BitLocker, FileVault, at LUKS Disk Encryption Recovery Key Lockout¶

Nakakakita ng asul na BitLocker Recovery na screen sa Windows, isang naka-lock na FileVault login prompt sa macOS, o isang hindi tumutugon cryptsetup passphrase prompt sa isang Linux workstation ay maaaring makapagpahinto sa iyong trabaho at personal na buhay. Ang full-disk encryption (FDE) ay gumagamit ng military-grade symmetric ciphers, karaniwang AES-128 o AES-256 sa XTS mode, upang i-scramble ang bawat sektor ng iyong solid-state drive (SSD) o hard disk drive (HDD). Kung wala ang cryptographic na Volume Master Key (VMK) o isang valid na key-encryption protector, ang raw data sa NAND flash chips ay mathematically indistinguishable mula sa random noise.

Gayunpaman, ang biglaang pagbawi ng key screen ay bihirang nangangahulugan na ang iyong drive ay nasira o ang iyong key ay nawala nang tuluyan. Karamihan sa mga BitLocker at FileVault lockout ay awtomatikong nati-trigger kapag binago ng nakagawiang BIOS/UEFI firmware update, Thunderbolt dock change, Secure Boot toggle, o patay na CMOS coin-cell na baterya ang mga Platform Configuration Register (PCR) sa loob ng iyong motherboard Trusted Platform Module (TPM 2.0). Kahit na hindi ka kailanman sumulat ng recovery key, madalas mong ma-bypass ang prompt sa pamamagitan ng pagbabalik sa eksaktong setting ng UEFI firmware na nag-trip sa pagsukat ng TPM, o sa pamamagitan ng paghahanap ng tahimik na awtomatikong pag-backup ng iyong susi sa loob ng personal na Microsoft account, isang direktoryo ng Microsoft Entra ID sa trabaho o paaralan, isang Apple iCloud keychain, o isang hindi naka-mount na volume shadow copy.

Gawin ito ngayon¶

1. TUMIGIL bago i-click ang "I-reset ang PC na ito", "Burahin ang Mac", o i-format ang partition. Ang muling pag-install ng Windows, macOS, o Linux sa isang naka-encrypt na partition ay ino-overwrite ang cryptographic volume header (ang BitLocker metadata blocks, ang APFS container superblock, o ang LUKS2 JSON header). Kapag na-overwrite na ang maliit na metadata header na iyon, kahit na ang paghahanap ng iyong wastong 48-digit na recovery key bukas ay hindi na made-decrypt ang iyong mga file.
2. I-unplug ang lahat ng external USB drive, SD card, Thunderbolt dock, HDMI adapters, at gaming controllers, pagkatapos ay i-reboot. Sa mga Windows system na gumagamit ng TPM 2.0 Platform Configuration Registers (partikular ang PCR 0, PCR 2, PCR 4, at PCR 7), ang pag-boot gamit ang bootable USB thumb drive, ang bagong naka-attach na Thunderbolt na firmware na dock na firmware hub na may naka-install na Thunderbolt dock na ROMck hub. pagsukat ng hash. Ang pag-unplug sa bawat peripheral at madalas na pagsasagawa ng malamig na pag-reboot ay nagbibigay-daan sa TPM na i-release nang normal ang Volume Master Key nang hindi nangangailangan ng 48-digit na code.
3. Suriin ang bawat Microsoft, Apple, o corporate account na ginamit mo sa pangalawang telepono o laptop. Huwag ipagpalagay na alam mo kung aling email account ang aktibo noong unang na-unbox ang laptop. Sa Windows, suriin account.microsoft.com/devices/recoverykey sa iyong personal na Outlook/Hotmail/Live na mga account, at suriin aka.ms/myrecoverykey sa anumang trabaho, unibersidad, o kliyenteng Microsoft 365 (Entra ID) account na na-sign in mo sa loob ng Microsoft Word, Mga Koponan, o Mga Setting ng Windows.
4. Itugma ang unang 8 character ng "Key ID" na ipinapakita sa iyong naka-lock na screen. Ang Windows BitLocker recovery screen ay nagpapakita ng 32-character Key ID (o ang unang 8 hexadecimal na character, gaya ng A1B2C3D4). Kung marami kang key na nakaimbak sa iyong Microsoft account o sa mga lumang computer, tanging ang 48-digit na password sa pagbawi na ang Key ID ay tumutugma sa eksaktong 8 character na iyon ang mag-a-unlock sa partikular na volume ng drive na ito.
5. Ibalik ang anumang kamakailang pagbabago sa BIOS/UEFI na ginawa bago ang lockout. Kung ang screen ng BitLocker ay lumitaw kaagad pagkatapos mong ipasok ang BIOS setup upang i-off ang Secure Boot, i-toggle ang CSM (Compatibility Support Module), palitan ang Intel PTT / AMD fTPM, o i-enable ang ** Boot Order changes**, i-reboot sa BIOS (F2, F12, o Del) at itakda ang mga eksaktong toggle na iyon pabalik sa kanilang dating estado. Sa sandaling tumugma ang PCR 7 at PCR 0 sa kanilang orihinal na cryptographic hash, awtomatikong aalisin ng TPM ang susi.
6. Priyoridad ang pisikal na kaligtasan kung nangyari ang lockout sa panahon ng emergency o domestic na krisis. Kung sinusubukan mong kunin ang mga medikal na rekord, dokumentong pinansyal, o mga plano sa paglisan sa panahon ng krisis, tandaan na ang mga naka-encrypt na drive ay nagpapanatili ng data nang walang katiyakan habang naka-off. Kung nahaharap ka sa isang agarang pisikal na banta, iwanan ang hardware at tawagan ang iyong lokal na numero ng emergency (911 sa United States at Canada, 112 sa buong European Union, 999 sa United Kingdom, o tingnan ang aming mga numerong pang-emergency direktoryo).

