BitLocker, FileVault ва LUKS Disk Encryption Recovery Lockout¶

Дидани экрани кабуди BitLocker Recovery дар Windows, дархости воридшавӣ ба FileVault қулфшуда дар macOS ё беҷавоб cryptsetup дархости гузарвожа дар истгоҳи кории Linux метавонад кор ва ҳаёти шахсии шуморо қатъ кунад. Рамзгузории пурраи диск (FDE) рамзҳои симметрии дараҷаи ҳарбиро истифода мебарад, ки маъмулан AES-128 ё AES-256 дар реҷаи XTS барои тоб додан ба ҳар як бахши диски сахти шумо (SSD) ё диски сахт (HDD) истифода мешавад. Бе калиди криптографии Volume Master (VMK) ё муҳофизи дурусти рамзгузории калид, маълумоти хом дар микросхемаҳои флеши NAND аз садои тасодуфӣ аз ҷиҳати математикӣ фарқ кардан мумкин нест.

Аммо, экрани калиди барқарорсозии ногаҳонӣ хеле кам маънои онро дорад, ки диски шумо вайрон шудааст ё калиди шумо то абад нопадид шудааст. Аксари қуфлҳои BitLocker ва FileVault ба таври худкор ҳангоми навсозии муқаррарии миёнаравӣ BIOS/UEFI, тағир додани доки раъду барқ, гузариши пурборкунии бехатар ё батареяи танга-ҳуҷайраи CMOS регистрҳои конфигуратсияи платформаро (PCR) дар дохили платаатон **Модули Платформаи боваринок (TPM 2) тағйир медиҳанд, ба таври худкор оғоз мешаванд. Ҳатто агар шумо ҳеҷ гоҳ калиди барқароркуниро нанавиште бошед ҳам, шумо метавонед аксар вақт тавассути баргардонидани танзимоти нармафзори дақиқи UEFI, ки андозагирии TPM-ро халалдор кардааст ё тавассути ҷойгир кардани нусхаи эҳтиётии худкори калиди шумо дар дохили ҳисоби шахсии Microsoft, директорияи кор ё мактаб Microsoft Entra ID, занҷири калиди Apple iCloud ё нусхаи сояи ҳаҷми васлнашуда, метавонед дархостро гузар кунед.

Ҳоло ин корро кунед¶

1. Пеш аз клик кардани "Аз нав танзимкунии ин компютер", "Мак-ро тоза кардан" ё формат кардани қисмат ҚАТЪ кунед. Аз нав насб кардани Windows, macOS ё Linux аз қисмати рамзшуда сарлавҳаи ҳаҷми криптографиро (блокҳои метамаълумоти BitLocker, суперблоки контейнери APFS ё сарлавҳаи LUKS2 JSON) аз нав сабт мекунад. Вақте ки он сарлавҳаи хурди метамаълумот аз нав навишта мешавад, ҳатто фардо пайдо кардани калиди барқарорсозии дурусти 48-рақама дигар файлҳои шуморо рамзкушоӣ намекунад.
2. Тамоми дискҳои USB-и беруна, кортҳои SD, докҳои Thunderbolt, адаптерҳои HDMI ва контроллерҳои бозиро ҷудо кунед, пас аз нав оғоз кунед. Дар системаҳои Windows бо истифода аз Регистрҳои конфигуратсияи платформаи TPM 2.0 (махсусан PCR 0, PCR 2, PCR 4 ва PCR 7), пурборкунӣ бо диски опсия бо диски нави пурборшаванда замима карда мешавад. Нармафзори ROM ё маркази мониторҳои беруна метавонад андозагирии ҳашро пеш аз боркунӣ тағир диҳад. Хориҷ кардани ҳар як дастгоҳи периферӣ ва анҷом додани бозоғозкунии сард зуд-зуд ба TPM имкон медиҳад, ки Калиди Ҳаҷми Ҳаҷмро одатан бидуни ниёз ба рамзи 48-рақама озод кунад.
3. Ҳар як ҳисоби Microsoft, Apple ё корпоративиро, ки шумо дар телефон ё ноутбуки дуюмдараҷа истифода кардаед, санҷед. Фикр накунед, ки шумо медонед, ки ҳангоми кушодани ноутбук кадом ҳисоби почтаи электронӣ фаъол буд. Дар Windows, санҷед account.microsoft.com/devices/recoverykey дар саросари ҳисобҳои Outlook/Hotmail/Live шахсии худ ва тафтиш кунед aka.ms/myrecoverykey дар ҳама гуна ҳисоби кор, донишгоҳ ё муштарии Microsoft 365 (Entra ID), ки шумо дар дохили Microsoft Word, Teams ё Танзимоти Windows ворид шудаед.
4. **Бо 8 аломати аввали "Идентификатсияи калидӣ", ки дар экрани қулфшудаи шумо нишон дода мешавад, мувофиқ кунед. ** Экрани барқарорсозии Windows BitLocker 32 аломати ID-и калидӣ (ё 8 аломати шонздаҳии аввалро, ба мисли A1B2C3D4). Агар шумо калидҳои сершуморро дар ҳисоби Microsoft ё компютерҳои кӯҳна нигоҳ дошта бошед, танҳо гузарвожаи барқарорсозии 48-рақама, ки ID Калиди он ба 8 аломати дақиқ мувофиқат мекунад, ин ҳаҷми мушаххаси дискро мекушояд.
5. **Тағйироти охирини BIOS/UEFI-ро, ки рост пеш аз қулф карда шуда буд, баргардонед. ** Агар экрани BitLocker фавран пас аз ворид шудан ба танзимоти BIOS пайдо шавад, то Secure Boot-ро хомӯш кунед, CSM (Модули Дастгирии Мутобиқат)-ро иваз кунед, Intel PTT / AMD fTPM-ро иваз кунед, ё Тағйир додани тартиби пурборкуниро фаъол созед (F2, F12, ё Del) ва он гузаришҳои дақиқро ба ҳолати қаблии худ баргардонед. Ҳамин ки PCR 7 ва PCR 0 ба хэши аслии криптографии худ мувофиқат мекунанд, TPM калидро ба таври худкор мекушояд.
6. Агар локаут дар вақти бӯҳрони фавқулодда ё дохилӣ рух диҳад, ба бехатарии ҷисмонӣ авлавият диҳед. Агар шумо кӯшиш кунед, ки сабтҳои тиббӣ, ҳуҷҷатҳои молиявӣ ё нақшаҳои эвакуатсияро дар вақти бӯҳрон дарёфт кунед, дар хотир доред, ки дискҳои рамзгузорӣ ҳангоми хомӯш кардани барқ ​​маълумотро ба таври номуайян нигоҳ медоранд. Агар шумо бо таҳдиди фаврии ҷисмонӣ рӯ ба рӯ шавед, сахтафзорро тарк кунед ва ба рақами фавқулоддаи маҳаллии худ занг занед (911 дар Иёлоти Муттаҳида ва Канада, 112 дар саросари Иттиҳоди Аврупо, 999 дар Британияи Кабир, ё бубинед рақамҳои фавқулодда директория).

