Блокування ключа відновлення шифрування диска BitLocker, FileVault і LUKS¶

Ви бачите синій екран BitLocker Recovery у Windows, заблокований запит на вхід у FileVault у macOS або не відповідає cryptsetup Підказка парольної фрази на робочій станції Linux може зупинити вашу роботу та особисте життя. Повнодискове шифрування (FDE) використовує симетричні шифри військового класу, як правило, AES-128 або AES-256 у режимі XTS, щоб зашифрувати кожен сектор вашого твердотільного накопичувача (SSD) або жорсткого диска (HDD). Без криптографічного головного ключа томів (VMK) або дійсного засобу захисту шифрування необроблені дані на флеш-пам’яті NAND математично неможливо відрізнити від випадкового шуму.

Однак раптова поява ключа відновлення рідко означає, що ваш диск пошкоджено або ваш ключ зник назавжди. Більшість блокувань BitLocker і FileVault запускаються автоматично, коли звичайне оновлення мікропрограми BIOS/UEFI, зміна док-станції Thunderbolt, перемикач Secure Boot або розряджена батарея CMOS типу «таблетка» змінює регістри конфігурації платформи (PCR) у Trusted Platform Module (TPM 2.0) вашої материнської плати. Навіть якщо ви ніколи не записували ключ відновлення, ви часто можете обійти підказку, повернувши точні налаштування мікропрограми UEFI, які спрацювали вимірювання TPM, або знайшовши безшумну автоматичну резервну копію вашого ключа в особистому обліковому записі Microsoft, робочому чи навчальному каталозі Microsoft Entra ID, брелоку Apple iCloud або немонтованій тіньовій копії тома.

Зробіть це зараз¶

1. ЗУПИНІТЬСЯ, перш ніж натиснути «Скинути цей ПК», «Очистити Mac» або відформатувати розділ. Перевстановлення Windows, macOS або Linux через зашифрований розділ перезаписує заголовок криптографічного тому (блоки метаданих BitLocker, суперблок контейнера APFS або заголовок LUKS2 JSON). Після того, як цей маленький заголовок метаданих буде перезаписано, навіть якщо завтра ви знайдете дійсний 48-значний ключ відновлення, ваші файли більше не будуть розшифровуватися.
2. Від’єднайте всі зовнішні USB-накопичувачі, SD-карти, док-станції Thunderbolt, адаптери HDMI та ігрові контролери, а потім перезавантажтеся. У системах Windows із використанням регістрів конфігурації платформи TPM 2.0 (зокрема PCR 0, PCR 2, PCR 4 і PCR 7), завантаження із завантажувального флеш-накопичувача USB, щойно підключеної док-станції Thunderbolt із мікропрограмою Option ROM або концентратор зовнішнього монітора може змінити хеш-вимірювання перед завантаженням. Часте від’єднання всіх периферійних пристроїв і холодне перезавантаження дозволяє модулю TPM звільнити головний ключ гучності, не потребуючи 48-значного коду.
3. Перевірте кожен обліковий запис Microsoft, Apple або корпоративний обліковий запис, який ви коли-небудь використовували на додатковому телефоні чи ноутбуці. Не припускайте, що ви знаєте, який обліковий запис електронної пошти був активним, коли ноутбук вперше розпаковували. У Windows перевірте account.microsoft.com/devices/recoverykey у ваших особистих облікових записах Outlook/Hotmail/Live та перевірте aka.ms/myrecoverykey у будь-якому робочому, університетському чи клієнтському обліковому записі Microsoft 365 (Entra ID), у який ви входили в Microsoft Word, Teams або налаштування Windows.
4. Збігайтеся з першими 8 символами «Ідентифікатора ключа», який відображається на заблокованому екрані. На екрані відновлення Windows BitLocker відображається 32-символьний Ідентифікатор ключа (або перші 8 шістнадцяткових символів, як-от A1B2C3D4). Якщо у вашому обліковому записі Microsoft або на старих комп’ютерах зберігається кілька ключів, лише 48-значний пароль відновлення, ідентифікатор ключа якого збігається з цими 8 символами, розблокує цей конкретний том диска.
5. Поверніть будь-які нещодавні зміни BIOS/UEFI, внесені безпосередньо перед блокуванням. Якщо екран BitLocker з’явився одразу після входу в налаштування BIOS, щоб вимкнути Безпечне завантаження, увімкнути CSM (модуль підтримки сумісності), змінити Intel PTT / AMD fTPM або ввімкнути Зміни порядку завантаження, перезавантажте BIOS (F2, F12, або Del) і встановіть ці перемикачі назад у їхній попередній стан. Щойно PCR 7 і PCR 0 збігаються з оригінальним криптографічним хешем, TPM автоматично розпечатає ключ.
6. Надайте пріоритет фізичній безпеці, якщо блокування відбувається під час надзвичайної ситуації або побутової кризи. Якщо ви намагаєтеся отримати медичні записи, фінансові документи чи плани евакуації під час кризи, пам’ятайте, що зашифровані диски зберігають дані необмежений час, коли живлення вимкнено. Якщо ви зіткнулися з безпосередньою фізичною загрозою, залиште обладнання та зателефонуйте на місцевий номер екстреної служби (911 у Сполучених Штатах і Канаді, 112 у всьому Європейському Союзі, 999 у Сполученому Королівстві або зверніться до нашого номери екстрених служб каталог).