Triage ng lockout ng disk encryption at puno ng desisyon sa pagbawi¶

flowchart TD
    Start["Naka-lock Out sa Naka-encrypt na Drive: BitLocker, FileVault, o LUKS Prompt"] --> WhichOS{"Aling Operating System at Encryption Engine?"}

    WhichOS -->|"Windows: BitLocker 48-Digit Recovery Screen"| PeriphCheck["Hakbang 1: I-unplug ang lahat ng USB drive, Thunderbolt dock, at external na monitor; malamig na pag-reboot"]
    PeriphCheck --> StillLocked{"Humihingi pa rin ng 48-digit na susi?"}
    StillLocked -->|"Hindi: Normal na naka-boot"| BackupNow["Patakbuhin kaagad ang 'manage-bde -protectors -get C:' at i-save ang 48-digit na key offline"]
    StillLocked -->|"Oo"| BIOSCheck{"Kakapalit mo lang ba ng BIOS, Secure Boot, CSM, o nag-update ng firmware?"}

    BIOSCheck -->|"Oo"| RevertBIOS["Ipasok ang UEFI Setup: Muling paganahin ang Secure Boot, UEFI Boot Mode, at Intel PTT / AMD fTPM para ibalik ang PCR 7 hash"]
    BIOSCheck -->|"Hindi"| HuntKey["Hakbang 2: Itugma ang 8-Char Key ID sa LAHAT ng Personal na Microsoft Account, Work/School Entra ID, Active Directory, at USB .BEK/.TXT file"]
    RevertBIOS --> HuntKey

    WhichOS -->|"macOS: Tinatanggihan ng Pag-login ng FileVault ang Password"| ApplePath{"Apple Silicon/T2 Mac kumpara sa Intel Mac?"}
    ApplePath -->|"Lahat ng Mac"| TestLayout["Hakbang 1: Suriin ang Input Menu sa kanang tuktok ng screen ng FileVault para sa hindi pagkakatugma ng layout ng keyboard"]
    TestLayout --> FVMethod{"Aling Paraan ng Pagbawi ang Pinagana?"}
    FVMethod -->|"iCloud Account Escrow"| BootRecovery["Mag-boot sa macOS Recovery: Magpatotoo gamit ang Apple Account sa pamamagitan ng Recovery Assistant upang i-reset ang password"]
    FVMethod -->|"24-Char Personal Recovery Key (PRK) o MDM"| EnterPRK["Ilagay ang XXXX-XXXX-XXXX-XXXX-XXXX-XXXX key sa Recovery Assistant o humiling ng Institutional Escrow Key mula sa IT"]

    WhichOS -->|"Linux: LUKS / cryptsetup Passphrase Tinanggihan"| LUKSPath["Hakbang 1: I-drop sa initramfs shell o i-boot ang Live USB; suriin ang layout ng keyboard sa console"]
    LUKSPath --> LUKSHeader{"Buo ba ang Keyslots sa 'cryptsetup luksDump'?"}
    LUKSHeader -->|"Oo: Aktibo ang Keyslot"| TestPass["Subukan ang mga pangalawang keyslot (Slot 1-7), FIDO2/TPM2 token, o patakbuhin ang hashcat Mode 29500 laban sa backup ng header"]
    LUKSHeader -->|"Hindi: Nasira ang Header"| RestoreHeader["Ibalik ang LUKS header mula sa '--header-backup-file' o i-scan ang disk para sa nabubuhay na metadata"]

Pag-unawa sa Full-Disk Encryption at TPM 2.0 sealing¶

Wala alinman sa Windows BitLocker, Apple FileVault 2, o Linux dm-crypt Direktang ini-encrypt ng / LUKS ang iyong SSD gamit ang iyong login password o recovery key. Sa halip, ang lahat ng tatlong platform ay gumagamit ng dalawang-tier na hierarchy ng key:

