Kunci Kunci Pemulihan Penyulitan Cakera BitLocker, FileVault dan LUKS¶

Melihat skrin biru Pemulihan BitLocker pada Windows, gesaan log masuk FileVault terkunci pada macOS, atau ** tidak bertindak balascryptsetup gesaan frasa laluan** pada stesen kerja Linux boleh menghentikan kerja dan kehidupan peribadi anda. Penyulitan cakera penuh (FDE) menggunakan sifir simetri gred tentera, biasanya AES-128 atau AES-256 dalam mod XTS, untuk merangkak setiap sektor pemacu keadaan pepejal (SSD) atau pemacu cakera keras (HDD) anda. Tanpa Kunci Induk Volume kriptografi (VMK) atau pelindung penyulitan kunci yang sah, data mentah pada cip kilat NAND tidak dapat dibezakan secara matematik daripada hingar rawak.

Walau bagaimanapun, skrin kunci pemulihan secara tiba-tiba jarang sekali bermakna pemacu anda rosak atau kunci anda telah hilang selama-lamanya. Kebanyakan penguncian BitLocker dan FileVault dicetuskan secara automatik apabila kemas kini perisian tegar BIOS/UEFI rutin, penukaran dok Thunderbolt, togol Boot Selamat atau bateri sel syiling CMOS yang mati mengubah Daftar Konfigurasi Platform (PCR) di dalam papan induk anda Modul Platform Dipercayai (TPM 2.0). Walaupun anda tidak pernah menulis kunci pemulihan, anda selalunya boleh memintas gesaan dengan mengembalikan tetapan perisian tegar UEFI yang tepat yang menyebabkan pengukuran TPM tersandung, atau dengan mencari sandaran automatik senyap kunci anda di dalam akaun Microsoft peribadi, direktori ID Microsoft Entra tempat kerja atau sekolah, rantai kunci Apple iCloud atau salinan bayangan volum yang tidak dilekapkan.

Lakukan ini sekarang¶

1. BERHENTI sebelum mengklik "Tetapkan semula PC ini", "Padam Mac", atau memformatkan partition. Memasang semula Windows, macOS atau Linux pada partition yang disulitkan akan menimpa pengepala volum kriptografi (blok metadata BitLocker, superblock kontena APFS atau pengepala LUKS2 JSON). Setelah pengepala metadata kecil itu ditulis ganti, walaupun mencari kunci pemulihan 48 digit yang sah anda esok tidak akan menyahsulit fail anda lagi.
2. Cabut palam semua pemacu USB luaran, kad SD, dok Thunderbolt, penyesuai HDMI dan pengawal permainan, kemudian but semula. Pada sistem Windows yang menggunakan Daftar Konfigurasi Platform TPM 2.0 (khususnya PCR 0, PCR 2, PCR 4 dan PCR 7), but dengan pemacu ibu jari USB boleh boot, hab pemantau Thunderbolt luaran yang baru dipasang, atau hab dock ROM luar yang dipasang. pengukuran hash. Mencabut palam setiap peranti dan melakukan but semula sejuk dengan kerap membolehkan TPM melepaskan Kunci Induk Volume seperti biasa tanpa memerlukan kod 48 digit.
3. Semak setiap akaun Microsoft, Apple atau korporat yang pernah anda gunakan pada telefon atau komputer riba kedua. Jangan anggap anda tahu akaun e-mel yang aktif semasa komputer riba pertama kali dinyahkotak. Pada Windows, semak account.microsoft.com/devices/recoverykey merentas akaun Outlook/Hotmail/Live peribadi anda dan semak aka.ms/myrecoverykey pada mana-mana akaun Microsoft 365 (Entra ID) kerja, universiti atau pelanggan yang pernah anda log masuk dalam Microsoft Word, Teams atau Tetapan Windows.
4. Padankan 8 aksara pertama "ID Kunci" yang dipaparkan pada skrin terkunci anda. Skrin pemulihan Windows BitLocker memaparkan 32 aksara Key ID (atau 8 aksara heksadesimal pertama, seperti A1B2C3D4). Jika anda mempunyai berbilang kunci yang disimpan dalam akaun Microsoft anda atau pada komputer lama, hanya kata laluan pemulihan 48 digit yang ID Kuncinya sepadan dengan 8 aksara tepat tersebut akan membuka kunci volum pemacu khusus ini.
5. Kembalikan sebarang perubahan BIOS/UEFI terbaharu yang dibuat sejurus sebelum lockout. Jika skrin BitLocker muncul serta-merta selepas anda memasuki persediaan BIOS untuk mematikan Secure Boot, togol CSM (Modul Sokongan Keserasian), tukar Intel PTT / AMD fTPM, atau dayakan ** Boot Order berubah**, but semula ke BIOS (F2, F12, atau Del) dan tetapkan togol tepat tersebut kembali ke keadaan sebelumnya. Sebaik sahaja PCR 7 dan PCR 0 sepadan dengan cincangan kriptografi asal mereka, TPM akan membuka kunci secara automatik.
6. Utamakan keselamatan fizikal jika penguncian berlaku semasa kecemasan atau krisis domestik. Jika anda cuba mendapatkan semula rekod perubatan, dokumen kewangan atau rancangan pemindahan semasa krisis, ingat bahawa pemacu yang disulitkan mengekalkan data selama-lamanya semasa dimatikan. Jika anda menghadapi ancaman fizikal serta-merta, tinggalkan perkakasan dan hubungi nombor kecemasan tempatan anda (911 di Amerika Syarikat dan Kanada, 112 di seluruh Kesatuan Eropah, 999 di United Kingdom, atau lihat kami nombor kecemasan direktori).

Triage penguncian penyulitan cakera dan pepohon keputusan pemulihan¶

flowchart TD
    Start["Dikunci Daripada Drive Disulitkan: BitLocker, FileVault atau LUKS Prompt"] --> WhichOS{"Sistem Pengendalian dan Enjin Penyulitan yang manakah?"}

    WhichOS -->|"Windows: Skrin Pemulihan 48 Digit BitLocker"| PeriphCheck["Langkah 1: Cabut palam semua pemacu USB, dok Thunderbolt dan monitor luaran; but semula sejuk"]
    PeriphCheck --> StillLocked{"Masih meminta kunci 48 digit?"}
    StillLocked -->|"Tidak: But Biasa"| BackupNow["Jalankan segera 'manage-bde -protectors -get C:' dan simpan kunci 48 digit di luar talian"]
    StillLocked -->|"ya"| BIOSCheck{"Adakah anda baru sahaja menukar BIOS, Secure Boot, CSM, atau mengemas kini perisian tegar?"}

    BIOSCheck -->|"ya"| RevertBIOS["Masukkan Persediaan UEFI: Dayakan semula But Secure, Mod But UEFI dan Intel PTT / AMD fTPM untuk memulihkan cincang PCR 7"]
    BIOSCheck -->|"Tidak"| HuntKey["Langkah 2: Padankan ID Kunci 8-Char merentas SEMUA Akaun Microsoft Peribadi, ID Masuk Kerja/Sekolah, Direktori Aktif dan fail USB .BEK/.TXT"]
    RevertBIOS --> HuntKey

    WhichOS -->|"macOS: Log Masuk FileVault Menolak Kata Laluan"| ApplePath{"Apple Silicon/T2 Mac lwn Intel Mac?"}
    ApplePath -->|"Semua Mac"| TestLayout["Langkah 1: Semak Menu Input di bahagian atas sebelah kanan skrin FileVault untuk ketidakpadanan reka letak papan kekunci"]
    TestLayout --> FVMethod{"Kaedah Pemulihan Manakah yang Didayakan?"}
    FVMethod -->|"Escrow Akaun iCloud"| BootRecovery["Boot ke Pemulihan macOS: Sahkan dengan Akaun Apple melalui Pembantu Pemulihan untuk menetapkan semula kata laluan"]
    FVMethod -->|"Kunci Pemulihan Peribadi (PRK) 24-Char atau MDM"| EnterPRK["Masukkan kunci XXXX-XXXX-XXXX-XXXX-XXXX-XXXX dalam Pembantu Pemulihan atau minta Kunci Escrow Institusi daripada IT"]