Сортування блокування шифрування диска та дерево рішень щодо відновлення¶

flowchart TD
    Start["Заблокований із зашифрованого диска: запит BitLocker, FileVault або LUKS"] --> WhichOS{"Яка операційна система та механізм шифрування?"}

    WhichOS -->|"Windows: 48-значний екран відновлення BitLocker"| PeriphCheck["Крок 1. Від’єднайте всі USB-накопичувачі, док-станції Thunderbolt і зовнішні монітори; холодна перезавантаження"]
    PeriphCheck --> StillLocked{"Усе ще запитуєте 48-значний ключ?"}
    StillLocked -->|"Ні: завантажується нормально"| BackupNow["Негайно запустіть 'manage-bde -protectors -get C:' і збережіть 48-значний ключ у автономному режимі"]
    StillLocked -->|"так"| BIOSCheck{"Ви щойно змінили BIOS, Secure Boot, CSM або оновили мікропрограму?"}

    BIOSCheck -->|"так"| RevertBIOS["Увійдіть у налаштування UEFI: повторно ввімкніть Secure Boot, UEFI Boot Mode та Intel PTT / AMD fTPM, щоб відновити хеш PCR 7"]
    BIOSCheck -->|"немає"| HuntKey["Крок 2: Зіставте 8-символьний ідентифікатор ключа для ВСІХ особистих облікових записів Microsoft, робочого/шкільного ідентифікатора Entra, Active Directory і файлів USB .BEK/.TXT"]
    RevertBIOS --> HuntKey

    WhichOS -->|"macOS: вхід у FileVault відхиляє пароль"| ApplePath{"Apple Silicon/T2 Mac проти Intel Mac?"}
    ApplePath -->|"Усі Mac"| TestLayout["Крок 1. Перевірте меню введення у верхньому правому куті екрана FileVault на наявність невідповідності розкладки клавіатури"]
    TestLayout --> FVMethod{"Який метод відновлення було ввімкнено?"}
    FVMethod -->|"Депонування облікового запису iCloud"| BootRecovery["Завантажте macOS Recovery: автентифікуйте обліковий запис Apple за допомогою Recovery Assistant, щоб скинути пароль"]
    FVMethod -->|"24-символьний персональний ключ відновлення (PRK) або MDM"| EnterPRK["Введіть ключ XXXX-XXXX-XXXX-XXXX-XXXX-XXXX у програмі Recovery Assistant або попросіть Institutional Escrow Key у IT-служби"]

    WhichOS -->|"Linux: пароль LUKS / cryptsetup відхилено"| LUKSPath["Крок 1: перейдіть до оболонки initramfs або завантажте Live USB; перевірити розкладку клавіатури в консолі"]
    LUKSPath --> LUKSHeader{"Чи цілі слоти ключів у 'cryptsetup luksDump'?"}
    LUKSHeader -->|"Так: слот для ключів активний"| TestPass["Перевірте вторинні слоти ключів (слоти 1-7), маркер FIDO2/TPM2 або запустіть режим hashcat 29500 із резервною копією заголовка"]
    LUKSHeader -->|"Ні: заголовок пошкоджений"| RestoreHeader["Відновіть заголовок LUKS із '--header-backup-file' або проскануйте диск на наявність метаданих"]

Розуміння шифрування повного диска та запечатування TPM 2.0¶

Ані Windows BitLocker, Apple FileVault 2, ані Linux dm-crypt / LUKS шифрує ваш SSD безпосередньо за допомогою вашого пароля або ключа відновлення. Натомість усі три платформи використовують дворівневу ієрархію ключів:

