بٹ لاکر، فائل والٹ، اور LUKS ڈسک انکرپشن ریکوری کلیدی لاک آؤٹ¶

ونڈوز پر نیلے رنگ کی BitLocker Recovery اسکرین دیکھنا، macOS پر مقفل FileVault لاگ ان پرامپٹ، یا غیر جوابی cryptsetup لینکس ورک سٹیشن پر پاس فریز پرامپٹ آپ کے کام اور ذاتی زندگی کو روک سکتا ہے۔ فل ڈسک انکرپشن (FDE) آپ کی سالڈ سٹیٹ ڈرائیو (SSD) یا ہارڈ ڈسک ڈرائیو (HDD) کے ہر شعبے کو گھمبیر کرنے کے لیے، عام طور پر AES-128 یا AES-256 کو XTS موڈ میں، ملٹری گریڈ کے ہم آہنگ سائفرز کا استعمال کرتا ہے۔ کرپٹوگرافک والیوم ماسٹر کی (VMK) یا ایک درست کی-انکرپشن پروٹیکٹر کے بغیر، NAND فلیش چپس پر خام ڈیٹا ریاضی کے لحاظ سے بے ترتیب شور سے الگ نہیں کیا جا سکتا۔

تاہم، اچانک ریکوری کلید اسکرین کا شاذ و نادر ہی مطلب ہے کہ آپ کی ڈرائیو کو نقصان پہنچا ہے یا آپ کی کلید ہمیشہ کے لیے غائب ہو گئی ہے۔ زیادہ تر بٹ لاکر اور فائل والٹ لاک آؤٹ خود بخود اس وقت متحرک ہو جاتے ہیں جب ایک روٹین BIOS/UEFI فرم ویئر اپ ڈیٹ، تھنڈربولٹ ڈاک تبدیلی، سیکیور بوٹ ٹوگل، یا ڈیڈ CMOS کوائن سیل بیٹری آپ کے مدر بورڈ کے اندر پلیٹ فارم کنفیگریشن رجسٹر (PCRs) کو تبدیل کر دیتی ہے۔**Trusted Platform Mo2. یہاں تک کہ اگر آپ نے کبھی بھی ریکوری کلید نہیں لکھی ہے، تو آپ اکثر درست UEFI فرم ویئر سیٹنگ کو واپس کر کے پرامپٹ کو نظرانداز کر سکتے ہیں جس نے TPM پیمائش کو ٹرپ کیا، یا ذاتی Microsoft اکاؤنٹ، کام یا اسکول Microsoft Entra ID ڈائرکٹری، ایک Apple iCloud کیچین، یا غیر ماونٹڈ والیوم شیڈو کاپی کے اندر اپنی کلید کا خاموش خودکار بیک اپ تلاش کر کے۔

اب یہ کرو¶

1. **"اس پی سی کو ری سیٹ کریں"، "میک کو مٹائیں" پر کلک کرنے یا پارٹیشن کو فارمیٹ کرنے سے پہلے سٹاپ کریں۔ ** کسی انکرپٹڈ پارٹیشن پر ونڈوز، میک او ایس یا لینکس کو دوبارہ انسٹال کرنے سے کرپٹوگرافک والیوم ہیڈر (بٹ لاکر میٹا ڈیٹا بلاکس، اے پی ایف ایس کنٹینر سپر بلاک، یا LUKS2 JSON ہیڈر) اوور رائٹ ہوجاتا ہے۔ ایک بار جب وہ چھوٹا میٹا ڈیٹا ہیڈر اوور رائٹ ہو جائے گا، یہاں تک کہ کل آپ کی درست 48 ہندسوں والی ریکوری کلید تلاش کرنے سے بھی آپ کی فائلوں کو ڈیکرپٹ نہیں کیا جائے گا۔
2. **تمام بیرونی USB ڈرائیوز، SD کارڈز، تھنڈربولٹ ڈاکس، HDMI اڈاپٹرز، اور گیمنگ کنٹرولرز کو ان پلگ کریں، پھر ریبوٹ کریں۔ ** TPM 2.0 پلیٹ فارم کنفیگریشن رجسٹر استعمال کرنے والے ونڈوز سسٹمز پر (خاص طور پر PCR 0، PCR 2، PCR 4، اور PCR 7)، USB کے ساتھ ایک نئی بوٹ بوٹ ڈرائیو کو منسلک کریں۔ آپشن ROM فرم ویئر کے ساتھ تھنڈربولٹ ڈاک، یا ایک بیرونی مانیٹر ہب پری بوٹ ہیش کی پیمائش کو تبدیل کر سکتا ہے۔ ہر پیریفیرل کو ان پلگ کرنا اور کثرت سے کولڈ ریبوٹ کرنا TPM کو 48 ہندسوں کے کوڈ کی ضرورت کے بغیر والیوم ماسٹر کی کو عام طور پر جاری کرنے کی اجازت دیتا ہے۔
3. ہر مائیکروسافٹ، ایپل، یا کارپوریٹ اکاؤنٹ کو چیک کریں جو آپ نے کبھی ثانوی فون یا لیپ ٹاپ پر استعمال کیا ہے۔ یہ نہ سمجھیں کہ آپ جانتے ہیں کہ جب لیپ ٹاپ کو پہلی بار ان باکس کیا گیا تھا تو کون سا ای میل اکاؤنٹ فعال تھا۔ ونڈوز پر، چیک کریں۔ account.microsoft.com/devices/recoverykey اپنے ذاتی آؤٹ لک/ہاٹ میل/لائیو اکاؤنٹس میں، اور چیک کریں۔ aka.ms/myrecoverykey کسی بھی کام، یونیورسٹی، یا کلائنٹ کے Microsoft 365 (Entra ID) اکاؤنٹ پر آپ نے Microsoft Word، Teams، یا Windows Settings کے اندر سائن ان کیا ہے۔
4. **اپنی لاک اسکرین پر دکھائے جانے والے "Key ID" کے پہلے 8 حروف سے میچ کریں۔ ** Windows BitLocker ریکوری اسکرین 32-حروف کی Key ID (یا پہلے 8 ہیکسا ڈیسیمل حروف، جیسے A1B2C3D4)۔ اگر آپ کے مائیکروسافٹ اکاؤنٹ میں یا پرانے کمپیوٹرز میں ایک سے زیادہ کلیدیں محفوظ ہیں، تو صرف 48 ہندسوں کا ریکوری پاس ورڈ جس کی کلید ID ان 8 حروف سے مماثل ہے اس مخصوص ڈرائیو والیوم کو غیر مقفل کر دے گی۔
5. لاک آؤٹ سے پہلے کی گئی کسی بھی حالیہ BIOS/UEFI تبدیلیوں کو واپس لوٹائیں۔ اگر آپ کے BIOS سیٹ اپ میں داخل ہونے کے فوراً بعد BitLocker اسکرین نمودار ہوتی ہے تاکہ Secure Boot، ٹوگل CSM (Compatibility Support Module)، Intel PTT/AMD fTPM کو تبدیل کریں، یا ** BIOS میں تبدیلیاں دوبارہ شروع کریں یا پھر بوٹ کریںF2، F12، یا Del) اور ان عین مطابق ٹوگلز کو ان کی سابقہ ​​حالت پر سیٹ کریں۔ جیسے ہی PCR 7 اور PCR 0 اپنے اصل کرپٹوگرافک ہیش سے مماثل ہوں گے، TPM کلید کو خود بخود کھول دے گا۔
6. اگر کسی ہنگامی یا گھریلو بحران کے دوران لاک آؤٹ ہوتا ہے تو جسمانی حفاظت کو ترجیح دیں۔ اگر آپ کسی بحران کے دوران طبی ریکارڈ، مالی دستاویزات، یا انخلاء کے منصوبوں کو بازیافت کرنے کی کوشش کر رہے ہیں، تو یاد رکھیں کہ انکرپٹڈ ڈرائیوز غیر معینہ مدت تک ڈیٹا کو محفوظ رکھتی ہیں جب کہ پاور آف ہے۔ اگر آپ کو فوری طور پر جسمانی خطرہ درپیش ہے، تو ہارڈ ویئر کو پیچھے چھوڑ دیں اور اپنے مقامی ہنگامی نمبر پر کال کریں (امریکہ اور کینیڈا میں 911، یورپی یونین میں 112، برطانیہ میں 999، یا ہمارے ہنگامی نمبر ڈائریکٹری)۔

ڈسک انکرپشن لاک آؤٹ ٹریج اور ریکوری فیصلہ ٹری¶

flowchart TD
    Start["انکرپٹڈ ڈرائیو سے لاک آؤٹ: BitLocker، FileVault، یا LUKS Prompt"] --> WhichOS{"کون سا آپریٹنگ سسٹم اور انکرپشن انجن؟"}

    WhichOS -->|"Windows: BitLocker 48-Digit Recovery Screen"| PeriphCheck["Step 1: Unplug all USB drives, Thunderbolt docks, and external monitors; cold reboot"]
    PeriphCheck --> StillLocked{"Still asking for 48-digit key?"}
    StillLocked -->|"No: Booted Normally"| BackupNow["فوری طور پر 'manage-bde -protectors -get C:' چلائیں اور 48 ہندسوں کی کلید کو آف لائن محفوظ کریں۔"]
    StillLocked -->|"جی ہاں"| BIOSCheck{"Did you just change BIOS, Secure Boot, CSM, or update firmware?"}