    WhichOS -->|"Linux: LUKS / cryptsetup Frasa Laluan Ditolak"| LUKSPath["Step 1: Drop to initramfs shell or boot Live USB; check keyboard layout in console"]
    LUKSPath --> LUKSHeader{"Are Keyslots Intact in 'cryptsetup luksDump'?"}
    LUKSHeader -->|"Yes: Keyslot Active"| TestPass["Test secondary keyslots (Slot 1-7), FIDO2/TPM2 token, or run hashcat Mode 29500 against header backup"]
    LUKSHeader -->|"No: Header Corrupted"| RestoreHeader["Restore LUKS header from '--header-backup-file' or scan disk for surviving metadata"]

Understanding Full-Disk Encryption and TPM 2.0 sealing¶

Neither Windows BitLocker, Apple FileVault 2, nor Linux dm-crypt / LUKS encrypts your SSD directly with your login password or recovery key. Instead, all three platforms use a two-tier key hierarchy:

1. The Volume Master Key (VMK) / Full Volume Encryption Key (FVEK): A hardware random key (128-bit, 256-bit, or 512-bit) encrypts and decrypts the actual disk sectors on the fly.
2. Key Protectors / Keyslots (KEKs): The Volume Master Key is wrapped using independent Key Encryption Keys (KEKs), called Key Protectors in BitLocker, Key Bags in Apple APFS, and Keyslots in Linux LUKS.
3. Why TPM 2.0 sealing locks you out on Windows: On Windows 10 and 11, the primary key protector is the Trusted Platform Module (TPM 2.0) chip (discrete silicon or firmware Intel PTT / AMD fTPM). When BitLocker seals the Volume Master Key into the TPM, it binds the key to specific Platform Configuration Registers (PCRs):
4. PCR 0: Hashes core UEFI/BIOS system firmware.
5. PCR 2: Hashes pluggable external hardware Option ROM code (Thunderbolt docks, RAID cards, external GPUs).
6. PCR 4: Hashes the boot manager (bootmgfw.efi) and boot order state.
7. PCR 7: Hashes Secure Boot policy and UEFI db / dbx certificate databases.
8. PCR 11: Hashes BitLocker access control components.

Whenever you press the power button, the motherboard measures these firmware components before Windows loads. If any single bit in PCR 0, PCR 2, PCR 4, or PCR 7 differs from the value recorded when BitLocker was sealed, the TPM refuses to release the Volume Master Key and forces Windows Boot Manager to display the 48-digit BitLocker Recovery Key screen.

Comparison of Full-Disk Encryption architectures and recovery mechanisms¶

Bahagian 1: Menyelesaikan penguncian pemulihan Windows BitLocker¶

Apabila PC Windows anda berhenti pada "BitLocker: Masukkan kunci pemulihan untuk pemacu ini" (atau Persekitaran Pemulihan Windows meminta kunci sebelum membenarkan akses Prompt Perintah atau Mod Selamat), lakukan melalui dua trek selari ini: Track A cuba memujuk TPM supaya membuka kunci pemacu tanpa memerlukan kunci, dan Track B memburu setiap kekunci storan 48 digit dan setempat.

Track A: Memintas gesaan BitLocker tanpa kunci pemulihan (Memulihkan keadaan PCR TPM)¶

Jika anda tidak memadamkan TPM secara manual atau memindahkan SSD NVMe ke dalam papan induk baharu, Kunci Induk Volume masih berada di dalam cip TPM 2.0 anda. Ia enggan membuka kunci kerana ukuran PCR pra-but telah berubah. Cuba pemulihan perkakasan dan perisian tegar yang tidak merosakkan ini mengikut urutan:

