- BIOS-opdateringen ændrer det miljø, der validerer TPM'en, og kan få BitLocker til at bede om gendannelsesnøglen.
- Det er vigtigt at finde og gemme BitLocker-nøglen (konto, printer eller USB), før du ændrer firmwaren.
- Midlertidig suspendering af BitLocker på systemdrevet reducerer problemer efter flashing af BIOS.
- Nogle modeller, især i Dell-virksomhedsmiljøer, kræver at man følger specifikke producentretningslinjer.
I denne artikel vil vi se trin for trin og i detaljer, Hvad du bør gøre før og efter opdatering af BIOS med BitLockerHvad kan der ske med TPM'en, hvordan får man fat i gendannelsesnøglen, hvis den beder om den, og hvorfor nogle computere (såsom flere Dell-modeller, ASUS-bundkort eller MSI B450/B550 m.fl.) viser tilsyneladende modstridende advarsler, der er endnu mere forvirrende.
Hvad sker der mellem BIOS, BitLocker og TPM, når du opdaterer
For at forstå, hvorfor BitLocker nogle gange begynder at bede om gendannelsesnøglen ved hver opstart efter en BIOS-opdatering, er det nødvendigt at forstå, hvordan de hænger sammen. BIOS / UEFITPM- og BitLocker-kryptering. Hvis du ved, hvad der ændres, er det meget nemmere at tage forholdsregler og ikke gå i panik, når den blå skærm vises.
BitLocker er på de fleste moderne computere baseret på en TPM 2.0 chip som sikkert gemmer en del af krypteringsnøglerne. Denne chip verificerer, at boot-miljøet (firmware, sikker boot, grundlæggende konfiguration) er det samme, som da disken blev krypteret. Hvis den registrerer betydelige ændringer, fortolker den dette som et muligt angreb og tvinger den anmodning om gendannelsesnøgle for at sikre dig, at det er dig, der starter udstyret.
I nogle stationære computere med bundkort som f.eks. MSI B450 Tomahawk Max For eksempel inkluderer producenten med en ASUS B550-F meget alvorlige advarsler i nye BIOS-versioner: de anbefaler at aktivere BitLocker og gemme (eller verificere) gendannelsesnøglen, før du flasher BIOS, fordi hvis noget går galt, kan du miste adgangen til Windows. Beskeden lyder alarmerende, men den underliggende idé er enkel: hvis TPM'en holder op med at genkende miljøet og kræver nøglen, skal du absolut have den fundet.
I professionelle bærbare computere, som f.eks. Dell Latitude Eller med udstyr i virksomhedsklassen fra Dell, HP eller Lenovo bliver tingene lidt mere komplicerede, fordi virksomhedsledelse også spiller ind: ofte er BitLocker-nøglen ikke kun på din konto, men lagret i organisationen (firmadomæne, universitet osv.), og BIOS'en kan blive opdateret automatisk af producentens guide eller via IT-politikker.
Hvorfor insisterer producenter så meget på BitLocker, før de opdaterer BIOS?
Producenternes budskaber kan virke modstridende: nogle fortæller dig, at Aktivér BitLocker og gem nøglen. Nogle beder dig om at deaktivere BitLocker før opdatering, mens andre beder dig om at gøre det stik modsatte, dvs. deaktivere det før flashing. Begge advarsler har til formål at reducere risici, men de fokuserer på forskellige faser af processen.
I tilfælde af plader som MSI B450 Tomahawk MaxMed BIOS-opdateringer, der har til formål at aktivere eller forbedre TPM-understøttelse (for eksempel for at opfylde Windows 11-krav), advarer installationsprogrammet om, at det er afgørende at have BitLocker korrekt konfigureret og frem for alt at have din gendannelsesnøgle let tilgængelig. Årsagen er, at en ændring i, hvordan firmwaren eksponerer TPM'en, kan udløse en anmodning om nøglen ved næste opstart.
Andre systemer, som mange andre ASUS B550 bundkortNår de registrerer, at systemdrevet er beskyttet af BitLocker, viser de en meddelelse, før de flasher BIOS'en, hvor de beder dig om at deaktivere det. Målet er at forhindre, at drevet krypteres, mens firmwaren opdateres, hvilket minimerer opstartsproblemer og undgår gendannelsesløkker, hvis TPM'en ændrer sin interne tilstand for meget.
I nogle tilfælde, som mange brugere har bemærket, vises bundkortets BIOS-opdateringsværktøj stadig, selvom du deaktiverer BitLocker fra Windows' grafiske brugerflade. advarslen om, at BitLocker er aktivDette kan skyldes, at der stadig er konfigureret beskyttelsesfunktioner på drevet, at dvaletilstanden ikke er anvendt korrekt, at der er andre krypterede drev (f.eks. USB-drev), eller at systemet ikke har gennemført nedlukningscyklussen.
På Dell bærbare computere og andre virksomhedscomputere spiller den måde, firmwareopdateringer distribueres på, også en rolle. Det er almindeligt, at Producentens guide installerer automatisk BIOS. under en rutinemæssig opdatering. Derefter kan BitLocker ved næste opstart kræve gendannelsesnøglen og nogle gange fortsætte med at anmode om den ved hver genstart, fordi TPM'en ikke helt "stoler på" den nye firmwaresignatur eller den nye Secure Boot PK-nøgle.
Hvor finder jeg BitLocker-gendannelsesnøglen, hvis BIOS beder om den
Hvis du efter en BIOS-opdatering får den blå BitLocker-skærm, der beder om den 48-cifrede adgangskode, er det vigtigste at vide præcis hvor det er opbevaretDer er flere almindelige steder, hvor din nøgle kan opbevares, afhængigt af hvordan enheden blev konfigureret, og om den tilhører en organisation.
I arbejds- eller uddannelsesmiljøer er det meget almindeligt, at enheden er tilsluttet en virksomheds- eller skoledomæneHvis du nogensinde har logget ind med en arbejds- eller skolekonto, er din gendannelsesnøgle normalt knyttet til den konto og administreres af IT-afdelingen. I disse tilfælde skal du ofte kontakte support for at få den nøgle, der er knyttet til dit drevs identifikator.
Microsoft har en specifik side til at finde gendannelsesnøgler knyttet til arbejds- eller skolekonti. Fra en anden enhed kan du gå til AKA.MS/MinGendannelsesnøgleFor at logge ind med din arbejds- eller skolekonto skal du gå til afsnittet Enheder og udvide den enhed, som du skal bruge nøglen til. Der finder du normalt en mulighed for "Vis BitLocker-nøgler", hvor du kan finde ved hjælp af Nøgle-ID som viser den blå skærm, den tilsvarende gendannelsesnøgle.
Hvis din computer er personlig, og du selv har konfigureret BitLocker, har du muligvis udskrevet nøglen, da kryptering blev aktiveret. Det er en god idé at kontrollere de mapper eller filer, hvor du normalt gemmer vigtige dokumenter, der er knyttet til computeren, fordi trykt nøgleark Den viser tydeligt ID'et og de 48 cifre, der er nødvendige for at låse enheden op i tilfælde af problemer.
En anden almindelig mulighed er at gemme gendannelsesnøglen i en USB-drevHvis enheden i så fald er låst på den blå skærm, skal du tilslutte USB-drevet til den samme enhed og følge instruktionerne på BitLocker-skærmen for at læse nøglen fra enheden. Hvis nøglen er gemt som en tekstfil, kan du også tilslutte USB-drevet til en anden computer, åbne .txt-filen og omhyggeligt kopiere de 48 cifre for manuelt at indtaste dem, hvor det bliver bedt om.
På moderne enheder, der er knyttet til en personlig Microsoft-konto, kan nøglen være knyttet til din Microsoft-profil på virksomhedens hjemmeside, selvom den mest pålidelige metode i professionelle miljøer normalt er organisationens konto på den førnævnte portal eller direkte kontakt til IT-support. Under alle omstændigheder er det afgørende ikke at foretage yderligere ændringer i BIOS (f.eks. sletning af TPM), før du har fundet og opbevaret gendannelsesnøglen sikkert.
Hvornår er det tilrådeligt at suspendere eller deaktivere BitLocker, før BIOS opdateres?
På dette tidspunkt er det store spørgsmål som regel: skal jeg deaktiver BitLocker helt Skal jeg suspendere beskyttelsen, før jeg flasher BIOS, eller er det nok? Og desuden, på hvilke drev skal jeg gøre dette: kun på Windows-drevet, eller også på USB-drev og sekundære harddiske?
Hvis du bare vil forhindre BitLocker i at bede om din gendannelsesnøgle efter en firmwareændring, er den bedste fremgangsmåde normalt at midlertidigt suspendere beskyttelsen på systemdrevet, før BIOS-opdateringen startes. I Windows kan du fra Kontrolpanel under BitLocker-drevkryptering vælge drev C: og bruge indstillingen "Afbryd beskyttelse", så TPM'en accepterer platformændringer uden at fremtvinge den blå skærm.
At suspendere opstartsprocessen dekrypterer ikke disken; det fortæller blot BitLocker, at den skal tillade visse ændringer i opstartsmiljøet uden at kræve gendannelsesnøglen. Når BIOS-opdateringen er fuldført, og du har bekræftet, at Windows starter korrekt, kan du vende tilbage til det samme panel og klikke på "Genoptag beskyttelse" for at gendanne krypteringen til normal drift ved at forsegle den aktuelle konfiguration i TPM'en igen.
