Khóa khóa khôi phục mã hóa đĩa BitLocker, FileVault và LUKS¶

Nhìn thấy màn hình BitLocker Recovery màu xanh lam trên Windows, lời nhắc đăng nhập FileVault bị khóa trên macOS hoặc không phản hồi cryptsetup lời nhắc cụm mật khẩu trên máy trạm Linux có thể khiến công việc và cuộc sống cá nhân của bạn bị đình trệ. Mã hóa toàn bộ ổ đĩa (FDE) sử dụng mật mã đối xứng cấp quân sự, thường là AES-128 hoặc AES-256 ở chế độ XTS, để xáo trộn mọi khu vực của ổ đĩa thể rắn (SSD) hoặc ổ đĩa cứng (HDD) của bạn. Nếu không có Khóa chính khối lượng mật mã (VMK) hoặc trình bảo vệ mã hóa khóa hợp lệ, dữ liệu thô trên chip flash NAND sẽ không thể phân biệt được về mặt toán học với nhiễu ngẫu nhiên.

Tuy nhiên, màn hình khóa khôi phục đột ngột hiếm khi có nghĩa là ổ đĩa của bạn bị hỏng hoặc khóa của bạn đã biến mất vĩnh viễn. Hầu hết các khóa BitLocker và FileVault đều được kích hoạt tự động khi cập nhật chương trình cơ sở BIOS/UEFI định kỳ, thay đổi đế Thunderbolt, bật tắt Khởi động an toàn hoặc pin đồng xu CMOS chết làm thay đổi Thanh ghi cấu hình nền tảng (PCR) bên trong bo mạch chủ của bạn Mô-đun nền tảng đáng tin cậy (TPM 2.0). Ngay cả khi bạn chưa bao giờ ghi lại khóa khôi phục, bạn thường có thể bỏ qua lời nhắc bằng cách hoàn nguyên cài đặt chương trình cơ sở UEFI chính xác đã làm hỏng phép đo TPM hoặc bằng cách định vị bản sao lưu tự động im lặng cho khóa của bạn bên trong tài khoản Microsoft cá nhân, thư mục Microsoft Entra ID của cơ quan hoặc trường học, chuỗi khóa Apple iCloud hoặc bản sao bóng ổ đĩa chưa được đếm.

Làm điều này ngay bây giờ¶

1. DỪNG trước khi nhấp vào "Đặt lại PC này", "Xóa máy Mac" hoặc định dạng phân vùng. Cài đặt lại Windows, macOS hoặc Linux qua phân vùng được mã hóa sẽ ghi đè tiêu đề ổ đĩa mật mã (khối siêu dữ liệu BitLocker, siêu khối vùng chứa APFS hoặc tiêu đề JSON LUKS2). Khi tiêu đề siêu dữ liệu nhỏ đó bị ghi đè, ngay cả việc tìm khóa khôi phục 48 chữ số hợp lệ vào ngày mai cũng sẽ không giải mã được các tệp của bạn nữa.
2. Rút phích cắm tất cả ổ USB ngoài, thẻ SD, đế cắm Thunderbolt, bộ chuyển đổi HDMI và bộ điều khiển trò chơi, sau đó khởi động lại. Trên hệ thống Windows sử dụng Thanh ghi cấu hình nền tảng TPM 2.0 (cụ thể là PCR 0, PCR 2, PCR 4 và PCR 7), khởi động bằng ổ USB có khả năng khởi động, đế Thunderbolt mới gắn với chương trình cơ sở ROM tùy chọn hoặc trung tâm màn hình bên ngoài có thể thay đổi phép đo hàm băm trước khi khởi động. Việc rút phích cắm của mọi thiết bị ngoại vi và thực hiện khởi động lại nguội thường xuyên cho phép TPM giải phóng Khóa âm lượng chính một cách bình thường mà không cần mã 48 chữ số.
3. Kiểm tra mọi tài khoản Microsoft, Apple hoặc công ty mà bạn từng sử dụng trên điện thoại phụ hoặc máy tính xách tay. Đừng cho rằng bạn biết tài khoản email nào đã hoạt động khi máy tính xách tay được mở hộp lần đầu tiên. Trên Windows, hãy kiểm tra account.microsoft.com/devices/recoverykey trên các tài khoản Outlook/Hotmail/Live cá nhân của bạn và kiểm tra aka.ms/myrecoverykey trên mọi tài khoản Microsoft 365 (Entra ID) của cơ quan, trường đại học hoặc khách hàng mà bạn từng đăng nhập bên trong Cài đặt Microsoft Word, Teams hoặc Windows.
4. Khớp 8 ký tự đầu tiên của "ID khóa" hiển thị trên màn hình khóa của bạn. Màn hình khôi phục Windows BitLocker hiển thị ID khóa gồm 32 ký tự** (hoặc 8 ký tự thập lục phân đầu tiên, chẳng hạn như A1B2C3D4). Nếu bạn có nhiều khóa được lưu trữ trong tài khoản Microsoft hoặc trên máy tính cũ, chỉ mật khẩu khôi phục gồm 48 chữ số có ID khóa khớp chính xác với 8 ký tự đó mới mở khóa được ổ đĩa cụ thể này.
5. Hoàn nguyên mọi thay đổi BIOS/UEFI gần đây được thực hiện ngay trước khi khóa. Nếu màn hình BitLocker xuất hiện ngay sau khi bạn vào thiết lập BIOS để tắt Khởi động an toàn, chuyển đổi CSM (Mô-đun hỗ trợ tương thích), thay đổi Intel PTT / AMD fTPM hoặc bật ** Thay đổi thứ tự khởi động**, khởi động lại vào BIOS (F2, F12hoặc Del) và đặt các chuyển đổi chính xác đó trở lại trạng thái trước đó. Ngay khi PCR 7 và PCR 0 khớp với hàm băm mật mã ban đầu của chúng, TPM sẽ tự động mở khóa.
6. Ưu tiên an toàn vật lý nếu khóa xảy ra trong trường hợp khẩn cấp hoặc khủng hoảng trong gia đình. Nếu bạn đang cố truy xuất hồ sơ y tế, tài liệu tài chính hoặc kế hoạch sơ tán trong thời kỳ khủng hoảng, hãy nhớ rằng ổ đĩa được mã hóa sẽ lưu giữ dữ liệu vô thời hạn khi tắt nguồn. Nếu bạn gặp phải mối đe dọa vật lý trước mắt, hãy bỏ lại phần cứng và gọi đến số khẩn cấp tại địa phương của bạn (911 ở Hoa Kỳ và Canada, 112 trên toàn Liên minh Châu Âu, 999 ở Vương quốc Anh hoặc xem số khẩn cấp thư mục).

