Как восстановить данные с диска, зашифрованного BitLocker

Восстановление данных с диска, зашифрованного BitLocker, — это не одна и та же задача в каждом случае. Если пароль забыт, но ключ восстановления под рукой, решение занимает пять минут. Совсем другая ситуация — повреждённая таблица разделов на зашифрованном томе или системный диск, который после изменения аппаратной части потерял привязку к TPM: том по-прежнему существует, но найти и разблокировать его уже сложнее, чем просто ввести пароль в Windows. Это руководство охватывает оба случая — как для системного тома (C), так и для любого дополнительного зашифрованного тома данных (D).

Содержание

1. Тома, а не диски: что на самом деле защищает BitLocker
2. Почему диск, зашифрованный BitLocker, становится недоступным
3. Где найти ключ восстановления BitLocker
4. Как восстановить данные с диска, зашифрованного BitLocker, с помощью RS Partition Recovery
5. Почему простое сканирование не работает на заблокированном томе BitLocker

Тома, а не диски: что на самом деле защищает BitLocker

BitLocker шифрует том, а не физический диск. На одном диске может быть несколько разделов, и BitLocker может быть включён только на части из них — процесс восстановления зависит от того, с каким именно томом вы имеете дело и в каком он состоянии.

Внутри BitLocker создаёт Full Volume Encryption Key (FVEK) и шифрует каждый сектор тома с помощью AES в режиме CBC или XTS, а в старых версиях Windows дополнительно используется Elephant Diffuser. Ключ FVEK оборачивается с помощью Volume Master Key (VMK), а сам VMK защищается одним или несколькими механизмами: TPM (Trusted Platform Module), PIN-кодом, паролем, смарт-картой или 48-значным ключом восстановления. Всё это не требует прямого знания FVEK — достаточно одного рабочего средства защиты, чтобы развернуть VMK и получить доступ к тому. Вы можете проверить, какие средства защиты настроены на работающей системе, с помощью:

manage-bde -protectors -get C:

Это также объясняет, почему повреждённая таблица разделов не означает автоматический тупик для восстановления данных BitLocker.

Метаданные FVE, описывающие том, не зависят от таблицы разделов — это отдельная структура со своей сигнатурой. Если таблица разделов утеряна, том в Windows отображается как RAW или как неразмеченное пространство, но зашифрованные сектора и заголовок FVE остаются на месте. Инструмент, который читает только таблицу разделов, сообщает: «разделы не найдены». RS Partition Recovery сканирует сигнатуру FVE напрямую на уровне диска, ещё до ввода какого-либо ключа, поэтому он может определить том BitLocker даже тогда, когда таблицы разделов уже нет.

При этом сами средства защиты обычно различаются для системного и для тома с данными, хотя формат метаданных FVE у них одинаковый:

• Системный/загрузочный том (C:): обычно защищён TPM, часто в паре с PIN-кодом. TPM привязывает ключ к конкретной материнской плате и конфигурации загрузки, поэтому перенос диска на другой компьютер делает защиту TPM бесполезной — войти можно только с помощью ключа восстановления или пароля, если они были настроены.
• Том с данными (D:): чаще использует пароль, смарт-карту или авторазблокировку, когда VMK для D шифруется ключом, хранящимся (и сам тоже зашифрованным) на системном томе, и автоматически освобождается после загрузки Windows на исходной машине. Вне этой исходной ОС авторазблокировка не срабатывает, и для D нужен собственный рабочий механизм защиты — обычно отдельный ключ восстановления, отличный от того, что используется для C.

Именно поэтому один и тот же диск может запросить ключ восстановления для C при загрузке, а затем принимать только совершенно другой ключ для D: два тома не обязательно защищены одним и тем же механизмом, хотя сам процесс расшифровки одинаков, как только предоставлено действительное средство защиты.

Почему диск, зашифрованный BitLocker, становится недоступным

Сбой защитника — лишь одна из категорий проблем. На практике трудности с доступом обычно сводятся к нескольким повторяющимся сценариям:

• Замена материнской платы, обновление UEFI/BIOS или изменение конфигурации Secure Boot делают состояние TPM недействительным, и система снова запрашивает ключ восстановления.
• Процесс шифрования или расшифровки прерывается — из-за отключения питания, принудительного завершения работы или сбоя процесса manage-bde — и том остается частично зашифрованным.
• Диск переносят на другой компьютер, где для него вообще нет привязки к TPM, и тогда срабатывают только ключ восстановления или пароль.
• Повреждена или перезаписана таблица разделов (ошибки диспетчера дисков, неудачная переустановка ОС, случайное переразметирование), и том отображается как RAW или нераспределенный, хотя под этим уровнем он по-прежнему зашифрован и физически цел.
• Контроллер домена, где хранится ключ восстановления, становится недоступен, либо ключ никогда не был сохранен в месте, доступном текущему пользователю.
• Диск с bad-секторами затрагивает область, где находится FVE-метаданные, и сам BitLocker уже не может прочитать собственный заголовок.

Где найти ключ восстановления BitLocker

Прежде чем считать, что данные потеряны, стоит проверить обычные места, где может оказаться ключ восстановления BitLocker:

• Учетная запись Microsoft — если ПК настраивался с ее использованием, ключ часто загружается автоматически и доступен на account.microsoft.com/devices/recoverykey.
• Печатная копия или текстовый файл, сохраненный во время настройки, обычно с именем, содержащим уникальный ID диска (например, BitLocker Recovery Key XXXXXXXX-XXXX-...txt).
• Azure AD / Entra ID — для рабочих или учебных устройств: администратор может найти ключ по устройству или Key ID.
• Администратор домена, если компьютер подключен к локальному домену Active Directory, в котором ключи BitLocker сохраняются автоматически.
• Сохраненный USB-ключ, если том был настроен на разблокировку с помощью файла стартового ключа (BEK), а не введенного пароля.

Если найдено несколько ключей, сопоставьте их по Key ID — по тому же ID, который отображается на экране разблокировки или определяется RS Partition Recovery при обнаружении тома, поскольку каждый защитник привязан к конкретному VMK.

Как восстановить данные с диска, зашифрованного BitLocker, с помощью RS Partition Recovery

RS Partition Recovery обнаруживает том BitLocker на этапе первоначального сканирования диска, независимо от того, сохранена ли таблица разделов. Ключ, пароль или файл BEK запрашиваются до начала анализа, а не в его процессе — поэтому рабочий порядок такой:

Подключите диск и запустите сканирование. Программа определяет том BitLocker по сигнатуре FVE, даже если таблица разделов отсутствует или том отображается как RAW.

Когда появится запрос, укажите пароль, 48-значный ключ восстановления или один либо несколько файлов ключей .bek. При необходимости можно добавить сразу несколько файлов BEK, если неясно, какой из них подходит.

Если ключ неверный, программа сразу сообщает об ошибке разблокировки — она не переходит к бессмысленному сканированию зашифрованных секторов, как если бы это были обычные данные.

После разблокировки том расшифровывается на лету во время анализа — так же, как встроенный драйвер BitLocker расшифровывает его при обычной работе Windows.

Просмотрите восстановленное дерево файлов и сохраните результаты на другой физический диск, а не на исходный.

Почему простое сканирование не работает на заблокированном томе BitLocker

Зашифрованные сектора статистически неотличимы от случайных данных. Инструмент восстановления, который сканирует заблокированный том BitLocker в поисках сигнатур файлов — заголовка JPEG, локального заголовка ZIP и так далее, — иногда будет находить такие байтовые шаблоны просто по случайности внутри зашифрованного потока. В результате получается видимость обычного сканирования: список «восстановленных» файлов .jpg, .zip или .docx. Ни один из них не откроется, потому что реального файла там изначально не было — совпадение сигнатуры оказалось случайным. Это частый источник путаницы, когда инструмент вообще не распознаёт BitLocker и просто воспринимает том как неструктурированные данные.