วันนี้จะอธิบายวิธีกู้ข้อมูลจากฮาร์ดดิสก์ที่เสียหายหรือเข้าถึงไม่ได้ ซึ่งเข้ารหัสด้วย BitLocker จะแสดงกรณีง่ายและกรณีที่ BitLocker drive เสียหาย ปัญหานี้อาจเกิดจาก File system corruption บนดิสก์ที่เข้ารหัส (เช่น พื้นที่ฮาร์ดดิสก์ที่ BitLocker เก็บข้อมูลสำคัญเสียหายจากการปิดเครื่องไม่ปกติ) ไม่สามารถบูท OS หรือ BitLocker recovery console และข้อผิดพลาดคล้ายกันที่ป้องกันการเปิดข้อมูลที่เข้ารหัสได้อย่างปกติ ปัญหาเหล่านี้อาจเกิดกับ System disk และ Removable/USB disk ได้ทั้งคู่
เราจะใช้ยูทิลิตี้ Repair-bde.exe (BitLocker Repair Tool) สำหรับกู้ข้อมูล เครื่องมือบรรทัดคำสั่งที่ปรากฏตั้งแต่ Windows 7 / Server 2008 R2 ใช้เพื่อเข้าถึงและกู้ข้อมูลที่เข้ารหัสบนดิสก์ที่เสียหายและเข้ารหัสด้วย BitLocker
ข้อกำหนดสำหรับกู้ข้อมูลจาก BitLocker volume
เพื่อกู้ข้อมูลจาก BitLocker-encrypted drive คุณต้องมีองค์ประกอบความปลอดภัย BitLocker อย่างน้อย 1 อย่าง:
- BitLocker recovery password (รหัสที่ป้อนใน Windows GUI เมื่อปลดล็อกดิสก์เข้ารหัส)
- BitLocker Recovery key
- System startup key (.bek) — Key บน USB flash drive ที่ปลดล็อกบูทพาร์ติชันอัตโนมัติโดยไม่ต้องป้อนรหัส BitLocker
BitLocker Recovery Key คือลำดับตัวอักษร 48 ตัวอักษร สร้างขึ้นตอนสร้าง BitLocker volume สามารถพิมพ์เก็บไว้ (ในที่ปลอดภัย) บันทึกเป็นไฟล์ข้อความบนดิสก์ท้องถิ่น (ไม่แนะนำ เพราะถ้าดิสก์นั้นเสีย จะไม่ถอดรหัสข้อมูลได้) หรือบันทึกบน External drive หรือบันทึกใน Microsoft account ออนไลน์
BitLocker recovery key หาได้ในบัญชี Microsoft บนเว็บไซต์ ไปที่ https://onedrive.live.com/recoverykey
หากไม่มี Recovery key จะไม่สามารถเข้าถึงข้อมูลที่เข้ารหัสได้ เพราะ BitLocker ออกแบบมาเพื่อปกป้องไฟล์จากผู้ใช้อื่น
รายละเอียดเพิ่มเติมเกี่ยวกับการกู้ข้อมูลจาก BitLocker drive: ข้อมูลต้องกู้คืนไปยังดิสก์แยกที่มีขนาดเท่ากับหรือมากกว่าดิสก์ที่เข้ารหัส ระหว่างการกู้ข้อมูล เนื้อหาทั้งหมดของดิสก์ปลายทางจะ ถูกลบ และแทนที่ด้วยข้อมูลที่ถอดรหัสจาก BitLocker volume ในตัวอย่าง Disk F: (2 GB) เป็น USB stick ที่เข้ารหัสด้วย BitLocker ไม่สามารถเปิดได้ สำหรับกู้ข้อมูล เรามาวงค์ External HDD เพิ่มเติม Data (G:) ขนาด 10 GB
วิธีปลดล็อก BitLocker encrypted drive ใน Windows
สถานการณ์ง่ายที่สุด: ต้องการปลดล็อก BitLocker encrypted drive จากภายใน Windows คุณอาจมี External drive หรือ USB flash drive ที่ป้องกันด้วย BitLocker ไม่สามารถเปิดได้ หรือต้องการเปิดดิสก์เข้ารหัสบนคอมพิวเตอร์อื่น
เชื่อมต่อไดรฟ์ไปที่ Control Panel → System and Security → BitLocker Drive Encryption (มีใน Windows Professional และสูงกว่า) ในรายการดิสก์ เลือก BitLocker encrypted disk คลิก Unlock Drive
ขึ้นอยู่กับวิธีความปลอดภัย ให้ระบุ Password, PIN, Recovery key และเชื่อมต่อ Smart card เพื่อปลดล็อก ถ้าไม่รู้รหัสผ่าน แต่มี Recovery key ที่บันทึกไว้ ให้เลือก Advanced settings → Enter recovery key
หากมี Recovery key หลายชุด สามารถระบุ key ที่ต้องการได้จาก Identifier ที่แสดงในหน้าต่าง หากระบุ Key ถูกต้อง Disk จะถูกปลดล็อกและเข้าถึงข้อมูลได้
วิธีปลดล็อก BitLocker drive ที่ติดตั้ง Windows
พิจารณากรณีที่ System drive (ที่ติดตั้ง Windows) ถูกเข้ารหัสด้วย BitLocker และ Windows ไม่บูทได้ถูกต้อง (BSOD, ค้างตอนบูท, อัปเดตผิดพลาด ฯลฯ)
ลองรัน Windows Recovery Environment (จะเริ่มอัตโนมัติถ้า Windows บูทไม่สำเร็จ 3 ครั้งติดกัน) หาก WinRE ไม่ทำงาน ให้บูทจาก Windows 10 Installation disk, MsDaRT 10 recovery image หรือ Bootable disk อื่น เพื่อรัน Command Prompt เลือก Troubleshoot → Advanced options → Command Prompt หรือกด Shift + F10
ตรวจสอบสถานะดิสก์ทั้งหมดด้วยคำสั่ง (เพื่อระบุดิสก์ที่เข้ารหัส BitLocker):
manage-bde -status
ผลลัพธ์ควรมีข้อความ: BitLocker Drive Encryption: Volume D หมายถึง Disk D ถูกเข้ารหัส
ปลดล็อกด้วยคำสั่ง:
manage-bde -unlock D: -pw
คำสั่งจะขอป้อน BitLocker password: Enter the password to unlock this volume:
หากรหัสถูกต้อง จะแสดง: The password successfully unlocked volume D:.