    BIOSCheck -->|"جی ہاں"| RevertBIOS["Enter UEFI Setup: Re-enable Secure Boot, UEFI Boot Mode, and Intel PTT / AMD fTPM to restore PCR 7 hash"]
    BIOSCheck -->|"نہیں"| HuntKey["Step 2: Match 8-Char Key ID across ALL Personal Microsoft Accounts, Work/School Entra ID, Active Directory, and USB .BEK/.TXT files"]
    RevertBIOS --> HuntKey

    WhichOS -->|"macOS: FileVault Login Rejects Password"| ApplePath{"Apple Silicon/T2 Mac vs Intel Mac?"}
    ApplePath -->|"All Macs"| TestLayout["Step 1: Check Input Menu in top-right of FileVault screen for keyboard layout mismatch"]
    TestLayout --> FVMethod{"Which Recovery Method Was Enabled?"}
    FVMethod -->|"iCloud Account Escrow"| BootRecovery["Boot to macOS Recovery: Authenticate with Apple Account via Recovery Assistant to reset password"]
    FVMethod -->|"24-Char Personal Recovery Key (PRK) or MDM"| EnterPRK["ریکوری اسسٹنٹ میں XXXX-XXXX-XXXX-XXXX-XXXX-XXXX کلید درج کریں یا IT سے ادارہ جاتی ایسکرو کلید کی درخواست کریں"]

    WhichOS -->|"Linux: LUKS / cryptsetup Passphrase Rejected"| LUKSPath["Step 1: Drop to initramfs shell or boot Live USB; check keyboard layout in console"]
    LUKSPath --> LUKSHeader{"Are Keyslots Intact in 'cryptsetup luksDump'?"}
    LUKSHeader -->|"Yes: Keyslot Active"| TestPass["Test secondary keyslots (Slot 1-7), FIDO2/TPM2 token, or run hashcat Mode 29500 against header backup"]
    LUKSHeader -->|"No: Header Corrupted"| RestoreHeader["Restore LUKS header from '--header-backup-file' or scan disk for surviving metadata"]

Understanding Full-Disk Encryption and TPM 2.0 sealing¶

Neither Windows BitLocker, Apple FileVault 2, nor Linux dm-crypt / LUKS encrypts your SSD directly with your login password or recovery key. Instead, all three platforms use a two-tier key hierarchy:

1. The Volume Master Key (VMK) / Full Volume Encryption Key (FVEK): A hardware random key (128-bit, 256-bit, or 512-bit) encrypts and decrypts the actual disk sectors on the fly.
2. Key Protectors / Keyslots (KEKs): The Volume Master Key is wrapped using independent Key Encryption Keys (KEKs), called Key Protectors in BitLocker, Key Bags in Apple APFS, and Keyslots in Linux LUKS.
3. Why TPM 2.0 sealing locks you out on Windows: On Windows 10 and 11, the primary key protector is the Trusted Platform Module (TPM 2.0) chip (discrete silicon or firmware Intel PTT / AMD fTPM). When BitLocker seals the Volume Master Key into the TPM, it binds the key to specific Platform Configuration Registers (PCRs):
4. PCR 0: Hashes core UEFI/BIOS system firmware.
5. PCR 2: ہیش پلگ ایبل بیرونی ہارڈویئر آپشن ROM کوڈ (تھنڈربولٹ ڈاکس، RAID کارڈز، بیرونی GPUs)۔
6. PCR 4: بوٹ مینیجر کو ہیش کرتا ہے (bootmgfw.efi) اور بوٹ آرڈر کی حالت۔
7. PCR 7: ہیشز سیکیور بوٹ پالیسی اور UEFI db / dbx سرٹیفکیٹ ڈیٹا بیس.
8. PCR 11: بٹ لاکر رسائی کنٹرول کے اجزاء کو ہیش کرتا ہے۔

جب بھی آپ پاور بٹن دباتے ہیں، مدر بورڈ ونڈوز کے لوڈ ہونے سے پہلے ان فرم ویئر اجزاء کی پیمائش کرتا ہے۔ اگر PCR 0، PCR 2، PCR 4، یا PCR 7 میں کوئی ایک بٹ BitLocker کو سیل کیے جانے پر ریکارڈ کی گئی قدر سے مختلف ہے، تو TPM والیوم ماسٹر کی کو جاری کرنے سے انکار کر دیتا ہے اور ونڈوز بوٹ مینیجر کو 48 ہندسوں کی BitLocker Recovery Key اسکرین کو ظاہر کرنے پر مجبور کرتا ہے۔

فل ڈسک انکرپشن آرکیٹیکچرز اور ریکوری میکانزم کا موازنہ¶

حصہ 1: ونڈوز بٹ لاکر ریکوری لاک آؤٹ کو حل کرنا¶

When your Windows PC halts at "BitLocker: Enter the recovery key for this drive" (or Windows Recovery Environment asks for a key before allowing Command Prompt or Safe Mode access), work through these two parallel tracks: Track A attempts to coax the TPM into unlocking the drive without needing the key, and Track B hunts down the 48-digit key across every digital and local storage location.

Track A: Bypassing the BitLocker prompt without a recovery key (Restoring TPM PCR state)¶

If you did not manually wipe the TPM or move the NVMe SSD into a new motherboard, the Volume Master Key is still inside your TPM 2.0 chip. It is refusing to unlock because a pre-boot PCR measurement changed. Try these non-destructive hardware and firmware restores in order:

1. Disconnect all external hardware and docks:
2. Power the computer completely off (hold the power button for 10 seconds).
3. Unplug every USB flash drive, external hard drive, USB-C hub, Thunderbolt docking station, SD card, and external monitor cable.
4. Unplug the AC charger for 15 seconds, plug the native charger directly into the laptop, and turn it on. Thunderbolt docks and USB-C hubs frequently contain internal PXE network boot or display Option ROMs that extend into PCR 2 and PCR 4, invalidating the TPM state.
5. Restore Secure Boot and UEFI Boot Mode in BIOS Setup:
6. Reboot and press your motherboard BIOS key (F2 on Dell/ASUS/Lenovo/Acer, F10 on HP, Del on desktop boards).
7. If Secure Boot was recently changed from Enabled to Disabled, set it back to Enabled (Standard Mode) and save changes. Conversely, if a BIOS update flipped Secure Boot to Enabled, try toggling it to Disabled once.
8. Confirm Boot Mode is set to UEFI Only (disable Legacy / CSM) and confirm Windows Boot Manager is the first boot option.
9. Verify Intel PTT or AMD fTPM is enabled (Never click "Clear TPM"):
10. After a dead CMOS battery or a BIOS reset, motherboards sometimes disable the firmware TPM (Intel Platform Trust Technology یا AMD CPU fTPM). Go to the Security or Trusted Computing tab in BIOS and confirm TPM 2.0 State is Enabled.
11. Warning: Never select "Clear TPM" or "Erase fTPM NV" inside BIOS. Clearing the TPM permanently destroys the internal Storage Root Key inside the silicon chip, making the 48-digit recovery key mandatory.
12. Roll back a buggy BIOS capsule update:
13. On Dell laptops, hold Ctrl + Esc while plugging in AC power to launch the Dell BIOS Recovery menu and select Rollback BIOS. On HP laptops, hold Win + B while pressing the power button for 2 seconds to trigger HP Sure Start BIOS rollback.

Track B: Exhaustive search for your 48-digit BitLocker Recovery Key¶

If the TPM cannot be restored (or if you moved the SSD into an external USB enclosure), you must supply the 48-digit numeric recovery password (XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX) or a .BEK startup key file. Write down the first 8 characters of the Key ID shown on screen (for example, Key ID: 4F8A9C12) and check these six locations:

1. Personal Microsoft Accounts (account.microsoft.com/devices/recoverykey)¶

Visit https://account.microsoft.com/devices/recoverykey (یا https://aka.ms/myrecoverykey) on a phone or secondary computer. - Check every historical account: Device Encryption backs up the key to whichever Microsoft Account was first used when the PC was unboxed, even if you later switched to a local login. Sign in and test all old @hotmail.com، @live.com، @outlook.com, or linked @gmail.com accounts, plus the account of any spouse, parent, or technician who helped set up the PC or signed into Microsoft Office or Xbox Game Pass on that machine.

2. Work, School, or University Entra ID / Azure AD (myaccount.microsoft.com)¶

Even on a personal home laptop, if you ever signed into Microsoft 365 apps (Word, Excel, Teams) with a work, university, or client email address and left "Allow my organization to manage my device" checked, Windows automatically escrowed your BitLocker recovery key into that organization's Microsoft Entra ID tenant: 1. Visit https://myaccount.microsoft.com/device-list and sign in with your work or school email. 2. Select your computer name and click View BitLocker keys. 3. If your work or school account is already disabled, call that organization's IT Help Desk and give them your 8-character Key ID. Administrators can retrieve keys for deactivated accounts under Devices > All devices > Recovery keys in entra.microsoft.com.