1. Ang Volume Master Key (VMK) / Full Volume Encryption Key (FVEK): Ang isang hardware na random na key (128-bit, 256-bit, o 512-bit) ay nag-e-encrypt at nagde-decrypt sa aktwal na mga sektor ng disk nang mabilis.
2. Mga Key Protector / Keyslots (KEKs): Ang Volume Master Key ay nakabalot gamit ang independent Key Encryption Keys (KEKs), na tinatawag na Key Protectors sa BitLocker, Key Bags sa Apple APFS, at Keyslots sa Linux LUKS.
3. Bakit ikinakandado ka ng TPM 2.0 sealing sa Windows: Sa Windows 10 at 11, ang pangunahing key protector ay ang Trusted Platform Module (TPM 2.0) chip (discrete silicon o firmware Intel PTT / AMD fTPM). Kapag tinatakan ng BitLocker ang Volume Master Key sa TPM, ibibigkis nito ang susi sa mga partikular na Platform Configuration Registers (PCRs):
4. PCR 0: Hashes ang core UEFI/BIOS system firmware.
5. PCR 2: Hashes ang pluggable external hardware Option ROM code (Thunderbolt docks, RAID card, external GPUs).
6. PCR 4: Hash ang boot manager (bootmgfw.efi) at boot order state.
7. PCR 7: Patakaran sa Hashes Secure Boot at UEFI db / dbx mga database ng sertipiko.
8. PCR 11: Hashes BitLocker access control component.

Sa tuwing pinindot mo ang power button, sinusukat ng motherboard ang mga bahagi ng firmware na ito bago mag-load ang Windows. Kung ang anumang solong bit sa PCR 0, PCR 2, PCR 4, o PCR 7 ay naiiba sa halagang naitala noong na-seal ang BitLocker, tumanggi ang TPM na ilabas ang Volume Master Key at pinipilit ang Windows Boot Manager na ipakita ang 48-digit na BitLocker Recovery Key na screen.

Paghahambing ng mga arkitektura ng Full-Disk Encryption at mga mekanismo sa pagbawi¶

Bahagi 1: Paglutas ng mga lockout sa pagbawi ng Windows BitLocker¶

Kapag huminto ang iyong Windows PC sa "BitLocker: Ipasok ang recovery key para sa drive na ito" (o humihingi ng key ang Windows Recovery Environment bago payagan ang Command Prompt o Safe Mode na ma-access), gawin ang dalawang parallel na track na ito: Sinusubukan ng Track A na hikayatin ang TPM na i-unlock ang drive nang hindi kailangan ang key, at hinahanap ng Track B ang bawat digital at lokal na storage key sa 48-digit na lokasyon.

Track A: Pag-bypass sa BitLocker prompt nang walang recovery key (Pagpapanumbalik ng TPM PCR state)¶

Kung hindi mo manual na pinunasan ang TPM o inilipat ang NVMe SSD sa isang bagong motherboard, ang Volume Master Key ay nasa loob pa rin ng iyong TPM 2.0 chip. Tinatanggihan nitong i-unlock dahil nagbago ang isang pre-boot na pagsukat ng PCR. Subukan ang mga hindi mapanirang hardware at firmware na ito sa pagkakasunud-sunod:

1. Idiskonekta ang lahat ng panlabas na hardware at dock:
2. Ganap na patayin ang computer (hawakan ang power button sa loob ng 10 segundo).
3. I-unplug ang bawat USB flash drive, external hard drive, USB-C hub, Thunderbolt docking station, SD card, at external monitor cable.
4. I-unplug ang AC charger sa loob ng 15 segundo, direktang isaksak ang native na charger sa laptop, at i-on ito. Ang mga Thunderbolt dock at USB-C hub ay madalas na naglalaman ng panloob na PXE network boot o display Option ROM na umaabot sa PCR 2 at PCR 4, na nagpapawalang-bisa sa TPM state.
5. Ibalik ang Secure Boot at UEFI Boot Mode sa BIOS Setup:
6. I-reboot at pindutin ang iyong motherboard BIOS key (F2 sa Dell/ASUS/Lenovo/Acer, F10 sa HP, Del sa mga desktop board).
7. Kung ang Secure Boot ay binago kamakailan mula sa Enabled sa Disabled, ibalik ito sa Enabled (Standard Mode) at i-save ang mga pagbabago. Sa kabaligtaran, kung binaligtad ng pag-update ng BIOS ang Secure Boot sa Enabled, subukang i-togg ito sa Disabled nang isang beses.
8. Ang Kumpirmahin ang Boot Mode ay nakatakda sa UEFI Only (disable Legacy / CSM) at kumpirmahin ang Windows Boot Manager ay ang unang boot option.
9. I-verify na pinagana ang Intel PTT o AMD fTPM (Huwag i-click ang "I-clear ang TPM"):
10. Pagkatapos ng patay na baterya ng CMOS o pag-reset ng BIOS, minsan hindi pinagana ng mga motherboard ang firmware TPM (Intel Platform Trust Technology o AMD CPU fTPM). Pumunta sa tab na Security o Trusted Computing sa BIOS at kumpirmahin ang TPM 2.0 State ay Enabled.
11. Babala: Huwag kailanman piliin ang "Clear TPM" o "Erase fTPM NV" sa loob ng BIOS. Ang pag-clear sa TPM ay permanenteng sisira sa panloob na Storage Root Key sa loob ng silicon chip, na ginagawang mandatory ang 48-digit na recovery key.
12. Ibalik ang isang buggy BIOS capsule update:
13. Sa mga Dell laptop, pindutin nang matagal Ctrl + Esc habang nakasaksak sa AC power upang ilunsad ang Dell BIOS Recovery menu at piliin ang Rollback BIOS. Sa mga HP laptop, pindutin nang matagal Win + B habang pinindot ang power button sa loob ng 2 segundo upang ma-trigger ang HP Sure Start BIOS rollback.

