Ratkaistu Bitlocker Ongelma

[Surre]

Hellou!
Vaihdoin Lauantaina emolevyn ja vesijäähyn ja siitä ongelmat alkoivat. (Asus ROG Strix B550-F Gamine) (Vanha Asus Prime B450-Plus)
Ensin en meinannut saada konetta päälle kun pyysi bitlocker avainta? Tähän kuitenkin auttoi windowsin uudellen asentaminen M2ssdlle.
No nyt kaksi asemaa on kumminkin bitlockerin takana ja molemmat pyytävät eripalautus avainta, on etsitty microsoftin sivuilta jokapaikasta ja jokaisesta mahdollisesta käyttäjältä.
Tälläistä ei mistään löydy ei omista eikä kaverilta jolta emolevy tuli, mitähän avainta tämä kyselee ja mistähän sellainen voisi mahdollisesti löytyä?

 

[satmattin]

Jos ovat sinun levyjäsi, niin silloin sinun pitäisi luonnollisesti tietää bitlockerin avain.

 

[LänsiKinkku]

Windows 11 salaa oletuksena nuo asemat bitlockerilla.

Ei siinä oikee muuta oo tehtävissä kuin alustaa asema jos ei sitä bitlocker avainta tiedä.

 

[satmattin]

Ei ole ainakaan itsella salannut mitää W11 oletuksena.

Hae palautusavain Microsoft-tililtä​

Mene toisella laitteella osoitteeseen:

• Sign in to your account

Sinun pitäisi nähdä 48-numeroinen BitLocker-palautusavain.

 

[LänsiKinkku]

Ei ole ainakaan itsella salannut mitää W11 oletuksena.

Hae palautusavain Microsoft-tililtä​

Mene toisella laitteella osoitteeseen:

• Sign in to your account

Sinun pitäisi nähdä 48-numeroinen BitLocker-palautusavain.

Ei mullakaan aina. Mutta mahdollista se on etenki jos Microsoftin tili on sisällä.

Ite käytän paikallista tiliä niin tuota ongelmaa ei tuu. Ja laitan sen asennus vaiheessa.

 

[satmattin]

.

 

[satmattin]

Ei mullakaan aina. Mutta mahdollista se on etenki jos Microsoftin tili on sisällä.

Ite käytän paikallista tiliä niin tuota ongelmaa ei tuu. Ja laitan sen asennus vaiheessa.

Mikä on "asennus asennus vaiheessa" ?

 

[kajakkivajakki]

Microsoft vähensi 24h2 versiossa noita vaatimuksia automaagiselle salaukselle. Ilmeisesti nyt vaatimukset on enää:

BitLocker automatic device encryption is enabled when:

• The device contains a TPM (Trusted Platform Module), either TPM 1.2 or TPM 2.0.
• UEFI Secure Boot is enabled. See Secure Boot for more information.
• Platform Secure Boot is enabled

Noiden lisäksi vaatimuksena on, että konetta käytetään microsoift-tilitä.

BitLocker drive encryption in Windows 11 for OEMs

OEMs can configure hardware to support Windows 11 automatic device encryption.

learn.microsoft.com

Nyt kun sitten vielä on tehty mahdollisimman vaikeaksi koko Windowsin asennus ilman tiliä niin tuo Bitlocker-salaus aktivoituu hyvin helposti "ihan itsestään".

Aloittajan ongelmaan ei ole apuja. Kun salausavain pitäisi siis olla tallessa siellä Microsoft-tilillä, millä salaus on laitettu päälle. Vaikka vahingossakin.

 

[Torak]

Ihana sotku joo... Bitlockerin avaimet tallennetaan joko microsoft palvelimelle, firman omalle palvelimelle ja tietokoneen TMP siruun.

manage-bde -unlock D: -password

Voisi ehkä auttaa. Mutta koska window on jo uudelleen asennettu niin vaikea sanoa.

