Štítek: TPM

Dnes to bude trochu netypické, jsou situace, kdy z nějakého důvodu potřebujete deaktivovat BitLocker, protože brání spuštění systému Windows, nebo přístupu k datům. Tento stav může nastat při chybě čipu TPM, případně vzácně při aktualizaci UEFI. Dále popsanou cestou jde řešit i poměrně vzácná chyba, kdy si BitLocker vyžádá po pinu obnovovací klíč a následně dojde k restartu, po kterém se stav opakuje.

Pro řešení výše popsaných problémů potřebujeme mít přístup k příkazové řádce, tedy nabootovat počítač z instalačního média systému Windows. Zde je nutné podotknout, že pokud je šifrovaným systémem Windows 10, nebo Windows 11, potřebujeme instalační médium systému Windows 10 minimálně verze 1703 (instalačka tedy nemusí být úplně aktuální). Po nabootování z instalačního média potvrdíme jazyk a rozložení klávesnice, následně otevřeme příkazovou řádku (buď pomocí SHIFT + F10, nebo pomocí možností opravy systému). Nástrojem Diskpart zjistíme označení uzamčené systémové jednotky (příkaz list volume)

Nyní přistoupíme k vlastnímu odemčení jednotky pomocí:

• hesla: manage-bde –unlock C: -password He$!o
• obnovovacího klíče: manage-bde –unlock E: -recoverypassword xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx
• USB klíče: manage-bde –unlock E: -recoverykey F:\Backupkeys\recoverykey.bek

Po úspěšném odemčení jednotky potřebujeme ochranu pozastavit, aby se s restartem jednotka opět neuzamkla. Pozastavení ochrany provedeme příkazem:

manage-bde -protectors -disable C:

Pokud (např. kvůli aktualizacím) potřebujeme pozastavit ochranu na více než jeden restart, využijeme parametr rc, následující příkaz pozastaví ochranu na 3 restarty:

manage-bde -protectors -disable C: -rc 3

Pokud víme, že problémy s BitLockerem jsou způsobeny chybou TPM modulu, je možné provést tzv. vynucenou obnovu. Tato možnost způsobí, že veškeré klíče nástroje BitLocker, které jsou uloženy v TPM, budou vymazány při staru počítače a jedinou možností, jak danou jednotku odemknout je použití obnovovacího klíče, nebo disku USB k odemčení jednotky. Vynucenou obnovu provedeme příkazem:

manage-bde –forcerecovery C:

Nejzazším scénářem je úplné dešifrování jednotky, které je proveditelné příkazem:

manage-bde –off C: