUKS2) នៃភាគថាស។ ប្រសិនបើ cryptsetup luksDump និយាយថា not a valid LUKS device អនុវត្តតាមជំហានទាំងនេះ៖

** រូបភាព 32 MB ដំបូងមុនពេលប៉ះអ្វីទាំងអស់ **៖
```
sudo dd if=/dev/nvme0n1p3 of=~/damaged_luks_first32mb.img bs=1M count=32 status=progress
```
** ព្យាយាមជួសជុលទិន្នន័យមេតាបន្ទាប់បន្សំ LUKS2 JSON ដោយស្វ័យប្រវត្តិ (cryptsetup repair) **៖
LUKS2 រក្សាទុកច្បាប់ចម្លងដែលមិនត្រូវគ្នាពីរនៃទិន្នន័យមេតាបឋមកថាគោលពីរ និង JSON នៅអុហ្វសិត 0x0000 និងអុហ្វសិត 0x4000 (១៦ គីឡូបៃ) ប្រសិនបើមានតែច្បាប់ចម្លងបឋមនៅបៃ 0 ប៉ុណ្ណោះត្រូវបានក្លែងបន្លំ។ sudo cryptsetup repair /dev/nvme0n1p3 សាងសង់ឡើងវិញពី 0x4000.
** ស្តារពីការបម្រុងទុកបឋមកថា LUKS ដែលបានរក្សាទុក (luksHeaderRestore) **៖
ដោះសោដោយមិនបំផ្លិចបំផ្លាញដោយប្រើឯកសារបម្រុងទុកបឋមកថាខាងក្រៅ៖
```
sudo cryptsetup luksOpen --header /path/to/luks-header.bak /dev/nvme0n1p3 rescued_volume
```

ជំហានទី 4: សាកល្បងឃ្លាសម្ងាត់ដែលបានចងចាំដោយផ្នែកជាមួយ `hashcat`¶

ខណៈពេលដែលអ្នកមិនអាច brute-force ចៃដន្យ 48 ខ្ទង់ BitLocker Recovery Key ឬ 24 តួអក្សរ Apple Recovery Key (\(2^{128}\) bits of entropy) អ្នក អាច សាកល្បងបំរែបំរួលនៃ LUKS passphrase ឬ BitLocker ផ្ទាល់ខ្លួនដែលបានជ្រើសរើស ប្រសិនបើអ្នកចាំពាក្យគោល៖

# For Linux LUKS2 (mode 29500) or LUKS1 (mode 14600):
sudo dd if=/dev/nvme0n1p3 of=luks_header.bin bs=1M count=16
hashcat -m 29500 luks_header.bin my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

# For BitLocker protected by a custom User Password (mode 22100):
bitlocker2john -i /dev/nvme0n1p3 | grep "\$bitlocker\$0\$" > user_pass.hash
hashcat -m 22100 user_pass.hash my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

ការការពារ៖ របៀបបង្កើតការបម្រុងទុកការអ៊ិនគ្រីបឌីសដែលការពារការចាក់សោរឥឡូវនេះ¶

នៅពេលដែលអ្នកទទួលបានសិទ្ធិចូលប្រើកុំព្យូទ័ររបស់អ្នកឡើងវិញ (ឬគ្រប់កុំព្យូទ័រផ្សេងទៀតដែលអ្នកមាននៅថ្ងៃនេះ) សូមចំណាយពេល 5 នាទីដើម្បីប្រតិបត្តិពាក្យបញ្ជាទាំងនេះ ដូច្នេះការបរាជ័យនៃ motherboard ឬ firmware update មិនអាចចាប់ឯកសាររបស់អ្នកម្តងទៀតបានទេ៖

1. នៅលើ Windows (នាំចេញ BitLocker Recovery Key របស់អ្នក & ផ្អាកមុនពេលធ្វើបច្ចុប្បន្នភាព BIOS)¶

បើក អ្នកគ្រប់គ្រង PowerShell ឬ Command Prompt ហើយនាំចេញពាក្យសម្ងាត់សង្គ្រោះ 48 ខ្ទង់បច្ចុប្បន្នរបស់អ្នក៖

# Display all BitLocker recovery keys and Key IDs across all drives
Get-BitLockerVolume | Select-Object MountPoint, VolumeStatus, -ExpandProperty KeyProtector |
  Where-Object { $_.KeyProtectorType -eq 'RecoveryPassword' } |
  Select-Object MountPoint, KeyProtectorId, RecoveryPassword