ดิสก์ของคุณถูกถอดรหัสแล้ว สามารถดำเนินการกู้คืน OS ต่อไปได้
หากต้องการปิดการป้องกัน BitLocker drive ทั้งหมด ให้รัน:
manage-bde -protectors -disable D:
รีสตาร์ทคอมพิวเตอร์ ตอนนี้ Windows boot drive ไม่ได้เข้ารหัสแล้ว
กู้ข้อมูลโดยใช้ BitLocker Password
ลองวิธีนี้ก่อน (ทำงานใน Windows 10, 8.1 / Server 2012 /R2/2016 หรือใหม่กว่า):
- เปิด Command Prompt เป็น Administrator
- รันคำสั่ง:
repair-bde F: G: -pw –Forceโดย F: คือดิสก์ที่มีข้อมูล BitLocker และ G: คือดิสก์ปลายทางสำหรับข้อมูลที่ถอดรหัส - ระหว่างรันคำสั่ง จะต้องป้อน BitLocker password (รหัสที่ผู้ใช้ระบุใน Windows GUI เพื่อเข้าถึง Encrypted volume)
ถอดรหัส Volume โดยใช้ BitLocker Recovery Key
เพื่อถอดรหัสข้อมูลบน Volume ที่เสียหายและเข้ารหัสด้วย BitLocker ต้องใช้ Recovery key หรือ System boot key (ถ้าพาร์ติชันระบบถูกเข้ารหัส)
รันการกู้ข้อมูลด้วย Key นี้:
repair-bde F: G: -rp 288209-513086-417508-646412-162954-590672-167552-664563 –Force
หาก BitLocker ใช้เข้ารหัส Windows system partition และใช้ Boot key บน USB flash drive เพื่อบูทระบบ สามารถถอดรหัส Volume ได้ดังนี้:
repair-bde F: G: -rk I:\2F538474-923D-4330-4549-61C32BA53345.BEK –Force
โดย 2F538474-923D-4330-4549-61C32BA53345.BEK คือ Key สำหรับรัน BitLocker Drive Encryption บน USB flash drive I: (โดยค่าเริ่มต้นไฟล์นี้ Hidden)
หลังจากกู้ข้อมูลและถอดรหัสเสร็จ ต้องตรวจสอบดิสก์ปลายทางที่สกัดเนื้อหา Volume ไปก่อนเปิดใช้งาน รันคำสั่งและรอจนเสร็จ:
Chkdsk G: /f
หมายเหตุ หากวิธีข้างต้นไม่ช่วยกู้ข้อมูลจาก Encrypted disk ได้ ลองสร้าง Sector-by-sector copy ของดิสก์ที่เสียหายด้วย Linux tool DDRescue (หรือ Tool อื่นสำหรับกู้ข้อมูลจาก Partition ที่เสียหาย) เมื่อเสร็จแล้ว ลองกู้ข้อมูลจาก Copy นั้นด้วยวิธีที่กล่าวมา
วิธีเข้าถึง BitLocker encrypted drive ใน Linux
สามารถเปิด BitLocker encrypted disk ใน Linux ได้ ต้องใช้ยูทิลิตี้ DisLocker และ BitLocker recovery key
บาง Distribution (เช่น Ubuntu) มี DisLocker อยู่แล้ว หากไม่มี ให้ดาวน์โหลดและคอมไพล์ด้วยตนเอง:
tar -xvjf dislocker.tar.gz
ไฟล์ INSTALL.TXT ระบุว่าต้องติดตั้ง libfuse-dev package:
sudo apt-get install libfuse-dev
คอมไพล์แพ็กเกจ:
cd src/make make install
ไปที่ mnt directory สร้าง 2 โฟลเดอร์ (สำหรับ Encrypted และ Decrypted partition):
cd /mnt
mkdir Encr-part
mkdir Decr-part
หา Encrypted partition (คำสั่ง fdisk -l) และถอดรหัสด้วย Recovery key ไปในโฟลเดอร์ที่สอง:
dislocker -r -V /dev/sdb1 -p your-bitlocker-recovery-key /mnt/Encr-part
ตัวอย่างนี้ใช้ DisLocker ในโหมด FUSE (Filesystem in Userspace) ซึ่งช่วยให้ผู้ใช้สร้าง File system ของตัวเองได้โดยไม่ต้องมีสิทธิ์พิเศษ ในโหมด FUSE จะถอดรหัสเฉพาะ Block ที่ระบบเข้าถึง ("on the fly") ระยะเวลาเข้าถึงข้อมูลเพิ่มขึ้น แต่โหมดนี้ปลอดภัยกว่า
มาวงค์ Partition:
mount -o loop Driveq/dislocker-file /mnt/Decr-part
ตอนนี้ควรเห็นไฟล์ทั้งหมดบน Encrypted partition
