Откуда взялся BitLocker, если я его не включал
Начиная с Windows 11 версии 22H2, Microsoft изменила политику: если устройство поддерживает Modern Standby и имеет TPM 2.0, BitLocker Device Encryption включается автоматически при первом входе в учётную запись Microsoft. Это не тот BitLocker, который включаете вручную через Панель управления, а упрощённая версия Device Encryption. Она шифрует весь системный диск, а ключ автоматически загружается в учётную запись Microsoft. Проблема в том, что при сбое TPM, обновлении BIOS или переустановке Windows ключ в TPM теряется, и система просит 48-значный ключ восстановления.
Где найти ключ восстановления
Первым делом проверил свою учётную запись Microsoft. Зашёл на account.microsoft.com/devices/recoverykey, вошёл под своим аккаунтом. Там оказался список всех устройств с ключами BitLocker. Нашёл свой ноутбук, скопировал 48-значный ключ, ввёл его при загрузке, и диск разблокировался. Если у вас несколько устройств, ключ будет привязан к конкретному Device ID, его можно посмотреть в настройках BitLocker на рабочем компьютере.
Что делать, если ключа нет в учётной записи
Бывает, что ключ не загрузился или вы вошли не под той учётной записью. Проверьте все свои Microsoft-аккаунты, включая рабочие и учебные. Если входили через Azure AD или Entra ID, ключ может храниться в корпоративном портале: myaccount.microsoft.com. Там в разделе "Устройства" можно найти ключи восстановления. Если устройство корпоративное, обратитесь к сисадмину, у него должен быть доступ к ключам через портал Intune или Azure AD.
Ключ потерялся навсегда: можно ли спасти данные
Если ключа нигде нет, у меня плохие новости: данные на диске не восстановить. BitLocker использует AES-128 или AES-256, взломать его локально невозможно, это не то шифрование, что было в старых версиях Windows. Варианты: либо найти ключ, либо форматировать диск и потерять всё. Я пробовал программы типа Passware Kit, которые обещают "восстановление BitLocker", но это работает только если у вас есть хотя бы часть ключа или парольная фраза, а не 48-значный recovery key.
Как отключить BitLocker, если он мешает
После того как я разблокировал диск, сразу отключил шифрование, чтобы не повторять этот квест. Открыл Параметры → Конфиденциальность и защита → Шифрование устройства. Там был переключатель "Шифрование устройства", выключил его. Система начала расшифровку, это заняло около часа. После этого диск стал обычным, и при переустановке Windows никаких ключей не потребовалось. Если у вас Windows Pro, можно использовать классический BitLocker через Панель управления → Шифрование диска BitLocker, там больше контроля: можно сохранить ключ на флешку, распечатать или сохранить в файл.
Профилактика: сохранение ключа заранее
Теперь на всех новых устройствах я сразу сохраняю ключ в надёжное место. Включаю BitLocker вручную через Панель управления, выбираю "Сохранить в файл", копирую этот файл на внешний диск и в облако (не Microsoft, а другое, например Яндекс.Диск). Также распечатываю ключ на бумаге и кладу в сейф. Звучит параноидально, но когда потеряешь доступ к данным один раз, начинаешь ценить бумажные копии.
Проблема с TPM и обновлениями BIOS
Отдельная история: после обновления BIOS на моём ASUS ROG ключ BitLocker в TPM сбросился, и при следующей загрузке система потребовала recovery key. Хорошо, что я сохранил его заранее. Если планируете обновлять BIOS, сначала отключите BitLocker через manage-bde -off C: в командной строке от админа, обновите BIOS, потом включите обратно. Иначе придётся вводить 48-значный ключ после каждого обновления.
Автоматическая разблокировка через TPM
Когда BitLocker включён правильно, TPM автоматически разблокирует диск при загрузке, и вы не видите никаких запросов. Но если TPM сбросился или повреждён, система потребует recovery key. Проверить статус TPM можно командой tpm.msc, там будет показано, готов ли TPM к использованию. Если TPM не работает, BitLocker не сможет автоматически разблокировать диск, и придётся либо чинить TPM, либо отключать шифрование.
Что делать с корпоративными устройствами
Если ноутбук выдан на работе и управляется через Intune или SCCM, ключ восстановления хранится у администратора. Самостоятельно отключить BitLocker не получится, политики это запрещают. Обращайтесь в IT-отдел, они предоставят ключ или отключат шифрование удалённо. В моей компании после нескольких инцидентов с потерей данных изменили политику: теперь BitLocker включается только вручную, и ключи сохраняются в корпоративном хранилище с доступом для сотрудников.
Итог: как не потерять данные
Проверьте прямо сейчас, включён ли BitLocker на вашем устройстве: Параметры → Конфиденциальность и защита → Шифрование устройства. Если включён, убедитесь, что ключ есть в вашей учётной записи Microsoft или сохранён в другом месте. Если ключа нет, сохраните его сейчас, пока диск разблокирован. Перед обновлением BIOS или переустановкой Windows отключайте BitLocker, иначе потеряете доступ к данным. Это не теория, у меня в офисе за последний год три человека попали в эту ситуацию, и один потерял все рабочие файлы, потому что ключ не сохранил.