Cây quyết định phục hồi và phân loại khóa mã hóa ổ đĩa¶

flowchart TD
    Start["Đã khóa ổ đĩa được mã hóa: Lời nhắc BitLocker, FileVault hoặc LUKS"] --> WhichOS{"Hệ điều hành và công cụ mã hóa nào?"}

    WhichOS -->|"Windows: Màn hình khôi phục 48 chữ số BitLocker"| PeriphCheck["Bước 1: Rút phích cắm tất cả các ổ USB, đế Thunderbolt và màn hình ngoài; khởi động lại lạnh"]
    PeriphCheck --> StillLocked{"Vẫn yêu cầu khóa 48 chữ số?"}
    StillLocked -->|"Không: Đã khởi động bình thường"| BackupNow["Chạy ngay 'manage-bde -protectors -get C:' và lưu key 48 chữ số nhé"]
    StillLocked -->|"Có"| BIOSCheck{"Bạn vừa thay đổi BIOS, Secure Boot, CSM hoặc cập nhật chương trình cơ sở phải không?"}

    BIOSCheck -->|"Có"| RevertBIOS["Vào UEFI Setup: Kích hoạt lại Secure Boot, UEFI Boot Mode và Intel PTT/AMD fTPM để khôi phục hàm băm PCR 7"]
    BIOSCheck -->|"Không"| HuntKey["Bước 2: So khớp ID khóa 8-Char trên TẤT CẢ các Tài khoản Microsoft cá nhân, ID đầu vào cơ quan/trường học, Active Directory và tệp USB .BEK/.TXT"]
    RevertBIOS --> HuntKey

    WhichOS -->|"macOS: Đăng nhập FileVault từ chối mật khẩu"| ApplePath{"Apple Silicon/T2 Mac và Intel Mac?"}
    ApplePath -->|"Tất cả máy Mac"| TestLayout["Bước 1: Kiểm tra Menu nhập ở phía trên bên phải màn hình FileVault xem bố cục bàn phím có không khớp không"]
    TestLayout --> FVMethod{"Phương thức khôi phục nào đã được kích hoạt?"}
    FVMethod -->|"Ký quỹ tài khoản iCloud"| BootRecovery["Khởi động vào macOS Recovery: Xác thực bằng tài khoản Apple thông qua Recovery Assistant để đặt lại mật khẩu"]
    FVMethod -->|"Khóa khôi phục cá nhân 24-Char (PRK) hoặc MDM"| EnterPRK["Nhập khóa XXXX-XXXX-XXXX-XXXX-XXXX-XXXX trong Trợ lý khôi phục hoặc yêu cầu Khóa ký quỹ tổ chức từ bộ phận CNTT"]

    WhichOS -->|"Linux: LUKS / cryptsetup Cụm mật khẩu bị từ chối"| LUKSPath["Bước 1: Thả vào initramfs shell hoặc boot Live USB; kiểm tra bố cục bàn phím trong bảng điều khiển"]
    LUKSPath --> LUKSHeader{"Các khe khóa có còn nguyên vẹn trong 'cryptsetup luksDump' không?"}
    LUKSHeader -->|"Có: Khe khóa đang hoạt động"| TestPass["Kiểm tra các khe khóa phụ (Khe 1-7), mã thông báo FIDO2/TPM2 hoặc chạy hashcat Mode 29500 dựa trên bản sao lưu tiêu đề"]
    LUKSHeader -->|"Không: Tiêu đề bị hỏng"| RestoreHeader["Khôi phục tiêu đề LUKS từ '--header-backup-file' hoặc quét đĩa để tìm siêu dữ liệu còn sót lại"]

Tìm hiểu về Mã hóa toàn bộ đĩa và niêm phong TPM 2.0¶

Cả Windows BitLocker, Apple FileVault 2 và Linux đều không dm-crypt / LUKS mã hóa SSD của bạn trực tiếp bằng mật khẩu đăng nhập hoặc khóa khôi phục. Thay vào đó, cả ba nền tảng đều sử dụng hệ thống phân cấp khóa hai tầng:

1. Khóa chính khối lượng (VMK) / Khóa mã hóa toàn bộ khối lượng (FVEK): Khóa ngẫu nhiên phần cứng (128-bit, 256-bit hoặc 512-bit) mã hóa và giải mã các khu vực đĩa thực tế một cách nhanh chóng.
2. Bộ bảo vệ khóa / Khe khóa (KEK): Khóa chính của tập đĩa được gói bằng cách sử dụng Khóa mã hóa khóa (KEK) độc lập, được gọi là Bộ bảo vệ khóa trong BitLocker, Túi đựng chìa khóa trong Apple APFS và Khe khóa trong Linux LUKS.
3. Tại sao tính năng niêm phong TPM 2.0 lại khóa bạn trên Windows: Trên Windows 10 và 11, bộ bảo vệ khóa chính là chip Mô-đun nền tảng đáng tin cậy (TPM 2.0) (silicon hoặc chương trình cơ sở rời rạc Intel PTT / AMD fTPM). Khi BitLocker niêm phong Khóa chính của Tập đĩa vào TPM, nó sẽ liên kết khóa với Thanh ghi cấu hình nền tảng (PCR) cụ thể:
4. PCR 0: Băm phần sụn hệ thống UEFI/BIOS lõi.
5. PCR 2: Băm mã ROM tùy chọn phần cứng bên ngoài có thể cắm được (đế cắm Thunderbolt, thẻ RAID, GPU bên ngoài).
6. PCR 4: Băm trình quản lý khởi động (bootmgfw.efi) và trạng thái thứ tự khởi động.
7. PCR 7: Băm chính sách Khởi động an toàn và UEFI db / dbx cơ sở dữ liệu chứng chỉ.
8. PCR 11: Băm các thành phần kiểm soát truy cập BitLocker.

Bất cứ khi nào bạn nhấn nút nguồn, bo mạch chủ sẽ đo các thành phần phần sụn này trước khi tải Windows. Nếu bất kỳ bit nào trong PCR 0, PCR 2, PCR 4 hoặc PCR 7 khác với giá trị được ghi khi BitLocker được niêm phong, TPM sẽ từ chối giải phóng Khóa chính âm lượng và buộc Trình quản lý khởi động Windows hiển thị màn hình Khóa khôi phục BitLocker gồm 48 chữ số.

So sánh kiến trúc mã hóa toàn bộ đĩa và cơ chế phục hồi¶

Phần 1: Giải quyết tình trạng khóa khôi phục Windows BitLocker¶

Khi PC Windows của bạn dừng ở "BitLocker: Nhập khóa khôi phục cho ổ đĩa này" (hoặc Môi trường khôi phục Windows yêu cầu khóa trước khi cho phép truy cập Dấu nhắc lệnh hoặc Chế độ an toàn), hãy làm việc thông qua hai đường dẫn song song sau: Đường A cố gắng thuyết phục TPM mở khóa ổ đĩa mà không cần chìa khóa và Đường B truy tìm khóa 48 chữ số trên mọi vị trí lưu trữ kỹ thuật số và cục bộ.

Phần A: Bỏ qua lời nhắc BitLocker mà không cần khóa khôi phục (Khôi phục trạng thái TPM PCR)¶

Nếu bạn không xóa thủ công TPM hoặc di chuyển SSD NVMe sang bo mạch chủ mới thì Volume Master Key vẫn còn bên trong chip TPM 2.0 của bạn. Nó từ chối mở khóa vì phép đo PCR trước khi khởi động đã thay đổi. Hãy thử các khôi phục phần cứng và chương trình cơ sở không phá hủy này theo thứ tự:

1. Ngắt kết nối tất cả phần cứng và đế cắm bên ngoài:
2. Tắt nguồn máy tính hoàn toàn (giữ nút nguồn trong 10 giây).
3. Rút phích cắm của mọi ổ flash USB, ổ cứng ngoài, hub USB-C, ổ cắm Thunderbolt, thẻ SD và cáp màn hình ngoài.
4. Rút bộ sạc AC trong 15 giây, cắm trực tiếp bộ sạc gốc vào máy tính xách tay và bật nó lên. Đế cắm Thunderbolt và bộ chia USB-C thường chứa các ROM tùy chọn khởi động hoặc hiển thị mạng PXE nội bộ mở rộng sang PCR 2 và PCR 4, làm mất hiệu lực trạng thái TPM.
5. Khôi phục Chế độ Khởi động An toàn và Khởi động UEFI trong Thiết lập BIOS:
6. Khởi động lại và nhấn phím BIOS bo mạch chủ của bạn (F2 trên Dell/ASUS/Lenovo/Acer, F10 trên HP, Del trên bảng máy tính để bàn).
7. Nếu Khởi động an toàn gần đây đã được thay đổi từ Đã bật thành Đã tắt, hãy đặt lại thành Đã bật (Chế độ tiêu chuẩn) và lưu các thay đổi. Ngược lại, nếu bản cập nhật BIOS chuyển Khởi động an toàn thành Đã bật, hãy thử chuyển nó thành Tắt một lần.
8. Xác nhận Chế độ khởi động được đặt thành Chỉ UEFI (tắt Legacy / CSM) và xác nhận Windows Boot Manager là tùy chọn khởi động đầu tiên.
9. Xác minh Intel PTT hoặc AMD fTPM đã được bật (Không bao giờ nhấp vào "Xóa TPM"):
10. Sau khi hết pin CMOS hoặc thiết lập lại BIOS, bo mạch chủ đôi khi vô hiệu hóa phần sụn TPM (Intel Platform Trust Technology hoặc AMD CPU fTPM). Đi tới tab Bảo mật hoặc Máy tính đáng tin cậy trong BIOS và xác nhận Trạng thái TPM 2.0 là Đã bật.
11. Cảnh báo: Không bao giờ chọn "Xóa TPM" hoặc "Xóa fTPM NV" trong BIOS. Việc xóa TPM sẽ phá hủy vĩnh viễn Khóa gốc lưu trữ bên trong chip silicon, khiến khóa khôi phục 48 chữ số trở thành bắt buộc.
12. Khôi phục bản cập nhật viên nang BIOS bị lỗi:
13. Trên máy tính xách tay Dell, giữ Ctrl + Esc trong khi cắm nguồn AC để khởi chạy menu Dell BIOS Recovery và chọn Rollback BIOS. Trên máy tính xách tay HP, giữ Win + B trong khi nhấn nút nguồn trong 2 giây để kích hoạt quá trình khôi phục BIOS HP Sure Start.

Phần B: Tìm kiếm toàn diện Khóa khôi phục BitLocker gồm 48 chữ số của bạn¶

Nếu không thể khôi phục TPM (hoặc nếu bạn đã chuyển SSD sang hộp USB bên ngoài), bạn phải cung cấp mật khẩu khôi phục dạng số gồm 48 chữ số (XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX) hoặc một .BEK tập tin khóa khởi động. Viết 8 ký tự đầu tiên của ID khóa hiển thị trên màn hình (ví dụ: Key ID: 4F8A9C12) và kiểm tra sáu vị trí sau:

1. Tài khoản Microsoft cá nhân (account.microsoft.com/devices/recoverykey)¶

Ghé thăm https://account.microsoft.com/devices/recoverykey (hoặc https://aka.ms/myrecoverykey) trên điện thoại hoặc máy tính phụ. - Kiểm tra mọi tài khoản lịch sử: Mã hóa thiết bị sao lưu khóa cho bất kỳ Tài khoản Microsoft nào được sử dụng lần đầu khi PC được mở hộp, ngay cả khi sau đó bạn chuyển sang đăng nhập cục bộ. Đăng nhập và kiểm tra tất cả cũ @hotmail.com, @live.com, @outlook.com, hoặc liên kết @gmail.com tài khoản, cộng với tài khoản của vợ/chồng, cha mẹ hoặc kỹ thuật viên bất kỳ đã giúp thiết lập PC hoặc đăng nhập vào Microsoft Office hoặc Xbox Game Pass trên máy đó.

2. ID cơ quan, trường học hoặc trường đại học / Azure AD (myaccount.microsoft.com)¶

Ngay cả trên máy tính xách tay cá nhân tại nhà, nếu bạn đã từng đăng nhập vào các ứng dụng Microsoft 365 (Word, Excel, Teams) bằng địa chỉ email cơ quan, trường đại học hoặc khách hàng và để lại "Cho phép tổ chức của tôi quản lý thiết bị của tôi" đã được chọn, Windows sẽ tự động ký quỹ khôi phục BitLocker của bạn vào đối tượng thuê Microsoft Entra ID của tổ chức đó: 1. Ghé thăm https://myaccount.microsoft.com/device-list và đăng nhập bằng email cơ quan hoặc trường học của bạn. 2. Chọn tên máy tính của bạn và nhấp vào Xem khóa BitLocker. 3. Nếu tài khoản cơ quan hoặc trường học của bạn đã bị vô hiệu hóa, hãy gọi Bộ phận trợ giúp CNTT của tổ chức đó và cung cấp cho họ ID khóa 8 ký tự của bạn. Quản trị viên có thể truy xuất khóa cho các tài khoản đã bị vô hiệu hóa trong Thiết bị > Tất cả thiết bị > Khóa khôi phục trong entra.microsoft.com.

3. Thư mục hoạt động doanh nghiệp tại chỗ (msFVE-RecoveryInformation)¶

Nếu máy tính đã được kết nối với miền Active Directory, Quản trị viên miền có thể tra cứu khóa bằng ID khóa 8 ký tự của nó bằng PowerShell:

Get-ADObject -Filter {objectClass -eq 'msFVE-RecoveryInformation'} -Properties msFVE-RecoveryPassword, whenCreated |
  Where-Object { $_.Name -like "*4F8A9C12*" } | Select-Object Name, msFVE-RecoveryPassword, whenCreated

4. Tệp văn bản tự động hoặc thủ công trên ổ đĩa flash USB và ổ đĩa đám mây¶

Khi Windows lưu khóa khôi phục vào một tệp hoặc ổ USB, nó sẽ đặt tên cho tệp đó BitLocker Recovery Key [GUID].txt hoặc lưu một ẩn .BEK tập tin (attrib +h +s). Chạy tìm kiếm PowerShell này trên tất cả các ổ USB, ổ cứng ngoài, thư mục OneDrive, Google Drive và Dropbox trên một PC khác:

Get-PSDrive -PSProvider FileSystem | ForEach-Object {
    Get-ChildItem -Path $_.Root -Include "*BitLocker*Recovery*Key*.txt", "*.bek" -Recurse -Force -ErrorAction SilentlyContinue
} | Select-Object FullName, LastWriteTime

5. Trích xuất khóa cho ổ dữ liệu thứ cấp (D:) từ một Đã mở khóa C: Phân vùng¶

Nếu như C: khởi động bình thường và chỉ có ổ phụ D: bị khóa, hãy mở cửa sổ Administrator PowerShell trên C: và chạy manage-bde -protectors -get D: để xem liệu C: vẫn giữ khóa đăng ký tự động mở khóa hoặc kiểm tra các Bản sao bóng ổ đĩa trước đó của bạn Documents thư mục đã bị xóa BitLocker Recovery Key *.txt tập tin.