3. On-Premises Corporate Active Directory (msFVE-RecoveryInformation)¶

If the computer was joined to an Active Directory domain, a Domain Administrator can look up the key by its 8-character Key ID using PowerShell:

Get-ADObject -Filter {objectClass -eq 'msFVE-RecoveryInformation'} -Properties msFVE-RecoveryPassword, whenCreated |
  Where-Object { $_.Name -like "*4F8A9C12*" } | Select-Object Name, msFVE-RecoveryPassword, whenCreated

4. USB فلیش ڈرائیوز اور کلاؤڈ ڈرائیوز پر خودکار یا دستی ٹیکسٹ فائلیں۔¶

جب ونڈوز ریکوری کلید کو فائل یا USB ڈرائیو میں محفوظ کرتا ہے، تو یہ فائل کا نام رکھتا ہے۔ BitLocker Recovery Key [GUID].txt یا پوشیدہ کو بچاتا ہے۔ .BEK فائل (attrib +h +s)۔ اس PowerShell تلاش کو تمام USB ڈرائیوز، بیرونی ہارڈ ڈرائیوز، OneDrive، Google Drive، اور Dropbox فولڈرز پر دوسرے PC پر چلائیں:

Get-PSDrive -PSProvider FileSystem | ForEach-Object {
    Get-ChildItem -Path $_.Root -Include "*BitLocker*Recovery*Key*.txt", "*.bek" -Recurse -Force -ErrorAction SilentlyContinue
} | Select-Object FullName, LastWriteTime

5. سیکنڈری ڈیٹا ڈرائیو کے لیے کلید نکالنا (D:) ایک غیر مقفل سے C: تقسیم¶

اگر C: جوتے عام طور پر اور صرف ایک ثانوی ڈرائیو D: مقفل ہے، ایک ایڈمنسٹریٹر پاور شیل ونڈو کھولیں۔ C: اور چلائیں manage-bde -protectors -get D: یہ دیکھنے کے لیے کہ C: ابھی بھی آٹو انلاک رجسٹری کی کلید رکھتا ہے، یا اپنی پچھلی والیوم شیڈو کاپیوں کا معائنہ کریں Documents حذف کرنے کے لیے فولڈر BitLocker Recovery Key *.txt فائلیں

6. Print Spooler History and PDF / OneNote Printouts¶

If you clicked "Print the recovery key" during setup, check Microsoft OneNote and search your Documents folder for .pdf یا .xps "Microsoft Print to PDF" کے ذریعے بنائی گئی فائلیں۔

ٹریک سی: WinRE کمانڈ پرامپٹ سے بٹ لاکر ڈرائیو کو غیر مقفل اور ڈکرپٹ کرنا (manage-bde)¶

اگر نیلی اسکرین پر 48 ہندسوں کا ریکوری پاس ورڈ ٹائپ کرنے سے اگلے ریبوٹ پر بٹ لاکر واپس لوٹ جاتا ہے یا ونڈوز کریش ہو جاتا ہے تو ونڈوز ریکوری انوائرمنٹ (WinRE) کمانڈ پرامپٹ سے بٹ لاکر کو غیر مقفل اور معطل کر دیں:

1. دبائیں Esc بٹ لاکر اسکرین پر، پھر اس ڈرائیو کو چھوڑیں -> ٹربل شوٹ -> ایڈوانسڈ آپشنز -> کمانڈ پرامپٹ پر کلک کریں۔
2. Check status and unlock the OS volume (C:):

   manage-bde -status
   manage-bde -unlock C: -RecoveryPassword 123456-123456-123456-123456-123456-123456-123456-123456
   

   (Or unlock using a binary .BEK file on a USB stick mapped as F: کے ذریعے manage-bde -unlock C: -RecoveryKey "F:\key.BEK")
3. Suspend protectors so the prompt does not return on the next reboot:

   manage-bde -protectors -disable C:
   

   ونڈوز میں ریبوٹ کریں، پھر چلائیں۔ manage-bde -protectors -enable C: نئے UEFI PCR ہیشز کے خلاف والیوم ماسٹر کی کو دوبارہ سیل کرنے کے لیے ایک ایلیویٹڈ کمانڈ پرامپٹ میں۔
4. If Windows cannot boot, copy files out or fully decrypt:

   robocopy C:\Users\YourUsername F:\RescueBackup /E /ZB /R:1 /W:1 /XJ
   manage-bde -off C:
   

Track D: Mounting a BitLocker SSD on Linux (dislocker / cryptsetup) for file rescue¶

If your Windows motherboard died, place the M.2 NVMe or SATA SSD into an external USB-C enclosure (measuring about 10 centimeters by 3 centimeters, or 4 inches by 1.2 inches) and unlock it on any Linux PC or Ubuntu Live USB:

# Method 1: Modern cryptsetup (v2.3+ natively supports BITLOCKER volumes)
sudo cryptsetup open --type bitlocker /dev/nvme0n1p3 bitlocker_unlocked
# Type the 48-digit recovery key INCLUDING hyphens when prompted
sudo mkdir -p /mnt/windows_data
sudo mount -t ntfs3 -o ro /dev/mapper/bitlocker_unlocked /mnt/windows_data

