- Ажурирање BIOS-а мења окружење које валидира TPM и може проузроковати да BitLocker затражи кључ за опоравак.
- Важно је пронаћи и сачувати BitLocker кључ (налог, штампач или USB) пре промене фирмвера.
- Привремено суспендовање БитЛокера на системском диску смањује проблеме након флешовања БИОС-а.
- Неки модели, посебно у Dell пословним окружењима, захтевају праћење специфичних смерница произвођача.
У овом чланку ћемо корак по корак и детаљно видети шта треба да урадите пре и после ажурирања BIOS-а помоћу BitLocker-а , шта се може десити са TPM-ом, како добити кључ за опоравак ако га затражи и зашто неки рачунари (као што су неколико Dell модела, ASUS матичне плоче или MSI B450/B550, између осталих) приказују наизглед контрадикторна упозорења која су још збуњујућа.
Шта се дешава између BIOS-а, BitLocker-а и TPM-а када ажурирате
Да бисте разумели зашто BitLocker понекад почиње да тражи кључ за опоравак при сваком покретању након ажурирања BIOS-а, потребно је да разумете како су BIOS/UEFI , TPM и BitLocker шифровање повезани. Знање шта се мења олакшава предузимање мера предострожности и избегавање панике када се појави плави екран.
БитЛокер, на већини модерних рачунара, ослања се на TPM 2.0 чип који безбедно чува део кључева за шифровање. Овај чип проверава да ли је окружење за покретање (фирмвер, Secure Boot, основна конфигурација) исто као када је диск шифрован. Ако открије значајне промене, то тумачи као могући напад и форсира захтев за кључем за опоравак како би се осигурало да ви покрећете рачунар.
На неким десктоп рачунарима са матичним плочама попут MSI B450 Tomahawk Max или ASUS B550-F, произвођач укључује веома озбиљна упозорења уз нове верзије BIOS-а: препоручују омогућавање BitLocker-а и чување (или проверу) кључа за опоравак пре флешовања BIOS-а, јер ако нешто крене наопако, могли бисте изгубити приступ Windows-у. Порука звучи узнемирујуће, али основна идеја је једноставна: ако TPM престане да препознаје окружење и захтева кључ, апсолутно га морате пронаћи.
На професионалним лаптоповима попут Dell Latitude-а или опреме пословног нивоа од Dell-а, HP-а или Lenovo-а, ствари постају мало компликованије јер корпоративно управљање такође долази до изражаја: често BitLocker кључ није само на вашем налогу, већ се чува у организацији (домен компаније, универзитет итд.), а BIOS може аутоматски ажурирати помоћник произвођача или ИТ политике.
Зашто произвођачи толико инсистирају на БитЛокеру пре ажурирања БИОС-а?
Поруке произвођача могу деловати контрадикторно: неке вам кажу да активирате БитЛокер и сачувате кључ пре ажурирања, док друге траже да урадите управо супротно, деактивирајући БитЛокер пре флешовања. У стварности, оба упозорења имају за циљ смањење ризика, али се фокусирају на различите фазе процеса.
У случају матичних плоча попут MSI B450 Tomahawk Max , са ажурирањима BIOS-а усмереним на омогућавање или побољшање TPM подршке (на пример, да би се испунили захтеви Windows 11), инсталатер упозорава да је кључно да BitLocker буде правилно конфигурисан и, пре свега, да кључ за опоравак буде лако доступан. Разлог је тај што промена у начину на који фирмвер открива TPM може покренути захтев за кључем при следећем покретању.
Други системи, као што су многе матичне плоче ASUS B550 , приказују поруку пре флешовања BIOS-а када открију да је системски диск заштићен BitLocker-ом, подстичући вас да га онемогућите. Циљ је спречити шифровање диска док се фирмвер ажурира, минимизирајући проблеме са покретањем и избегавајући петље опоравка ако се унутрашње стање TPM-а превише драстично промени.
У неким случајевима, како су многи корисници пријавили, чак и ако онемогућите БитЛокер преко графичког интерфејса оперативног система Windows, алатка за ажурирање BIOS-а матичне плоче и даље приказује упозорење да је БитЛокер активан . То може бити зато што су на диску још увек конфигурисане заштите, процес спавања није правилно примењен, постоје други шифровани дискови (као што су USB флеш дискови) или систем није завршио цео циклус онемогућавања.