6. Lịch sử bộ đệm in và bản in PDF / OneNote¶

Nếu bạn đã bấm vào "In khóa khôi phục" trong khi thiết lập, hãy kiểm tra Microsoft OneNote và tìm kiếm Documents thư mục cho .pdf hoặc .xps các tệp được tạo thông qua "Microsoft Print to PDF".

Bài C: Mở khóa và giải mã ổ BitLocker từ Dấu nhắc lệnh WinRE (manage-bde)¶

Nếu nhập mật khẩu khôi phục gồm 48 chữ số ở màn hình xanh sẽ quay lại BitLocker trong lần khởi động lại tiếp theo hoặc làm hỏng Windows, hãy mở khóa và tạm dừng BitLocker khỏi Môi trường khôi phục Windows (WinRE) Dấu nhắc lệnh:

1. Nhấn Esc tại màn hình BitLocker, sau đó nhấp vào Bỏ qua ổ đĩa này -> Khắc phục sự cố -> Tùy chọn nâng cao -> Dấu nhắc lệnh.
2. Kiểm tra trạng thái và mở khóa âm lượng hệ điều hành (C:):

   manage-bde -status
   manage-bde -unlock C: -RecoveryPassword 123456-123456-123456-123456-123456-123456-123456-123456
   

   (Hoặc mở khóa bằng mã nhị phân .BEK tập tin trên thanh USB được ánh xạ dưới dạng F: qua manage-bde -unlock C: -RecoveryKey "F:\key.BEK").
3. Tạm dừng các trình bảo vệ để lời nhắc không quay trở lại trong lần khởi động lại tiếp theo:

   manage-bde -protectors -disable C:
   

   Khởi động lại vào Windows, sau đó chạy manage-bde -protectors -enable C: trong Dấu nhắc lệnh nâng cao để niêm phong lại Khóa chính của ổ đĩa dựa trên các hàm băm UEFI PCR mới.
4. Nếu Windows không khởi động được, hãy sao chép tệp ra hoặc giải mã hoàn toàn:

   robocopy C:\Users\YourUsername F:\RescueBackup /E /ZB /R:1 /W:1 /XJ
   manage-bde -off C:
   

Bài D: Gắn SSD BitLocker trên Linux (dislocker / cryptsetup) để cứu tập tin¶

Nếu bo mạch chủ Windows của bạn bị hỏng, hãy đặt SSD M.2 NVMe hoặc SATA vào vỏ USB-C bên ngoài (có kích thước khoảng 10 cm x 3 cm hoặc 4 inch x 1,2 inch) và mở khóa trên bất kỳ PC Linux hoặc Ubuntu Live USB nào:

# Method 1: Modern cryptsetup (v2.3+ natively supports BITLOCKER volumes)
sudo cryptsetup open --type bitlocker /dev/nvme0n1p3 bitlocker_unlocked
# Type the 48-digit recovery key INCLUDING hyphens when prompted
sudo mkdir -p /mnt/windows_data
sudo mount -t ntfs3 -o ro /dev/mapper/bitlocker_unlocked /mnt/windows_data

# Method 2: Using dislocker
sudo apt update && sudo apt install -y dislocker ntfs-3g
sudo mkdir -p /mnt/dislocker_raw /mnt/windows_rescue
sudo dislocker -V /dev/nvme0n1p3 -p123456-123456-123456-123456-123456-123456-123456-123456 -- /mnt/dislocker_raw
sudo mount -t ntfs-3g -o loop,ro /mnt/dislocker_raw/dislocker-file /mnt/windows_rescue

Phần 2: Giải quyết tình trạng khóa Apple macOS FileVault 2 và Secure Enclave¶

Trên macOS (High Sierra đến macOS Sequoia và mới hơn), FileVault 2 mã hóa toàn bộ ổ đĩa APFS (Apple File System). Trên máy Mac có Apple Silicon (M1, M2, M3, M4) hoặc Chip bảo mật Apple T2, ổ đĩa thực tế luôn được mã hóa ở trạng thái lưu trữ bằng cách sử dụng các khóa phần cứng bên trong Bộ xử lý vùng bảo mật (SEP). Việc bật FileVault sẽ kết thúc Khóa mã hóa ổ đĩa (VEK) phần cứng đó bằng Khóa mã hóa khóa (KEK) được lấy từ mật khẩu đăng nhập macOS và Khóa khôi phục FileVault của bạn.

Vì FileVault yêu cầu giải mã ổ đĩa APFS trước khi macOS tải từ ổ đĩa nên màn hình đầu tiên bạn nhìn thấy khi bật máy Mac hỗ trợ FileVault không phải là cửa sổ đăng nhập macOS thông thường mà là màn hình mở khóa FileVault EFI / iBoot trước khi khởi động.

