Cách cập nhật BIOS khi BitLocker được bật mà không làm mất quyền truy cập vào Windows

PCHardwarePro » Cửa sổ » Cách cập nhật BIOS khi BitLocker được bật mà không làm mất quyền truy cập vào Windows

Trong bài viết này, chúng ta sẽ cùng xem xét từng bước một cách chi tiết, Những việc bạn nên làm trước và sau khi cập nhật BIOS bằng BitLockerĐiều gì có thể xảy ra với TPM, làm thế nào để lấy khóa phục hồi nếu máy yêu cầu, và tại sao một số máy tính (chẳng hạn như một số mẫu Dell, bo mạch chủ ASUS, hoặc MSI B450/B550, cùng nhiều loại khác) lại hiển thị các cảnh báo dường như mâu thuẫn, gây thêm khó hiểu.

Điều gì xảy ra giữa BIOS, BitLocker và TPM khi bạn cập nhật?

Để hiểu tại sao BitLocker đôi khi lại yêu cầu khóa phục hồi mỗi khi khởi động sau khi cập nhật BIOS, cần phải hiểu mối liên hệ giữa chúng. BIOS / UEFIMã hóa TPM và BitLocker. Nếu bạn biết những gì đang bị thay đổi, việc phòng ngừa sẽ dễ dàng hơn nhiều và bạn sẽ không hoảng sợ khi màn hình xanh xuất hiện.

Trên hầu hết các máy tính hiện đại, BitLocker dựa trên một công nghệ tiên tiến. Chip TPM 2.0 Con chip này lưu trữ an toàn một phần khóa mã hóa. Nó xác minh rằng môi trường khởi động (firmware, Khởi động An toàn, cấu hình cơ bản) giống với môi trường khi ổ đĩa được mã hóa. Nếu phát hiện những thay đổi đáng kể, nó sẽ coi đây là một cuộc tấn công tiềm tàng và buộc phải thực hiện lại. yêu cầu khóa khôi phục Để chắc chắn rằng chính bạn là người khởi động thiết bị.

Trong một số máy tính để bàn có bo mạch chủ như... MSI B450 Tomahawk Max Ví dụ, với bo mạch chủ ASUS B550-F, nhà sản xuất đưa ra những cảnh báo rất nghiêm trọng với các phiên bản BIOS mới: họ khuyên bạn nên bật BitLocker và lưu (hoặc xác minh) khóa phục hồi trước khi cập nhật BIOS, vì nếu có sự cố xảy ra, bạn có thể mất quyền truy cập vào Windows. Thông điệp nghe có vẻ đáng lo ngại, nhưng ý tưởng cơ bản rất đơn giản: nếu TPM ngừng nhận diện môi trường và yêu cầu khóa, bạn nhất định phải có nó.

Trên các máy tính xách tay chuyên nghiệp, chẳng hạn như Dell vĩ độ Hoặc với các thiết bị cấp doanh nghiệp từ Dell, HP hoặc Lenovo, mọi thứ trở nên phức tạp hơn một chút vì việc quản lý của công ty cũng tham gia vào: thường thì khóa BitLocker không chỉ nằm trong tài khoản của bạn, mà còn... được lưu trữ trong tổ chức (tên miền công ty, trường đại học, v.v.), và BIOS có thể được cập nhật tự động bởi trình hướng dẫn của nhà sản xuất hoặc bởi các chính sách CNTT.

Tại sao các nhà sản xuất lại khăng khăng yêu cầu sử dụng BitLocker trước khi cập nhật BIOS?

Thông điệp từ các nhà sản xuất đôi khi có vẻ mâu thuẫn: một số nói với bạn rằng Kích hoạt BitLocker và lưu lại khóa. Một số chương trình nhắc bạn tắt BitLocker trước khi cập nhật, trong khi những chương trình khác lại yêu cầu bạn làm điều ngược lại, tắt nó trước khi cài đặt. Cả hai cảnh báo đều nhằm mục đích giảm thiểu rủi ro, nhưng chúng tập trung vào các giai đoạn khác nhau của quá trình.

Trong trường hợp các tấm như MSI B450 Tomahawk MaxVới các bản cập nhật BIOS nhằm mục đích kích hoạt hoặc cải thiện hỗ trợ TPM (ví dụ: để đáp ứng yêu cầu của Windows 11), trình cài đặt cảnh báo rằng việc cấu hình BitLocker chính xác và trên hết là phải có sẵn khóa phục hồi là rất quan trọng. Lý do là vì sự thay đổi trong cách firmware hiển thị TPM có thể kích hoạt yêu cầu khóa ở lần khởi động tiếp theo.

Các hệ thống khác, giống như nhiều hệ thống khác, Bo mạch chủ ASUS B550Khi phát hiện ổ đĩa hệ thống được bảo vệ bởi BitLocker, chúng sẽ hiển thị một thông báo trước khi cập nhật BIOS, yêu cầu bạn tắt chức năng này. Mục đích là để ngăn ổ đĩa bị mã hóa trong khi firmware đang được cập nhật, giảm thiểu các sự cố khởi động và tránh các vòng lặp khôi phục nếu TPM thay đổi trạng thái bên trong quá nhiều.

Trong một số trường hợp, như nhiều người dùng đã lưu ý, ngay cả khi bạn tắt BitLocker từ giao diện đồ họa của Windows, công cụ cập nhật BIOS của bo mạch chủ vẫn hiển thị... cảnh báo rằng BitLocker đang hoạt độngNguyên nhân có thể là do vẫn còn các chương trình bảo vệ được cấu hình trên ổ đĩa, chế độ ngủ chưa được áp dụng đúng cách, có các ổ đĩa được mã hóa khác (như ổ USB) hoặc hệ thống chưa hoàn tất chu trình tắt máy.

Trên máy tính xách tay Dell và các máy tính doanh nghiệp khác, cách thức phân phối các bản cập nhật firmware cũng đóng vai trò quan trọng. Thông thường, Trình hướng dẫn của nhà sản xuất sẽ tự động cài đặt BIOS. Trong quá trình cập nhật định kỳ. Sau đó, ở lần khởi động tiếp theo, BitLocker có thể yêu cầu khóa phục hồi và đôi khi, tiếp tục yêu cầu khóa này mỗi khi khởi động lại vì TPM không hoàn toàn "tin tưởng" chữ ký firmware mới hoặc khóa Secure Boot PK mới.

Vị trí tìm thấy khóa khôi phục BitLocker nếu BIOS yêu cầu.

Nếu sau khi cập nhật BIOS, bạn gặp màn hình xanh BitLocker yêu cầu nhập mật khẩu 48 chữ số, điều quan trọng là... để biết chính xác nó được lưu trữ ở đâu.Có một số vị trí phổ biến mà khóa của bạn có thể được lưu trữ, tùy thuộc vào cách thiết bị được cấu hình và liệu nó có thuộc về một tổ chức nào đó hay không.

Trong môi trường làm việc hoặc học tập, việc kết nối thiết bị với mạng là rất phổ biến. miền doanh nghiệp hoặc trường họcNếu bạn đã từng đăng nhập bằng tài khoản công việc hoặc trường học, khóa khôi phục của bạn thường được liên kết với tài khoản đó và do bộ phận CNTT quản lý. Trong những trường hợp này, bạn thường cần liên hệ với bộ phận hỗ trợ để nhận được khóa được liên kết với mã định danh ổ đĩa của bạn.

Microsoft có một trang riêng để tìm các khóa khôi phục được liên kết với tài khoản công việc hoặc trường học. Từ một thiết bị khác, bạn có thể truy cập vào trang đó. AKA.MS/MyRecoveryKeyĐể đăng nhập bằng tài khoản công việc hoặc trường học, hãy vào mục Thiết bị và mở rộng thiết bị mà bạn cần khóa. Ở đó, bạn thường sẽ tìm thấy tùy chọn "Xem khóa BitLocker", nơi bạn có thể tìm thấy, bằng cách sử dụng ID khóa Màn hình hiển thị màu xanh lam, cùng với khóa khôi phục tương ứng.