Track B: Kumpletong paghahanap para sa iyong 48-digit na BitLocker Recovery Key¶

Kung hindi maibabalik ang TPM (o kung inilipat mo ang SSD sa isang panlabas na USB enclosure), dapat mong ibigay ang 48-digit na numeric recovery password (XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX) o a .BEK startup key file. Isulat ang unang 8 character ng Key ID na ipinapakita sa screen (halimbawa, Key ID: 4F8A9C12) at suriin ang anim na lokasyong ito:

1. Mga Personal na Microsoft Account (account.microsoft.com/devices/recoverykey)¶

Bisitahin https://account.microsoft.com/devices/recoverykey (o https://aka.ms/myrecoverykey) sa isang telepono o pangalawang computer. - Suriin ang bawat makasaysayang account: Bina-back up ng Device Encryption ang susi sa alinmang Microsoft Account ang unang ginamit noong na-unbox ang PC, kahit na lumipat ka sa isang lokal na pag-login sa ibang pagkakataon. Mag-sign in at subukan ang lahat ng luma @hotmail.com, @live.com, @outlook.com, o naka-link @gmail.com mga account, kasama ang account ng sinumang asawa, magulang, o technician na tumulong sa pag-set up ng PC o nag-sign in sa Microsoft Office o Xbox Game Pass sa machine na iyon.

2. Trabaho, Paaralan, o Unibersidad Entra ID / Azure AD (myaccount.microsoft.com)¶

Kahit na sa isang personal na laptop sa bahay, kung sakaling nag-sign in ka sa Microsoft 365 apps (Word, Excel, Teams) gamit ang isang trabaho, unibersidad, o client email address at iniwan ang "Allow my organization to manage my device" check, awtomatikong i-escrow ng Windows ang iyong BitLocker recovery key sa Microsoft Entra ID na nangungupahan ng organisasyong iyon: 1. Bisitahin https://myaccount.microsoft.com/device-list at mag-sign in gamit ang iyong email sa trabaho o paaralan. 2. Piliin ang pangalan ng iyong computer at i-click ang View BitLocker keys. 3. Kung naka-disable na ang iyong account sa trabaho o paaralan, tawagan ang IT Help Desk ng organisasyong iyon at ibigay sa kanila ang iyong 8-character Key ID. Maaaring kunin ng mga administrator ang mga susi para sa mga na-deactivate na account sa ilalim ng Mga Device > Lahat ng device > Mga recovery key sa entra.microsoft.com.

3. On-Premises Corporate Active Directory (msFVE-RecoveryInformation)¶

Kung isinama ang computer sa isang domain ng Active Directory, maaaring hanapin ng Administrator ng Domain ang susi sa pamamagitan ng 8-character na Key ID nito gamit ang PowerShell:

Get-ADObject -Filter {objectClass -eq 'msFVE-RecoveryInformation'} -Properties msFVE-RecoveryPassword, whenCreated |
  Where-Object { $_.Name -like "*4F8A9C12*" } | Select-Object Name, msFVE-RecoveryPassword, whenCreated

4. Mga Automated o Manu-manong Text File sa mga USB Flash Drive at Cloud Drive¶

Kapag nag-save ang Windows ng recovery key sa isang file o USB drive, pinangalanan nito ang file BitLocker Recovery Key [GUID].txt o nagse-save ng isang nakatago .BEK file (attrib +h +s). Patakbuhin ang PowerShell search na ito sa lahat ng USB drive, external hard drive, OneDrive, Google Drive, at Dropbox na folder sa isa pang PC:

Get-PSDrive -PSProvider FileSystem | ForEach-Object {
    Get-ChildItem -Path $_.Root -Include "*BitLocker*Recovery*Key*.txt", "*.bek" -Recurse -Force -ErrorAction SilentlyContinue
} | Select-Object FullName, LastWriteTime

5. Pagkuha ng Susi para sa Pangalawang Data Drive (D:) mula sa isang Naka-unlock C: Pagkahati¶

Kung C: normal na boots at pangalawang drive lang D: ay naka-lock, magbukas ng Administrator PowerShell window na naka-on C: at tumakbo manage-bde -protectors -get D: para makita kung C: hawak pa rin ang auto-unlock na registry key, o siyasatin ang mga nakaraang Volume Shadow Copies ng iyong Documents folder para sa tinanggal BitLocker Recovery Key *.txt mga file.