1. Головний ключ тома (VMK)/ключ шифрування повного тома (FVEK): апаратний випадковий ключ (128-біт, 256-біт або 512-біт) шифрує та розшифровує фактичні сектори диска на льоту.
2. Захисти ключів/слоти для ключів (KEK): головний ключ томів містить незалежні ключі шифрування ключів (KEK), які називаються захистами ключів у BitLocker, сумками для ключів в Apple APFS і слотами для ключів у Linux LUKS.
3. Чому герметизація TPM 2.0 блокує вас у Windows: у Windows 10 і 11 основним захисником ключа є чіп Trusted Platform Module (TPM 2.0) (дискретний кремнієвий процесор або мікропрограма Intel PTT / AMD fTPM). Коли BitLocker запечатує головний ключ тома в TPM, він прив’язує ключ до певних реєстрів конфігурації платформи (PCR):
4. PCR 0: хешує основну мікропрограму системи UEFI/BIOS.
5. PCR 2: хешує зовнішній ПЗУ-код додаткового апаратного забезпечення (док-станції Thunderbolt, карти RAID, зовнішні графічні процесори).
6. PCR 4: хешує менеджер завантаження (bootmgfw.efi) і стан порядку завантаження.
7. PCR 7: Хешує політику Secure Boot і UEFI db / dbx бази даних сертифікатів.
8. PCR 11: хешує компоненти керування доступом BitLocker.

Щоразу, коли ви натискаєте кнопку живлення, материнська плата вимірює ці компоненти мікропрограми перед завантаженням Windows. Якщо будь-який окремий біт у PCR 0, PCR 2, PCR 4 або PCR 7 відрізняється від значення, записаного під час запечатування BitLocker, TPM відмовляється вивільнити головний ключ томів і змушує диспетчер завантаження Windows відобразити екран 48-значного ключа відновлення BitLocker.

Порівняння архітектур повного дискового шифрування та механізмів відновлення¶

Частина 1. Усунення блокувань відновлення Windows BitLocker¶

Коли ваш ПК з Windows зупиняється на "BitLocker: введіть ключ відновлення для цього диска" (або середовище відновлення Windows запитує ключ, перш ніж дозволити доступ до командного рядка чи безпечного режиму), попрацюйте за цими двома паралельними доріжками: Доріжка A намагається спонукати TPM розблокувати диск без необхідності ключа, а Доріжка B шукає 48-значний ключ у кожному цифровому та локальному сховищі.

Доріжка A: обхід підказки BitLocker без ключа відновлення (відновлення стану TPM PCR)¶

Якщо ви вручну не стерли TPM або не перемістили NVMe SSD на нову материнську плату, головний ключ гучності все ще знаходиться у вашому чіпі TPM 2.0. Він відмовляється розблокувати, оскільки вимірювання PCR перед завантаженням змінилося. Спробуйте ці неруйнівні відновлення апаратного та мікропрограмного забезпечення в такому порядку:

1. Від’єднайте все зовнішнє обладнання та док-станції:
2. Повністю вимкніть комп’ютер (утримуйте кнопку живлення протягом 10 секунд).
3. Від’єднайте всі USB-накопичувачі, зовнішні жорсткі диски, концентратори USB-C, док-станції Thunderbolt, SD-карти та кабелі зовнішнього монітора.
4. Від’єднайте зарядний пристрій змінного струму на 15 секунд, підключіть рідний зарядний пристрій безпосередньо до ноутбука та увімкніть його. Док-станції Thunderbolt і концентратори USB-C часто містять внутрішні ПЗУ для завантаження мережі PXE або опції відображення, які поширюються на PCR 2 і PCR 4, роблячи стан TPM недійсним.
5. Відновлення безпечного завантаження та режиму завантаження UEFI у налаштуваннях BIOS:
6. Перезавантажте та натисніть клавішу BIOS материнської плати (F2 на Dell/ASUS/Lenovo/Acer, F10 на HP, Del на настільних дошках).
7. Якщо Secure Boot нещодавно було змінено з Enabled на Disabled, поверніть його на Enabled (Standard Mode) і збережіть зміни. І навпаки, якщо оновлення BIOS перекинуло Secure Boot на Enabled, спробуйте один раз перемкнути його на Disabled.
8. Переконайтеся, що для режиму завантаження встановлено Лише UEFI (вимкніть Застарілий / CSM) і підтвердьте, що Диспетчер завантаження Windows є першим варіантом завантаження.
9. Перевірте, чи ввімкнено Intel PTT або AMD fTPM (ніколи не натискайте «Очистити TPM»):
10. Після розрядження батареї CMOS або скидання BIOS материнські плати іноді вимикають прошивку TPM (Intel Platform Trust Technology або AMD CPU fTPM). Перейдіть на вкладку Безпека або Надійні обчислення в BIOS і переконайтеся, що TPM 2.0 State має значення Увімкнено.
11. Попередження: ніколи не вибирайте "Clear TPM" або "Erase fTPM NV" у BIOS. Очищення TPM назавжди руйнує внутрішній кореневий ключ зберігання всередині кремнієвого чіпа, що робить 48-значний ключ відновлення обов’язковим.
12. Відкат капсульного оновлення BIOS з помилками:
13. На ноутбуках Dell утримуйте Ctrl + Esc під час підключення до мережі змінного струму, щоб запустити меню Dell BIOS Recovery і вибрати Відкотити BIOS. На ноутбуках HP утримуйте Win + B під час натискання кнопки живлення протягом 2 секунд, щоб запустити відкат HP Sure Start BIOS.