Nếu máy tính của bạn là máy tính cá nhân và bạn tự cài đặt BitLocker, có thể bạn đã in khóa khi kích hoạt mã hóa. Tốt nhất là nên kiểm tra các thư mục hoặc tập tin nơi bạn thường lưu trữ các tài liệu quan trọng liên quan đến máy tính, vì chúng có thể bị mất. tờ chìa khóa in Nó hiển thị rõ ràng mã ID và 48 chữ số cần thiết để mở khóa thiết bị trong trường hợp gặp sự cố.

Một lựa chọn phổ biến khác là lưu khóa khôi phục vào một tệp tin. ổ đĩa USBTrong trường hợp đó, nếu thiết bị bị khóa ở màn hình xanh, hãy kết nối ổ USB vào thiết bị đó và làm theo hướng dẫn trên màn hình BitLocker để đọc khóa từ thiết bị. Nếu khóa được lưu dưới dạng tệp văn bản, bạn cũng có thể kết nối ổ USB với máy tính khác, mở tệp .txt và sao chép cẩn thận 48 chữ số để nhập thủ công vào những nơi được yêu cầu.

Trên các thiết bị hiện đại được liên kết với tài khoản Microsoft cá nhân, khóa có thể được liên kết với tài khoản của bạn. Hồ sơ Microsoft Trên trang web của công ty, mặc dù trong môi trường chuyên nghiệp, phương pháp đáng tin cậy nhất thường là sử dụng tài khoản của tổ chức trên cổng thông tin đã đề cập hoặc liên hệ trực tiếp với bộ phận hỗ trợ CNTT. Trong mọi trường hợp, điều quan trọng là không được thực hiện bất kỳ thay đổi nào khác trong BIOS (chẳng hạn như xóa TPM) trước khi tìm và lưu trữ an toàn khóa phục hồi.

Khi nào thì nên tạm dừng hoặc vô hiệu hóa BitLocker trước khi cập nhật BIOS?

Đến lúc này, câu hỏi lớn thường là: tôi có cần phải làm vậy không? Vô hiệu hóa hoàn toàn BitLocker Trước khi cập nhật BIOS, tôi có cần tạm dừng chế độ bảo vệ không, hay chỉ cần vậy là đủ? Và hơn nữa, tôi cần thực hiện việc này trên những ổ đĩa nào: chỉ trên ổ đĩa cài đặt Windows, hay cả trên ổ USB và ổ cứng phụ?

Nếu bạn chỉ muốn ngăn BitLocker yêu cầu khóa phục hồi sau khi thay đổi firmware, cách tốt nhất thường là... tạm thời đình chỉ sự bảo vệ trên ổ đĩa hệ thống trước khi bắt đầu cập nhật BIOS. Trong Windows, từ Bảng điều khiển, trong phần Mã hóa ổ đĩa BitLocker, bạn có thể chọn ổ C: và sử dụng tùy chọn "Tạm dừng bảo vệ" để TPM chấp nhận các thay đổi nền tảng mà không gây ra màn hình xanh chết chóc.

Việc tạm dừng quá trình khởi động không giải mã ổ đĩa; nó chỉ đơn giản là yêu cầu BitLocker cho phép một số thay đổi nhất định đối với môi trường khởi động mà không cần khóa phục hồi. Sau khi cập nhật BIOS hoàn tất và bạn đã xác nhận rằng Windows khởi động đúng cách, bạn có thể quay lại bảng điều khiển tương tự và nhấp vào "Tiếp tục bảo vệ" để khôi phục mã hóa về hoạt động bình thường bằng cách niêm phong lại cấu hình hiện tại trong TPM.