Bước 1: Loại trừ nguyên nhân số 1 gây ra tình trạng khóa FileVault đột ngột (Bố trí bàn phím trước khi khởi động & bàn phím ngoài)¶

Trước khi cho rằng mật khẩu của bạn bị hỏng hoặc bắt đầu đặt lại, hãy kiểm tra ba vấn đề trước khi khởi động này khiến mật khẩu hợp lệ bị rung và từ chối ở màn hình khởi động FileVault:

1. Chuyển đổi menu nhập bàn phím trước khi khởi động: Màn hình FileVault trước khi khởi động sử dụng trình điều khiển bàn phím chương trình cơ sở rút gọn thường được đặt mặc định là US. QWERTY (hoặc ABC) ngay cả khi bạn nhập mật khẩu của mình bằng bố cục Vương quốc Anh, tiếng Đức (QWERTZ), tiếng Pháp (AZERTY) hoặc Dvorak bên trong macOS. Nhìn vào góc trên bên phải của màn hình đăng nhập FileVault, nhấp vào biểu tượng menu Nhập bàn phím và chọn bố cục bàn phím chính xác của bạn.
2. Định giờ bàn phím Bluetooth & Num Lock: Bàn phím Bluetooth của bên thứ ba thường bỏ hai lần nhấn phím đầu tiên khi thức dậy ở màn hình trước khi khởi động hoặc thiếu chỉ báo trạng thái Num Lock. Cắm bàn phím USB có dây trực tiếp vào máy Mac (hoặc sử dụng bàn phím MacBook tích hợp) và gõ chậm.
3. Nhiều người dùng quản trị viên trên cùng một máy Mac: Trong FileVault, mỗi tài khoản người dùng macOS được ủy quyền có mã thông báo mật mã độc lập riêng trong Túi khóa APFS (diskutil apfs listCryptoUsers /). Nếu tài khoản của bạn bị rung và không thành công, hãy nhấp vào ** biểu tượng người dùng Quản trị viên khác** trên màn hình FileVault và đăng nhập bằng mật khẩu của họ. Khi đã ở trong macOS, quản trị viên đó có thể đặt lại mật khẩu của bạn trong Cài đặt hệ thống > Người dùng & Nhóm.

Bước 2: Mở khóa FileVault thông qua Tài khoản Apple (iCloud) hoặc Khóa khôi phục cá nhân gồm 24 ký tự¶

Nếu mật khẩu của bạn vẫn không thành công ở màn hình đăng nhập FileVault:

1. Đợi Lời nhắc khôi phục: Sau khi nhập sai mật khẩu ba lần ở màn hình đăng nhập FileVault, macOS sẽ hiển thị các tùy chọn để đặt lại bằng Tài khoản Apple hoặc nhập Khóa khôi phục của bạn.
2. Hoặc khởi động trực tiếp vào macOS Recovery (Recovery Assistant):
3. Apple Silicon Mac (M1/M2/M3/M4): Tắt máy hoàn toàn, sau đó nhấn và giữ nút Nguồn (Touch ID) trong 10 giây cho đến khi "Đang tải tùy chọn khởi động..." xuất hiện, nhấp vào Tùy chọn và nhấp vào Tiếp tục.
4. Máy Mac Intel: Bật máy Mac và giữ Command (⌘) + R cho đến khi logo Apple xuất hiện.
5. Bên trong Reset Password Cửa sổ Trợ lý Khôi phục:
6. Kết nối với Wi-Fi ở góc trên bên phải màn hình hoặc cắm Ethernet.
7. Tùy chọn A (Ký quỹ tài khoản Apple): Nếu bạn đã bật khôi phục iCloud, hãy chọn Quên tất cả mật khẩu? -> Đăng nhập bằng tài khoản Apple. Nhập email, mật khẩu Tài khoản Apple của bạn và mã 2FA gồm 6 chữ số (nếu bạn bị mất điện thoại, hãy xem Khóa MFA và khôi phục trình xác thực hướng dẫn) để mở khóa ổ đĩa APFS và đặt mật khẩu mới.
8. Tùy chọn B (Khóa khôi phục cá nhân 24 ký tự): Chọn Nhập khóa khôi phục FileVault và nhập mã gồm 24 ký tự chữ và số của bạn (XXXX-XXXX-XXXX-XXXX-XXXX-XXXX).
9. Tùy chọn C (Ký quỹ MDM của Công ty / Đại học): Nếu máy Mac của bạn được quản lý thông qua Jamf Pro, Kandji, Mosyle hoặc Microsoft Intune, hãy gọi cho Bộ phận trợ giúp CNTT kèm theo số sê-ri của máy Mac để họ có thể đọc cho bạn Khóa khôi phục FileVault gồm 24 ký tự được ký quỹ.