Триажи қулфи рамзгузории диск ва дарахти қарори барқарорсозӣ¶

flowchart TD
    Start["Аз диски рамзгузоришуда қулф шудааст: BitLocker, FileVault ё LUKS Prompt"] --> WhichOS{"Кадом системаи амалиётӣ ва муҳаррики рамзгузорӣ?"}

    WhichOS -->|"Windows: Экрани барқарорсозии BitLocker 48-рақами"| PeriphCheck["Қадами 1: Ҳама дискҳои USB, докҳои Thunderbolt ва мониторҳои берунаро ҷудо кунед; бозсозии сард"]
    PeriphCheck --> StillLocked{"Оё шумо ҳоло ҳам калиди 48-рақамро талаб мекунед?"}
    StillLocked -->|"Не: Одатан пурбор карда мешавад"| BackupNow["Дарҳол 'manage-bde -protectors -get C:' -ро иҷро кунед ва калиди 48-рақами офлайнро захира кунед"]
    StillLocked -->|"Бале"| BIOSCheck{"Оё шумо танҳо BIOS, Secure Boot, CSM-ро иваз кардед ё нармафзори нармафзорро навсозӣ кардед?"}

    BIOSCheck -->|"Бале"| RevertBIOS["Танзимоти UEFI-ро ворид кунед: Боркунии бехатар, Ҳолати пурборкунии UEFI ва Intel PTT / AMD fTPM-ро дубора фаъол созед, то PCR 7-ро барқарор кунед."]
    BIOSCheck -->|"Не"| HuntKey["Қадами 2: Мутобиқсозии ID-и калиди 8-Чар дар ХАМА ҳисобҳои шахсии Microsoft, ID Entra Work/School, Active Directory ва файлҳои USB .BEK/.TXT"]
    RevertBIOS --> HuntKey

    WhichOS -->|"macOS: Login FileVault паролро рад мекунад"| ApplePath{"Apple Silicon/T2 Mac против Intel Mac?"}
    ApplePath -->|"Ҳама Macҳо"| TestLayout["Қадами 1: Менюи вурудро дар рости болоии экрани FileVault барои номувофиқ будани тарҳбандии клавиатура санҷед"]
    TestLayout --> FVMethod{"Кадом усули барқарорсозӣ фаъол карда шуд?"}
    FVMethod -->|"Escrow Account iCloud"| BootRecovery["Ба MacOS Recovery бор кунед: Бо ҳисоби Apple тавассути Ёрдамчии барқарорсозӣ барои аз нав барқарор кардани парол тасдиқ кунед"]
    FVMethod -->|"24-Калиди барқарорсозии шахсӣ (PRK) ё MDM"| EnterPRK["Калиди XXXX-XXXX-XXXXX-XXXXX-XXXX-XXXXX-ро дар Ёрдамчии барқарорсозӣ ворид кунед ё аз IT калиди Escrow Institutional-ро дархост кунед"]

    WhichOS -->|"Linux: LUKS / cryptsetup гузарвожа рад карда шуд"| LUKSPath["Қадами 1: Ба қабати initramfs гузоред ё Live USB-ро бор кунед; тарҳбандии клавиатураро дар консол тафтиш кунед"]
    LUKSPath --> LUKSHeader{"Оё Keyslots дар 'cryptsetup luksDump' солим мондаанд?"}
    LUKSHeader -->|"Бале: Keyslot Active"| TestPass["Слотҳои дуюмдараҷаи калидҳоро (ковокии 1-7), аломати FIDO2/TPM2 санҷед ё режими hashcat 29500-ро бар зидди нусхаи эҳтиётии сарлавҳа иҷро кунед"]
    LUKSHeader -->|"Не: Сарлавҳа вайрон шудааст"| RestoreHeader["Сарлавҳаи LUKS-ро аз '--header-backup-file' барқарор кунед ё дискро барои зинда мондани метамаълумот скан кунед"]

Фаҳмидани рамзгузории пурраи диск ва мӯҳри TPM 2.0¶

На Windows BitLocker, на Apple FileVault 2, на Linux dm-crypt / LUKS SSD-и шуморо мустақиман бо пароли воридшавӣ ё калиди барқарорсозӣ рамзгузорӣ мекунад. Ба ҷои ин, ҳар се платформа иерархияи калиди дузинаро истифода мебаранд:

1. Калиди Мастер Ҳаҷм (VMK) / Калиди Рамзгузории Ҳаҷми Ҳаҷм (FVEK): Калиди тасодуфии сахтафзор (128-бит, 256-бит ё 512-бит) бахшҳои воқеии дискро ҳангоми парвоз рамзгузорӣ ва рамзкушоӣ мекунад.
2. ** Муҳофизони калидҳо / Калидҳои калидҳо (KEKs)**: Калиди Мастер Ҳаҷм бо истифода аз Калидҳои Рамзгузории Калидҳо (KEKs) печонида мешавад, ки * Ҳимоятгарони Калидҳо* дар BitLocker, * Халтаҳои калидӣ* дар Apple APFS ва * Keyslots* дар Linux LUKS.
3. Чаро мӯҳргузории TPM 2.0 шуморо дар Windows маҳкам мекунад: Дар Windows 10 ва 11, муҳофизи асосии калид чипи Модули Платформаи боэътимод (TPM 2.0) (силикони дискретӣ ё нармафзори миёнаравӣ Intel PTT / AMD fTPM) мебошад. Вақте ки BitLocker Калиди Ҳаҷми Ҳаҷмро ба TPM мӯҳр мезанад, он калидро ба мушаххаси Рестрҳои конфигуратсияи платформа (PCRs) мепайвандад:
4. PCR 0: нармафзори асосии системаи UEFI/BIOS Hashes.
5. PCR 2: Рамзи ROM-и Опсияи сахтафзори берунии васлшавандаи хэшҳо (докҳои Thunderbolt, кортҳои RAID, GPU-ҳои беруна).
6. PCR 4: Менеҷери боркуниро хэш мекунад (bootmgfw.efi) ва ҳолати тартиби боркунӣ.
7. PCR 7: Ҳешҳо Сиёсати пурборкунии бехатар ва UEFI db / dbx базаи маълумотҳои сертификат.
8. PCR 11: ҷузъҳои назорати дастрасии Hashes BitLocker.

Ҳар вақте ки шумо тугмаи барқро пахш мекунед, motherboard ин ҷузъҳои нармафзорро пеш аз боркунии Windows чен мекунад. Агар ягон бит дар PCR 0, PCR 2, PCR 4 ё PCR 7 аз арзиши сабтшуда ҳангоми мӯҳри BitLocker фарқ кунад, TPM озод кардани Калиди Ҳаҷми Ҳаҷмро рад мекунад ва менеҷери Windows Boot-ро маҷбур мекунад, ки экрани 48-рақами Калиди барқарорсозии BitLocker-ро намоиш диҳад.

Муқоисаи меъмории рамзгузории пурраи диск ва механизмҳои барқарорсозӣ¶

Қисми 1: Ҳалли локаутҳои барқарорсозии Windows BitLocker¶

Вақте ки компютери Windows-и шумо дар "BitLocker: Калиди барқарорсозии ин дискро ворид кунед" (ё Муҳити Барқарорсозии Windows пеш аз иҷозати дастрасии Фармон ё Ҳолати бехатар калидро талаб мекунад), тавассути ин ду треки мувозӣ кор кунед: ** Track A** кӯшиш мекунад, ки TPM-ро барои кушодани диск бидуни ниёз ба калид кушоад ва ҳар як калиди рақамӣ дар саросари **4-тракки рақамӣ. ҷойгиршавӣ.

Track A: Гузаштан аз дархости BitLocker бе калиди барқарорсозӣ (Барқарор кардани ҳолати TPM PCR)¶

Агар шумо TPM-ро дастӣ тоза накарда бошед ё NVMe SSD-ро ба motherboard нав нагузаронида бошед, Калиди Ҳаҷми Ҳаҷм то ҳол дар дохили чипи TPM 2.0-и шумост. Он аз кушодан худдорӣ мекунад, зеро андозагирии пеш аз боркунии PCR тағир ёфтааст. Ин барқарорсозии сахтафзор ва нармафзори вайроннашавандаро бо тартиб санҷед:

1. ** Ҳама сахтафзор ва докҳои берунаро ҷудо кунед**:
2. Компютерро пурра хомӯш кунед (тугмаи барқро барои 10 сония нигоҳ доред).
3. Ҳар як диски флеши USB, диски сахти беруна, маркази USB-C, истгоҳи пайвасткунии Thunderbolt, корти SD ва сими монитори берунаро ҷудо кунед.
4. Пуркунандаи барқро барои 15 сония ҷудо кунед, пуркунандаи барқро мустақиман ба ноутбук пайваст кунед ва онро фаъол созед. Докҳои Thunderbolt ва hub USB-C аксар вақт дорои пурборкунандаи шабакаи дохилии PXE ё намоиши ROM-ҳои Опсия мебошанд, ки ба PCR 2 ва PCR 4 паҳн мешаванд ва ҳолати TPM-ро беэътибор мекунанд.
5. Барқарорсозии пурборкунии бехатар ва ҳолати пурборкунии UEFI дар Setup BIOS:
6. Аз нав оғоз кунед ва калиди BIOS-и motherboard -ро пахш кунед (F2 дар Dell/ASUS/Lenovo/Acer, F10 дар HP, Del дар тахтаҳои мизи корӣ).
7. Агар Боркунии бехатар ба наздикӣ аз Фаъол ба Маъюб иваз карда шуда бошад, онро дубора ба Фаъол (Ҳолати стандартӣ) таъин кунед ва тағиротро захира кунед. Ва баръакс, агар навсозии BIOS Secure Boot-ро ба Фаъол табдил диҳад, кӯшиш кунед, ки онро як маротиба ба ғайрифаъол иваз кунед.
8. Тасдиқи Усули пурборкунӣ ба UEFI Танҳо таъин карда шудааст (хомӯш кардани Legacy / CSM) ва тасдиқ кунед, Менеҷери пурборкунии Windows аввалин варианти пурборкунанда аст.
9. Тасдиқ кунед, ки Intel PTT ё AMD fTPM фаъол аст (Ҳеҷ гоҳ "Clear TPM" -ро клик накунед):
10. Пас аз батареяи мурдаи CMOS ё аз нав танзимкунии BIOS, motherboards баъзан нармафзори TPM-ро ғайрифаъол мекунанд (Intel Platform Trust Technology ё AMD CPU fTPM). Ба ҷадвали Амният ё Рёниши боэътимод дар BIOS гузаред ва тасдиқ кунед, ки TPM 2.0 State Фаъол аст.
11. Огоҳӣ: Ҳеҷ гоҳ "Clear TPM" ё "Erase fTPM NV"-ро дар дохили BIOS интихоб накунед. Тоза кардани TPM калиди дохилии решавӣ дар дохили чипи кремнийро ба таври доимӣ нест мекунад ва калиди барқарорсозии 48-рақамаро ҳатмӣ мекунад.
12. ** Навсозии капсулаи BIOS-ро баргардонед**:
13. Дар ноутбукҳои Dell, -ро нигоҳ доредCtrl + Esc ҳангоми васл кардани қувваи AC барои оғоз кардани менюи Dell BIOS Recovery ва Rallback BIOS-ро интихоб кунед. Дар ноутбукҳои HP, нигоҳ доред Win + B ҳангоми пахш кардани тугмаи барқ ​​барои 2 сония барои баргардонидани бозгашти HP Sure Start BIOS.

Track B: Ҷустуҷӯи мукаммал барои калиди барқарорсозии BitLocker 48-рақами шумо¶

Агар TPM барқарор карда нашавад (ё агар шумо SSD-ро ба корпуси берунии USB интиқол дода бошед), шумо бояд пароли барқарорсозии рақамии 48-рақамаро (XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX) ё а .BEK файли калиди оғозёбӣ. 8 аломати аввали ID-и калид-ро, ки дар экран нишон дода шудааст, нависед (масалан, Key ID: 4F8A9C12) ва ин шаш маконро тафтиш кунед:

1. Ҳисобҳои шахсии Microsoft (account.microsoft.com/devices/recoverykey)¶

Боздид https://account.microsoft.com/devices/recoverykey (ё https://aka.ms/myrecoverykey) дар телефон ё компютери дуюмдараҷа. - Ҳар як ҳисоби таърихиро санҷед: Рамзгузории дастгоҳ калиди ҳар ҳисоби Microsoft-ро, ки ҳангоми кушодани компютер бори аввал истифода шудааст, нусхабардорӣ мекунад, ҳатто агар шумо баъдтар ба воридшавии маҳаллӣ гузаред. Ворид шавед ва ҳама кӯҳнаро санҷед @hotmail.com, @live.com, @outlook.com, ё пайваст @gmail.com ҳисобҳо ва инчунин ҳисоби ягон ҳамсар, волидайн ё технике, ки дар насб кардани компютер ё ба Microsoft Office ё Xbox Game Pass дар он мошин ворид шудааст.

2. Кор, мактаб ё донишгоҳ ID / Azure AD (myaccount.microsoft.com)¶

Ҳатто дар ноутбуки шахсии хонагӣ, агар шумо боре ба барномаҳои Microsoft 365 (Word, Excel, Teams) бо суроғаи почтаи электронии кор, донишгоҳ ё мизоҷ ворид шуда бошед ва "Иҷозат диҳед ба созмони ман дастгоҳи маро идора кунад"-ро гузошта бошед, Windows ба таври худкор калиди барқарорсозии BitLocker-и шуморо ба иҷорагир Microsoft Entra ID-и он ташкилот нигоҳ медорад: 1. Боздид https://myaccount.microsoft.com/device-list ва бо почтаи электронии кор ё мактаби худ ворид шавед. 2. Номи компютери худро интихоб кунед ва Намоиши калидҳои BitLocker-ро клик кунед. 3. Агар ҳисоби кор ё мактаби шумо аллакай ғайрифаъол бошад, ба он ташкилот Кӯмаки IT занг занед ва ба онҳо ID-и калиди 8 аломат-и худро диҳед. Маъмурон метавонанд калидҳои ҳисобҳои ғайрифаъолшударо дар зери Таҷҳизот > Ҳама дастгоҳҳо > Калидҳои барқарорсозӣ дар entra.microsoft.com.

3. Directory Active Corporate In-Premises (msFVE-RecoveryInformation)¶

Агар компютер ба домени Active Directory пайваст шуда бошад, Администратори домен метавонад калидро аз рӯи ID-и Калиди 8 аломати худ бо истифода аз PowerShell ҷустуҷӯ кунад:

Get-ADObject -Filter {objectClass -eq 'msFVE-RecoveryInformation'} -Properties msFVE-RecoveryPassword, whenCreated |
  Where-Object { $_.Name -like "*4F8A9C12*" } | Select-Object Name, msFVE-RecoveryPassword, whenCreated

4. Файлҳои матнии автоматӣ ё дастӣ дар дискҳои флеши USB ва дискҳои абрӣ¶

Вақте ки Windows калиди барқароркуниро ба файл ё диски USB захира мекунад, он файлро номгузорӣ мекунад BitLocker Recovery Key [GUID].txt ё пинҳониро захира мекунад .BEK файл (attrib +h +s). Ин ҷустуҷӯи PowerShell-ро дар тамоми дискҳои USB, дискҳои сахти беруна, ҷузвдонҳои OneDrive, Google Drive ва Dropbox дар компютери дигар иҷро кунед:

Get-PSDrive -PSProvider FileSystem | ForEach-Object {
    Get-ChildItem -Path $_.Root -Include "*BitLocker*Recovery*Key*.txt", "*.bek" -Recurse -Force -ErrorAction SilentlyContinue
} | Select-Object FullName, LastWriteTime

5. Хориҷ кардани калид барои диски дуюмдараҷаи маълумот (D:) аз Қулфшуда C: Тақсим¶

Агар C: ба таври муқаррарӣ бор мекунад ва танҳо як диски дуюмдараҷа D: баста аст, равзанаи Administrator PowerShell-ро кушоед C: ва давидан manage-bde -protectors -get D: то бубинем, ки агар C: то ҳол калиди худкор кушодани реестрро нигоҳ медорад ё нусхаҳои пешинаи сояи ҳаҷмро тафтиш кунед Documents папка барои нест кардан BitLocker Recovery Key *.txt файлҳо.

6. Таърихи спулери чоп ва чопи PDF / OneNote¶

Агар шумо ҳангоми насб "Чоп кардани калиди барқарорсозӣ"-ро клик карда бошед, Microsoft OneNote-ро санҷед ва ҷустуҷӯи худро ҷустуҷӯ кунед. Documents папка барои .pdf ё .xps файлҳое, ки тавассути "Microsoft Print to PDF" сохта шудаанд.

Track C: Кушодан ва рамзкушоӣ кардани диски BitLocker аз WinRE фармони Prompt (manage-bde)¶

Агар ворид кардани пароли барқарорсозии 48-рақама дар экрани кабуд ҳангоми бозоғозкунии навбатӣ ба BitLocker бармегардад ё Windows ба садама дучор шавад, BitLocker-ро аз Муҳити барқарорсозии Windows (WinRE) сатри фармон кушоед ва боздоштаед:

1. -ро пахш кунедEsc дар экрани BitLocker, пас Ин дискро гузаред -> Ҳалли мушкилот -> Имконоти пешрафта -> Сатри фармон -ро клик кунед.
2. Вазъро тафтиш кунед ва ҳаҷми OS-ро кушоед (C:):

   manage-bde -status
   manage-bde -unlock C: -RecoveryPassword 123456-123456-123456-123456-123456-123456-123456-123456
   

   (Ё бо истифода аз дуӣ қулфро кушоед .BEK файл дар чӯби USB ҳамчун хариташуда F: тавассути manage-bde -unlock C: -RecoveryKey "F:\key.BEK").
3. ** Муҳофизаткунандагонро боздоред, то огоҳӣ ҳангоми бозсозии навбатӣ барнагардад**:

   manage-bde -protectors -disable C:
   

   Дар Windows бозоғоз кунед ва сипас иҷро кунед manage-bde -protectors -enable C: дар сатри баландтари Фармон барои аз нав мӯҳр кардани Калиди Мастер Ҳаҷм бар зидди хэшҳои нави PCR UEFI.
4. Агар Windows пурбор карда натавонад, файлҳоро нусхабардорӣ кунед ё рамзро пурра кушоед:

   robocopy C:\Users\YourUsername F:\RescueBackup /E /ZB /R:1 /W:1 /XJ
   manage-bde -off C:
   

Track D: Насб кардани BitLocker SSD дар Linux (dislocker / cryptsetup) барои наҷот додани файл¶

Агар motherboard-и Windows-и шумо фавтида бошад, M.2 NVMe ё SATA SSD-ро ба корпуси берунии USB-C ҷойгир кунед (андозаи тақрибан 10 сантиметр ба 3 сантиметр ё 4 дюйм ба 1,2 дюйм) ва онро дар ҳама гуна Linux PC ё Ubuntu Live USB кушоед:

# Method 1: Modern cryptsetup (v2.3+ natively supports BITLOCKER volumes)
sudo cryptsetup open --type bitlocker /dev/nvme0n1p3 bitlocker_unlocked
# Type the 48-digit recovery key INCLUDING hyphens when prompted
sudo mkdir -p /mnt/windows_data
sudo mount -t ntfs3 -o ro /dev/mapper/bitlocker_unlocked /mnt/windows_data

# Method 2: Using dislocker
sudo apt update && sudo apt install -y dislocker ntfs-3g
sudo mkdir -p /mnt/dislocker_raw /mnt/windows_rescue
sudo dislocker -V /dev/nvme0n1p3 -p123456-123456-123456-123456-123456-123456-123456-123456 -- /mnt/dislocker_raw
sudo mount -t ntfs-3g -o loop,ro /mnt/dislocker_raw/dislocker-file /mnt/windows_rescue

Қисми 2: Ҳалли Apple macOS FileVault 2 ва қуфлҳои Secure Enclave¶

Дар macOS (High Sierra тавассути macOS Sequoia ва навтар), FileVault 2 тамоми ҳаҷми APFS (Apple File System)-ро рамзгузорӣ мекунад. Дар Mac-ҳо бо Apple Silicon (M1, M2, M3, M4) ё Apple T2 Security Chip, ҳаҷми воқеан ҳамеша дар ҳолати истироҳат рамзгузорӣ мешавад бо истифода аз калидҳои сахтафзор дар дохили Процессори анклави амн (SEP). Даргиронидани FileVault он калиди рамзгузории ҳаҷми сахтафзорро (VEK) бо Калиди рамзгузории калидӣ (KEK), ки аз пароли воридшавии macOS-и шумо ва Калиди барқарорсозии FileVault гирифта шудааст, фаро мегирад.

Азбаски FileVault рамзкушоиши ҳаҷми APFS-ро пеш аз боркунии macOS аз диск талаб мекунад, аввалин экране, ки шумо ҳангоми фаъол кардани Mac-и FileVault фаъол мебинед, равзанаи муқаррарии воридшавии macOS нест, он экрани кушодани FileVault EFI / iBoot пеш аз боркунӣ аст*.

Қадами 1: Сабаби №1-и қуфлҳои ногаҳонии FileVault-ро бартараф кунед (Тарҳбанди пеш аз боркунии клавиатура ва клавиатураҳои беруна)¶

Пеш аз он ки гузарвожаи шумо шикаста ё аз нав оғоз кунад, ин се нозукиҳои пеш аз боркуниро санҷед, ки боиси такон додани паролҳои дуруст дар экрани пурборкунии FileVault мешаванд:

1. Тағйири менюи вуруди клавиатураи пеш аз боркунӣ: Экрани FileVault пеш аз боркунӣ драйвери клавиатураи нармафзори ҷудошударо истифода мебарад, ки аксар вақт ба U.S. QWERTY (ё ABC) ҳатто агар шумо гузарвожаи худро бо истифода аз тарҳи Бритониё, Олмон (QWERTZ), Фаронса (AZERTY) ё Dvorak дар дохили macOS чоп карда бошед. Ба кунҷи рости болоии экрани воридшавии FileVault нигаред, Тасвири менюи Вуруди клавиатура-ро клик кунед ва тарҳи дақиқи клавиатураи худро интихоб кунед.
2. ** Вақти клавиатураи Bluetooth ва Num Lock**: Клавиатураҳои Bluetooth-и тарафи сеюм аксар вақт ду клавиатураи аввалини худро ҳангоми бедор шудан дар экрани пеш аз боркунӣ мепартоянд ё нишондиҳандаҳои ҳолати Num Lock надоранд. Клавиатураи USB-и симро бевосита ба Mac пайваст кунед (ё клавиатураи дарунсохтаи MacBook-ро истифода баред) ва оҳиста нависед.
3. Истифодабарандагони сершумори администратор дар як Mac: Дар FileVault, ҳар як ҳисоби корбари ваколатдори macOS аломати криптографии мустақили худро дар халтаи APFS Key дорад (diskutil apfs listCryptoUsers /). Агар ҳисоби шумо ларзонад ва ноком шавад, ** тасвири дигари корбари администратор**-ро дар экрани FileVault пахш кунед ва бо пароли худ ворид шавед. Пас аз ворид шудан ба macOS, он администратор метавонад пароли шуморо дар Танзимоти система > Истифодабарандагон ва гурӯҳҳо аз нав барқарор кунад.

Қадами 2: Кушодани FileVault тавассути ҳисоби Apple (iCloud) ё калиди барқарорсозии шахсии 24 аломат¶

Агар пароли шумо то ҳол дар экрани воридшавии FileVault кор накунад:

1. ** Саволи барқароркуниро интизор шавед**: Пас аз се маротиба ворид кардани пароли нодуруст дар экрани воридшавии FileVault, macOS имконоти аз нав барқарор кардани ҳисоби Apple ё калиди барқарорсозии худро нишон медиҳад.
2. Ё бевосита ба macOS Recovery бор кунед (Recovery Assistant):
3. Apple Silicon Macs (M1/M2/M3/M4): Комилан хомӯш кунед, пас тугмаи Power (Touch ID)-ро то 10 сония пахш кунед ва нигоҳ доред, то пайдо шудани "Парзишҳои оғозёбӣ...", Параметрҳо-ро пахш кунед ва Идома-ро пахш кунед.
4. ** Intel Macs**: Mac-ро фурӯзон кунед ва нигоҳ доред Command (⌘) + R то пайдо шудани логотипи Apple.
5. ** Дар дохили Reset Password Равзанаи Ёрдамчии барқарорсозӣ**:
6. Ба Wi-Fi дар кунҷи рости болои экран пайваст шавед ё Ethernet-ро пайваст кунед.
7. Варианти A (Apple Account Escrow): Агар шумо барқароркунии iCloud-ро фаъол карда бошед, Ҳамаи паролҳоро фаромӯш кардаед? -> Бо ҳисоби Apple ворид шавед. Суроғаи почтаи электронии ҳисоби Apple, парол ва рамзи 6-рақамаи 2FA-и худро ворид кунед (агар шумо телефони худро гум кунед, ба мо нигаред Бастани ВКД ва барқарорсозии аутентификатор дастур) барои кушодани ҳаҷми APFS ва гузарвожаи нав таъин кунед.
8. Варианти B (Калиди барќарорсозии шахсии 24 аломат): Калиди барқарорсозии FileVault-ро ворид кунед-ро интихоб кунед ва рамзи алифбои рақамии 24-ро ворид кунед (XXXX-XXXX-XXXX-XXXX-XXXX-XXXX).
9. ** Варианти C (Корпоратсия / Донишгоҳи MDM Escrow)**: Агар Mac-и шумо тавассути Jamf Pro, Kandji, Mosyle ё Microsoft Intune идора карда шавад, ба мизи ёрирасони IT-и худ бо рақами силсилавии Mac занг занед, то онҳо ба шумо Калиди барқарорсозии FileVault-и 24 аломатро хонда тавонанд.

Қадами 3: Кушодани ҳаҷми FileVault APFS дастӣ аз Терминал (diskutil apfs unlockVolume)¶

Агар ёрдамчии графикии барқарорсозӣ диски шуморо насб карда натавонад, дар дохили macOS Recovery Utilities -> Terminal -ро кушоед ва ҳаҷми APFS-ро дастӣ кушоед:

# 1. List all APFS containers and encrypted volumes to find the Volume Identifier (e.g., disk3s5)
diskutil apfs list

# 2. List all cryptographic users (UUIDs) authorized to unlock that APFS volume
diskutil apfs listCryptoUsers /dev/disk3s5

# 3. Unlock the APFS volume using either your user password OR your 24-character Recovery Key:
diskutil apfs unlockVolume /dev/disk3s5 -passphrase "YOUR-XXXX-XXXX-XXXX-XXXX-XXXX-KEY"

# 4. Copy critical files from '/Volumes/Macintosh HD - Data' to an external USB drive:
cp -Rv "/Volumes/Macintosh HD - Data/Users/yourusername/Documents" "/Volumes/ExternalUSB/Backup/"

Қисми 3: Ҳалли Linux LUKS (dm-crypt / cryptsetup) қуфлҳои рамзгузорӣ¶

Тақсимоти Linux (Ubuntu, Fedora, Debian, Arch Linux, Red Hat Enterprise Linux, Pop._OS ва Qubes OS) ба LUKS (Танзимоти ягонаи калидҳои Linux) такя мекунанд, маъмулан LUKS2, аз ҷониби идорашаванда cryptsetup ва dm-crypt. Вақте ки мошини Linux ба як (initramfs) ё dracut снаряд мегӯяд cryptsetup failed, bad password or options, ин чор қадамро иҷро кунед:

Қадами 1: Харитаи клавиатураи консол ва тарҳбандии клавиатураи графикиро тафтиш кунед¶

Дар давоми боркунии пешакӣ initramfs марҳила, система харитаи клавиатураи консолии Linux-ро истифода мебарад (/etc/vconsole.conf), ки аксар вақт ба ** муқаррар карда мешавадus** ҳатто агар шумо дар дохили GNOME ё KDE тарҳбандии барномасози Бритониё, Олмон, Фаронса ё фармоиширо танзим карда бошед. Linux Live USB-ро бор кунед, терминали графикиро кушоед, ки дар он шумо метавонед гузарвожаи худро дар муҳаррири матн ба таври намоён ворид кунед, то ҳар як аломатро тафтиш кунед ва дискро аз USB Live кушоед:

lsblk -f
sudo cryptsetup luksOpen /dev/nvme0n1p3 my_encrypted_root

Қадами 2: Сарлавҳаи LUKS-ро тафтиш кунед ва ковокии калидҳои дуюмро тафтиш кунед (cryptsetup luksDump)¶

LUKS1 8 клавиатураи мустақилро (0 то 7) дастгирӣ мекунад ва LUKS2 то 32 клавиатураро (0 то 31) дастгирӣ мекунад, инчунин сахтафзор Токенҳо (systemd-tpm2 ё systemd-fido2). Сарлавҳаи худро бидуни тағир додани чизе дар диск тафтиш кунед:

sudo cryptsetup luksDump /dev/nvme0n1p3

sudo systemd-cryptenroll --wipe-slot=tpm2 --tpm2-device=auto --tpm2-pcrs=7 /dev/nvme0n1p3

Қадами 3: Барқароркунӣ аз сарлавҳаи вайроншуда ё аз нав навишташудаи LUKS2¶

Дар LUKS, ҳама ковокии калидҳо дар 2 мегабайт (LUKS1) ё 16 мегабайт (LUKS2) қисмат зиндагӣ мекунанд. Агар cryptsetup luksDump мегӯяд not a valid LUKS device, ин қадамҳоро иҷро кунед:

1. ** Аввалин 32 МБ-ро пеш аз ламс кардани чизе тасвир кунед**:

   sudo dd if=/dev/nvme0n1p3 of=~/damaged_luks_first32mb.img bs=1M count=32 status=progress
   

2. ** Кӯшиши таъмири худкори LUKS2-и дуюмдараҷаи JSON метамаълумотҳо (cryptsetup repair)**:
3. LUKS2 ду нусхаи зиёдатии метамаълумоти бинарӣ ва сарлавҳаи JSON-ро дар офсет нигоҳ медорад 0x0000 ва офсет 0x4000 (16 КБ). Агар танҳо нусхаи ибтидоӣ дар байти 0 клоб карда шуда бошад, sudo cryptsetup repair /dev/nvme0n1p3 аз нав барқарор мекунад 0x4000.
4. ** Аз нусхаи захирашудаи LUKS сарлавҳа барқарор кунед (luksHeaderRestore)**:
5. Бо истифода аз файли захиравии сарлавҳаи беруна, бе вайроншавӣ қулф кунед:

   sudo cryptsetup luksOpen --header /path/to/luks-header.bak /dev/nvme0n1p3 rescued_volume
   

Қадами 4: Санҷиши гузарвожаҳои қисман дар хотир дошта бо hashcat¶

Гарчанде ки шумо калиди барќарорсозии тасодуфии 48-рақами BitLocker ё Калиди барқарорсозии 24 аломати Apple (\(2^{128}\) бит энтропия)-ро бераҳмона маҷбур карда наметавонед, агар шумо калимаҳои асосиро дар хотир доред, шумо метавонед вариантҳои гузарвожаи аз ҷониби инсон интихобшудаи LUKS ё пароли корбари BitLocker-ро ** озмоиш кунед:

# For Linux LUKS2 (mode 29500) or LUKS1 (mode 14600):
sudo dd if=/dev/nvme0n1p3 of=luks_header.bin bs=1M count=16
hashcat -m 29500 luks_header.bin my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

# For BitLocker protected by a custom User Password (mode 22100):
bitlocker2john -i /dev/nvme0n1p3 | grep "\$bitlocker\$0\$" > user_pass.hash
hashcat -m 22100 user_pass.hash my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

Пешгирӣ: Чӣ гуна бояд дар айни замон нусхаи эҳтиётии рамзгузории дискро аз қуфл сохтан мумкин аст¶

Лаҳзае, ки шумо ба компютери худ (ё ба ҳар як компютери дигаре, ки имрӯз доред) дубора дастрасӣ пайдо мекунед, барои иҷрои ин фармонҳо панҷ дақиқа сарф кунед, то нокомии motherboard ё навсозии нармафзор ҳеҷ гоҳ файлҳои шуморо дубора ба дом афтонад:

1. Дар Windows (Калиди барқарорсозии BitLocker-ро содир кунед ва пеш аз навсозии BIOS таваққуф кунед)¶

Administrator PowerShell ё Фармони фармон-ро кушоед ва пароли барқароркунии 48-рақами ҷории худро содир кунед:

# Display all BitLocker recovery keys and Key IDs across all drives
Get-BitLockerVolume | Select-Object MountPoint, VolumeStatus, -ExpandProperty KeyProtector |
  Where-Object { $_.KeyProtectorType -eq 'RecoveryPassword' } |
  Select-Object MountPoint, KeyProtectorId, RecoveryPassword

2. Дар macOS (Калиди барқарорсозии FileVault-и худро санҷед ё гардиш кунед)¶

Терминал-ро кушоед ва санҷед, ки кӣ барои кушодани диски оғози APFS ваколатдор аст:

sudo fdesetup status
diskutil apfs listCryptoUsers /

sudo fdesetup changerecovery -personal

3. Дар Linux (Сарлавҳаи LUKS-и худро нусхабардорӣ кунед ва калидҳои бозпасро сабт кунед)¶

Ҳамеша нусхаи сарлавҳаи 16-мегабайтии LUKS-и худро дар диски берунии USB нигоҳ доред ва гузарвожаи чопшудаи барқарорсозии 64 аломатро дар Keyslot 1 сабт кунед:

# 1. Back up the binary LUKS header to an external USB drive
sudo cryptsetup luksHeaderBackup /dev/nvme0n1p3 --header-backup-file /media/usb/luks-header-nvme0n1p3.bak

# 2. Add an independent emergency recovery passphrase into Keyslot 1
sudo cryptsetup luksAddKey --key-slot 1 /dev/nvme0n1p3

Рӯйхати санҷиши омодагии ҳолати фавқулоддаи рамзгузорӣ¶

• Калиди барқарорсозии BitLocker 48-рақами-и худро содир кунед (аз ҷумла 8 аломати он Калиди ID) ва онро дар дохили худ нигоҳ доред мудири парол ва дар коғаз дар дохили сейфи оташнашаванда на камтар аз 1,5 метр (5 фут) аз сатҳи фарш чоп карда мешавад.
• Калиди барқарорсозии 24 аломати macOS FileVault-и худро дар баробари калиди барқарорсозии 28 аломати ҳисоби Apple чоп кунед ё захира кунед.
• Сарлавҳаи 16-мегабайтии Linux LUKS-и худро нусхабардорӣ кунед (cryptsetup luksHeaderBackup) ба гардонандаи офлайнии USB, то баргардонидани қисмҳои тасодуфӣ наметавонад ҳамаи ковокии калидҳоро нест кунад.
• Нигоҳ доштани мустақил, автоматӣ 3-2-1 нусхаи эҳтиётии компютер то ки ҳатто марги нозири SSD ё калиди рамзгузории фаромӯшшуда ҳеҷ гоҳ аксҳои ивазнашаванда, ҳуҷҷатҳои андоз ё рамзи сарчашмаи шуморо нобуд накунад.

Саволҳои зуд-зуд додашаванда¶

Дастурҳои алоқаманд¶

• Экрани кабуди Windows (BSOD) ва таъмири боркунӣ
• воҳимаи ядрои macOS, экрани сиёҳ ва барқарорсозӣ
• Нокомии пурборкунии системаи Linux ва таъмири GRUB
• Қулфи мудири парол ва барқарорсозии хазинаи фавқулодда
• Нокомии диски сахт ва барқарорсозии маълумот
• Нусхаи эҳтиётии компютер: Стратегияи 3-2-1 ва барқарорсозии офатҳои табиӣ
• Феҳристи рақамҳои фавқулодда

Сарчашмаҳо тафтиш карда шуданд¶

• Институти Миллии Стандартҳо ва Технология (NIST) (Иёлоти Муттаҳида): * Нашри махсуси NIST 800-111: Дастур оид ба технологияҳои рамзгузории нигаҳдорӣ барои дастгоҳҳои корбари ниҳоӣ ва FIPS 197 (AES-XTS)*.
• Ҳуҷҷатҳои расмии Microsoft Learn: * Шарҳи барқарорсозии BitLocker, Реестрҳои конфигуратсияи платформаи TPM (PCR 0-11) профили тасдиқкунӣ ва manage-bde Истинод ба сатри фармон*.
• Дастури амнияти платформаи Apple: * Рамзгузории ҳаҷм бо FileVault, халтаҳои калидии APFS, решаи сахтафзори анклавии бехатар ва Escrow калиди барқарорсозии институтсионалӣ/шахсӣ*. -Гурӯҳи ҳисоббарории боваринок (TCG) (байналмилалӣ): * Мушаххасоти TPM 2.0 Library ва Мушаххасоти профили нармафзори нармафзори платформаи мизоҷи компютер*.
• Мушаххасоти расмии GitLab Cryptsetup / LUKS2: * Мушаххасоти формати LUKS2 дар диск, Argon2id PBKDF хотираи сахти калидҳо ва тартиби нусхабардорӣ/таъмири сарлавҳа*.