Trong một số trường hợp, chẳng hạn như những trường hợp xảy ra trong một số tình huống nhất định. Bo mạch chủ ASUS B550-FCông cụ cập nhật BIOS có thể tiếp tục hiển thị cảnh báo cho rằng BitLocker vẫn đang hoạt động, ngay cả khi bạn đã tạm dừng nó trong Windows. Trong những trường hợp này, bạn nên kiểm tra thông qua dòng lệnh bằng cách sử dụng lệnh sau: quản lý-bde xác định tình trạng thực tế của các thiết bị bảo vệ và đảm bảo hệ thống đã áp dụng đúng lệnh tạm dừng.

Đối với các ổ đĩa được mã hóa khác, chẳng hạn như ổ USB flash hoặc ổ cứng ngoài, chúng chỉ có thể gây trở ngại cho quá trình cập nhật nếu trình cài đặt BIOS phát hiện chúng một cách bất thường. Thông thường, điều này là đủ. Tháo tất cả các thiết bị không cần thiết khỏi máy tính. Trước khi ghi dữ liệu vào ổ cứng (ổ cứng ngoài, ổ USB, v.v.), hãy tập trung đảm bảo rằng ổ đĩa hệ thống đang ở chế độ tạm dừng BitLocker, không nhất thiết phải bị vô hiệu hóa hoặc giải mã hoàn toàn.

Phải làm gì nếu sau khi cập nhật, máy tính yêu cầu nhập mã BitLocker mỗi khi khởi động?

Một trong những vấn đề khó chịu nhất mà người dùng máy tính xách tay chuyên nghiệp thường gặp phải là sau khi cập nhật firmware hoặc BIOS (ví dụ như trong một máy tính xách tay chuyên nghiệp), máy tính sẽ gặp sự cố. Dell vĩ độBitLocker liên tục yêu cầu nhập mã khôi phục mỗi khi khởi động, không có ngoại lệ. Bạn nhập 48 chữ số, Windows 11 khởi động bình thường, nhưng điều tương tự lại xảy ra ở lần khởi động lại tiếp theo.

Điều đầu tiên thường được khuyến nghị là đăng nhập vào Windows, vào Bảng điều khiển, và trong phần BitLocker, sử dụng các tùy chọn sau: “Tạm dừng bảo vệ” rồi “Khôi phục bảo vệ”Quá trình này sẽ cho phép TPM niêm phong lại các phép đo khởi động có tính đến phiên bản BIOS mới, về lý thuyết sẽ ngăn chặn các yêu cầu nhập mật khẩu tiếp theo trong các lần khởi động lại sau đó.

Nếu cách đó không hiệu quả, bạn có thể sử dụng công cụ dòng lệnh manage-bde với các lệnh như sau: manage-bde -protectors -disable c: và, sau khi khởi động lại, manage-bde -protectors -enable c:Điều này buộc BitLocker phải tính toán lại trạng thái bảo vệ trên ổ đĩa. Tuy nhiên, trên một số máy tính, hiện tượng này vẫn tiếp diễn: hệ thống khởi động, nhưng vẫn tiếp tục yêu cầu khóa phục hồi.

Cần phải kiểm tra trong BIOS xem chip TPM 2.0 có thực sự được nhận diện hay không. được kích hoạt và đang hoạt độngvà đảm bảo rằng Secure Boot được bật nhất quán với cấu hình BitLocker. Việc liên tục thay đổi các tham số này có thể gây nhầm lẫn cho TPM và khiến nó không bao giờ coi môi trường là "ổn định", kéo dài vòng lặp phục hồi mỗi khi khởi động.

Một biện pháp quyết liệt hơn là sử dụng tùy chọn này. “Xóa TPM” hoặc “Xóa TPM” Trong BIOS. Thao tác này sẽ đặt lại chip bảo mật và có thể giúp giải quyết các vấn đề xác thực khởi động, nhưng đây không phải là quyết định nên xem nhẹ: nếu bạn xóa TPM mà không hiểu rõ trạng thái BitLocker và không đảm bảo có quyền truy cập vào khóa phục hồi, bạn có thể không giải mã được ổ đĩa hoặc mất các tính năng như mã PIN Windows Hello cho đến khi chúng được cấu hình lại.