6. I-print ang Kasaysayan ng Spooler at Mga PDF / OneNote Printout¶

Kung na-click mo ang "I-print ang recovery key" habang nagse-setup, suriin ang Microsoft OneNote at hanapin ang iyong Documents folder para sa .pdf o .xps mga file na nilikha sa pamamagitan ng "Microsoft Print to PDF".

Track C: Pag-unlock at pag-decrypt ng isang BitLocker drive mula sa WinRE Command Prompt (manage-bde)¶

Kung ang pag-type ng 48-digit na password sa pagbawi sa asul na screen ay babalik sa BitLocker sa susunod na pag-reboot o na-crash ang Windows, i-unlock at suspindihin ang BitLocker mula sa Windows Recovery Environment (WinRE) Command Prompt:

1. Pindutin ang Esc sa screen ng BitLocker, pagkatapos ay i-click ang Skip this drive -> Troubleshoot -> Advanced options -> Command Prompt.
2. Suriin ang katayuan at i-unlock ang dami ng OS (C:):

   manage-bde -status
   manage-bde -unlock C: -RecoveryPassword 123456-123456-123456-123456-123456-123456-123456-123456
   

   (O i-unlock gamit ang binary .BEK file sa isang USB stick na naka-map bilang F: sa pamamagitan ng manage-bde -unlock C: -RecoveryKey "F:\key.BEK")
3. Suspindihin ang mga tagapagtanggol upang hindi bumalik ang prompt sa susunod na pag-reboot:

   manage-bde -protectors -disable C:
   

   I-reboot sa Windows, pagkatapos ay tumakbo manage-bde -protectors -enable C: sa isang nakataas na Command Prompt upang muling i-seal ang Volume Master Key laban sa mga bagong UEFI PCR hash.
4. Kung hindi makapag-boot ang Windows, kopyahin ang mga file o ganap na i-decrypt:

   robocopy C:\Users\YourUsername F:\RescueBackup /E /ZB /R:1 /W:1 /XJ
   manage-bde -off C:
   

Track D: Pag-mount ng BitLocker SSD sa Linux (dislocker / cryptsetup) para sa pagliligtas ng file¶

Kung namatay ang iyong motherboard sa Windows, ilagay ang M.2 NVMe o SATA SSD sa isang panlabas na USB-C enclosure (may sukat na humigit-kumulang 10 sentimetro sa 3 sentimetro, o 4 na pulgada sa 1.2 pulgada) at i-unlock ito sa anumang Linux PC o Ubuntu Live USB:

# Method 1: Modern cryptsetup (v2.3+ natively supports BITLOCKER volumes)
sudo cryptsetup open --type bitlocker /dev/nvme0n1p3 bitlocker_unlocked
# Type the 48-digit recovery key INCLUDING hyphens when prompted
sudo mkdir -p /mnt/windows_data
sudo mount -t ntfs3 -o ro /dev/mapper/bitlocker_unlocked /mnt/windows_data

# Method 2: Using dislocker
sudo apt update && sudo apt install -y dislocker ntfs-3g
sudo mkdir -p /mnt/dislocker_raw /mnt/windows_rescue
sudo dislocker -V /dev/nvme0n1p3 -p123456-123456-123456-123456-123456-123456-123456-123456 -- /mnt/dislocker_raw
sudo mount -t ntfs-3g -o loop,ro /mnt/dislocker_raw/dislocker-file /mnt/windows_rescue

Bahagi 2: Paglutas ng mga Apple macOS FileVault 2 at Secure Enclave lockout¶

Sa macOS (High Sierra hanggang macOS Sequoia at mas bago), ine-encrypt ng FileVault 2 ang buong volume ng APFS (Apple File System). Sa mga Mac na may Apple Silicon (M1, M2, M3, M4) o ang Apple T2 Security Chip, ang volume ay aktwal na palaging naka-encrypt sa pahinga gamit ang mga hardware key sa loob ng Secure Enclave Processor (SEP). Ang pag-on sa FileVault ay bumabalot sa hardware na Volume Encryption Key (VEK) na may Key Encryption Key (KEK) na nagmula sa iyong macOS login password at iyong FileVault Recovery Key.