Tietysti jos insinööriyttä on jonkin verran niin tässä on kuvaus mitenkä se protokolla tasolla toimii:

Sniff, there leaks my BitLocker key

Full disk encryption is one of the cornerstones of modern endpoint protection. It is not only an effective method to protect sensitive data against physical theft, but it also protects data integrity against tampering attacks.

labs.withsecure.com

Tästä syystä ainakin firman tietokoneet kysyy aina erillistä pin koodia kun läppärin käynnistää
jotta ylläoleva ei toimi.

 

[Sire]

Aloittajan ongelmaan ei ole apuja. Kun salausavain pitäisi siis olla tallessa siellä Microsoft-tilillä, millä salaus on laitettu päälle. Vaikka vahingossakin.

Älähän sano. MS-tili, millä kone on alkujaan asennettu (ja siten salaus otettu käyttöön & mihin avaimet ovat varmuuskopioituneet) ei välttämättä ole sama MS-tili, kuin mitä aloittaja nyt käyttää. Koneen asennuksen ja tämän hetken välissä voi olla säädetty vaikka mitä ihmeellisyyksiä.

Toki jos koneen asennuksessa on käytetty jotain poisheittotiliä mistä ei ole pienintäkään käryä, niin sitten on aloittajan kannalta aika voivoi.

 

[Surre]

Älähän sano. MS-tili, millä kone on alkujaan asennettu (ja siten salaus otettu käyttöön & mihin avaimet ovat varmuuskopioituneet) ei välttämättä ole sama MS-tili, kuin mitä aloittaja nyt käyttää. Koneen asennuksen ja tämän hetken välissä voi olla säädetty vaikka mitä ihmeellisyyksiä.

Toki jos koneen asennuksessa on käytetty jotain poisheittotiliä mistä ei ole pienintäkään käryä, niin sitten on aloittajan kannalta aika voivoi.

Molemmat ovat samalla MS-tilillä ja kyseinen kuva on siltä tililtä mihin ei mitään tallennettjna, ainut enään mitää jää jäljelle on TMP-Siru vanhassa emossa
mutta mites nyt käy jos alan vaihtamaan emoa takaisin jotta saisin salauksen pois tuleeko sen myötä samanlaisia ongelmia

Ja millä sen TMP-Sirusta saa ulos vai aukeaako automaattisesti kovalevyt
Kiitos asiallisista vastauksista, kaikilta sitäkään ei täällä näköjään voi odottaa onneksi ne bannataan sitä mukaan

 

[LänsiKinkku]

Molemmat ovat samalla MS-tilillä ja kyseinen kuva on siltä tililtä mihin ei mitään tallennettjna, ainut enään mitää jää jäljelle on TMP-Siru vanhassa emossa
mutta mites nyt käy jos alan vaihtamaan emoa takaisin jotta saisin salauksen pois tuleeko sen myötä samanlaisia ongelmia

Ja millä sen TMP-Sirusta saa ulos vai aukeaako automaattisesti kovalevyt
Kiitos asiallisista vastauksista, kaikilta sitäkään ei täällä näköjään voi odottaa onneksi ne bannataan sitä mukaan

mulla sellainen käsitys että emolevyn vaihto ei avaa bitlocker lukitusta vaa pitäis se bitlocker avain olla kuitenkin.

Toi on vaikea tilanne. Jos sitä avainta ei mistää löydy. Alustamalla asemat ne ainakin aukeaa.

 

[Torak]

Periaattessahan ne pitäisi aueta automaattisesti. Näinhän se vanha systeemi toimi, että aina kun tietokone
käynnistetään niin ne aukeaa automaattisesti. Mutta koska window on jo uudelleen asennettu niin vaikea sanoa.

Onko se homman väärti riippuneen mitä noilla D ja E levyillä on.

 

[Surre]

Periaattessahan ne pitäisi aueta automaattisesti. Näinhän se vanha systeemi toimi, että aina kun tietokone
käynnistetään niin ne aukeaa automaattisesti. Mutta koska window on jo uudelleen asennettu niin vaikea sanoa.