Трек B: Вичерпний пошук вашого 48-значного ключа відновлення BitLocker¶

Якщо TPM не можна відновити (або якщо ви перемістили SSD у зовнішній USB-корпус), ви повинні ввести 48-значний цифровий пароль відновлення (XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX) або a .BEK файл ключа запуску. Запишіть перші 8 символів ідентифікатора ключа, який відображається на екрані (наприклад, Key ID: 4F8A9C12) і перевірте ці шість місць:

1. Особисті облікові записи Microsoft (account.microsoft.com/devices/recoverykey)¶

Відвідайте https://account.microsoft.com/devices/recoverykey (або https://aka.ms/myrecoverykey) на телефоні або додатковому комп’ютері. - Перевірте кожен обліковий запис за історію: Device Encryption створює резервну копію ключа будь-якого облікового запису Microsoft, який використовувався вперше під час розпакування ПК, навіть якщо ви пізніше перейшли на локальний вхід. Увійдіть і перевірте все старе @hotmail.com, @live.com, @outlook.com, або пов’язані @gmail.com облікові записи, а також обліковий запис будь-якого подружжя, батька або технічного спеціаліста, який допомагав налаштувати ПК або ввійшов у Microsoft Office або Xbox Game Pass на цій машині.

2. Ідентифікатор входу на роботу, навчання або університет / Azure AD (myaccount.microsoft.com)¶

Навіть на особистому домашньому ноутбуці, якщо ви коли-небудь входили в програми Microsoft 365 (Word, Excel, Teams) за допомогою робочої, університетської чи клієнтської адреси електронної пошти та залишали прапорець «Дозволити моїй організації керувати моїм пристроєм», Windows автоматично депонувала ваш ключ відновлення BitLocker у клієнта Microsoft Entra ID цієї організації: 1. Відвідайте https://myaccount.microsoft.com/device-list і ввійдіть, використовуючи свою робочу або навчальну електронну адресу. 2. Виберіть ім’я свого комп’ютера та натисніть Переглянути ключі BitLocker. 3. Якщо ваш робочий або навчальний обліковий запис уже вимкнено, зателефонуйте в ІТ-довідкову службу цієї організації та повідомте їм свій 8-значний ідентифікатор ключа. Адміністратори можуть отримати ключі для деактивованих облікових записів у меню Пристрої > Усі пристрої > Ключі відновлення у entra.microsoft.com.

3. Локальний корпоративний каталог Active Directory (msFVE-RecoveryInformation)¶

Якщо комп’ютер було приєднано до домену Active Directory, адміністратор домену може знайти ключ за його 8-значним ідентифікатором ключа за допомогою PowerShell:

Get-ADObject -Filter {objectClass -eq 'msFVE-RecoveryInformation'} -Properties msFVE-RecoveryPassword, whenCreated |
  Where-Object { $_.Name -like "*4F8A9C12*" } | Select-Object Name, msFVE-RecoveryPassword, whenCreated

4. Автоматичні або ручні текстові файли на флеш-накопичувачах USB і хмарних дисках¶

Коли Windows зберігає ключ відновлення у файл або USB-накопичувач, вона називає файл BitLocker Recovery Key [GUID].txt або зберігає прихований .BEK файл (attrib +h +s). Запустіть цей пошук PowerShell на всіх USB-накопичувачах, зовнішніх жорстких дисках, OneDrive, Google Drive та папках Dropbox на іншому ПК:

Get-PSDrive -PSProvider FileSystem | ForEach-Object {
    Get-ChildItem -Path $_.Root -Include "*BitLocker*Recovery*Key*.txt", "*.bek" -Recurse -Force -ErrorAction SilentlyContinue
} | Select-Object FullName, LastWriteTime

5. Вилучення ключа для додаткового диска даних (D:) із розблокованого C: Перегородка¶

Якщо C: завантажується нормально і лише вторинний диск D: заблоковано, відкрийте вікно адміністратора PowerShell C: і бігти manage-bde -protectors -get D: щоб побачити, якщо C: все ще зберігає ключ реєстру автоматичного розблокування або перевірте попередні тіньові копії томів вашого Documents папку для видалення BitLocker Recovery Key *.txt файли.