Dahil kailangan ng FileVault na i-decrypt ang volume ng APFS bago mag-load ang macOS mula sa disk, ang unang screen na makikita mo kapag na-on mo ang isang Mac na pinagana ng FileVault ay hindi ang normal na window ng pag-login sa macOS, ito ay ang pre-boot na FileVault EFI / iBoot unlock screen.

Hakbang 1: Alisin ang #1 na sanhi ng biglaang pag-lock ng FileVault (Pre-boot na layout ng keyboard at mga panlabas na keyboard)¶

Bago ipagpalagay na sinira ang iyong password o magsimula ng pag-reset, tingnan ang tatlong pre-boot quirks na ito na nagiging sanhi ng pag-alog at pagtanggi ng mga wastong password sa screen ng boot ng FileVault:

1. Pre-boot Keyboard Input Menu Switch: Gumagamit ang pre-boot na FileVault screen ng isang stripped-down na firmware na keyboard driver na madalas na nagde-default sa U.S. QWERTY (o ABC) kahit na na-type mo ang iyong password gamit ang layout ng UK, German (QWERTZ), French (AZERTY), o Dvorak sa loob ng macOS. Tumingin sa kanang sulok sa itaas ng screen sa pag-login ng FileVault, i-click ang Keyboard Input menu icon, at piliin ang iyong eksaktong layout ng keyboard.
2. Bluetooth Keyboard Timing at Num Lock: Ang mga third-party na Bluetooth keyboard ay kadalasang nahuhulog ang kanilang unang dalawang keystroke habang nagigising sa pre-boot screen, o walang mga indicator ng estado ng Num Lock. Direktang magsaksak ng wired USB keyboard sa Mac (o gamitin ang built-in na MacBook keyboard) at dahan-dahang mag-type.
3. Maraming Admin User sa Parehong Mac: Sa FileVault, ang bawat awtorisadong macOS user account ay may sariling independiyenteng cryptographic token sa APFS Key Bag (diskutil apfs listCryptoUsers /). Kung nanginginig at nabigo ang iyong account, i-click ang ** isa pang icon ng user ng Administrator** sa screen ng FileVault at mag-log in gamit ang kanilang password. Kapag nasa loob na ng macOS, maaaring i-reset ng admin na iyon ang iyong password sa System Settings > Users & Groups.

Hakbang 2: Pag-unlock ng FileVault sa pamamagitan ng Apple Account (iCloud) o 24-Character Personal Recovery Key¶

Kung nabigo pa rin ang iyong password sa screen ng pag-login ng FileVault:

1. Hintayin ang Recovery Prompt: Pagkatapos mag-type ng maling password ng tatlong beses sa FileVault login screen, ipinapakita ng macOS ang mga opsyon para i-reset gamit ang iyong Apple Account o ilagay ang iyong Recovery Key.
2. O direktang mag-boot sa macOS Recovery (Recovery Assistant):
3. Apple Silicon Macs (M1/M2/M3/M4): I-shut down nang buo, pagkatapos ay pindutin nang matagal ang Power (Touch ID) button sa loob ng 10 segundo hanggang "Naglo-load ng mga startup option...", i-click ang Options, at i-click ang Continue.
4. Intel Macs: I-on ang Mac at hawakan Command (⌘) + R hanggang lumitaw ang logo ng Apple.
5. ** Sa loob ng Reset Password window ng Recovery Assistant**:
6. Kumonekta sa Wi-Fi sa kanang sulok sa itaas ng screen o isaksak ang Ethernet.
7. Pagpipilian A (Apple Account Escrow): Kung pinagana mo ang iCloud recovery, piliin ang Nakalimutan ang lahat ng password? -> Mag-sign in gamit ang Apple Account. Ilagay ang iyong Apple Account email, password, at 6-digit na 2FA code (kung nawala mo ang iyong telepono, tingnan ang aming MFA lockout at pagbawi ng authenticator gabay) upang i-unlock ang dami ng APFS at magtakda ng bagong password.
8. Pagpipilian B (24-Character Personal Recovery Key): Piliin ang Enter FileVault Recovery Key at i-type ang iyong 24-character na alphanumeric code (XXXX-XXXX-XXXX-XXXX-XXXX-XXXX).
9. Pagpipilian C (Corporate / University MDM Escrow): Kung ang iyong Mac ay pinamamahalaan sa pamamagitan ng Jamf Pro, Kandji, Mosyle, o Microsoft Intune, tawagan ang iyong IT Help Desk kasama ang serial number ng iyong Mac upang mabasa nila sa iyo ang naka-escrow na 24-character na FileVault Recovery Key.

Hakbang 3: Manu-manong pag-unlock ng isang FileVault APFS volume mula sa Terminal (diskutil apfs unlockVolume)¶

Kung nabigo ang graphical Recovery Assistant na i-mount ang iyong drive, buksan ang Utilities -> Terminal sa loob ng macOS Recovery at manu-manong i-unlock ang volume ng APFS:

# 1. List all APFS containers and encrypted volumes to find the Volume Identifier (e.g., disk3s5)
diskutil apfs list

# 2. List all cryptographic users (UUIDs) authorized to unlock that APFS volume
diskutil apfs listCryptoUsers /dev/disk3s5

# 3. Unlock the APFS volume using either your user password OR your 24-character Recovery Key:
diskutil apfs unlockVolume /dev/disk3s5 -passphrase "YOUR-XXXX-XXXX-XXXX-XXXX-XXXX-KEY"

# 4. Copy critical files from '/Volumes/Macintosh HD - Data' to an external USB drive:
cp -Rv "/Volumes/Macintosh HD - Data/Users/yourusername/Documents" "/Volumes/ExternalUSB/Backup/"

Bahagi 3: Paglutas ng Linux LUKS (dm-crypt / cryptsetup) encryption lockout¶

Ang mga pamamahagi ng Linux (Ubuntu, Fedora, Debian, Arch Linux, Red Hat Enterprise Linux, Pop._OS, at Qubes OS) ay umaasa sa LUKS (Linux Unified Key Setup), karaniwang LUKS2, na pinamamahalaan ng cryptsetup at dm-crypt. Kapag ang isang Linux machine ay bumaba sa isang (initramfs) o dracut shell na sinasabi cryptsetup failed, bad password or options, sundin ang apat na hakbang na ito:

Hakbang 1: Suriin ang console keymap kumpara sa graphical na layout ng keyboard¶

Sa panahon ng pre-boot initramfs phase, ginagamit ng system ang Linux console keymap (/etc/vconsole.conf), na kadalasang nagde-default sa us kahit na nag-configure ka ng layout ng UK, German, French, o custom na programmer sa loob ng GNOME o KDE. Mag-boot ng Linux Live USB, magbukas ng graphical terminal kung saan makikita mo ang iyong passphrase sa isang text editor upang i-verify ang bawat character, at i-unlock ang drive mula sa Live USB:

lsblk -f
sudo cryptsetup luksOpen /dev/nvme0n1p3 my_encrypted_root

Hakbang 2: Siyasatin ang header ng LUKS at suriin ang mga pangalawang keyslot (cryptsetup luksDump)¶

Sumusuporta ang LUKS1 ng 8 independiyenteng Keyslot (0 hanggang 7) at Sumusuporta ang LUKS2 ng hanggang 32 Keyslot (0 hanggang 31), kasama ang hardware Mga Token (systemd-tpm2 o systemd-fido2). Suriin ang iyong header nang hindi binabago ang anumang bagay sa disk:

sudo cryptsetup luksDump /dev/nvme0n1p3

sudo systemd-cryptenroll --wipe-slot=tpm2 --tpm2-device=auto --tpm2-pcrs=7 /dev/nvme0n1p3

Hakbang 3: Pagbawi mula sa isang sira o na-overwrite na LUKS2 header¶

Sa LUKS, lahat ng keyslot ay nakatira sa unang 2 megabytes (LUKS1) o 16 megabytes (LUKS2) ng partition. Kung cryptsetup luksDump sabi ni not a valid LUKS device, gawin ang mga hakbang na ito:

1. Larawan ang unang 32 MB bago pindutin ang anuman:

   sudo dd if=/dev/nvme0n1p3 of=~/damaged_luks_first32mb.img bs=1M count=32 status=progress
   

2. Subukan ang awtomatikong LUKS2 pangalawang JSON metadata repair (cryptsetup repair):
3. Ang LUKS2 ay nag-iimbak ng dalawang kalabisan na kopya ng binary at JSON header metadata sa offset 0x0000 at offset 0x4000 (16 KB). Kung ang pangunahing kopya lamang sa byte 0 ay na-clobber, sudo cryptsetup repair /dev/nvme0n1p3 muling itinatayo ito mula sa 0x4000.
4. Ibalik mula sa isang naka-save na LUKS Header Backup (luksHeaderRestore):
5. I-unlock nang hindi mapanirang gamit ang isang panlabas na header backup file:

   sudo cryptsetup luksOpen --header /path/to/luks-header.bak /dev/nvme0n1p3 rescued_volume
   

Hakbang 4: Pagsubok ng bahagyang natatandaang mga passphrase gamit ang hashcat¶

Bagama't hindi mo maaaring pilitin ang isang random na 48-digit na BitLocker Recovery Key o 24-character na Apple Recovery Key (\(2^{128}\) bits ng entropy), maaari mong subukan ang mga variation ng pinili ng tao na LUKS passphrase o BitLocker custom user password kung naaalala mo ang mga batayang salita:

# For Linux LUKS2 (mode 29500) or LUKS1 (mode 14600):
sudo dd if=/dev/nvme0n1p3 of=luks_header.bin bs=1M count=16
hashcat -m 29500 luks_header.bin my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

# For BitLocker protected by a custom User Password (mode 22100):
bitlocker2john -i /dev/nvme0n1p3 | grep "\$bitlocker\$0\$" > user_pass.hash
hashcat -m 22100 user_pass.hash my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

Pag-iwas: Paano bumuo ng lockout-proof na disk encryption backup sa ngayon¶

Sa sandaling mabawi mo ang access sa iyong computer (o sa bawat iba pang computer na pagmamay-ari mo ngayon), gumugol ng limang minuto sa pagpapatupad ng mga utos na ito upang ang isang pagkabigo sa motherboard o pag-update ng firmware ay hindi na muling ma-trap ang iyong mga file:

1. Sa Windows (I-export ang iyong BitLocker Recovery Key at i-pause bago mag-update ng BIOS)¶

Magbukas ng Administrator PowerShell o Command Prompt at i-export ang iyong kasalukuyang 48-digit na password sa pagbawi:

# Display all BitLocker recovery keys and Key IDs across all drives
Get-BitLockerVolume | Select-Object MountPoint, VolumeStatus, -ExpandProperty KeyProtector |
  Where-Object { $_.KeyProtectorType -eq 'RecoveryPassword' } |
  Select-Object MountPoint, KeyProtectorId, RecoveryPassword

2. Sa macOS (I-verify o i-rotate ang iyong FileVault Recovery Key)¶

Buksan ang Terminal at tingnan kung sino ang awtorisadong mag-unlock ng iyong APFS startup disk:

sudo fdesetup status
diskutil apfs listCryptoUsers /

sudo fdesetup changerecovery -personal

3. Sa Linux (I-back up ang iyong LUKS header at mag-enroll ng fallback Keyslot)¶

Palaging magtabi ng kopya ng iyong 16-megabyte na LUKS header sa isang external na USB thumb drive at mag-enroll ng naka-print na 64-character recovery passphrase sa Keyslot 1:

# 1. Back up the binary LUKS header to an external USB drive
sudo cryptsetup luksHeaderBackup /dev/nvme0n1p3 --header-backup-file /media/usb/luks-header-nvme0n1p3.bak

# 2. Add an independent emergency recovery passphrase into Keyslot 1
sudo cryptsetup luksAddKey --key-slot 1 /dev/nvme0n1p3

Checklist ng kahandaang pang-emergency sa pag-encrypt¶

• I-export ang iyong 48-digit na BitLocker Recovery Key (kabilang ang 8-character nito Key ID) at iimbak ito sa loob ng iyong tagapamahala ng password at naka-print sa papel sa loob ng fireproof safe na hindi bababa sa 1.5 metro (5 talampakan) sa itaas ng antas ng sahig.
• I-print o i-save ang iyong 24-character na macOS FileVault Recovery Key kasama ng iyong Apple Account na 28-character na recovery key.
• I-back up ang iyong 16-megabyte Linux LUKS header (cryptsetup luksHeaderBackup) sa isang offline na USB drive upang hindi masira ng hindi sinasadyang pag-overwrite ng partition ang lahat ng mga keyslot.
• Panatilihin ang isang independyente, awtomatiko 3-2-1 backup ng computer upang kahit na ang isang sakuna na SSD controller death o nakalimutang encryption key ay hindi kailanman sisira sa iyong mga hindi mapapalitang larawan, mga dokumento sa buwis, o source code.

Mga madalas itanong¶

Mga kaugnay na gabay¶

• Windows Blue Screen (BSOD) at pag-aayos ng boot
• macOS kernel panic, black screen, at recovery
• Nabigo ang boot ng system ng Linux at pagkumpuni ng GRUB
• Lockout ng password manager at pagbawi ng emergency vault
• Pagkabigo ng hard drive at pagbawi ng data
• Mga backup ng computer: 3-2-1 na diskarte at pagbawi sa sakuna
• Direktoryo ng mga numero ng emergency

Sinuri ang mga pinagmulan¶

• National Institute of Standards and Technology (NIST) (United States): NIST Special Publication 800-111: Gabay sa Storage Encryption Technologies para sa End User Devices at FIPS 197 (AES-XTS).
• Microsoft Learn Official Documentation: BitLocker Recovery Overview, TPM Platform Configuration Registers (PCR 0-11) Validation Profile, at manage-bde Sanggunian sa Command-Line.
• Gabay sa Seguridad ng Apple Platform: Volume Encryption na may FileVault, APFS Key Bags, Secure Enclave Hardware Root of Trust, at Institutional/Personal Recovery Key Escrow. -Trusted Computing Group (TCG) (International): TPM 2.0 Library Specification at PC Client Platform Firmware Profile Specification.
• GitLab Cryptsetup / LUKS2 Opisyal na Detalye: LUKS2 On-Disk Format Specification, Argon2id PBKDF Memory-Hard Keyslots, at Header Backup/Repair Procedures.