I visse situationer, såsom dem der forekommer i visse ASUS B550-F bundkortBIOS-flasheren kan fortsætte med at vise advarsler, der insisterer på, at BitLocker stadig er aktiv, selvom du har suspenderet den fra Windows. I disse tilfælde er det værd at kontrollere via kommandolinjen med administrere-bde beskytternes faktiske status og sikre, at systemet har anvendt suspenderingsordren korrekt.
Andre krypterede drev, såsom USB-flashdrev eller eksterne harddiske, kan kun forstyrre opdateringsprocessen, hvis BIOS-installationsprogrammet registrerer dem på en problematisk måde. Som hovedregel er dette tilstrækkeligt. Fjern alle ikke-essentielle enheder fra computeren Før du flasher (eksterne drev, USB-drev osv.), skal du fokusere på at sikre, at systemdrevet er i suspenderet BitLocker, ikke nødvendigvis deaktiveret eller fuldstændigt dekrypteret.
Hvad skal man gøre, hvis BitLocker-nøglen bliver anmodet om, hver gang computeren starter efter opdateringen?
Et af de mest irriterende problemer, som brugere af professionelle bærbare computere rapporterer, er, at efter en firmware- eller BIOS-opdatering (for eksempel i en Dell LatitudeBitLocker begynder at spørge efter gendannelsesnøglen ved hver opstart, uden undtagelse. Du indtaster de 48 cifre, Windows 11 starter uden problemer, men det samme sker igen ved næste genstart.
Det første, der normalt anbefales, er at logge ind i Windows, gå til Kontrolpanel og i BitLocker-sektionen bruge indstillingerne for "Sluk beskyttelse" og derefter "Genoptag beskyttelse"Denne proces burde give TPM'en mulighed for at forsegle opstartsmålingerne igen under hensyntagen til den nye BIOS-version, hvilket i teorien ville forhindre yderligere nøgleanmodninger ved efterfølgende genstarter.
Hvis det ikke virker, kan du arbejde med kommandolinjeværktøjet manage-bde ved hjælp af kommandoer som manage-bde -protectors -disable c: og, når den er genstartet, manage-bde -protectors -enable c:Dette tvinger BitLocker til at genberegne beskyttelsesstatussen på drevet. På nogle computere fortsætter adfærden dog: systemet starter, men fortsætter med at kræve gendannelsesnøglen.
Det er også nødvendigt at kontrollere i BIOS, at TPM 2.0-chippen faktisk er til stede. aktiveret og aktivog at Sikker opstart er aktiveret i overensstemmelse med BitLocker-konfigurationen. Kontinuerlige ændringer af disse parametre kan forvirre TPM'en og få den til aldrig at betragte miljøet som "stabilt", hvilket forlænger genoprettelsesløkken ved hver opstart.
En mere drastisk foranstaltning er at bruge muligheden for "Ryd TPM" eller "Slet TPM" i BIOS. Dette nulstiller sikkerhedschippen og kan hjælpe med at løse problemer med opstartsvalidering, men det er ikke en beslutning, der skal tages let: Hvis du rydder TPM'en uden en klar forståelse af BitLocker-status og uden garanteret adgang til gendannelsesnøglen, kan du muligvis ikke dekryptere disken eller miste funktioner som Windows Hello PIN-koden, før de er omkonfigureret.
Før det punkt når man, anbefales det generelt at gennemgå alle BitLocker-indstillinger for suspendering og genoptagelse omhyggeligt, kontrollere for eventuelle ventende firmwareændringer og, på virksomhedsenheder, rådføre dig med IT-afdelingenNogle gange involverer løsningen en opdatering til en nyere BIOS-version, der korrigerer adfærden, eller anvendelse af en specifik opstartsplatformpolitik i virksomhedsmiljøet.
Specifikationer for Dell-udstyr og kendte problemer med BIOS-opdateringer
I Dell-økosystemet er der nogle dokumenterede tilfælde, hvor BIOS-opdateringer kombineret med BitLocker og administration af Secure Boot-platformnøgler (PK) har genereret problemer, der er alvorlige nok til at stoppe visse opdateringer, der distribueres af Windows Update.
I flere modeller, som f.eks. Dell 14 Plus 2-i-1 DB04255, Dell 14 Plus DB14255 og Dell 16 Plus DB16255Der er rapporteret et specifikt problem med BIOS version 1.2.0 og nyere. Opdateringer til disse versioner via Windows Update er blevet sat på pause indtil cirka november 2025 (anslået dato kan ændres), mens Microsoft arbejder på en løsning. ny opdateringsmetode der løser konflikten med PK-nøglen og interaktionen med BitLocker.