6. Друк журналу спулера та роздруківок PDF/OneNote¶

Якщо ви натиснули "Надрукувати ключ відновлення" під час налаштування, перевірте Microsoft OneNote і виконайте пошук у Documents папка для .pdf або .xps файли, створені за допомогою «Microsoft Print to PDF».

Доріжка C: розблокування та дешифрування диска BitLocker із командного рядка WinRE (manage-bde)¶

Якщо введення 48-значного пароля відновлення на синьому екрані повертає BitLocker під час наступного перезавантаження або аварійно завершує роботу Windows, розблокуйте та призупиніть BitLocker із командного рядка Середовища відновлення Windows (WinRE):

1. Натисніть Esc на екрані BitLocker, а потім натисніть Пропустити цей диск -> Виправлення неполадок -> Додаткові параметри -> Командний рядок.
2. Перевірте стан і розблокуйте том ОС (C:):

   manage-bde -status
   manage-bde -unlock C: -RecoveryPassword 123456-123456-123456-123456-123456-123456-123456-123456
   

   (Або розблокуйте за допомогою двійкового файлу .BEK файл на USB-накопичувачі, зіставлений як F: через manage-bde -unlock C: -RecoveryKey "F:\key.BEK").
3. Призупинити захисники, щоб запит не повертався під час наступного перезавантаження:

   manage-bde -protectors -disable C:
   

   Перезавантажте Windows, а потім запустіть manage-bde -protectors -enable C: у командному рядку з підвищеними правами, щоб повторно запечатати головний ключ тома щодо нових хешів UEFI PCR.
4. Якщо Windows не може завантажитися, скопіюйте файли або повністю розшифруйте:

   robocopy C:\Users\YourUsername F:\RescueBackup /E /ZB /R:1 /W:1 /XJ
   manage-bde -off C:
   

Доріжка D: Встановлення BitLocker SSD в Linux (dislocker / cryptsetup) для відновлення файлів¶

Якщо ваша материнська плата Windows вийшла з ладу, помістіть M.2 NVMe або SSD SSD у зовнішній корпус USB-C (розміром приблизно 10 сантиметрів на 3 сантиметри або 4 дюйми на 1,2 дюйма) і розблокуйте його на будь-якому ПК з Linux або Ubuntu Live USB:

# Method 1: Modern cryptsetup (v2.3+ natively supports BITLOCKER volumes)
sudo cryptsetup open --type bitlocker /dev/nvme0n1p3 bitlocker_unlocked
# Type the 48-digit recovery key INCLUDING hyphens when prompted
sudo mkdir -p /mnt/windows_data
sudo mount -t ntfs3 -o ro /dev/mapper/bitlocker_unlocked /mnt/windows_data

# Method 2: Using dislocker
sudo apt update && sudo apt install -y dislocker ntfs-3g
sudo mkdir -p /mnt/dislocker_raw /mnt/windows_rescue
sudo dislocker -V /dev/nvme0n1p3 -p123456-123456-123456-123456-123456-123456-123456-123456 -- /mnt/dislocker_raw
sudo mount -t ntfs-3g -o loop,ro /mnt/dislocker_raw/dislocker-file /mnt/windows_rescue

Частина 2: Усунення блокувань Apple macOS FileVault 2 і Secure Enclave¶

У macOS (від High Sierra до macOS Sequoia та новіших) FileVault 2 шифрує весь том APFS (файлова система Apple). На комп’ютерах Mac із Apple Silicon (M1, M2, M3, M4) або Apple T2 Security Chip том фактично завжди шифрується в стані спокою за допомогою апаратних ключів у Secure Enclave Processor (SEP). Якщо ввімкнути FileVault, цей апаратний ключ шифрування томів (VEK) заповнюється ключем шифрування ключа (KEK), отриманим із вашого пароля для входу в macOS і ключа відновлення FileVault.

Оскільки FileVault вимагає розшифровки тому APFS перед завантаженням macOS з диска, перший екран, який ви бачите, коли вмикаєте Mac із підтримкою FileVault, , це не звичайне вікно входу macOS, а екран розблокування FileVault EFI / iBoot перед завантаженням.

Крок 1. Виключіть причину №1 раптового блокування FileVault (розкладка клавіатури перед завантаженням і зовнішні клавіатури)¶

Перш ніж припустити, що ваш пароль зламано, або розпочати скидання, перевірте ці три особливості перед завантаженням, які спричиняють хитання та відхилення дійсних паролів на екрані завантаження FileVault:

1. Перемикач меню введення з клавіатури перед завантаженням: на екрані FileVault перед завантаженням використовується скорочений драйвер клавіатури мікропрограми, який часто за замовчуванням має значення U.S. QWERTY (або ABC), навіть якщо ви ввели свій пароль за допомогою англійської, німецької (QWERTZ), французької (AZERTY) або розкладки Dvorak у macOS. Подивіться на правий верхній кут екрана входу в FileVault, клацніть піктограму меню введення з клавіатури та виберіть точну розкладку клавіатури.
2. Час клавіатури Bluetooth і Num Lock: Bluetooth-клавіатури сторонніх виробників часто пропускають перші два натискання клавіш під час пробудження на екрані перед завантаженням або не мають індикаторів стану Num Lock. Підключіть дротову USB-клавіатуру безпосередньо до Mac (або скористайтеся вбудованою клавіатурою MacBook) і повільно друкуйте.
3. Кілька користувачів-адміністраторів на одному Mac: у FileVault кожен авторизований обліковий запис користувача macOS має власний незалежний криптографічний маркер у сумці з ключами APFS (diskutil apfs listCryptoUsers /). Якщо ваш обліковий запис трясеться та не працює, клацніть ** іншу піктограму адміністратора** на екрані FileVault і увійдіть, використовуючи його пароль. Увійшовши в macOS, цей адміністратор може скинути ваш пароль у Параметри системи > Користувачі та групи.

Крок 2. Розблокування FileVault через обліковий запис Apple (iCloud) або 24-символьний персональний ключ відновлення¶

Якщо ваш пароль все ще не вдається на екрані входу в FileVault:

1. Дочекайтеся запиту відновлення: після тричі введення неправильного пароля на екрані входу в FileVault macOS відображає параметри скидання за допомогою облікового запису Apple або введення ключа відновлення.
2. Або завантажтеся безпосередньо в macOS Recovery (Recovery Assistant):
3. Apple Silicon Mac (M1/M2/M3/M4): повністю вимкніть, потім натисніть і утримуйте кнопку живлення (Touch ID) протягом 10 секунд, доки не з’явиться "Завантаження параметрів запуску...", натисніть Параметри, а потім натисніть Продовжити.
4. Intel Macs: увімкніть Mac і утримуйте Command (⌘) + R доки не з’явиться логотип Apple.
5. Всередині Reset Password Вікно помічника відновлення:
6. Підключіться до Wi-Fi у верхньому правому куті екрана або підключіть Ethernet.
7. Варіант A (депонування облікового запису Apple): якщо ви ввімкнули відновлення iCloud, виберіть Забули всі паролі? -> Увійдіть за допомогою облікового запису Apple. Введіть електронну адресу свого облікового запису Apple, пароль і 6-значний код 2FA (якщо ви загубили телефон, див Блокування MFA та відновлення автентифікатора посібник), щоб розблокувати том APFS і встановити новий пароль.
8. Варіант B (24-значний персональний ключ відновлення): виберіть Введіть ключ відновлення FileVault і введіть свій 24-значний буквено-цифровий код (XXXX-XXXX-XXXX-XXXX-XXXX-XXXX).
9. Варіант C (корпоративне/університетське депонування MDM): якщо вашим Mac керується через Jamf Pro, Kandji, Mosyle або Microsoft Intune, зателефонуйте в службу підтримки ІТ і повідомте серійний номер свого Mac, щоб вони могли прочитати вам депонований 24-символьний ключ відновлення FileVault.