Onko se homman väärti riippuneen mitä noilla D ja E levyillä on.

Niinhän sen perjaatteessa pitäisi toimia mutta ei välttämättä tee kuten sanoit että winukkaa laitettu jo uusiksi

Taitaa olla helpompi kun alustaa kovalevyt ja saa ne käyttöön kun alkaa säätää ja asentelee sitten vielä winukan moneen kertaan uusiksi
kuvat kovalevyllä harmittaa muuten pelkkiä pelejä yms millä ei mitään käytännön merkitystä!

 

[pcbuilder]

Entä jos kasaat vanhaan emolevyyn kokoonpanon, TPM piirin pitäisi avata asemat ja sitten tulostat salausavaimet?

 

[Surre]

Entä jos kasaat vanhaan emolevyyn kokoonpanon, TPM piirin pitäisi avata asemat ja sitten tulostat salausavaimet?

Tätäkin kokeilin mutta ei auennut, elikkä tilanne ratkesi sillä kun alustin kaikki kovalevyt ja menetin kaikki kuvat yms

 

[2·pirkka]

Tätäkin kokeilin mutta ei auennut, elikkä tilanne ratkesi sillä kun alustin kaikki kovalevyt ja menetin kaikki kuvat yms

Jos kyseessä olisi ollut tärkeät kuvat, voisi niitä palauttaa jollakin tiedostojen palautusohjelmalla, ellei niitä ole jotenkin ylikirjoitettu.

 

[Sallys]

Jos kyseessä olisi ollut tärkeät kuvat, voisi niitä palauttaa jollakin tiedostojen palautusohjelmalla, ellei niitä ole jotenkin ylikirjoitettu.

Ei voi koska ne oli salattu.

 

[2·pirkka]

Ei voi koska ne oli salattu.

No niinpä tietysti. Unohdin, mitä ketjussa oli aikaisemmin käsitelty.

 

[nahkamursu]

Itsellä taannoin BIOS-päivityksen yhteydessä aktivoitui BitLocker oma-aloitteisesti ja yritti lukita kaikki kovot. Ihan sattumalta huomasin ennen kuin yhdenkään levyn salaus oli vedetty loppuun ja sain pelastettua tilanteen.

Nykyistä Windows-asennustani ei ole liitetty MS-tiliin. Näinollen siis on mahdollista tilanne, että BitLocker aktivoituu käyttäjältä kysymättä esim. tosiaan BIOS-päivityksessä, et saa salausavainta sinne tilillesi, etkä koskaan edes näe sitä vilaukselta? Onko tämä suunniteltu menemään näin? Meinaan, tämä on perseestä jos pitää paikkansa.

 

[EliEli]

Luulin että Bitlocker on käytössä vain Windows 11 Pro:lla. Onko tämä automaattinen kryptaus nyt siis myös Home-versiolla, jos aiemmin mainitut ehdot täyttyvät?

Kai kryptauksen voi myös myöhemmin poistaa käytöstä, vai kryptaako Windows uudestaan automaattisesti kysymättä?

Miten MS on automaattisesti kysymättä kryptausta perustellut? Ajatteleeko ihan vain käyttäjien parasta jos joku varastaa tietokoneen eikä pääse käsiksi elintärkeisiin valokuviisi, vai onko ajatuksena että MS voi halutessaan lukita sinut ulos tiedostoistasi jos teet jotain mistä he eivät pidä, käytät Windowsia "väärin" tms.? Eivät halua että Windows-osiot ovat esim. Linuxin luettavissa?

Eniten ihmetyttää tosiaan tuo jos käyttäjältä ei edes kysytä lupaa kryptaukseen, ikäänkuin MS haluaa salaa pakottaa levyt kryptatuiksi.