На Dell лаптоповима и другим пословним рачунарима, начин дистрибуције ажурирања фирмвера такође игра улогу. Уобичајено је да произвођачев асистент аутоматски инсталира BIOS током рутинског ажурирања. Након тога, при следећем покретању, BitLocker може захтевати кључ за опоравак и, понекад, наставити да га захтева при сваком поновном покретању јер TPM не „верује“ у потпуности новом потпису фирмвера или новом Secure Boot PK кључу.
Где пронаћи кључ за опоравак БитЛокера ако га БИОС затражи
Ако се након ажурирања BIOS-а појави плави екран за BitLocker, који тражи да унесете лозинку од 48 цифара, кључ је у томе да знате тачно где је лозинка сачувана . Постоји неколико уобичајених локација где се ваша лозинка може чувати, у зависности од тога како је ваш рачунар конфигурисан и да ли припада организацији.
У радним или образовним окружењима, веома је уобичајено да уређај буде повезан са корпоративним или школским доменом . Ако сте се икада пријавили са пословним или школским налогом, кључ за опоравак је обично повезан са тим налогом и њиме управља ИТ одељење. У тим случајевима, често ћете морати да контактирате подршку да бисте добили кључ повезан са идентификатором вашег уређаја.
Мајкрософт има посебну страницу за проналажење кључева за опоравак повезаних са пословним или школским налозима. Са другог уређаја можете да одете на AKA.MS/MyRecoveryKey , пријавите се помоћу пословног или школског налога, одете у одељак Уређаји и проширите уређај за који вам је потребан кључ. Тамо ћете обично пронаћи опцију „Прикажи BitLocker кључеве“, где можете пронаћи одговарајући кључ за опоравак користећи ИД кључа приказан на плавом екрану.
Ако имате персонални рачунар и сами сте подесили БитЛокер, можда сте одштампали кључ када је активирано шифровање. Добра је идеја да проверите фасцикле или датотеке у којима обично чувате важне документе повезане са рачунаром, јер одштампани кључ јасно приказује ИД и 48 цифара потребних за откључавање диска у случају проблема.
Још једна уобичајена опција је чување кључа за опоравак на УСБ уређају . У том случају, ако се рачунар заглави на плавом екрану, повежите УСБ уређај са истим рачунаром и пратите упутства на екрану програма BitLocker да бисте прочитали кључ са уређаја. Ако је кључ сачуван као текстуална датотека, можете повезати УСБ уређај и са другим рачунаром, отворити .txt датотеку и пажљиво копирати 48 цифара да бисте их ручно унели где се то од вас затражи.
На модерним рачунарима повезаним са личним Microsoft налогом, кључ за опоравак може бити повезан са вашим Microsoft профилом на веб локацији компаније, мада је у професионалним окружењима најпоузданија метода обично налог организације на горе поменутом порталу или директно контактирање ИТ подршке. У оба случаја, кључно је да не правите никакве даље измене у BIOS-у (као што је брисање TPM-а) пре него што пронађете и безбедно сачувате кључ за опоравак.
Када је препоручљиво суспендовати или онемогућити БитЛокер пре ажурирања БИОС-а?
У овом тренутку, главно питање је обично: да ли морам потпуно да онемогућим БитЛокер пре флешовања БИОС-а или је довољно да обуставим заштиту? И, штавише, на којим дисковима то морам да урадим: само на Windows диску или и на УСБ дисковима и секундарним чврстим дисковима?
Ако једноставно желите да спречите да вас BitLocker пита за кључ за опоравак након ажурирања фирмвера, најбољи начин деловања је обично да привремено обуставите заштиту на системском диску пре покретања ажурирања BIOS-а. У оперативном систему Windows, из контролне табле, под BitLocker Drive Encryption, можете изабрати диск C: и користити опцију „Обустави заштиту“ да бисте омогућили TPM-у да прихвати промене платформе без покретања плавог екрана.
Суспендовање процеса покретања не дешифрује диск; једноставно говори BitLocker-у да дозволи одређене промене у окружењу за покретање без потребе за кључем за опоравак. Када се ажурирање BIOS-а заврши и потврдите да се Windows исправно покреће, можете се вратити на исти панел и кликнути на „Настави заштиту“ да бисте вратили шифровање у нормалан рад поновним запечаћивањем тренутне конфигурације у TPM-у.
У неким ситуацијама, као што је случај са одређеним матичним плочама ASUS B550-F , BIOS флешер може наставити да приказује упозорења инсистирајући да је BitLocker и даље активан, чак и ако сте га суспендовали из Windows-а. У тим случајевима, вреди проверити стварни статус заштите путем командне линије користећи ` manage-bde` и осигурати да је систем правилно применио команду за суспендовање.
Што се тиче других шифрованих дискова, као што су USB флеш дискови или екстерни чврсти дискови, они могу ометати процес ажурирања само ако их инсталатер BIOS-а открије на проблематичан начин. Као опште правило, довољно је уклонити све небитне уређаје са рачунара пре флешовања (екстерне чврсте дискове, флеш дискове итд.) и осигурати да је на системском диску BitLocker суспендован, не нужно онемогућен или потпуно дешифрован.
Шта урадити ако се након ажурирања захтева БитЛокер кључ сваки пут када се рачунар покрене
Један од најнеугоднијих проблема које пријављују корисници професионалних лаптопова је тај што, након ажурирања фирмвера или BIOS-а (на пример, на Dell Latitude- у), BitLocker почиње да тражи кључ за опоравак при сваком покретању, без изузетка. Унесете 48 цифара, Windows 11 се покреће без проблема, али се иста ствар понавља при следећем поновном покретању.
Прво што се обично препоручује јесте да се пријавите у Windows, одете на Контролну таблу и у одељку BitLocker користите опције „Обустави заштиту“, а затим „Настави заштиту“ . Овај процес би требало да омогући TPM-у да поново запечати мерења покретања на основу нове верзије BIOS-а, што би теоретски требало да спречи даље захтеве за кључем при наредним поновним покретањима.
Ако то не успе, можете користити алатку командне линије `manage-bde` са командама као што су ` manage-bde -protectors -disable c:` и, након поновног покретања, `manage-bde -protectors -enable c:` . Ово приморава BitLocker да поново израчуна статус заштите на диску. Међутим, на неким рачунарима проблем и даље постоји: систем се покреће, али и даље захтева кључ за опоравак.
Такође би требало да проверите у BIOS-у да ли је TPM 2.0 чип омогућен и активан , и да ли је Secure Boot омогућен у складу са подешавањима BitLocker-а. Континуиране промене ових параметара могу збунити TPM и спречити га да икада сматра окружење „стабилним“, чиме се продужава петља опоравка са сваким покретањем.
Драстичнија мера је коришћење опције „Обриши TPM“ у BIOS-у. Ово ресетује безбедносни чип и може помоћи у решавању проблема са валидацијом покретања, али то није одлука коју треба донети олако: ако обришете TPM без јасног разумевања статуса BitLocker-а и без гарантованог приступа кључу за опоравак, можда нећете моћи да дешифрујете диск или изгубите функције попут вашег Windows Hello PIN-а док се поново не конфигуришу.
Пре него што дођете до те тачке, генерално је препоручљиво пажљиво прегледати све опције обустављања и настављања рада BitLocker-а, проверити да ли постоје ажурирања фирмвера на чекању и, на пословним системима, консултовати се са ИТ одељењем . Понекад решење укључује ажурирање на новију верзију BIOS-а која исправља понашање или имплементацију одређене политике платформе за покретање у корпоративном окружењу.
Специфичности Dell опреме и познати проблеми са ажурирањима BIOS-а
У Dell екосистему постоје неки документовани случајеви где су ажурирања BIOS-а, у комбинацији са BitLocker-ом и управљањем Secure Boot платформским кључем (PK), генерисала проблеме довољно озбиљне да зауставе одређена ажурирања која дистрибуира Windows Update.
Пријављено је да неколико модела, укључујући Dell 14 Plus 2-in-1 DB04255, Dell 14 Plus DB14255 и Dell 16 Plus DB16255 , имају специфичан проблем са BIOS верзијом 1.2.0 и новијим. Ажурирања ових верзија путем Windows Update-а су паузирана до отприлике новембра 2025. (процењени датум подложан променама) док Microsoft ради на новој методи ажурирања како би решио сукоб PK кључа и BitLocker интеракцију.