# Method 2: Using dislocker
sudo apt update && sudo apt install -y dislocker ntfs-3g
sudo mkdir -p /mnt/dislocker_raw /mnt/windows_rescue
sudo dislocker -V /dev/nvme0n1p3 -p123456-123456-123456-123456-123456-123456-123456-123456 -- /mnt/dislocker_raw
sudo mount -t ntfs-3g -o loop,ro /mnt/dislocker_raw/dislocker-file /mnt/windows_rescue

Part 2: Resolving Apple macOS FileVault 2 and Secure Enclave lockouts¶

On macOS (High Sierra through macOS Sequoia and newer), FileVault 2 encrypts the entire APFS (Apple File System) volume. On Macs with Apple Silicon (M1, M2, M3, M4) or the Apple T2 Security Chip, the volume is actually always encrypted at rest using hardware keys inside the Secure Enclave Processor (SEP). Turning on FileVault wraps that hardware Volume Encryption Key (VEK) with a Key Encryption Key (KEK) derived from your macOS login password and your FileVault Recovery Key.

Because FileVault requires decrypting the APFS volume before macOS loads from disk, the first screen you see when you turn on a FileVault-enabled Mac is not the normal macOS login window, it is the pre-boot FileVault EFI / iBoot unlock screen.

مرحلہ 1: فائل والٹ کے اچانک لاک آؤٹس کی #1 وجہ کو مسترد کریں (پری بوٹ کی بورڈ لے آؤٹ اور بیرونی کی بورڈز)¶

Before assuming your password broke or starting a reset, check these three pre-boot quirks that cause valid passwords to shake and reject at the FileVault boot screen:

1. پری بوٹ کی بورڈ ان پٹ مینو سوئچ: پری بوٹ فائل والٹ اسکرین سٹرپڈ-ڈاؤن فرم ویئر کی بورڈ ڈرائیور کا استعمال کرتی ہے جو اکثر ڈیفالٹ ہوتا ہے یو ایس QWERTY (یا ABC) یہاں تک کہ اگر آپ نے میکوس کے اندر UK، جرمن (QWERTZ)، فرانسیسی (AZERTY) یا Dvorak لے آؤٹ کا استعمال کرتے ہوئے اپنا پاس ورڈ ٹائپ کیا ہو۔ فائل والٹ لاگ ان اسکرین کے اوپری دائیں کونے کو دیکھیں، کی بورڈ ان پٹ مینو آئیکن پر کلک کریں، اور اپنی درست کی بورڈ لے آؤٹ کو منتخب کریں۔
2. بلوٹوتھ کی بورڈ ٹائمنگ اور نمبر لاک: تھرڈ پارٹی بلوٹوتھ کی بورڈ اکثر پری بوٹ اسکرین پر جاگتے وقت اپنے پہلے دو کی اسٹروکس چھوڑ دیتے ہیں یا ان میں نمبر لاک اسٹیٹ انڈیکیٹرز کی کمی ہوتی ہے۔ ایک وائرڈ USB کی بورڈ کو براہ راست میک میں لگائیں (یا بلٹ ان MacBook کی بورڈ استعمال کریں) اور آہستہ ٹائپ کریں۔
3. ایک ہی میک پر ایک سے زیادہ ایڈمن صارفین: فائل والٹ میں، ہر مجاز میک او ایس صارف اکاؤنٹ کا اپنا خود مختار کرپٹوگرافک ٹوکن اے پی ایف ایس کی بیگ میں ہوتا ہے (diskutil apfs listCryptoUsers /)۔ اگر آپ کا اکاؤنٹ ہل جاتا ہے اور ناکام ہوجاتا ہے، تو FileVault اسکرین پر ** دوسرے ایڈمنسٹریٹر صارف آئیکن** پر کلک کریں اور ان کے پاس ورڈ کے ساتھ لاگ ان کریں۔ macOS میں داخل ہونے کے بعد، وہ منتظم سسٹم کی ترتیبات> صارفین اور گروپس میں آپ کا پاس ورڈ دوبارہ ترتیب دے سکتا ہے۔

مرحلہ 2: ایپل اکاؤنٹ (آئی کلاؤڈ) یا 24-کریکٹر پرسنل ریکوری کلید کے ذریعے فائل والٹ کو غیر مقفل کرنا¶

If your password still fails at the FileVault login screen:

1. Wait for the Recovery Prompt: After typing an incorrect password three times at the FileVault login screen, macOS displays options to reset using your Apple Account or enter your Recovery Key.
2. Or boot directly into macOS Recovery (Recovery Assistant):
3. Apple Silicon Macs (M1/M2/M3/M4): Shut down completely, then press and hold the Power (Touch ID) button for 10 seconds until "Loading startup options..." appears, click Options, and click Continue.
4. Intel Macs: Turn on the Mac and hold Command (⌘) + R until the Apple logo appears.
5. Inside the Reset Password Recovery Assistant window:
6. Connect to Wi-Fi in the top-right corner of the screen or plug in Ethernet.
7. Option A (Apple Account Escrow): If you enabled iCloud recovery, select Forgot all passwords? -> Sign in with Apple Account. Enter your Apple Account email, password, and 6-digit 2FA code (if you lost your phone, see our ایم ایف اے لاک آؤٹ اور مستند ریکوری guide) to unlock the APFS volume and set a new password.
8. Option B (24-Character Personal Recovery Key): Select Enter FileVault Recovery Key and type your 24-character alphanumeric code (XXXX-XXXX-XXXX-XXXX-XXXX-XXXX)۔
9. Option C (Corporate / University MDM Escrow): If your Mac is managed via Jamf Pro, Kandji, Mosyle, or Microsoft Intune, call your IT Help Desk with your Mac's serial number so they can read you the escrowed 24-character FileVault Recovery Key.

Step 3: Unlocking a FileVault APFS volume manually from Terminal (diskutil apfs unlockVolume)¶

If the graphical Recovery Assistant fails to mount your drive, open Utilities -> Terminal inside macOS Recovery and unlock the APFS volume manually:

# 1. List all APFS containers and encrypted volumes to find the Volume Identifier (e.g., disk3s5)
diskutil apfs list

# 2. List all cryptographic users (UUIDs) authorized to unlock that APFS volume
diskutil apfs listCryptoUsers /dev/disk3s5

# 3. Unlock the APFS volume using either your user password OR your 24-character Recovery Key:
diskutil apfs unlockVolume /dev/disk3s5 -passphrase "YOUR-XXXX-XXXX-XXXX-XXXX-XXXX-KEY"

# 4. Copy critical files from '/Volumes/Macintosh HD - Data' to an external USB drive:
cp -Rv "/Volumes/Macintosh HD - Data/Users/yourusername/Documents" "/Volumes/ExternalUSB/Backup/"

Part 3: Resolving Linux LUKS (dm-crypt / cryptsetup) encryption lockouts¶

Linux distributions (Ubuntu, Fedora, Debian, Arch Linux, Red Hat Enterprise Linux, Pop._OS, and Qubes OS) rely on LUKS (Linux Unified Key Setup), typically LUKS2, managed by cryptsetup اور dm-crypt. When a Linux machine drops into an (initramfs) یا dracut shell saying cryptsetup failed, bad password or options, follow these four steps:

Step 1: Check console keymap vs graphical keyboard layout¶

During the pre-boot initramfs phase, the system uses the Linux console keymap (/etc/vconsole.conf), which often defaults to us even if you configured a UK, German, French, or custom programmer layout inside GNOME or KDE. Boot a Linux Live USB, open a graphical terminal where you can type your passphrase visibly in a text editor to verify every character, and unlock the drive from the Live USB:

lsblk -f
sudo cryptsetup luksOpen /dev/nvme0n1p3 my_encrypted_root

Step 2: Inspect the LUKS header and check secondary keyslots (cryptsetup luksDump)¶

LUKS1 supports 8 independent Keyslots (0 to 7) and LUKS2 supports up to 32 Keyslots (0 to 31), plus hardware Tokens (systemd-tpm2 یا systemd-fido2). Inspect your header without changing anything on disk:

sudo cryptsetup luksDump /dev/nvme0n1p3

sudo systemd-cryptenroll --wipe-slot=tpm2 --tpm2-device=auto --tpm2-pcrs=7 /dev/nvme0n1p3

Step 3: Recovering from a corrupted or overwritten LUKS2 header¶

In LUKS, all keyslots live in the first 2 megabytes (LUKS1) or 16 megabytes (LUKS2) of the partition. If cryptsetup luksDump says not a valid LUKS device, take these steps:

1. Image the first 32 MB before touching anything:

   sudo dd if=/dev/nvme0n1p3 of=~/damaged_luks_first32mb.img bs=1M count=32 status=progress
   

2. Attempt automatic LUKS2 secondary JSON metadata repair (cryptsetup repair):
3. LUKS2 stores two redundant copies of the binary and JSON header metadata at offset 0x0000 and offset 0x4000 (16 KB). If only the primary copy at byte 0 was clobbered, sudo cryptsetup repair /dev/nvme0n1p3 reconstructs it from 0x4000.
4. Restore from a saved LUKS Header Backup (luksHeaderRestore):
5. Unlock non-destructively using an external header backup file:

   sudo cryptsetup luksOpen --header /path/to/luks-header.bak /dev/nvme0n1p3 rescued_volume
   