Katsoin näitä ohjeita, enkä löydä Windows 11 Home 25H2:lla mitään "Device Encryption"-valintaa Settings => Security & Privacy alta? SecureBoot on mielestäni päällä ja on tarpeeksi uusi kone että on TPM 2.0 ja MS-tili admin oikeuksin on käytössä.

Turn On or Off Device Encryption in Windows 11 | NinjaOne

Learn how to enable or disable device encryption in Windows 11 to safeguard your data against loss or theft. Protect your information effortlessly.

www.ninjaone.com

 

[kajakkivajakki]

Eniten ihmetyttää tosiaan tuo jos käyttäjältä ei edes kysytä lupaa kryptaukseen, ikäänkuin MS haluaa salaa pakottaa levyt kryptatuiksi.

Juuri eilen nyt yhden pukinkonttiin menneen halpisläppärin päivittelin käyttövalmiiksi niin ihan ilman mitään kyselyjä olisi siihen suorittanut salauksen, Windows Home S vielä eli se ns oletuksena rajoitetumpi S-versio. Toki otin salauksen pois päältä sitten ensikäynnistyksen yhteydessä, se ei siinä vaiheessa vielä ollut aktivoitunut vaan odotteli uudelleen käynnistystä suorittaakseen työn loppun. En tiedä olisiko se sitten siinä vaiheessa itsestään ilmoitellut kun olisi ollut laite salattuna.

 

[Torak]

Rahasta tässä on kyse. Microsoft on jo vuosia koittanut saada oletustiedoto sijainnin OneDrive pilvipalveluun.
Näin automaattisesti maksat varmuuskopioinnista.

Valitettavasti kryptaus on oletuksena päällä, melkein kaikissa Windows asennuksissa. Kyllä sen voi ottaa pois päältä.

Tässä maailmassa tehdään yllättävän paljon asioita kysymättä yhtään mitään.

 

[EliEli]

Valitettavasti kryptaus on oletuksena päällä, melkein kaikissa Windows asennuksissa. Kyllä sen voi ottaa pois päältä.

Tuo Windows 11 Home 25H2 läppäri josta en Bitlocker-asetuksia jostain syystä löydä, on n. 1,5 kk vanha asennus. Asensin alusta uusiksi kun vaihdoin SSD:t isompiin kyseisessä koneessa.

Tai sitten nuo linkittämäni ohjeet ovat vanhat ja Bitlocker-asetukset löytyvät nykyisin jostain muualta?

 

[Torak]

Home versiossa ne taitaa olla nimellä laitteen suojaus.
Ovat muuten hyvin piilottaneet asetukset.

C:\Windows\System32>manage-bde -status
BitLocker Drive Encryption: Configuration Tool version 10.0.26100
Copyright (C) 2013 Microsoft Corporation. All rights reserved.

Disk volumes that can be protected with
BitLocker Drive Encryption:
Volume C: [OS]
[OS Volume]

    Size:                 453,50 GB
    BitLocker Version:    2.0
    Conversion Status:    Used Space Only Encrypted
    Percentage Encrypted: 100,0%
    Encryption Method:    XTS-AES 128
    Protection Status:    Protection Off
    Lock Status:          Unlocked
    Identification Field: Unknown
    Key Protectors:       None Found

 

[EliEli]

Home versiossa ne taitaa olla nimellä laitteen suojaus.

Onko tietoa mikä on englanninkielisessä versiossa? En suostu käyttämään suomenkielistä versiota Windowsista tai muistakaan käyttiksistä, vaikea seurata netin ohjeita jotka aina viittaavat englanninkielisiin nimiin... Kas kun eivät ole suomentaneet Windowsisissa PowerShelliäkin "VoimaKilveksi".

Otaksuin myös että Bitlocker-status näkyisi suoraan myös levyn ominaisuuksista File Explorerissa, mutta ilmeisesti ei...? Pitänee muistaa vastaisuudessa tuo "manage-bde -status" jos se on se varma tapa nähdä onko levyllä BL päällä.