I denne periode er den officielle anbefaling ikke at bruge Windows Update til at opdatere BIOS, men at gå til Dell.com eller Dell SupportAssist-værktøjet for at hente den seneste firmwareversion til hvert berørt system. Dette har til formål at minimere risikoen for, at BitLocker-gendannelsesnøglen bliver beskadiget, eller at enheden bliver låst under opdateringsprocessen.
Dells dokumentation viser også en omfattende liste over produktfamilier, der er påvirket af forskellige BitLocker- og BIOS-relaterede scenarier: Dell Pro Max Micro, Pro Max Slim, Pro Max Tower, Dell Plus, Dell Pro, Pro Max, Pro Plus, Pro Premium, Latitude, Pro Rugged, Vostro og stationære arbejdsstationerBlandt andet. Hvert serie kan have forskellige nuancer, men den generelle idé er den samme: det er tilrådeligt at følge producentens specifikke vejledninger, gennemgå supportmeddelelser og sørge for at have gendannelsesnøglen ved hånden, før du rører ved noget.
Derudover udgiver Dell regelmæssigt artikler i sin vidensbase med detaljerede trin til at gendanne systemer, der sidder fast og anmoder om BitLocker-nøglen efter firmwareopdateringer. I administrerede miljøer kan virksomhedens eget enhedsstyringssystem centralt gemme nøglerne og give IT-afdelingen mulighed for at gendanne TPM-tilliden med den nye BIOS uden at kræve brugerindgriben udover genstart, når du bliver bedt om det.
Generelle bedste fremgangsmåder før opdatering af BIOS med BitLocker aktiveret
Ved at kombinere erfaringer med forskellige producenter og brugercases fra den virkelige verden kan vi uddrage et par fornuftige retningslinjer for, hvordan man håndterer BIOS-opdateringer på en computer med BitLocker aktiveret uden unødvendigt besvær. De er ikke idiotsikre regler, men de kan hjælpe. gode praksisser, der reducerer risici betydeligt.
Det første er at sørge for, at Ved du, hvor din gendannelsesnøgle er? Og at du kan få adgang til den, selvom hovedcomputeren ikke starter. Dette indebærer at tjekke din Microsoft- eller organisationskonto, finde eventuelle udskrevne dokumenter eller filer på et USB-drev, og hvis det er en virksomhedscomputer, bekræfte at IT-support kan hente den, hvis du ikke kan finde den.
For det andet, gennemgå nøje BIOS-udgivelsesnoter som du er ved at installere, og eventuelle advarsler, som producenten har inkluderet på downloadsiden eller i installationsprogrammet. Hvis de beder dig om at suspendere BitLocker, skal du gøre det. Hvis de advarer om kendte problemer med en bestemt version, skal du overveje, om du virkelig har brug for den opdatering lige nu, eller om du kan vente på en senere, mere poleret version.
Det er altid tilrådeligt at udføre en seneste sikkerhedskopiering Sikkerhedskopier dine vigtige data, før du rører ved firmwaren. Selv hvis BIOS-opdateringer har et godt ry for din specifikke model, kan ethvert strømsvigt, strømafbrydelse eller afbrydelse efterlade din computer i en usikker tilstand. En sikkerhedskopi forhindrer ikke problemet, men den giver dig i det mindste mulighed for at gendanne dine oplysninger, hvis løsningen involverer geninstallation eller udskiftning af komponenter.
Med hensyn til BitLocker-status er den mest afbalancerede mulighed normalt den, medmindre producenten angiver andet. suspendér beskyttelsen på systemenheden Lige før du starter opdateringen og genoptager den efter at have bekræftet, at Windows starter korrekt med den nye BIOS. Hvis installationsprogrammet fortsætter med at registrere BitLocker, selv efter du har suspenderet det, skal du overveje, om du stadig vil fortsætte, eller om du foretrækker at finde specifikke oplysninger om dit bundkort eller din model.
Undgå endelig at foretage for mange ændringer efter hinanden: det er ikke en god idé at opdatere BIOS, ændre indstillingerne for sikker opstart, trykke på opstartstilstanden (UEFI/Legacy) og slette TPM'en på én gang. gå skridt for skridtIntroducer en ændring, verificer at systemet starter op uden problemer, og foreslå først derefter den næste. På den måde, hvis noget går i stykker, ved du meget bedre, hvad der skete, og det vil være lettere at vende tilbage til den tidligere tilstand eller bede om hjælp med specifikke oplysninger.
Ved bedre at forstå, hvordan BIOS, TPM og BitLocker interagerer, hvor gendannelsesnøgler gemmes, og hvilke forebyggende foranstaltninger du kan tage, ophører opdatering af firmware med at være et teknologisk sats og bliver en delikat, men håndterbar opgave, forudsat at producentens advarsler respekteres, og de oplysninger, der er nødvendige for at genvinde adgang til systemet, opbevares sikre, hvis krypteringen beslutter sig for at blive strengere efter ændringen.