Trước khi đến bước đó, nhìn chung nên xem xét kỹ tất cả các tùy chọn tạm dừng và tiếp tục của BitLocker, kiểm tra xem có bất kỳ thay đổi phần mềm nào đang chờ xử lý hay không, và đối với các thiết bị doanh nghiệp, Tham khảo ý kiến ​​của bộ phận CNTTĐôi khi giải pháp là cập nhật lên phiên bản BIOS mới hơn để khắc phục lỗi hoặc áp dụng chính sách nền tảng khởi động cụ thể trong môi trường doanh nghiệp.

Thông tin cụ thể về thiết bị Dell và các sự cố đã biết liên quan đến cập nhật BIOS

Trong hệ sinh thái của Dell, có một số trường hợp được ghi nhận cho thấy việc cập nhật BIOS, kết hợp với BitLocker và quản lý khóa nền tảng (PK) Secure Boot, đã gây ra các sự cố nghiêm trọng đến mức làm gián đoạn một số bản cập nhật được phân phối bởi Windows Update.

Trong một số mô hình, chẳng hạn như Dell 14 Plus 2-in-1 DB04255, Dell 14 Plus DB14255 và Dell 16 Plus DB16255Một sự cố cụ thể đã được báo cáo với phiên bản BIOS 1.2.0 trở lên. Việc cập nhật lên các phiên bản này thông qua Windows Update đã bị tạm dừng cho đến khoảng tháng 11 năm 2025 (ngày dự kiến ​​có thể thay đổi) trong khi Microsoft đang nghiên cứu khắc phục sự cố. phương pháp cập nhật mới Điều này giải quyết xung đột với khóa PK và sự tương tác với BitLocker.

Trong thời gian này, khuyến nghị chính thức là không nên sử dụng Windows Update để cập nhật BIOS, mà hãy truy cập vào... Dell.com hoặc công cụ Dell SupportAssist Để có được phiên bản firmware mới nhất cho từng hệ thống bị ảnh hưởng. Điều này nhằm mục đích giảm thiểu rủi ro khóa phục hồi BitLocker bị hỏng hoặc thiết bị bị khóa trong quá trình cập nhật.

Tài liệu của Dell cũng liệt kê rộng rãi các dòng sản phẩm bị ảnh hưởng bởi nhiều tình huống liên quan đến BitLocker và BIOS: Dell Pro Max Micro, Pro Max Slim, Pro Max Tower, Dell Plus, Dell Pro, Pro Max, Pro Plus, Pro Premium, Latitude, Pro Rugged, Vostro và máy trạm để bànTrong số những điều khác. Mỗi dòng sản phẩm có thể có những điểm khác biệt nhỏ, nhưng ý tưởng chung là tương tự: nên làm theo hướng dẫn cụ thể của nhà sản xuất, xem lại các thông báo hỗ trợ và đảm bảo bạn có sẵn khóa phục hồi trước khi thao tác bất cứ thứ gì.

Ngoài ra, Dell thường xuyên đăng tải các bài viết trong kho kiến ​​thức của mình với các bước chi tiết để khôi phục hệ thống bị kẹt ở bước yêu cầu nhập khóa BitLocker sau khi cập nhật firmware. Trong môi trường được quản lý, hệ thống quản lý thiết bị của công ty có thể lưu trữ tập trung các khóa này và cho phép bộ phận CNTT khôi phục độ tin cậy TPM với BIOS mới mà không cần sự can thiệp của người dùng ngoài việc khởi động lại khi được yêu cầu.

Các biện pháp thực hành tốt nhất chung trước khi cập nhật BIOS khi BitLocker được bật

Bằng cách kết hợp kinh nghiệm với nhiều nhà sản xuất khác nhau và các trường hợp sử dụng thực tế, chúng ta có thể rút ra một vài hướng dẫn hợp lý để xử lý việc cập nhật BIOS trên máy tính có bật BitLocker mà không gặp rắc rối không cần thiết. Đây không phải là những quy tắc hoàn hảo, nhưng chúng có thể hữu ích. các biện pháp thực hành tốt giúp giảm thiểu rủi ro đáng kể.

Điều đầu tiên là đảm bảo rằng Bạn có biết chìa khóa khôi phục của mình ở đâu không? Và bạn có thể truy cập vào nó ngay cả khi máy tính chính không khởi động được. Điều này bao gồm việc kiểm tra tài khoản Microsoft hoặc tài khoản tổ chức của bạn, tìm bất kỳ tài liệu hoặc tập tin đã in nào trên ổ USB, và nếu đó là máy tính của công ty, hãy xác nhận rằng bộ phận hỗ trợ CNTT có thể khôi phục nó nếu bạn không tìm thấy.

Thứ hai, hãy xem xét kỹ lưỡng Ghi chú phát hành BIOS Hãy kiểm tra kỹ phần mềm bạn sắp cài đặt và bất kỳ cảnh báo nào mà nhà sản xuất đưa ra trên trang tải xuống hoặc trong trình cài đặt. Nếu họ yêu cầu bạn tạm dừng BitLocker, hãy làm như vậy; nếu họ cảnh báo về các sự cố đã biết với một phiên bản cụ thể, hãy cân nhắc xem bạn có thực sự cần bản cập nhật đó ngay bây giờ hay không, hay bạn có thể chờ đợi một phiên bản hoàn thiện hơn sau này.

Nó luôn luôn được khuyến khích để thực hiện một sao lưu gần đây Hãy sao lưu dữ liệu quan trọng của bạn trước khi động đến firmware. Ngay cả khi các bản cập nhật BIOS có tiếng tốt đối với kiểu máy cụ thể của bạn, bất kỳ sự cố mất điện, gián đoạn nào cũng có thể khiến máy tính của bạn rơi vào tình trạng nguy hiểm. Việc sao lưu không ngăn chặn được sự cố, nhưng ít nhất nó cho phép bạn khôi phục thông tin nếu giải pháp liên quan đến việc cài đặt lại hoặc thay thế các thành phần.

Về trạng thái BitLocker, trừ khi nhà sản xuất có chỉ dẫn khác, tùy chọn cân bằng nhất thường là tùy chọn tạm dừng bảo vệ trên đơn vị hệ thống Ngay trước khi bắt đầu cập nhật và tiếp tục quá trình sau khi xác nhận rằng Windows khởi động đúng cách với BIOS mới. Nếu trình cài đặt vẫn phát hiện BitLocker ngay cả sau khi bạn đã tạm dừng nó, hãy cân nhắc xem bạn có muốn tiếp tục hay không hoặc bạn muốn tìm thông tin cụ thể cho bo mạch chủ hoặc kiểu máy của mình.

Cuối cùng, hãy tránh thực hiện quá nhiều thay đổi liên tiếp: không nên cập nhật BIOS, thay đổi cài đặt Secure Boot, chỉnh sửa chế độ khởi động (UEFI/Legacy) và xóa TPM cùng một lúc. đi từng bướcHãy thử thay đổi trước, xác minh rằng hệ thống khởi động mà không gặp sự cố, và chỉ sau đó mới đề xuất thay đổi tiếp theo. Bằng cách đó, nếu có sự cố xảy ra, bạn sẽ hiểu rõ hơn điều gì đã xảy ra và sẽ dễ dàng hơn để khôi phục lại trạng thái trước đó hoặc yêu cầu trợ giúp với thông tin cụ thể.

Bằng cách hiểu rõ hơn về cách BIOS, TPM và BitLocker tương tác với nhau, nơi lưu trữ các khóa phục hồi và các biện pháp phòng ngừa bạn có thể thực hiện, việc cập nhật firmware sẽ không còn là một rủi ro công nghệ mà trở thành một nhiệm vụ tinh tế nhưng có thể quản lý được, miễn là bạn tuân thủ các cảnh báo của nhà sản xuất và giữ an toàn thông tin cần thiết để khôi phục quyền truy cập vào hệ thống nếu mã hóa trở nên nghiêm ngặt hơn sau khi thay đổi.