- ** មុនពេលធ្វើបច្ចុប្បន្នភាព BIOS របស់អ្នក ឬប្តូរផ្នែករឹង **៖ ដំណើរការជានិច្ច Suspend-BitLocker -MountPoint "C:" -RebootCount 1 នៅក្នុង Administrator PowerShell មុនពេលបញ្ចេញការអាប់ដេត BIOS របស់ motherboard បិទបើក Secure Boot ឬជំនួស CPU/motherboard។ នេះរក្សាទុកជាបណ្ដោះអាសន្ននូវឧបករណ៍ការពារច្បាស់លាស់សម្រាប់ការចាប់ផ្ដើមឡើងវិញម្ដង ហើយបិទត្រា TPM PCR ថ្មីដោយស្វ័យប្រវត្តិនៅពេលដែលការអាប់ដេតបានបញ្ចប់។

2. នៅលើ macOS (ផ្ទៀងផ្ទាត់ ឬបង្វិល FileVault Recovery Key របស់អ្នក)¶

បើក ស្ថានីយ ហើយពិនិត្យមើលថាតើអ្នកណាត្រូវបានអនុញ្ញាតឱ្យដោះសោថាសចាប់ផ្ដើម APFS របស់អ្នក៖

sudo fdesetup status
diskutil apfs listCryptoUsers /

ប្រសិនបើអ្នកចង់បង្កើតកូនសោសង្គ្រោះផ្ទាល់ខ្លួន 24 តួអក្សរថ្មីស្រឡាង ដូច្នេះអ្នកអាចសរសេរវាចុះ ហើយរក្សាទុកវានៅក្នុងកម្មវិធីគ្រប់គ្រងពាក្យសម្ងាត់របស់អ្នក និងសុវត្ថិភាពនៅផ្ទះ៖

sudo fdesetup changerecovery -personal

3. នៅលើលីនុច (បម្រុងទុកបឋមកថា LUKS របស់អ្នក ហើយចុះឈ្មោះ Keyslot ជំនួស)¶

រក្សាច្បាប់ចម្លងនៃបឋមកថា LUKS 16-megabyte របស់អ្នកនៅលើដ្រាយមេដៃ USB ខាងក្រៅ ហើយចុះឈ្មោះលេខសម្ងាត់សង្គ្រោះតួអក្សរ 64 ដែលបានបោះពុម្ពទៅក្នុង Keyslot 1៖

# 1. Back up the binary LUKS header to an external USB drive
sudo cryptsetup luksHeaderBackup /dev/nvme0n1p3 --header-backup-file /media/usb/luks-header-nvme0n1p3.bak

# 2. Add an independent emergency recovery passphrase into Keyslot 1
sudo cryptsetup luksAddKey --key-slot 1 /dev/nvme0n1p3

បញ្ជីត្រួតពិនិត្យការត្រៀមលក្ខណៈសង្គ្រោះបន្ទាន់នៃការអ៊ិនគ្រីប¶

នាំចេញ ** 48 ខ្ទង់ BitLocker Recovery Key ** របស់អ្នក (រួមទាំង 8 តួអក្សរ ** លេខសម្គាល់គន្លឹះ ) ហើយរក្សាទុកវានៅខាងក្នុងរបស់អ្នក។ កម្មវិធីគ្រប់គ្រងពាក្យសម្ងាត់ ** និង បោះពុម្ពលើក្រដាសនៅខាងក្នុងសុវត្ថិភាពការពារភ្លើងយ៉ាងហោចណាស់ 1.5 ម៉ែត្រ (5 ហ្វីត) ពីលើកម្រិតជាន់។
បោះពុម្ព ឬរក្សាទុក ** 24 តួអក្សរ macOS FileVault Recovery Key** របស់អ្នក រួមជាមួយនឹងសោរស្ដារគណនី Apple របស់អ្នក 28 តួអក្សរ។
បម្រុងទុក ** បឋមកថាលីនុច LUKS 16 មេកាបៃរបស់អ្នក ** (cryptsetup luksHeaderBackup) ទៅកាន់ដ្រាយ USB ក្រៅបណ្តាញ ដូច្នេះការសរសេរជាន់លើភាគថាសដោយចៃដន្យមិនអាចបំផ្លាញគ្រាប់ចុចទាំងអស់បានទេ។
រក្សាឯករាជ្យ ស្វ័យប្រវត្តិ ការបម្រុងទុកកុំព្យូទ័រ 3-2-1 ដូច្នេះសូម្បីតែការស្លាប់របស់ឧបករណ៍បញ្ជា SSD ដ៏មហន្តរាយ ឬសោការអ៊ិនគ្រីបដែលភ្លេចមិនបំផ្លាញរូបថតដែលមិនអាចជំនួសបាន ឯកសារពន្ធ ឬកូដប្រភពរបស់អ្នក។

សំណួរដែលគេសួរញឹកញាប់¶

Why did my Windows 11 laptop suddenly ask for a BitLocker Recovery Key when I never turned on BitLocker?