Крок 3. Розблокування тому FileVault APFS вручну з терміналу (diskutil apfs unlockVolume)¶

Якщо графічному помічнику відновлення не вдається підключити диск, відкрийте Утиліти -> Термінал у macOS Recovery і розблокуйте том APFS вручну:

# 1. List all APFS containers and encrypted volumes to find the Volume Identifier (e.g., disk3s5)
diskutil apfs list

# 2. List all cryptographic users (UUIDs) authorized to unlock that APFS volume
diskutil apfs listCryptoUsers /dev/disk3s5

# 3. Unlock the APFS volume using either your user password OR your 24-character Recovery Key:
diskutil apfs unlockVolume /dev/disk3s5 -passphrase "YOUR-XXXX-XXXX-XXXX-XXXX-XXXX-KEY"

# 4. Copy critical files from '/Volumes/Macintosh HD - Data' to an external USB drive:
cp -Rv "/Volumes/Macintosh HD - Data/Users/yourusername/Documents" "/Volumes/ExternalUSB/Backup/"

Частина 3: Вирішення LUKS Linux (dm-crypt / cryptsetup) блокування шифрування¶

Дистрибутиви Linux (Ubuntu, Fedora, Debian, Arch Linux, Red Hat Enterprise Linux, Pop._OS і Qubes OS) покладаються на LUKS (Linux Unified Key Setup), зазвичай LUKS2, яким керує cryptsetup і dm-crypt. Коли машина Linux потрапляє в (initramfs) або dracut черепашка каже cryptsetup failed, bad password or options, виконайте ці чотири кроки:

Крок 1. Перевірте розкладку клавіш консолі та графічну розкладку клавіатури¶

Під час попереднього завантаження initramfs система використовує розкладку клавіш консолі Linux (/etc/vconsole.conf), який часто за замовчуванням us навіть якщо ви налаштували британську, німецьку, французьку або спеціальну розкладку програміста в GNOME або KDE. Завантажте Linux Live USB, відкрийте графічний термінал, де ви можете видимо ввести свою парольну фразу в текстовому редакторі, щоб перевірити кожен символ, і розблокуйте диск з Live USB:

lsblk -f
sudo cryptsetup luksOpen /dev/nvme0n1p3 my_encrypted_root

Крок 2. Огляньте заголовок LUKS і перевірте вторинні слоти для ключів (cryptsetup luksDump)¶

LUKS1 підтримує 8 незалежних слотів для ключів (від 0 до 7), а LUKS2 підтримує до 32 слотів для ключів (від 0 до 31), а також апаратні токени (systemd-tpm2 або systemd-fido2). Перевірте свій заголовок, не змінюючи нічого на диску:

sudo cryptsetup luksDump /dev/nvme0n1p3

sudo systemd-cryptenroll --wipe-slot=tpm2 --tpm2-device=auto --tpm2-pcrs=7 /dev/nvme0n1p3

Крок 3: Відновлення після пошкодженого або перезаписаного заголовка LUKS2¶

У LUKS усі слоти ключів знаходяться в перших 2 мегабайтах (LUKS1) або 16 мегабайтах (LUKS2) розділу. Якщо cryptsetup luksDump каже not a valid LUKS device, виконайте такі дії:

1. Зробіть перші 32 МБ зображення, перш ніж торкатися чогось:

   sudo dd if=/dev/nvme0n1p3 of=~/damaged_luks_first32mb.img bs=1M count=32 status=progress
   

2. Спроба автоматичного відновлення вторинних метаданих JSON LUKS2 (cryptsetup repair):
3. LUKS2 зберігає дві надлишкові копії бінарних метаданих і метаданих заголовка JSON зі зміщенням 0x0000 і зсув 0x4000 (16 КБ). Якщо лише первинна копія в байті 0 була стерта, sudo cryptsetup repair /dev/nvme0n1p3 реконструює його з 0x4000.
4. Відновити зі збереженої резервної копії заголовка LUKS (luksHeaderRestore):
5. Розблокуйте без руйнування за допомогою зовнішнього файлу резервної копії заголовка:

   sudo cryptsetup luksOpen --header /path/to/luks-header.bak /dev/nvme0n1p3 rescued_volume
   

Крок 4. Перевірте частково запам’ятовані парольні фрази за допомогою hashcat¶

Хоча ви не можете застосувати підбір до випадкового 48-значного ключа відновлення BitLocker або 24-значного ключа відновлення Apple (\(2^{128}\) бітів ентропії), ви можете перевірити варіанти вибраної людиною фрази-паролю LUKS або спеціального пароля користувача BitLocker, якщо ви пам’ятаєте основні слова:

# For Linux LUKS2 (mode 29500) or LUKS1 (mode 14600):
sudo dd if=/dev/nvme0n1p3 of=luks_header.bin bs=1M count=16
hashcat -m 29500 luks_header.bin my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

# For BitLocker protected by a custom User Password (mode 22100):
bitlocker2john -i /dev/nvme0n1p3 | grep "\$bitlocker\$0\$" > user_pass.hash
hashcat -m 22100 user_pass.hash my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

Профілактика: як прямо зараз створити резервну копію диска із захищеним від блокування шифруванням¶

У той момент, коли ви відновите доступ до свого комп’ютера (або до будь-якого іншого комп’ютера, яким ви володієте сьогодні), витратите п’ять хвилин на виконання цих команд, щоб збій материнської плати або оновлення мікропрограми більше ніколи не захопили ваші файли:

1. У Windows (Експортуйте свій ключ відновлення BitLocker і призупиніть перед оновленням BIOS)¶

Відкрийте Administrator PowerShell або Command Prompt і експортуйте поточний 48-значний пароль для відновлення:

# Display all BitLocker recovery keys and Key IDs across all drives
Get-BitLockerVolume | Select-Object MountPoint, VolumeStatus, -ExpandProperty KeyProtector |
  Where-Object { $_.KeyProtectorType -eq 'RecoveryPassword' } |
  Select-Object MountPoint, KeyProtectorId, RecoveryPassword

2. У macOS (перевірте або поверніть ключ відновлення FileVault)¶

Відкрийте Термінал і перевірте, хто має право розблокувати ваш завантажувальний диск APFS:

sudo fdesetup status
diskutil apfs listCryptoUsers /

sudo fdesetup changerecovery -personal

3. У Linux (зробіть резервну копію заголовка LUKS і зареєструйте резервний слот для ключів)¶

Завжди зберігайте копію свого 16-мегабайтного заголовка LUKS на зовнішньому флеш-накопичувачі USB і зареєструйте роздруковану 64-символьну парольну фразу відновлення в слот 1:

# 1. Back up the binary LUKS header to an external USB drive
sudo cryptsetup luksHeaderBackup /dev/nvme0n1p3 --header-backup-file /media/usb/luks-header-nvme0n1p3.bak

# 2. Add an independent emergency recovery passphrase into Keyslot 1
sudo cryptsetup luksAddKey --key-slot 1 /dev/nvme0n1p3

Контрольний список готовності до надзвичайних ситуацій шифрування¶

• Експортуйте свій 48-значний ключ відновлення BitLocker (включно з його 8-значним ідентифікатором ключа) і збережіть його в менеджер паролів і надруковані на папері всередині вогнетривкого сейфа на висоті щонайменше 1,5 метра (5 футів) над рівнем підлоги.
• Роздрукуйте або збережіть свій 24-значний ключ відновлення macOS FileVault разом із 28-значним ключем відновлення вашого облікового запису Apple.
• Зробіть резервну копію свого 16-мегабайтного заголовка Linux LUKS (cryptsetup luksHeaderBackup) на автономний USB-накопичувач, щоб випадковий перезапис розділу не знищив усі слоти для ключів.
• Ведення незалежного, автоматизованого Резервне копіювання комп’ютера 3-2-1 так що навіть катастрофічна смерть контролера SSD або забутий ключ шифрування ніколи не знищить ваші незамінні фотографії, податкові документи або вихідний код.

Часті запитання¶

Пов'язані посібники¶

• Синій екран Windows (BSOD) і відновлення завантаження
• Паніка ядра macOS, чорний екран і відновлення
• Помилка завантаження системи Linux і відновлення GRUB
• Блокування менеджера паролів і аварійне відновлення сховища
• Збій жорсткого диска та відновлення даних
• Резервне копіювання комп’ютера: стратегія 3-2-1 і аварійне відновлення
• Довідник екстрених номерів

Джерела перевірені¶

• Національний інститут стандартів і технологій (NIST) (Сполучені Штати): Спеціальна публікація NIST 800-111: Посібник із технологій шифрування зберігання для пристроїв кінцевих користувачів і FIPS 197 (AES-XTS).
• Офіційна документація Microsoft Learn: Огляд відновлення BitLocker, регістри конфігурації платформи TPM (PCR 0-11), профіль перевірки та manage-bde Довідка з командного рядка.
• Посібник з безпеки платформи Apple: Шифрування томів за допомогою FileVault, сумки з ключами APFS, Secure Enclave Hardware Root of Trust і Institutional/Personal Recovery Key Escrow. -Trusted Computing Group (TCG) (Міжнародна): Специфікація бібліотеки TPM 2.0 і специфікація профілю прошивки клієнтської платформи ПК.
• GitLab Cryptsetup / Офіційна специфікація LUKS2: Специфікація дискового формату LUKS2, Argon2id PBKDF Memory-Hard Keyslots і процедури резервного копіювання/відновлення заголовків.