Tuolla komennolla Windows 11 Pro 25H2 koneella näkyy että Bitlocker on päällä ja levy kryptattu kuten pitääkin, kotikoneella (Windows 11 Home 25H2) taas ei ole eikä edes tunnista Bitlocker-versiota.

Lisäksi kun haen "bitlocker" molemmilla koneilla, Pro:ssa löytää "Manage Bitlocker" applikaation, kun taas Homessa ei löydä mitään. Tuostakin tulee vahvasti kuva ettei ainakaan minun Home:ssa ole koko Bitlockeria? Ihan ok jos ei ole, luulin ettei tulekaan olla, siksi olinkin yllättynyt uutisista että Homessakin MS on alkanut salaa kryptailla ihmisten levyjä.

Tarkistin Home-koneesta ja Secure Boot on kyllä päällä, TPM on 2.0 (tarkistettu tpm.msc kautta) ja olen loggautunut sisään MS-tilillä (PIN-koodi käytössä) jolla on admin-oikeudet, sama käyttäjä millä Windows 11 Home asennettiin alusta alkaen uusiksi.

Toivottavasti Windows 11 kuitenkin päättää jättää toisen Linux btrfs partition rauhaan eikä yritä kryptata sitäkin, tuhoten Linux-asennuksen.

 

[kajakkivajakki]

Onko tietoa mikä on englanninkielisessä versiossa? En suostu käyttämään suomenkielistä versiota Windowsista tai muistakaan käyttiksistä, vaikea seurata netin ohjeita jotka aina viittaavat englanninkielisiin nimiin... Kas kun eivät ole suomentaneet Windowsisissa PowerShelliäkin "VoimaKilveksi".

Otaksuin myös että Bitlocker-status näkyisi suoraan myös levyn ominaisuuksista File Explorerissa, mutta ilmeisesti ei...?

Pitänee muistaa vastaisuudessa tuo "manage-bde -status" jos se on se varma tapa nähdä onko levyllä BL päällä.

Netistä nyysitty kuvajainen, jos suojaus ei ole näkyvissä kuten ylimmässä kuvassa niin silloin salausvaatimukset eivät täyty ja ei ole valittavissa koko vaihtoehtoa.

 

[EliEli]

Netistä nyysitty kuvajainen, jos suojaus ei ole näkyvissä kuten ylimmässä kuvassa niin silloin salausvaatimukset eivät täyty ja ei ole valittavissa koko vaihtoehtoa.

Joo, mulla näkyy tuolla vain nuo kaksi ensimmäistä, "Windows Security" ja "Find my device". Ei muuta.

En tiedä mikä ehto minulla jää täyttymättä mutta ihan hyvä niin. Kun tietäisi mikä etten vahingossa "korjaa" sitä ja anna Microsoftille vapaita käsiä kryptailla kotikoneeni levyjä. TPM 2.0 on, SecureBoot on päällä, MS-admintili käytössä (ainoana tilillä ko. koneella) jne.

Mietin liittyykö siihen onko OneDrive synkkaus päällä vai ei, mutta ei taida liittyä siihenkään koska nimenomaan Home-koneella se on päällä ja sync status ok, kun taas Pro-koneella OneDrive on tarkoituksella estetty. Pro-koneella käynnistin kryptauksen itse ja otin BitLocker-avaimen talteen tekstitiedostona muualle.

 

[nahkamursu]

Joo, mulla näkyy tuolla vain nuo kaksi ensimmäistä, "Windows Security" ja "Find my device". Ei muuta.

Mites kun laita Windowsin hakulootaan "manage bitlocker"? Sieltä sitten BitLocker off joka asemalle.

 

[EliEli]

Mites kun laita Windowsin hakulootaan "manage bitlocker"? Sieltä sitten BitLocker off joka asemalle.

Ei löydy Home-koneella haulla "manage bitlocker" tai "bitlocker" mitään. Pro-koneessa se Manage Bitlocker ohjelma kyllä löytyy.