Bước 3: Mở khóa ổ đĩa FileVault APFS theo cách thủ công từ Terminal (diskutil apfs unlockVolume)¶

Nếu Trợ lý khôi phục đồ họa không thể gắn ổ đĩa của bạn, hãy mở Tiện ích -> Thiết bị đầu cuối bên trong macOS Recovery và mở khóa ổ đĩa APFS theo cách thủ công:

# 1. List all APFS containers and encrypted volumes to find the Volume Identifier (e.g., disk3s5)
diskutil apfs list

# 2. List all cryptographic users (UUIDs) authorized to unlock that APFS volume
diskutil apfs listCryptoUsers /dev/disk3s5

# 3. Unlock the APFS volume using either your user password OR your 24-character Recovery Key:
diskutil apfs unlockVolume /dev/disk3s5 -passphrase "YOUR-XXXX-XXXX-XXXX-XXXX-XXXX-KEY"

# 4. Copy critical files from '/Volumes/Macintosh HD - Data' to an external USB drive:
cp -Rv "/Volumes/Macintosh HD - Data/Users/yourusername/Documents" "/Volumes/ExternalUSB/Backup/"

Phần 3: Giải quyết Linux LUKS (dm-crypt / cryptsetup) khóa mã hóa¶

Các bản phân phối Linux (Ubuntu, Fedora, Debian, Arch Linux, Red Hat Enterprise Linux, Pop._OS và Qubes OS) dựa vào LUKS (Thiết lập khóa hợp nhất Linux), thường là LUKS2, được quản lý bởi cryptsetup và dm-crypt. Khi một máy Linux rơi vào tình trạng (initramfs) hoặc dracut vỏ nói cryptsetup failed, bad password or options, hãy làm theo bốn bước sau:

Bước 1: Kiểm tra sơ đồ bàn phím của bảng điều khiển và bố cục bàn phím đồ họa¶

Trong quá trình khởi động trước initramfs pha, hệ thống sử dụng sơ đồ bàn phím của bảng điều khiển Linux (/etc/vconsole.conf), thường được mặc định là us ngay cả khi bạn đã định cấu hình bố cục lập trình viên tùy chỉnh của Vương quốc Anh, tiếng Đức, tiếng Pháp hoặc bên trong Gnome hoặc KDE. Khởi động Linux Live USB, mở một thiết bị đầu cuối đồ họa nơi bạn có thể nhập cụm mật khẩu của mình một cách rõ ràng trong trình soạn thảo văn bản để xác minh mọi ký tự và mở khóa ổ đĩa từ Live USB:

lsblk -f
sudo cryptsetup luksOpen /dev/nvme0n1p3 my_encrypted_root

Bước 2: Kiểm tra tiêu đề LUKS và kiểm tra các khe khóa phụ (cryptsetup luksDump)¶

LUKS1 hỗ trợ 8 khe khóa độc lập (0 đến 7) và LUKS2 hỗ trợ tối đa 32 khe khóa (0 đến 31), cùng với phần cứng Mã thông báo (systemd-tpm2 hoặc systemd-fido2). Kiểm tra tiêu đề của bạn mà không thay đổi bất cứ điều gì trên đĩa:

sudo cryptsetup luksDump /dev/nvme0n1p3

sudo systemd-cryptenroll --wipe-slot=tpm2 --tpm2-device=auto --tpm2-pcrs=7 /dev/nvme0n1p3

Bước 3: Khôi phục từ tiêu đề LUKS2 bị hỏng hoặc bị ghi đè¶

Trong LUKS, tất cả các khe khóa đều nằm trong 2 megabyte (LUKS1) hoặc 16 megabyte (LUKS2) đầu tiên của phân vùng. Nếu như cryptsetup luksDump nói not a valid LUKS device, hãy thực hiện các bước sau:

1. Hình ảnh 32 MB đầu tiên trước khi chạm vào bất cứ thứ gì:

   sudo dd if=/dev/nvme0n1p3 of=~/damaged_luks_first32mb.img bs=1M count=32 status=progress
   

2. Cố gắng sửa chữa siêu dữ liệu JSON thứ cấp LUKS2 tự động (cryptsetup repair):
3. LUKS2 lưu trữ hai bản sao dự phòng của siêu dữ liệu tiêu đề nhị phân và JSON ở phần bù 0x0000 và bù đắp 0x4000 (16KB). Nếu chỉ có bản sao chính ở byte 0 bị ghi đè, sudo cryptsetup repair /dev/nvme0n1p3 xây dựng lại nó từ 0x4000.
4. ** Khôi phục từ Bản sao lưu tiêu đề LUKS đã lưu (luksHeaderRestore)**:
5. Mở khóa không phá hủy bằng tệp sao lưu tiêu đề bên ngoài:

   sudo cryptsetup luksOpen --header /path/to/luks-header.bak /dev/nvme0n1p3 rescued_volume
   

Bước 4: Kiểm tra các cụm mật khẩu được nhớ một phần bằng hashcat¶

Mặc dù bạn không thể ép buộc Khóa khôi phục BitLocker 48 chữ số ngẫu nhiên hoặc Khóa khôi phục Apple gồm 24 ký tự (\(2^{128}\) bit entropy), nhưng bạn có thể kiểm tra các biến thể của cụm mật khẩu LUKS do con người chọn hoặc mật khẩu người dùng tùy chỉnh BitLocker nếu bạn nhớ các từ cơ bản:

# For Linux LUKS2 (mode 29500) or LUKS1 (mode 14600):
sudo dd if=/dev/nvme0n1p3 of=luks_header.bin bs=1M count=16
hashcat -m 29500 luks_header.bin my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

# For BitLocker protected by a custom User Password (mode 22100):
bitlocker2john -i /dev/nvme0n1p3 | grep "\$bitlocker\$0\$" > user_pass.hash
hashcat -m 22100 user_pass.hash my_candidate_words.txt -r /usr/share/hashcat/rules/best64.rule