Step 4: Testing partially remembered passphrases with hashcat¶

While you cannot brute-force a random 48-digit BitLocker Recovery Key or 24-character Apple Recovery Key (\(2^{128}\) bits of entropy), you can test variations of a human-chosen LUKS passphrase or BitLocker custom user password if you remember the base words:

# For Linux LUKS2 (mode 29500) or LUKS1 (mode 14600):
sudo dd if=/dev/nvme0n1p3 of=luks_header.bin bs=1M count=16
hashcat -m 29500 luks_header.bin my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

# For BitLocker protected by a custom User Password (mode 22100):
bitlocker2john -i /dev/nvme0n1p3 | grep "\$bitlocker\$0\$" > user_pass.hash
hashcat -m 22100 user_pass.hash my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

Prevention: How to build a lockout-proof disk encryption backup right now¶

The moment you regain access to your computer (or on every other computer you own today), spend five minutes executing these commands so a motherboard failure or firmware update can never trap your files again:

1. On Windows (Export your BitLocker Recovery Key & pause before BIOS updates)¶

Open an Administrator PowerShell or Command Prompt and export your current 48-digit recovery password:

# Display all BitLocker recovery keys and Key IDs across all drives
Get-BitLockerVolume | Select-Object MountPoint, VolumeStatus, -ExpandProperty KeyProtector |
  Where-Object { $_.KeyProtectorType -eq 'RecoveryPassword' } |
  Select-Object MountPoint, KeyProtectorId, RecoveryPassword

2. On macOS (Verify or rotate your FileVault Recovery Key)¶

Open Terminal and check who is authorized to unlock your APFS startup disk:

sudo fdesetup status
diskutil apfs listCryptoUsers /

sudo fdesetup changerecovery -personal

3. On Linux (Back up your LUKS header and enroll a fallback Keyslot)¶

Always keep a copy of your 16-megabyte LUKS header on an external USB thumb drive and enroll a printed 64-character recovery passphrase into Keyslot 1:

# 1. Back up the binary LUKS header to an external USB drive
sudo cryptsetup luksHeaderBackup /dev/nvme0n1p3 --header-backup-file /media/usb/luks-header-nvme0n1p3.bak

# 2. Add an independent emergency recovery passphrase into Keyslot 1
sudo cryptsetup luksAddKey --key-slot 1 /dev/nvme0n1p3

Encryption emergency readiness checklist¶

• Export your 48-digit BitLocker Recovery Key (including its 8-character Key ID) and store it inside your password manager and printed on paper inside a fireproof safe at least 1.5 meters (5 feet) above floor level.
• Print or save your 24-character macOS FileVault Recovery Key alongside your Apple Account 28-character recovery key.
• Back up your 16-megabyte Linux LUKS header (cryptsetup luksHeaderBackup) to an offline USB drive so an accidental partition overwrite cannot destroy all keyslots.
• Maintain an independent, automated 3-2-1 computer backup so that even a catastrophic SSD controller death or forgotten encryption key never destroys your irreplaceable photos, tax documents, or source code.

اکثر پوچھے گئے سوالات¶

متعلقہ گائیڈز¶

• ونڈوز بلیو اسکرین (BSOD) اور بوٹ کی مرمت
• macOS kernel panic, black screen, and recovery
• لینکس سسٹم بوٹ کی ناکامی اور GRUB مرمت
• پاس ورڈ مینیجر لاک آؤٹ اور ایمرجنسی والٹ ریکوری
• ہارڈ ڈرائیو کی ناکامی اور ڈیٹا ریکوری
• Computer backups: 3-2-1 strategy and disaster recovery
• ایمرجنسی نمبر ڈائرکٹری

ذرائع نے چیک کیا۔¶

• National Institute of Standards and Technology (NIST) (United States): NIST Special Publication 800-111: Guide to Storage Encryption Technologies for End User Devices & FIPS 197 (AES-XTS).
• مائیکروسافٹ سیکھیں آفیشل ڈاکومینٹیشن: BitLocker Recovery Overview، TPM پلیٹ فارم کنفیگریشن رجسٹرز (PCR 0-11) توثیق کا پروفائل، اور manage-bde کمانڈ لائن حوالہ۔
• ایپل پلیٹ فارم سیکیورٹی گائیڈ: فائل والٹ کے ساتھ والیوم انکرپشن، اے پی ایف ایس کی بیگز، سیکیور انکلیو ہارڈ ویئر روٹ آف ٹرسٹ، اور ادارہ جاتی/ذاتی ریکوری کلید ایسکرو*۔ -Trusted Computing Group (TCG) (International): TPM 2.0 Library Specification and PC Client Platform Firmware Profile Specification.
• GitLab Cryptsetup / LUKS2 Official Specification: LUKS2 On-Disk Format Specification, Argon2id PBKDF Memory-Hard Keyslots, and Header Backup/Repair Procedures.