1. Putuskan sambungan semua perkakasan luaran dan dok:
2. Matikan komputer sepenuhnya (tahan butang kuasa selama 10 saat).
3. Cabut palam setiap pemacu kilat USB, pemacu keras luaran, hab USB-C, stesen dok Thunderbolt, kad SD dan kabel monitor luaran.
4. Cabut palam pengecas AC selama 15 saat, palamkan pengecas asli terus ke dalam komputer riba dan hidupkannya. Dok Thunderbolt dan hab USB-C selalunya mengandungi but rangkaian PXE dalaman atau ROM Pilihan paparan yang memanjang ke PCR 2 dan PCR 4, membatalkan keadaan TPM.
5. Pulihkan Boot Selamat dan Mod But UEFI dalam Persediaan BIOS:
6. But semula dan tekan kekunci BIOS motherboard anda (F2 pada Dell/ASUS/Lenovo/Acer, F10 pada HP, Del pada papan desktop).
7. If Secure Boot was recently changed from Enabled to Disabled, set it back to Enabled (Standard Mode) and save changes. Conversely, if a BIOS update flipped Secure Boot to Enabled, try toggling it to Disabled once.
8. Sahkan Mod But ditetapkan kepada UEFI Sahaja (lumpuhkan Legacy / CSM) dan sahkan Pengurus But Windows ialah pilihan but pertama.
9. Sahkan Intel PTT atau AMD fTPM didayakan (Jangan sekali-kali klik "Kosongkan TPM"):
10. Selepas bateri CMOS mati atau tetapan semula BIOS, papan induk kadangkala melumpuhkan perisian tegar TPM (Intel Platform Trust Technology atau AMD CPU fTPM). Pergi ke tab Security atau Trusted Computing dalam BIOS dan sahkan TPM 2.0 State is Enabled.
11. Amaran: Jangan sekali-kali pilih "Kosongkan TPM" atau "Padam fTPM NV" di dalam BIOS. Membersihkan TPM secara kekal memusnahkan Kunci Root Storan dalaman di dalam cip silikon, menjadikan kunci pemulihan 48 digit wajib.
12. Roll back a buggy BIOS capsule update:
13. On Dell laptops, hold Ctrl + Esc while plugging in AC power to launch the Dell BIOS Recovery menu and select Rollback BIOS. On HP laptops, hold Win + B while pressing the power button for 2 seconds to trigger HP Sure Start BIOS rollback.

Track B: Exhaustive search for your 48-digit BitLocker Recovery Key¶

If the TPM cannot be restored (or if you moved the SSD into an external USB enclosure), you must supply the 48-digit numeric recovery password (XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX) atau a .BEK fail kunci permulaan. Tulis 8 aksara pertama ID Kunci yang ditunjukkan pada skrin (contohnya, Key ID: 4F8A9C12) and check these six locations:

1. Personal Microsoft Accounts (account.microsoft.com/devices/recoverykey)¶

Lawati https://account.microsoft.com/devices/recoverykey (atau https://aka.ms/myrecoverykey) pada telefon atau komputer sekunder. - Semak setiap akaun sejarah: Penyulitan Peranti menyandarkan kunci kepada mana-mana Akaun Microsoft yang mula-mula digunakan apabila PC dinyahkotak, walaupun anda kemudiannya bertukar kepada log masuk tempatan. Log masuk dan uji semua yang lama @hotmail.com, @live.com, @outlook.com, or linked @gmail.com accounts, plus the account of any spouse, parent, or technician who helped set up the PC or signed into Microsoft Office or Xbox Game Pass on that machine.

2. Work, School, or University Entra ID / Azure AD (myaccount.microsoft.com)¶

Even on a personal home laptop, if you ever signed into Microsoft 365 apps (Word, Excel, Teams) with a work, university, or client email address and left "Allow my organization to manage my device" checked, Windows automatically escrowed your BitLocker recovery key into that organization's Microsoft Entra ID tenant: 1. Lawati https://myaccount.microsoft.com/device-list and sign in with your work or school email. 2. Select your computer name and click View BitLocker keys. 3. If your work or school account is already disabled, call that organization's IT Help Desk and give them your 8-character Key ID. Administrators can retrieve keys for deactivated accounts under Devices > All devices > Recovery keys in entra.microsoft.com.

3. On-Premises Corporate Active Directory (msFVE-RecoveryInformation)¶

If the computer was joined to an Active Directory domain, a Domain Administrator can look up the key by its 8-character Key ID using PowerShell:

Get-ADObject -Filter {objectClass -eq 'msFVE-RecoveryInformation'} -Properties msFVE-RecoveryPassword, whenCreated |
  Where-Object { $_.Name -like "*4F8A9C12*" } | Select-Object Name, msFVE-RecoveryPassword, whenCreated

4. Automated or Manual Text Files on USB Flash Drives and Cloud Drives¶

When Windows saves a recovery key to a file or USB drive, it names the file BitLocker Recovery Key [GUID].txt or saves a hidden .BEK file (attrib +h +s). Run this PowerShell search across all USB drives, external hard drives, OneDrive, Google Drive, and Dropbox folders on another PC:

Get-PSDrive -PSProvider FileSystem | ForEach-Object {
    Get-ChildItem -Path $_.Root -Include "*BitLocker*Recovery*Key*.txt", "*.bek" -Recurse -Force -ErrorAction SilentlyContinue
} | Select-Object FullName, LastWriteTime

5. Extracting the Key for a Secondary Data Drive (D:) from an Unlocked C: Partition¶

If C: boots normally and only a secondary drive D: is locked, open an Administrator PowerShell window on C: and run manage-bde -protectors -get D: to see if C: still holds the auto-unlock registry key, or inspect previous Volume Shadow Copies of your Documents folder for deleted BitLocker Recovery Key *.txt files.