Phòng ngừa: Cách xây dựng bản sao lưu mã hóa ổ đĩa chống khóa ngay bây giờ¶

Thời điểm bạn lấy lại quyền truy cập vào máy tính của mình (hoặc trên mọi máy tính khác mà bạn sở hữu hiện nay), hãy dành năm phút để thực hiện các lệnh này để lỗi bo mạch chủ hoặc bản cập nhật chương trình cơ sở không bao giờ có thể bẫy các tệp của bạn nữa:

1. Trên Windows (Xuất Khóa khôi phục BitLocker của bạn và tạm dừng trước khi cập nhật BIOS)¶

Mở Quản trị viên PowerShell hoặc Dấu nhắc lệnh và xuất mật khẩu khôi phục gồm 48 chữ số hiện tại của bạn:

# Display all BitLocker recovery keys and Key IDs across all drives
Get-BitLockerVolume | Select-Object MountPoint, VolumeStatus, -ExpandProperty KeyProtector |
  Where-Object { $_.KeyProtectorType -eq 'RecoveryPassword' } |
  Select-Object MountPoint, KeyProtectorId, RecoveryPassword

2. Trên macOS (Xác minh hoặc xoay Khóa khôi phục FileVault của bạn)¶

Mở Terminal và kiểm tra xem ai được ủy quyền mở khóa đĩa khởi động APFS của bạn:

sudo fdesetup status
diskutil apfs listCryptoUsers /

sudo fdesetup changerecovery -personal

3. Trên Linux (Sao lưu tiêu đề LUKS của bạn và đăng ký Keyslot dự phòng)¶

Luôn giữ một bản sao tiêu đề LUKS 16 megabyte của bạn trên ổ USB bên ngoài và đăng ký cụm mật khẩu khôi phục 64 ký tự được in vào Keyslot 1:

# 1. Back up the binary LUKS header to an external USB drive
sudo cryptsetup luksHeaderBackup /dev/nvme0n1p3 --header-backup-file /media/usb/luks-header-nvme0n1p3.bak

# 2. Add an independent emergency recovery passphrase into Keyslot 1
sudo cryptsetup luksAddKey --key-slot 1 /dev/nvme0n1p3

Danh sách kiểm tra sẵn sàng mã hóa khẩn cấp¶

• Xuất Khóa khôi phục BitLocker gồm 48 chữ số của bạn (bao gồm ID khóa gồm 8 ký tự**) và lưu nó bên trong quản lý mật khẩu và được in trên giấy bên trong két chống cháy cách mặt sàn ít nhất 1,5 mét (5 feet).
• In hoặc lưu Khóa khôi phục FileVault macOS gồm 24 ký tự cùng với khóa khôi phục 28 ký tự của Tài khoản Apple của bạn.
• Sao lưu tiêu đề LUKS Linux 16 megabyte (cryptsetup luksHeaderBackup) vào ổ USB ngoại tuyến nên việc vô tình ghi đè lên phân vùng không thể phá hủy tất cả các khe khóa.
• Duy trì sự độc lập, tự động Sao lưu máy tính 3-2-1 để ngay cả khi bộ điều khiển SSD bị hỏng hoặc khóa mã hóa bị quên cũng không bao giờ phá hủy những bức ảnh, tài liệu thuế hoặc mã nguồn không thể thay thế của bạn.

Câu hỏi thường gặp¶

Hướng dẫn liên quan¶

• Màn hình xanh Windows (BSOD) và sửa chữa khởi động
• hoảng loạn nhân macOS, màn hình đen và phục hồi
• Lỗi khởi động hệ thống Linux và sửa chữa GRUB
• Khóa trình quản lý mật khẩu và khôi phục kho tiền khẩn cấp
• Lỗi ổ cứng và phục hồi dữ liệu
• Sao lưu máy tính: Chiến lược 3-2-1 và khắc phục thảm họa
• Danh mục số khẩn cấp

Đã kiểm tra nguồn¶

• Viện Tiêu chuẩn và Công nghệ Quốc gia (NIST) (Hoa Kỳ): Ấn bản Đặc biệt 800-111 của NIST: Hướng dẫn về Công nghệ Mã hóa Lưu trữ cho Thiết bị Người dùng Cuối & FIPS 197 (AES-XTS).
• Tài liệu chính thức của Microsoft Learn: Tổng quan về khôi phục BitLocker, Hồ sơ xác thực thanh ghi cấu hình nền tảng TPM (PCR 0-11) và manage-bde Tham chiếu dòng lệnh.
• Hướng dẫn bảo mật nền tảng Apple: Mã hóa ổ đĩa với FileVault, Túi khóa APFS, Nguồn gốc tin cậy của phần cứng bảo mật và Ký quỹ khóa khôi phục cá nhân/tổ chức.
• Nhóm máy tính đáng tin cậy (TCG) (Quốc tế): Thông số kỹ thuật thư viện TPM 2.0 và Thông số kỹ thuật cấu hình chương trình cơ sở nền tảng máy khách PC.
• Thông số kỹ thuật chính thức của GitLab Cryptsetup / LUKS2: Đặc tả định dạng trên đĩa LUKS2, Khe khóa cứng bộ nhớ Argon2id PBKDF và Quy trình sao lưu/sửa chữa tiêu đề.