Током овог периода, званична препорука је да се не користи Windows Update за ажурирање BIOS-а, већ да се оде на Dell.com или помоћу алатке Dell SupportAssist како би се добила најновија верзија фирмвера за сваки погођени систем. Циљ овога је минимизирање ризика од оштећења BitLocker кључа за опоравак или закључавања рачунара током процеса ажурирања.
Делова документација такође наводи широк спектар производа на које утичу различити проблеми везани за BitLocker и BIOS: Dell Pro Max Micro, Pro Max Slim, Pro Max Tower, Dell Plus, Dell Pro, Pro Max, Pro Plus, Pro Premium, Latitude, Pro Rugged, Vostro и десктоп радне станице , између осталих. Свака линија производа може имати мало другачије детаље, али општа идеја је слична: препоручљиво је пратити специфична упутства произвођача, прегледати обавештења о подршци и осигурати да вам је кључ за опоравак при руци пре него што направите било какве измене.
Поред тога, Dell редовно објављује чланке у својој бази знања са детаљним корацима за опоравак система који су заглављени у захтеву за BitLocker кључ након ажурирања фирмвера. У управљаним окружењима, сопствени систем за управљање уређајима компаније може централно да чува кључеве и омогући ИТ одељењу да обнови TPM поверење са новим BIOS-ом без потребе за интервенцијом корисника осим поновног покретања када се то од њега затражи.
Опште најбоље праксе пре ажурирања BIOS-а са омогућеним BitLocker-ом
Комбиновањем искуства са различитим произвођачима и примерима из стварног света, можемо извући неколико разумних смерница за ажурирање BIOS-а на рачунару са омогућеним BitLocker-ом без непотребних проблема. Ово нису непогрешива правила, али су најбоље праксе које значајно смањују ризике.
Први корак је да се уверите да знате где се налази ваш кључ за опоравак и да му можете приступити чак и ако се ваш главни рачунар не покрене. Ово подразумева проверу вашег Microsoft или организационог налога, проналажење било ког одштампаног документа или датотеке на USB диску и, ако је у питању рачунар компаније, потврду да ИТ подршка може да је преузме ако је не можете пронаћи.
Друго, пажљиво прегледајте напомене о издању верзије BIOS- а и сва упозорења која произвођач укључује на страници за преузимање или у чаробњаку за инсталацију. Ако вас замоле да суспендујете BitLocker, учините то; ако упозоре на познате проблеме са одређеном верзијом, размислите да ли вам је то ажурирање заиста потребно одмах или можете сачекати каснију, углађенију верзију.
Увек се препоручује да направите резервну копију важних података пре него што измените фирмвер. Чак и ако су ажурирања BIOS-а добро прихваћена за ваш специфични модел, сваки нестанак струје, прекид или нестанак струје може довести ваш рачунар у угрожено стање. Прављење резервне копије не спречава проблем у потпуности, али вам барем омогућава да опоравите податке ако решење укључује поновну инсталацију или замену компоненти.
Што се тиче статуса BitLocker-а, осим ако произвођач не наведе другачије, најбољи приступ је обично да се обустави BitLocker заштита на системском диску непосредно пре покретања ажурирања и да се настави након што се потврди да се Windows исправно покреће са новим BIOS-ом. Ако инсталатер настави да детектује BitLocker чак и након што сте га обуставили, размислите да ли желите да наставите или бисте радије пронашли информације специфичне за вашу матичну плочу или модел.
Коначно, избегавајте да правите превише промена у брзом низу: није добра идеја да ажурирате BIOS, мењате подешавања Secure Boot-а, модификујете режим покретања (UEFI/Legacy) и бришете TPM одједном. Наставите корак по корак , направите једну промену, проверите да ли се систем покреће без проблема, па тек онда направите следећу. На тај начин, ако нешто крене наопако, имаћете много боље разумевање шта се догодило и биће вам лакше да се вратите на претходна подешавања или затражите помоћ са одређеним информацијама.
Бољим разумевањем како BIOS, TPM и BitLocker међусобно делују, где се чувају кључеви за опоравак и које превентивне мере можете предузети, ажурирање фирмвера престаје да буде технолошка коцка и постаје деликатан, али управљив задатак, под условом да се поштују упозорења произвођача и да се информације потребне за поновно добијање приступа систему чувају безбедно ако се енкрипција одлучи да постане строга након промене.