6. Print Spooler History and PDF / OneNote Printouts¶

If you clicked "Print the recovery key" during setup, check Microsoft OneNote and search your Documents folder for .pdf atau .xps files created via "Microsoft Print to PDF".

Track C: Unlocking and decrypting a BitLocker drive from WinRE Command Prompt (manage-bde)¶

If typing the 48-digit recovery password at the blue screen loops back to BitLocker on the next reboot or crashes Windows, unlock and suspend BitLocker from the Windows Recovery Environment (WinRE) Command Prompt:

1. Tekan Esc at the BitLocker screen, then click Skip this drive -> Troubleshoot -> Advanced options -> Command Prompt.
2. Check status and unlock the OS volume (C:):

   manage-bde -status
   manage-bde -unlock C: -RecoveryPassword 123456-123456-123456-123456-123456-123456-123456-123456
   

   (Or unlock using a binary .BEK file on a USB stick mapped as F: via manage-bde -unlock C: -RecoveryKey "F:\key.BEK").
3. Suspend protectors so the prompt does not return on the next reboot:

   manage-bde -protectors -disable C:
   

   But semula ke Windows, kemudian jalankan manage-bde -protectors -enable C: dalam Prompt Perintah yang dinaikkan untuk mengelak semula Kunci Induk Volume terhadap cincang PCR UEFI baharu.
4. Jika Windows tidak boleh boot, salin fail keluar atau nyahsulit sepenuhnya:

   robocopy C:\Users\YourUsername F:\RescueBackup /E /ZB /R:1 /W:1 /XJ
   manage-bde -off C:
   

Track D: Memasang SSD BitLocker pada Linux (dislocker / cryptsetup) untuk penyelamatan fail¶

Jika papan induk Windows anda mati, letakkan M.2 NVMe atau SATA SSD ke dalam kandang USB-C luaran (berukuran kira-kira 10 sentimeter kali 3 sentimeter, atau 4 inci kali 1.2 inci) dan buka kuncinya pada mana-mana PC Linux atau USB Langsung Ubuntu:

# Method 1: Modern cryptsetup (v2.3+ natively supports BITLOCKER volumes)
sudo cryptsetup open --type bitlocker /dev/nvme0n1p3 bitlocker_unlocked
# Type the 48-digit recovery key INCLUDING hyphens when prompted
sudo mkdir -p /mnt/windows_data
sudo mount -t ntfs3 -o ro /dev/mapper/bitlocker_unlocked /mnt/windows_data

# Method 2: Using dislocker
sudo apt update && sudo apt install -y dislocker ntfs-3g
sudo mkdir -p /mnt/dislocker_raw /mnt/windows_rescue
sudo dislocker -V /dev/nvme0n1p3 -p123456-123456-123456-123456-123456-123456-123456-123456 -- /mnt/dislocker_raw
sudo mount -t ntfs-3g -o loop,ro /mnt/dislocker_raw/dislocker-file /mnt/windows_rescue

Part 2: Resolving Apple macOS FileVault 2 and Secure Enclave lockouts¶

On macOS (High Sierra through macOS Sequoia and newer), FileVault 2 encrypts the entire APFS (Apple File System) volume. On Macs with Apple Silicon (M1, M2, M3, M4) or the Apple T2 Security Chip, the volume is actually always encrypted at rest using hardware keys inside the Secure Enclave Processor (SEP). Turning on FileVault wraps that hardware Volume Encryption Key (VEK) with a Key Encryption Key (KEK) derived from your macOS login password and your FileVault Recovery Key.

Because FileVault requires decrypting the APFS volume before macOS loads from disk, the first screen you see when you turn on a FileVault-enabled Mac is not the normal macOS login window, it is the pre-boot FileVault EFI / iBoot unlock screen.

Step 1: Rule out the #1 cause of sudden FileVault lockouts (Pre-boot keyboard layout & external keyboards)¶

Before assuming your password broke or starting a reset, check these three pre-boot quirks that cause valid passwords to shake and reject at the FileVault boot screen:

1. Tukar Menu Input Papan Kekunci Pra-but: Skrin FileVault pra-but menggunakan pemacu papan kekunci perisian tegar yang dilucutkan yang kerap menjadi lalai kepada A.S. QWERTY (atau ABC) walaupun anda menaip kata laluan anda menggunakan reka letak UK, Jerman (QWERTZ), Perancis (AZERTY) atau Dvorak di dalam macOS. Lihat penjuru kanan sebelah atas skrin log masuk FileVault, klik ikon menu Input Papan Kekunci dan pilih reka letak papan kekunci anda yang tepat.
2. Masa Papan Kekunci Bluetooth & Num Lock: Papan kekunci Bluetooth pihak ketiga sering melepaskan dua ketukan kekunci pertamanya semasa bangun pada skrin pra-but, atau tiada penunjuk keadaan Num Lock. Palamkan papan kekunci USB berwayar terus ke dalam Mac (atau gunakan papan kekunci MacBook terbina dalam) dan taip perlahan-lahan.
3. Berbilang Pengguna Pentadbir pada Mac yang Sama: Dalam FileVault, setiap akaun pengguna macOS yang dibenarkan mempunyai token kriptografi bebasnya sendiri dalam Beg Kunci APFS (diskutil apfs listCryptoUsers /). Jika akaun anda goyah dan gagal, klik ** ikon pengguna Pentadbir lain** pada skrin FileVault dan log masuk dengan kata laluan mereka. Setelah berada di dalam macOS, pentadbir itu boleh menetapkan semula kata laluan anda dalam Tetapan Sistem > Pengguna & Kumpulan.

Langkah 2: Membuka kunci FileVault melalui Akaun Apple (iCloud) atau Kunci Pemulihan Peribadi 24 Aksara¶

Jika kata laluan anda masih gagal pada skrin log masuk FileVault:

1. Tunggu Prompt Pemulihan: Selepas menaip kata laluan yang salah tiga kali pada skrin log masuk FileVault, macOS memaparkan pilihan untuk menetapkan semula menggunakan Akaun Apple anda atau masukkan Kunci Pemulihan anda.
2. Atau but terus ke Pemulihan macOS (Recovery Assistant):
3. Apple Silicon Macs (M1/M2/M3/M4): Matikan sepenuhnya, kemudian tekan dan tahan butang Kuasa (ID Sentuh) selama 10 saat sehingga "Memuatkan pilihan permulaan..." muncul, klik Pilihan, dan klik Teruskan.
4. Intel Mac: Hidupkan Mac dan tahan Command (⌘) + R sehingga logo Apple muncul.
5. ** Di dalam Reset Password Tetingkap Pembantu Pemulihan**:
6. Sambung ke Wi-Fi di penjuru kanan sebelah atas skrin atau palamkan Ethernet.
7. Pilihan A (Escrow Akaun Apple): Jika anda mendayakan pemulihan iCloud, pilih Terlupa semua kata laluan? -> Log masuk dengan Akaun Apple. Masukkan e-mel Akaun Apple anda, kata laluan dan kod 2FA 6 digit (jika anda kehilangan telefon anda, lihat kami Kunci keluar MFA dan pemulihan pengesah panduan) untuk membuka kunci volum APFS dan menetapkan kata laluan baharu.
8. Pilihan B (Kunci Pemulihan Peribadi 24 Aksara): Pilih Masukkan Kunci Pemulihan FileVault dan taipkan kod alfanumerik 24 aksara anda (XXXX-XXXX-XXXX-XXXX-XXXX-XXXX).
9. Pilihan C (Escrow MDM Korporat / Universiti): Jika Mac anda diuruskan melalui Jamf Pro, Kandji, Mosyle atau Microsoft Intune, hubungi Meja Bantuan IT anda dengan nombor siri Mac anda supaya mereka boleh membacakan anda Kunci Pemulihan FileVault 24 aksara yang disimpan.

Langkah 3: Membuka kunci volum APFS FileVault secara manual daripada Terminal (diskutil apfs unlockVolume)¶

Jika Pembantu Pemulihan grafik gagal memasang pemacu anda, buka Utiliti -> Terminal di dalam Pemulihan macOS dan buka kunci volum APFS secara manual:

# 1. List all APFS containers and encrypted volumes to find the Volume Identifier (e.g., disk3s5)
diskutil apfs list

# 2. List all cryptographic users (UUIDs) authorized to unlock that APFS volume
diskutil apfs listCryptoUsers /dev/disk3s5

# 3. Unlock the APFS volume using either your user password OR your 24-character Recovery Key:
diskutil apfs unlockVolume /dev/disk3s5 -passphrase "YOUR-XXXX-XXXX-XXXX-XXXX-XXXX-KEY"

# 4. Copy critical files from '/Volumes/Macintosh HD - Data' to an external USB drive:
cp -Rv "/Volumes/Macintosh HD - Data/Users/yourusername/Documents" "/Volumes/ExternalUSB/Backup/"

Bahagian 3: Menyelesaikan Linux LUKS (dm-crypt / cryptsetup) penguncian penyulitan¶

Pengedaran Linux (Ubuntu, Fedora, Debian, Arch Linux, Red Hat Enterprise Linux, Pop._OS dan OS Qubes) bergantung pada LUKS (Linux Unified Key Setup), biasanya LUKS2, diuruskan oleh cryptsetup dan dm-crypt. Apabila mesin Linux jatuh ke dalam (initramfs) atau dracut kata cangkang cryptsetup failed, bad password or options, ikut empat langkah ini:

Langkah 1: Semak peta kekunci konsol vs reka letak papan kekunci grafik¶

Semasa pra-boot initramfs fasa, sistem menggunakan peta kekunci konsol Linux (/etc/vconsole.conf), yang selalunya lalai kepada us walaupun anda mengkonfigurasi reka letak pengaturcara UK, Jerman, Perancis atau tersuai di dalam GNOME atau KDE. But Linux Live USB, buka terminal grafik di mana anda boleh menaip frasa laluan anda dengan jelas dalam editor teks untuk mengesahkan setiap aksara dan membuka kunci pemacu daripada Live USB:

lsblk -f
sudo cryptsetup luksOpen /dev/nvme0n1p3 my_encrypted_root

Langkah 2: Periksa pengepala LUKS dan semak slot kekunci sekunder (cryptsetup luksDump)¶

LUKS1 menyokong 8 Slot Kunci bebas (0 hingga 7) dan LUKS2 menyokong sehingga 32 Slot Kunci (0 hingga 31), serta perkakasan Token (systemd-tpm2 atau systemd-fido2). Periksa pengepala anda tanpa mengubah apa-apa pada cakera:

sudo cryptsetup luksDump /dev/nvme0n1p3

sudo systemd-cryptenroll --wipe-slot=tpm2 --tpm2-device=auto --tpm2-pcrs=7 /dev/nvme0n1p3

Step 3: Recovering from a corrupted or overwritten LUKS2 header¶

In LUKS, all keyslots live in the first 2 megabytes (LUKS1) or 16 megabytes (LUKS2) of the partition. If cryptsetup luksDump says not a valid LUKS device, take these steps:

1. Image the first 32 MB before touching anything:

   sudo dd if=/dev/nvme0n1p3 of=~/damaged_luks_first32mb.img bs=1M count=32 status=progress
   

2. Attempt automatic LUKS2 secondary JSON metadata repair (cryptsetup repair):
3. LUKS2 stores two redundant copies of the binary and JSON header metadata at offset 0x0000 and offset 0x4000 (16 KB). If only the primary copy at byte 0 was clobbered, sudo cryptsetup repair /dev/nvme0n1p3 reconstructs it from 0x4000.
4. Restore from a saved LUKS Header Backup (luksHeaderRestore):
5. Unlock non-destructively using an external header backup file:

   sudo cryptsetup luksOpen --header /path/to/luks-header.bak /dev/nvme0n1p3 rescued_volume
   

Step 4: Testing partially remembered passphrases with hashcat¶

While you cannot brute-force a random 48-digit BitLocker Recovery Key or 24-character Apple Recovery Key (\(2^{128}\) bits of entropy), you can test variations of a human-chosen LUKS passphrase or BitLocker custom user password if you remember the base words:

# For Linux LUKS2 (mode 29500) or LUKS1 (mode 14600):
sudo dd if=/dev/nvme0n1p3 of=luks_header.bin bs=1M count=16
hashcat -m 29500 luks_header.bin my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

# For BitLocker protected by a custom User Password (mode 22100):
bitlocker2john -i /dev/nvme0n1p3 | grep "\$bitlocker\$0\$" > user_pass.hash
hashcat -m 22100 user_pass.hash my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

Prevention: How to build a lockout-proof disk encryption backup right now¶

The moment you regain access to your computer (or on every other computer you own today), spend five minutes executing these commands so a motherboard failure or firmware update can never trap your files again:

1. On Windows (Export your BitLocker Recovery Key & pause before BIOS updates)¶

Open an Administrator PowerShell or Command Prompt and export your current 48-digit recovery password:

# Display all BitLocker recovery keys and Key IDs across all drives
Get-BitLockerVolume | Select-Object MountPoint, VolumeStatus, -ExpandProperty KeyProtector |
  Where-Object { $_.KeyProtectorType -eq 'RecoveryPassword' } |
  Select-Object MountPoint, KeyProtectorId, RecoveryPassword

2. On macOS (Verify or rotate your FileVault Recovery Key)¶

Open Terminal and check who is authorized to unlock your APFS startup disk:

sudo fdesetup status
diskutil apfs listCryptoUsers /

sudo fdesetup changerecovery -personal

3. On Linux (Back up your LUKS header and enroll a fallback Keyslot)¶

Always keep a copy of your 16-megabyte LUKS header on an external USB thumb drive and enroll a printed 64-character recovery passphrase into Keyslot 1:

# 1. Back up the binary LUKS header to an external USB drive
sudo cryptsetup luksHeaderBackup /dev/nvme0n1p3 --header-backup-file /media/usb/luks-header-nvme0n1p3.bak

# 2. Add an independent emergency recovery passphrase into Keyslot 1
sudo cryptsetup luksAddKey --key-slot 1 /dev/nvme0n1p3

Encryption emergency readiness checklist¶

• Export your 48-digit BitLocker Recovery Key (including its 8-character Key ID) and store it inside your password manager and printed on paper inside a fireproof safe at least 1.5 meters (5 feet) above floor level.
• Print or save your 24-character macOS FileVault Recovery Key alongside your Apple Account 28-character recovery key.
• Back up your 16-megabyte Linux LUKS header (cryptsetup luksHeaderBackup) to an offline USB drive so an accidental partition overwrite cannot destroy all keyslots.
• Maintain an independent, automated 3-2-1 computer backup so that even a catastrophic SSD controller death or forgotten encryption key never destroys your irreplaceable photos, tax documents, or source code.

Soalan lazim¶

Panduan berkaitan¶

• Windows Blue Screen (BSOD) dan pembaikan but
• macOS kernel panic, black screen, and recovery
• Kegagalan but sistem Linux dan pembaikan GRUB
• Kunci keluar pengurus kata laluan dan pemulihan peti besi kecemasan
• Kegagalan cakera keras dan pemulihan data
• Computer backups: 3-2-1 strategy and disaster recovery
• Direktori nombor kecemasan

Sumber disemak¶

• National Institute of Standards and Technology (NIST) (United States): NIST Special Publication 800-111: Guide to Storage Encryption Technologies for End User Devices & FIPS 197 (AES-XTS).
• Dokumentasi Rasmi Microsoft Learn: Ikhtisar Pemulihan BitLocker, Profil Pengesahan Daftar Konfigurasi Platform TPM (PCR 0-11) dan manage-bde Rujukan Baris Perintah.
• Panduan Keselamatan Platform Apple: Penyulitan Volume dengan FileVault, Beg Kunci APFS, Akar Amanah Perkakasan Enklaf Selamat dan Escrow Kunci Pemulihan Institusi/Peribadi. -Trusted Computing Group (TCG) (International): TPM 2.0 Library Specification and PC Client Platform Firmware Profile Specification.
• GitLab Cryptsetup / Spesifikasi Rasmi LUKS2: Spesifikasi Format Pada Cakera LUKS2, Slot Kekunci Keras Memori PBKDF Argon2id dan Prosedur Sandaran/Pembaikan Pengepala.