Almost all modern Windows 10 and 11 laptops ship with "Device Encryption" (using the BitLocker engine) pre-staged at the factory. The moment you sign in with a Microsoft Account or a work/school account during setup, Windows silently activates BitLocker and uploads your 48-digit recovery key to `account.microsoft.com/devices/recoverykey`. Later, when a routine Windows Update installs a UEFI/BIOS firmware update that alters the motherboard TPM 2.0 measurements, BitLocker locks the drive and demands that 48-digit key.

Can a professional data recovery lab or forensic company bypass BitLocker, FileVault 2, or LUKS without the key?

No. If the Volume Master Key is properly sealed and you have neither the recovery key nor a guessable user password, no data recovery lab can brute-force AES-128-XTS or AES-256-XTS encryption. The only exceptions where a lab can help are: (1) repairing a physically dead motherboard so the original onboard TPM 2.0 or Apple Secure Enclave chip can boot and release the key automatically; (2) sniffing an uninsulated discrete LPC/SPI TPM bus if the TPM already considers the boot state valid; or (3) running GPU dictionary attacks (`hashcat`) against a human-chosen passphrase whose root words you partially remember.

I have multiple BitLocker recovery keys in my Microsoft Account for the same computer name. How do I know which one to type?

Never go by the computer hostname alone, because reinstalling Windows creates a new key under the same name. Look at the blue BitLocker screen on your PC and note the **Key ID** (the first 8 hexadecimal characters, like `3A9F82C1`). Match those exact 8 characters against the **Key ID** column listed at `account.microsoft.com/devices/recoverykey`.

If I clean-install Windows over a locked BitLocker drive, can I use data recovery software like Recuva or PhotoRec to get my photos back?

No. File-carving tools like PhotoRec or Recuva scan raw disk sectors for recognizable file headers (such as `FF D8 FF` for JPEGs). On an AES-XTS encrypted drive, every sector is scrambled into high-entropy ciphertext with zero recognizable file headers, and formatting over the partition destroys the BitLocker metadata headers needed to ever decrypt the drive.

ការណែនាំដែលពាក់ព័ន្ធ¶

ប្រភពបានពិនិត្យ¶

វិទ្យាស្ថានស្តង់ដារ និងបច្ចេកវិទ្យាជាតិ (NIST) (សហរដ្ឋអាមេរិក)៖ ការបោះពុម្ពពិសេស NIST 800-111៖ ការណែនាំអំពីបច្ចេកវិទ្យាផ្ទុកទិន្នន័យសម្ងាត់សម្រាប់ឧបករណ៍អ្នកប្រើប្រាស់ចុងក្រោយ & FIPS 197 (AES-XTS)។
Microsoft រៀនឯកសារផ្លូវការ៖ *ទិដ្ឋភាពទូទៅនៃការងើបឡើងវិញ BitLocker, ការចុះឈ្មោះការកំណត់រចនាសម្ព័ន្ធវេទិកា TPM (PCR 0-11) ទម្រង់សុពលភាព និង manage-bde សេចក្តីយោងបន្ទាត់ពាក្យបញ្ជា * ។
មគ្គុទ្ទេសក៍សុវត្ថិភាពវេទិកា Apple៖ ការអ៊ិនគ្រីបកម្រិតសំឡេងជាមួយ FileVault, APFS Key Bags, Secure Enclave Hardware Root of Trust និង Institutional/Personal Recovery Key Escrow។ -Trusted Computing Group (TCG) (International)៖ ការបញ្ជាក់អំពីបណ្ណាល័យ TPM 2.0 និងការកំណត់ទម្រង់កម្មវិធីបង្កប់កុំព្យូទ័ររបស់កម្មវិធីកុំព្យូទ័រ។
ការបញ្ជាក់ជាផ្លូវការរបស់ GitLab Cryptsetup / LUKS2៖ * លក្ខណៈបញ្ជាក់ទ្រង់ទ្រាយនៅលើឌីស LUKS2, Argon2id PBKDF Memory-Hard Keyslots និងដំណើរការបម្រុងទុក/ជួសជុលបឋមកថា*។