En vielä keksi mitä ehtoa kone ei täyttäisi Bitlockerin käyttöön, jos siis se pitäisi löytyä myös Home-versiosta.

Asensin Windows 11 Home alusta alkaen uusiksi vajaa 2kk sitten kun vaihdoin isomman SSD koneeseen MS Media Creation Tool:lla, asensin alusta lähtien MS-tililläni jolla aiemmatkin asennukset ja myös toisen koneen Win11Pro on asennetut, TPM2.0 on, SecureBoot enabloitu jne. En muista että asennuksessa olisi mitään Bitlockerista mainittu, ihan perusasennuksen tein lähinnä melko default-asetuksilla, ehkä niihin privacy kyselyihin saatoin valita tiukimmat vaihtoehdot että lähettää minimaalisesti analytiikkadataa yms., en muista varmaksi.

Kuten sanottu, en valita ettei Home-koneella ole Bitlockeria, päinvastoin oikeastaan on hyvä ettei ole JOS Windows päättää alkaa tehdä kryptausta minulta kysymättä. En koe sitä tällä koneella niin tarpeelliseksi, kaiken oikeasti tärkeän säilytän parilla ulkoisella USB-levyllä (ja työhön liittyvät dokumentit mieluummin työpaikan omilla verkkolevyillä jne. että ovat sieltä saatavilla riippumatta millä koneella niitä haen, ja niistä menee varmistukset talteen).

Akateemisesti vain kiinnostaa millä logiikalla Windows 11 Home (25H2) koneella joko on tai ei ole Bitlockeria. Vai onko se kuitenkin joku valinnainen ominaisuus joka pitää jostain käydä täppäämässä käyttöön että edes on asennettu? Kuten mainittu, luulin tähän asti että Bitlocker on saatavilla vain Pro Windowseille, ei Home.

 

[Griffin]

Home versiossa ne taitaa olla nimellä laitteen suojaus.
Ovat muuten hyvin piilottaneet asetukset.

C:\Windows\System32>manage-bde -status
BitLocker Drive Encryption: Configuration Tool version 10.0.26100
Copyright (C) 2013 Microsoft Corporation. All rights reserved.

Disk volumes that can be protected with
BitLocker Drive Encryption:
Volume C: [OS]
[OS Volume]

    Size:                 453,50 GB
    BitLocker Version:    2.0
    Conversion Status:    Used Space Only Encrypted
    Percentage Encrypted: 100,0%
    Encryption Method:    XTS-AES 128
    Protection Status:    Protection Off
    Lock Status:          Unlocked
    Identification Field: Unknown
    Key Protectors:       None Found

Niin, miten tuo pitää tulkita? Pitääkö tulkita, jotta on kaikki cryptattu? Vai jotta kaikki voidaan kryptata? Vähän ristiriitainen ilmoitusminusta..

Useampikin tapaus on tullut vastaan, jossa salasanakysely on täysin yllättäin hypännyt esiin, eikä avainta ole löytynyt mistään.. Ehkä TPM:n biosdisablointi lie paras ratkaisu, ennen windows asennusta..

 

[Torak]

Kaikki voidaan kryptata.

Windowsin asentaminen paikallisella käyttäjä tunnuksella muuttaa oletus asetuksia niin että bitlockeria ei käytetä.

Tämän sisällön näkemiseksi tarvitsemme suostumuksesi kolmannen osapuolen evästeiden hyväksymiseen.
Lisätietoja löydät evästesivultamme.

Hyväksy kolmannen osapuolen evästeet

Linkki: https://www.youtube.com/shorts/CLQHs1aXWW4


Jos tmp sivun disabloi ennen windows asennusta täytyy tehdä muokattu asennusmedia joka ohittaa
TMP sirun tarkistuksen ja muistaakseni Windows Hello ominaisuus ei toimi.

 

[PaskaTykki]

Nykyisissä Windows 11 järjestelmissä Bit-locker salaus menee päälle kun kirjaudut MS-tilillä sisään. