BitLocker, FileVault in LUKS Disk Encryption Recovery Key Lockout¶

Videti moder zaslon BitLocker Recovery v sistemu Windows, zaklenjen poziv za prijavo v FileVault v sistemu macOS ali neodziven cryptsetup poziv za geslo na delovni postaji Linux lahko ustavi vaše delo in zasebno življenje. Šifriranje celotnega diska (FDE) uporablja vojaške simetrične šifre, običajno AES-128 ali AES-256 v načinu XTS, za kodiranje vsakega sektorja vašega pogona SSD (SSD) ali trdega diska (HDD). Brez glavnega kriptografskega ključa glasnosti (VMK) ali veljavne zaščite ključa za šifriranje je neobdelanih podatkov na bliskovnih čipih NAND matematično mogoče razlikovati od naključnega šuma.

Vendar zaslon s ključem za nenadno obnovitev redko pomeni, da je vaš pogon poškodovan ali da je vaš ključ za vedno izginil. Večina zaklepov BitLocker in FileVault se samodejno sproži, ko rutinska posodobitev vdelane programske opreme BIOS/UEFI, sprememba priklopne postaje Thunderbolt, preklop varnega zagona ali izpraznjena gumbasta baterija CMOS spremeni registre konfiguracije platforme (PCR) znotraj Trusted Platform Module (TPM 2.0) vaše matične plošče. Tudi če nikoli niste zapisali obnovitvenega ključa, lahko poziv pogosto obidete tako, da razveljavite natančno nastavitev vdelane programske opreme UEFI, ki je sprožila meritev TPM, ali tako, da poiščete tiho samodejno varnostno kopijo vašega ključa znotraj osebnega Microsoftovega računa, službenega ali šolskega imenika Microsoft Entra ID, ključa Apple iCloud ali nenameščene senčne kopije nosilca.

Naredi to zdaj¶

1. USTAVITE SE, preden kliknete »Ponastavi ta računalnik«, »Izbriši Mac« ali formatirate particijo. Ponovna namestitev sistema Windows, macOS ali Linux prek šifrirane particije prepiše glavo kriptografskega nosilca (bloke metapodatkov BitLocker, superblok vsebnika APFS ali glavo LUKS2 JSON). Ko je ta majhna metapodatkovna glava prepisana, tudi če jutri najdete veljaven 48-mestni ključ za obnovitev, vaših datotek ne boste več dešifrirali.
2. Odklopite vse zunanje pogone USB, kartice SD, priklopne postaje Thunderbolt, adapterje HDMI in igralne krmilnike, nato znova zaženite. V sistemih Windows, ki uporabljajo registre konfiguracije platforme TPM 2.0 (natančneje PCR 0, PCR 2, PCR 4 in PCR 7), zagon z zagonskim pogonom USB za palec, novo priključeno priklopno postajo Thunderbolt z vdelano programsko opremo Option ROM ali zvezdišče zunanjega monitorja lahko spremeni meritev zgoščene vrednosti pred zagonom. Če izključite vse zunanje naprave in pogosto izvajate hladen ponovni zagon, TPM omogoči, da normalno sprosti glavni ključ glasnosti, ne da bi potreboval 48-mestno kodo.
3. Preverite vse Microsoftove, Applove ali poslovne račune, ki ste jih kdaj uporabljali na sekundarnem telefonu ali prenosnem računalniku. Ne domnevajte, da veste, kateri e-poštni račun je bil aktiven, ko ste prenosni računalnik prvič razpakirali. V sistemu Windows preverite account.microsoft.com/devices/recoverykey v vaših osebnih računih Outlook/Hotmail/Live in preverite aka.ms/myrecoverykey v katerem koli službenem, univerzitetnem ali odjemalskem računu Microsoft 365 (Entra ID), v katerega ste se kdaj vpisali v Microsoft Word, Teams ali Windows Settings.
4. Ujemajte se s prvimi 8 znaki »ID ključa«, prikazanega na zaklenjenem zaslonu. Zaslon za obnovitev programa Windows BitLocker prikaže 32-mestni ID ključa (ali prvih 8 šestnajstiških znakov, kot je npr. A1B2C3D4). Če imate v svojem Microsoftovem računu ali na starih računalnikih shranjenih več ključev, bo samo 48-mestno obnovitveno geslo, katerega ID ključa se ujema s temi natančnimi 8 znaki, odklenilo ta določen nosilec pogona.
5. Povrnite vse nedavne spremembe BIOS-a/UEFI, narejene tik pred zaklepanjem. Če se zaslon BitLocker prikaže takoj po vstopu v nastavitve BIOS-a, da izklopite Secure Boot, preklopite CSM (Compatibility Support Module), spremenite Intel PTT / AMD fTPM ali omogočite ** Boot Order changes**, znova zaženite BIOS (F2, F12, oz Del) in nastavite te natančne preklope nazaj v prejšnje stanje. Takoj ko se PCR 7 in PCR 0 ujemata z izvirnim kriptografskim zgoščevanjem, bo TPM samodejno odpečatil ključ.
6. Dajte prednost fizični varnosti, če do zaklepanja pride med nujnim primerom ali domačo krizo. Če med krizo poskušate pridobiti zdravstvene kartoteke, finančne dokumente ali načrte za evakuacijo, ne pozabite, da šifrirani pogoni hranijo podatke za nedoločen čas, ko so izklopljeni. Če se soočite s takojšnjo fizično grožnjo, pustite strojno opremo in pokličite lokalno številko za klic v sili (911 v Združenih državah in Kanadi, 112 po vsej Evropski uniji, 999 v Združenem kraljestvu ali obiščite našo številke za klic v sili imenik).

Triaža zaklepanja šifriranja diska in drevo odločitev o obnovitvi¶

flowchart TD
    Start["Zaklenjen iz šifriranega pogona: BitLocker, FileVault ali poziv LUKS"] --> WhichOS{"Kateri operacijski sistem in šifrirni mehanizem?"}

    WhichOS -->|"Windows: BitLocker 48-mestni zaslon za obnovitev"| PeriphCheck["1. korak: odklopite vse pogone USB, priključne postaje Thunderbolt in zunanje monitorje; hladni ponovni zagon"]
    PeriphCheck --> StillLocked{"Še vedno zahtevate 48-mestni ključ?"}
    StillLocked -->|"Ne: normalno zagnano"| BackupNow["Takoj zaženite 'manage-bde -protectors -get C:' in shranite 48-mestni ključ brez povezave"]
    StillLocked -->|"ja"| BIOSCheck{"Ali ste pravkar spremenili BIOS, Secure Boot, CSM ali posodobili vdelano programsko opremo?"}

    BIOSCheck -->|"ja"| RevertBIOS["Vstopite v nastavitve UEFI: znova omogočite varen zagon, zagonski način UEFI in Intel PTT / AMD fTPM za obnovitev zgoščene vrednosti PCR 7"]
    BIOSCheck -->|"št"| HuntKey["2. korak: Ujemite 8-mestni ID ključa v VSEH osebnih Microsoftovih računih, delovnem/šolskem Entra ID-ju, imeniku Active Directory in datotekah USB .BEK/.TXT"]
    RevertBIOS --> HuntKey

    WhichOS -->|"macOS: prijava v FileVault zavrne geslo"| ApplePath{"Apple Silicon/T2 Mac proti Intel Mac?"}
    ApplePath -->|"Vsi računalniki Mac"| TestLayout["1. korak: Preverite meni za vnos v zgornjem desnem kotu zaslona FileVault za neujemanje postavitve tipkovnice"]
    TestLayout --> FVMethod{"Kateri način obnovitve je bil omogočen?"}
    FVMethod -->|"Deponiranje računa iCloud"| BootRecovery["Zagon v macOS Recovery: Preverjanje pristnosti z računom Apple prek Recovery Assistant za ponastavitev gesla"]
    FVMethod -->|"24-mestni ključ za osebno obnovitev (PRK) ali MDM"| EnterPRK["Vnesite XXXX-XXXX-XXXX-XXXX-XXXX-XXXX ključ v Recovery Assistant ali zahtevajte Institutional Escrow Key pri IT"]

    WhichOS -->|"Linux: geslo LUKS / cryptsetup zavrnjeno"| LUKSPath["1. korak: spustite v lupino initramfs ali zaženite Live USB; preverite razporeditev tipkovnice v konzoli"]
    LUKSPath --> LUKSHeader{"Ali so reže za ključe nedotaknjene v 'cryptsetup luksDump'?"}
    LUKSHeader -->|"Da: ključna reža aktivna"| TestPass["Preizkusite sekundarne reže za ključe (reža 1-7), žeton FIDO2/TPM2 ali zaženite način hashcat 29500 proti varnostni kopiji glave"]
    LUKSHeader -->|"Ne: Glava je poškodovana"| RestoreHeader["Obnovite glavo LUKS iz '--header-backup-file' ali preglejte disk za preživele metapodatke"]

Razumevanje šifriranja celotnega diska in tesnjenja TPM 2.0¶

Niti Windows BitLocker, Apple FileVault 2 niti Linux dm-crypt / LUKS šifrira vaš SSD neposredno z vašim geslom za prijavo ali obnovitvenim ključem. Namesto tega vse tri platforme uporabljajo dvonivojsko hierarhijo ključev:

1. Glavni ključ nosilca (VMK)/šifrirni ključ celotnega obsega (FVEK): strojni naključni ključ (128-bitni, 256-bitni ali 512-bitni) sproti šifrira in dešifrira dejanske sektorje diska.
2. Key Protectors / Keyslots (KEK-ji): Glavni ključ nosilca je ovit z uporabo neodvisnih Key Encryption Keys (KEK-jev), imenovanih Key Protectors v BitLockerju, Key Bags v Apple APFS in Keysslots v Linux LUKS.
3. Zakaj vas tesnjenje TPM 2.0 zaklene v sistemu Windows: V sistemih Windows 10 in 11 je primarni zaščitnik ključa čip Trusted Platform Module (TPM 2.0) (diskretni silicij ali vdelana programska oprema Intel PTT / AMD fTPM). Ko BitLocker zapečati glavni ključ glasnosti v TPM, poveže ključ z določenimi registri konfiguracije platforme (PCR-ji):
4. PCR 0: Zgoščuje strojno programsko opremo osnovnega sistema UEFI/BIOS.
5. PCR 2: Zgoščuje kodo ROM zunanjo strojno opremo, ki jo je mogoče priključiti (priklopne postaje Thunderbolt, kartice RAID, zunanji grafični procesorji).
6. PCR 4: Zgošči upravitelja zagona (bootmgfw.efi) in stanje zagonskega vrstnega reda.
7. PCR 7: Zgoščuje pravilnik Secure Boot in UEFI db / dbx baze potrdil.
8. PCR 11: Zgošči komponente za nadzor dostopa BitLocker.

Kadarkoli pritisnete gumb za vklop, matična plošča izmeri te komponente vdelane programske opreme, preden se Windows naloži. Če se kateri koli posamezen bit v PCR 0, PCR 2, PCR 4 ali PCR 7 razlikuje od vrednosti, zabeležene, ko je bil BitLocker zapečaten, TPM zavrne sprostitev glavnega ključa glasnosti in prisili Windows Boot Manager, da prikaže zaslon 48-mestni obnovitveni ključ BitLocker.

Primerjava arhitektur šifriranja celotnega diska in mehanizmov za obnovitev¶

1. del: Reševanje obnovitvenih blokad Windows BitLocker¶

Ko se vaš računalnik z operacijskim sistemom Windows ustavi pri »BitLocker: Vnesite obnovitveni ključ za ta pogon« (ali obnovitveno okolje Windows zahteva ključ, preden dovoli dostop do ukaznega poziva ali varnega načina), delajte po teh dveh vzporednih tirih: Stez A poskuša prepričati TPM, da odklene pogon, ne da bi potreboval ključ, in Sledi B išče 48-mestni ključ na vsaki digitalni in lokalni lokaciji za shranjevanje.

Track A: Obhod poziva BitLocker brez obnovitvenega ključa (Obnovitev stanja TPM PCR)¶

Če niste ročno izbrisali TPM ali premaknili NVMe SSD v novo matično ploščo, je glavni ključ za glasnost še vedno v vašem čipu TPM 2.0. Noče se odkleniti, ker se je spremenila meritev PCR pred zagonom. Poskusite s temi nedestruktivnimi obnovitvami strojne in vdelane programske opreme v vrstnem redu:

1. Odklopite vso zunanjo strojno opremo in priključne postaje:
2. Popolnoma izklopite računalnik (držite gumb za vklop 10 sekund).
3. Odklopite vse bliskovne pogone USB, zunanje trde diske, zvezdišče USB-C, priklopno postajo Thunderbolt, kartico SD in kabel zunanjega monitorja.
4. Odklopite AC polnilnik za 15 sekund, priključite izvorni polnilnik neposredno v prenosnik in ga vklopite. Priključne postaje Thunderbolt in vozlišča USB-C pogosto vsebujejo notranje omrežne zagonske ali prikazovalne ROM-je PXE, ki se razširijo na PCR 2 in PCR 4, kar razveljavi stanje TPM.
5. Obnovi varni zagon in zagonski način UEFI v nastavitvah BIOS-a:
6. Znova zaženite in pritisnite tipko BIOS matične plošče (F2 na Dell/ASUS/Lenovo/Acer, F10 na HP, Del na namiznih ploščah).
7. Če je bil Secure Boot nedavno spremenjen iz Enabled v Disabled, ga nastavite nazaj na Enabled (Standard Mode) in shranite spremembe. Nasprotno, če je posodobitev BIOS-a Secure Boot obrnila na Enabled, ga poskusite enkrat preklopiti na Disabled.
8. Potrdite, da je način zagona nastavljen na Samo UEFI (onemogočite Legacy / CSM) in potrdite, da je Windows Boot Manager prva možnost zagona.
9. Preverite, ali je Intel PTT ali AMD fTPM omogočen (nikoli kliknite »Počisti TPM«):
10. Po izpraznjeni bateriji CMOS ali ponastavitvi BIOS-a matične plošče včasih onemogočijo vdelano programsko opremo TPM (Intel Platform Trust Technology oz AMD CPU fTPM). Pojdite na zavihek Security ali Trusted Computing v BIOS-u in potrdite, da je TPM 2.0 State Enabled.
11. Opozorilo: Nikoli ne izberite "Clear TPM" ali "Erase fTPM NV" znotraj BIOS-a. Čiščenje TPM trajno uniči notranji korenski ključ shranjevanja v silicijevem čipu, zaradi česar je 48-mestni obnovitveni ključ obvezen.
12. Povrni posodobitev kapsule BIOS-a z napakami:
13. Na prenosnikih Dell pridržite Ctrl + Esc med priklopom na izmenični tok, da zaženete meni Dell BIOS Recovery in izberete Povrnitev BIOS-a. Na prenosnih računalnikih HP držite Win + B medtem ko 2 sekundi držite gumb za vklop, da sprožite povrnitev BIOS-a HP Sure Start.

Track B: Izčrpno iskanje vašega 48-mestnega obnovitvenega ključa BitLocker¶

Če TPM ni mogoče obnoviti (ali če ste SSD premaknili v zunanje ohišje USB), morate vnesti 48-mestno številsko geslo za obnovitev (XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX) ali a .BEK zagonsko ključno datoteko. Zapišite prvih 8 znakov ID-ja ključa, prikazanega na zaslonu (npr. Key ID: 4F8A9C12) in preverite teh šest lokacij:

1. Osebni Microsoftovi računi (account.microsoft.com/devices/recoverykey)¶

Obiščite https://account.microsoft.com/devices/recoverykey (oz https://aka.ms/myrecoverykey) v telefonu ali sekundarnem računalniku. - Preverite vsak zgodovinski račun: Šifriranje naprave varnostno kopira ključ katerega koli Microsoftovega računa, ki je bil prvič uporabljen, ko je bil računalnik razpakiran, tudi če ste pozneje preklopili na lokalno prijavo. Prijavite se in preizkusite vse staro @hotmail.com, @live.com, @outlook.com, ali povezano @gmail.com račune ter račun katerega koli zakonca, starša ali tehnika, ki je pomagal pri nastavitvi računalnika ali se prijavil v Microsoft Office ali Xbox Game Pass na tem računalniku.

2. Služba, šola ali univerza Entra ID / Azure AD (myaccount.microsoft.com)¶

Če ste se celo na osebnem domačem prenosnem računalniku kdaj prijavili v aplikacije Microsoft 365 (Word, Excel, Teams) s službenim, univerzitetnim ali odjemalskim e-poštnim naslovom in pustili potrjeno »Dovoli moji organizaciji, da upravlja mojo napravo«, je Windows vaš obnovitveni ključ BitLocker samodejno posredoval najemniku Microsoft Entra ID te organizacije: 1. Obiščite https://myaccount.microsoft.com/device-list in se prijavite s službenim ali šolskim e-poštnim naslovom. 2. Izberite ime vašega računalnika in kliknite Ogled ključev BitLocker. 3. Če je vaš službeni ali šolski račun že onemogočen, pokličite IT Help Desk te organizacije in jim posredujte svoj 8-mestni ID ključa. Skrbniki lahko pridobijo ključe za deaktivirane račune pod Naprave > Vse naprave > Obnovitveni ključi v entra.microsoft.com.

3. Lokalni korporativni aktivni imenik (msFVE-RecoveryInformation)¶

Če je bil računalnik pridružen domeni imenika Active Directory, lahko skrbnik domene poišče ključ po njegovem 8-mestnem ID-ju ključa z lupino PowerShell:

Get-ADObject -Filter {objectClass -eq 'msFVE-RecoveryInformation'} -Properties msFVE-RecoveryPassword, whenCreated |
  Where-Object { $_.Name -like "*4F8A9C12*" } | Select-Object Name, msFVE-RecoveryPassword, whenCreated

4. Samodejne ali ročne besedilne datoteke na bliskovnih pogonih USB in pogonih v oblaku¶

Ko Windows shrani obnovitveni ključ v datoteko ali pogon USB, datoteko poimenuje BitLocker Recovery Key [GUID].txt ali shrani skrito .BEK datoteka (attrib +h +s). Zaženite to iskanje PowerShell po vseh pogonih USB, zunanjih trdih diskih, mapah OneDrive, Google Drive in Dropbox v drugem računalniku:

Get-PSDrive -PSProvider FileSystem | ForEach-Object {
    Get-ChildItem -Path $_.Root -Include "*BitLocker*Recovery*Key*.txt", "*.bek" -Recurse -Force -ErrorAction SilentlyContinue
} | Select-Object FullName, LastWriteTime

5. Ekstrahiranje ključa za sekundarni podatkovni pogon (D:) iz odklenjenega C: Particija¶

če C: zažene normalno in samo sekundarni pogon D: je zaklenjen, odprite skrbniško okno PowerShell C: in teči manage-bde -protectors -get D: da vidim, če C: še vedno drži registrski ključ za samodejno odklepanje ali preglejte prejšnje senčne kopije nosilca vašega Documents mapo za brisanje BitLocker Recovery Key *.txt datoteke.

6. Natisnite zgodovino ozadja in izpise PDF/OneNote¶

Če ste med nastavitvijo kliknili »Natisni obnovitveni ključ«, preverite Microsoft OneNote in poiščite Documents mapa za .pdf oz .xps datoteke, ustvarjene prek »Microsoft Print to PDF«.

Track C: Odklepanje in dešifriranje pogona BitLocker iz ukaznega poziva WinRE (manage-bde)¶

Če se ob vnosu 48-mestnega obnovitvenega gesla na modrem zaslonu ob naslednjem vnovičnem zagonu vrne BitLocker ali se Windows zruši, odklenite in začasno zaustavite BitLocker iz ukaznega poziva Obnovitveno okolje Windows (WinRE):

1. Pritisnite Esc na zaslonu BitLocker, nato kliknite Preskoči ta pogon -> Odpravljanje težav -> Napredne možnosti -> Ukazni poziv.
2. Preverite stanje in odklenite glasnost OS (C:):

   manage-bde -status
   manage-bde -unlock C: -RecoveryPassword 123456-123456-123456-123456-123456-123456-123456-123456
   

   (Ali odklenite z dvojiško datoteko .BEK datoteka na ključku USB, preslikana kot F: prek manage-bde -unlock C: -RecoveryKey "F:\key.BEK").
3. Odloži zaščitne naprave, da se poziv ne vrne ob naslednjem ponovnem zagonu:

   manage-bde -protectors -disable C:
   

   Znova zaženite Windows in nato zaženite manage-bde -protectors -enable C: v povišanem ukaznem pozivu, da ponovno zapečatite glavni ključ glasnosti glede na nove zgoščene vrednosti UEFI PCR.
4. Če se Windows ne more zagnati, kopirajte datoteke ali jih v celoti dešifrirajte:

   robocopy C:\Users\YourUsername F:\RescueBackup /E /ZB /R:1 /W:1 /XJ
   manage-bde -off C:
   

Track D: Namestitev BitLocker SSD v Linux (dislocker / cryptsetup) za reševanje datoteke¶

Če je vaša matična plošča Windows umrla, postavite M.2 NVMe ali SATA SSD v zunanje ohišje USB-C (ki meri približno 10 centimetrov krat 3 centimetre ali 4 palca krat 1,2 palca) in ga odklenite na katerem koli računalniku Linux ali Ubuntu Live USB:

# Method 1: Modern cryptsetup (v2.3+ natively supports BITLOCKER volumes)
sudo cryptsetup open --type bitlocker /dev/nvme0n1p3 bitlocker_unlocked
# Type the 48-digit recovery key INCLUDING hyphens when prompted
sudo mkdir -p /mnt/windows_data
sudo mount -t ntfs3 -o ro /dev/mapper/bitlocker_unlocked /mnt/windows_data

# Method 2: Using dislocker
sudo apt update && sudo apt install -y dislocker ntfs-3g
sudo mkdir -p /mnt/dislocker_raw /mnt/windows_rescue
sudo dislocker -V /dev/nvme0n1p3 -p123456-123456-123456-123456-123456-123456-123456-123456 -- /mnt/dislocker_raw
sudo mount -t ntfs-3g -o loop,ro /mnt/dislocker_raw/dislocker-file /mnt/windows_rescue

2. del: Reševanje zaklepanja Apple macOS FileVault 2 in Secure Enclave¶

V sistemih macOS (High Sierra prek macOS Sequoia in novejših) FileVault 2 šifrira celoten nosilec APFS (Apple File System). Na računalnikih Mac z Apple Silicon (M1, M2, M3, M4) ali Apple T2 Security Chip je nosilec dejansko vedno šifriran v mirovanju s pomočjo strojnih ključev znotraj Secure Enclave Processor (SEP). Vklop FileVault ovije ta strojni šifrirni ključ (VEK) z Key Encryption Key (KEK), ki izhaja iz vašega gesla za prijavo v macOS in ključa za obnovitev FileVault.

Ker FileVault zahteva dešifriranje nosilca APFS preden se macOS naloži z diska, prvi zaslon, ki ga vidite, ko vklopite Mac, ki podpira FileVault, ni običajno okno za prijavo v macOS, temveč zaslon za odklepanje FileVault EFI / iBoot pred zagonom.

1. korak: izključite prvi vzrok nenadnih zaklepov FileVault (postavitev tipkovnice pred zagonom in zunanje tipkovnice)¶

Preden domnevate, da je vaše geslo pokvarjeno, ali začnete s ponastavitvijo, preverite te tri posebnosti pred zagonom, zaradi katerih se veljavna gesla zamajejo in zavrnejo na zagonskem zaslonu FileVault:

1. Stikalo menija za vnos tipkovnice pred zagonom: zaslon FileVault pred zagonom uporablja skrajšan gonilnik tipkovnice vdelane programske opreme, ki je pogosto privzeto nastavljen na U.S. QWERTY (ali ABC), tudi če ste svoje geslo vnesli v angleški, nemški (QWERTZ), francoski (AZERTY) ali postavitvi Dvorak znotraj macOS. Poglejte zgornji desni kot zaslona za prijavo v FileVault, kliknite ikono menija za vnos s tipkovnico in izberite točno razporeditev tipkovnice.
2. Bluetooth Keyboard Timing & Num Lock: Bluetooth tipkovnice drugih proizvajalcev pogosto izpustijo prva dva pritiska tipk, ko se prebudijo na zaslonu pred zagonom, ali nimajo indikatorjev stanja Num Lock. Priključite žično tipkovnico USB neposredno v Mac (ali uporabite vgrajeno tipkovnico MacBook) in tipkajte počasi.
3. Več skrbniških uporabnikov na istem Macu: V FileVault ima vsak pooblaščeni uporabniški račun macOS svoj neodvisen kriptografski žeton v APFS Key Bag (diskutil apfs listCryptoUsers /). Če se vaš račun trese in odpove, kliknite ** ikono drugega skrbniškega uporabnika** na zaslonu FileVault in se prijavite z njegovim geslom. Ko je v sistemu macOS, lahko ta skrbnik ponastavi vaše geslo v Sistemske nastavitve > Uporabniki in skupine.

2. korak: Odklepanje FileVault prek računa Apple (iCloud) ali 24-mestnega osebnega ključa za obnovitev¶

Če vaše geslo še vedno ne uspe na prijavnem zaslonu FileVault:

1. Počakajte na poziv za obnovitev: Po trikratnem vnosu napačnega gesla na prijavnem zaslonu FileVault macOS prikaže možnosti za ponastavitev z uporabo vašega računa Apple ali vnos ključa za obnovitev.
2. Ali pa se zaženite neposredno v macOS Recovery (Recovery Assistant):
3. Apple Silicon Mac (M1/M2/M3/M4): Popolnoma se zaustavite, nato pritisnite in držite gumb za vklop (Touch ID) 10 sekund, dokler se ne prikaže "Nalaganje možnosti zagona...", kliknite Možnosti in kliknite Nadaljuj.
4. Intel Macs: Vklopite Mac in pridržite Command (⌘) + R dokler se ne prikaže logotip Apple.
5. V notranjosti Reset Password Okno pomočnika za obnovitev:
6. Povežite se z Wi-Fi v zgornjem desnem kotu zaslona ali priključite Ethernet.
7. Možnost A (Apple Account Escrow): Če ste omogočili obnovitev iCloud, izberite Ste pozabili vsa gesla? -> Prijavite se z računom Apple. Vnesite svoj e-poštni naslov, geslo in 6-mestno kodo 2FA za račun Apple (če ste izgubili telefon, glejte naše Zaklepanje MFA in obnovitev avtentifikatorja vodič), da odklenete nosilec APFS in nastavite novo geslo.
8. Možnost B (24-mestni osebni obnovitveni ključ): izberite Vnesite obnovitveni ključ FileVault in vnesite svojo 24-mestno alfanumerično kodo (XXXX-XXXX-XXXX-XXXX-XXXX-XXXX).
9. Možnost C (podjetniški/univerzitetni MDM depozit): če se vaš Mac upravlja prek Jamf Pro, Kandji, Mosyle ali Microsoft Intune, pokličite svojo službo za pomoč IT s serijsko številko vašega Maca, da vam lahko preberejo deponirani 24-mestni ključ za obnovitev FileVault.

3. korak: Ročno odklepanje nosilca FileVault APFS iz terminala (diskutil apfs unlockVolume)¶

Če grafični pomočnik za obnovitev ne uspe namestiti vašega pogona, odprite Utilities -> Terminal znotraj obnovitve macOS in ročno odklenite nosilec APFS:

# 1. List all APFS containers and encrypted volumes to find the Volume Identifier (e.g., disk3s5)
diskutil apfs list

# 2. List all cryptographic users (UUIDs) authorized to unlock that APFS volume
diskutil apfs listCryptoUsers /dev/disk3s5

# 3. Unlock the APFS volume using either your user password OR your 24-character Recovery Key:
diskutil apfs unlockVolume /dev/disk3s5 -passphrase "YOUR-XXXX-XXXX-XXXX-XXXX-XXXX-KEY"

# 4. Copy critical files from '/Volumes/Macintosh HD - Data' to an external USB drive:
cp -Rv "/Volumes/Macintosh HD - Data/Users/yourusername/Documents" "/Volumes/ExternalUSB/Backup/"

3. del: Reševanje LUKS v sistemu Linux (dm-crypt / cryptsetup) zaklepanja šifriranja¶

Distribucije Linuxa (Ubuntu, Fedora, Debian, Arch Linux, Red Hat Enterprise Linux, Pop._OS in Qubes OS) temeljijo na LUKS (Linux Unified Key Setup), običajno LUKS2, ki ga upravlja cryptsetup in dm-crypt. Ko stroj Linux pade v (initramfs) oz dracut školjka pravi cryptsetup failed, bad password or options sledite tem štirim korakom:

1. korak: Preverite razporeditev tipk konzole v primerjavi z grafično postavitvijo tipkovnice¶

Med predzagonom initramfs fazi sistem uporablja preslikavo tipk konzole Linux (/etc/vconsole.conf), ki je pogosto privzeto us tudi če ste znotraj GNOME ali KDE konfigurirali programersko postavitev za Združeno kraljestvo, nemščino, francoščino ali po meri. Zaženite Linux Live USB, odprite grafični terminal, kjer lahko vidno vnesete geslo v urejevalnik besedila, da preverite vsak znak, in odklenite pogon iz Live USB:

lsblk -f
sudo cryptsetup luksOpen /dev/nvme0n1p3 my_encrypted_root

2. korak: Preglejte glavo LUKS in preverite sekundarne reže za ključe (cryptsetup luksDump)¶

LUKS1 podpira 8 neodvisnih rež za ključe (0 do 7) in LUKS2 podpira do 32 rež za ključe (0 do 31) ter strojne žetone (systemd-tpm2 oz systemd-fido2). Preglejte svojo glavo, ne da bi spremenili karkoli na disku:

sudo cryptsetup luksDump /dev/nvme0n1p3

sudo systemd-cryptenroll --wipe-slot=tpm2 --tpm2-device=auto --tpm2-pcrs=7 /dev/nvme0n1p3

3. korak: Obnovitev po poškodovani ali prepisani glavi LUKS2¶

V LUKS-u so vse reže za ključe v prvih 2 megabajtih (LUKS1) ali 16 megabajtih (LUKS2) particije. če cryptsetup luksDump pravi not a valid LUKS device, naredite naslednje korake:

1. Poslikajte prvih 32 MB, preden se česar koli dotaknete:

   sudo dd if=/dev/nvme0n1p3 of=~/damaged_luks_first32mb.img bs=1M count=32 status=progress
   

2. Poskusi samodejnega popravljanja sekundarnih metapodatkov JSON LUKS2 (cryptsetup repair):
3. LUKS2 shrani dve redundantni kopiji binarnih metapodatkov in metapodatkov glave JSON na odmiku 0x0000 in pobota 0x4000 (16 KB). Če je bila zbrisana samo primarna kopija v bajtu 0, sudo cryptsetup repair /dev/nvme0n1p3 ga rekonstruira iz 0x4000.
4. Obnovi iz shranjene varnostne kopije glave LUKS (luksHeaderRestore):
5. Nedestruktivno odklenite z zunanjo varnostno kopijo glave:

   sudo cryptsetup luksOpen --header /path/to/luks-header.bak /dev/nvme0n1p3 rescued_volume
   

4. korak: Preizkušanje delno zapomnjenih gesel z hashcat¶

Čeprav ne morete uporabiti naključnega 48-mestnega ključa za obnovitev BitLocker ali 24-mestne ključa za obnovitev Apple (\(2^{128}\) bitov entropije), lahko preizkusite različice gesla LUKS, ki ga je izbral človek, ali uporabniškega gesla po meri BitLocker, če se spomnite osnovnih besed:

# For Linux LUKS2 (mode 29500) or LUKS1 (mode 14600):
sudo dd if=/dev/nvme0n1p3 of=luks_header.bin bs=1M count=16
hashcat -m 29500 luks_header.bin my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

# For BitLocker protected by a custom User Password (mode 22100):
bitlocker2john -i /dev/nvme0n1p3 | grep "\$bitlocker\$0\$" > user_pass.hash
hashcat -m 22100 user_pass.hash my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

Preprečevanje: Kako zdaj ustvariti šifrirano varnostno kopijo diska, ki je odporna na blokado¶

V trenutku, ko znova pridobite dostop do svojega računalnika (ali do katerega koli drugega računalnika, ki ga imate danes), porabite pet minut za izvajanje teh ukazov, tako da okvara matične plošče ali posodobitev vdelane programske opreme nikoli več ne more ujeti vaših datotek:

1. V sistemu Windows (izvozite ključ za obnovitev BitLockerja in začasno ustavite pred posodobitvami BIOS-a)¶

Odprite Administrator PowerShell ali Command Prompt in izvozite svoje trenutno 48-mestno geslo za obnovitev:

# Display all BitLocker recovery keys and Key IDs across all drives
Get-BitLockerVolume | Select-Object MountPoint, VolumeStatus, -ExpandProperty KeyProtector |
  Where-Object { $_.KeyProtectorType -eq 'RecoveryPassword' } |
  Select-Object MountPoint, KeyProtectorId, RecoveryPassword

2. V sistemu macOS (preverite ali obrnite obnovitveni ključ FileVault)¶

Odprite Terminal in preverite, kdo je pooblaščen za odklepanje vašega zagonskega diska APFS:

sudo fdesetup status
diskutil apfs listCryptoUsers /

sudo fdesetup changerecovery -personal

3. V sistemu Linux (varnostno kopirajte glavo LUKS in vnesite nadomestno režo za ključe)¶

Vedno hranite kopijo svoje 16-megabajtne glave LUKS na zunanjem ključku USB in vnesite natisnjeno 64-mestno geslo za obnovitev v režo za ključe 1:

# 1. Back up the binary LUKS header to an external USB drive
sudo cryptsetup luksHeaderBackup /dev/nvme0n1p3 --header-backup-file /media/usb/luks-header-nvme0n1p3.bak

# 2. Add an independent emergency recovery passphrase into Keyslot 1
sudo cryptsetup luksAddKey --key-slot 1 /dev/nvme0n1p3

Kontrolni seznam šifriranja za pripravljenost v sili¶

• Izvozite svoj 48-mestni ključ za obnovitev BitLocker (vključno z njegovim 8-mestnim ID ključa) in ga shranite v upravitelj gesel in natisnjeno na papirju v ognjevarnem sefu vsaj 1,5 metra (5 čevljev) nad tlemi.
• Natisnite ali shranite svoj 24-mestni ključ za obnovitev macOS FileVault poleg 28-mestovnega ključa za obnovitev računa Apple.
• Varnostno kopirajte svojo 16-megabajtno glavo Linux LUKS (cryptsetup luksHeaderBackup) na pogon USB brez povezave, tako da nenamerno prepisovanje particije ne more uničiti vseh rež za ključe.
• Ohranite neodvisno, avtomatizirano Varnostno kopiranje računalnika 3-2-1 tako da tudi katastrofalna okvara krmilnika SSD ali pozabljen šifrirni ključ nikoli ne uniči vaših nezamenljivih fotografij, davčnih dokumentov ali izvorne kode.

Pogosta vprašanja¶

Sorodni vodniki¶

• Windows Blue Screen (BSOD) in popravilo zagona
• panika jedra macOS, črn zaslon in obnovitev
• Napaka pri zagonu sistema Linux in popravilo GRUB
• Zaklepanje upravitelja gesel in obnovitev trezorja v sili
• Okvara trdega diska in obnovitev podatkov
• Računalniške varnostne kopije: strategija 3-2-1 in obnovitev po katastrofi
• Imenik številk za klic v sili

Viri preverjeni¶

• Nacionalni inštitut za standarde in tehnologijo (NIST) (Združene države): Posebna publikacija NIST 800-111: Vodnik po tehnologijah šifriranja shranjevanja za naprave končnih uporabnikov & FIPS 197 (AES-XTS).
• Uradna dokumentacija Microsoft Learn: BitLocker Recovery Overview, TPM Platform Configuration Registrs (PCR 0-11) Validation Profile in manage-bde Referenca ukazne vrstice.
• Vodnik po varnosti platforme Apple: Šifriranje nosilcev s FileVault, vrečke s ključi APFS, koren zaupanja strojne opreme Secure Enclave in hramba ključa za institucionalno/osebno obnovitev. -Trusted Computing Group (TCG) (mednarodno): Specifikacija knjižnice TPM 2.0 in specifikacija profila vdelane programske opreme odjemalske platforme PC.
• GitLab Cryptsetup / Uradna specifikacija LUKS2: Specifikacija formata na disku LUKS2, Argon2id PBKDF Memory-Hard Reže za ključe in postopki varnostnega kopiranja/popravila glave.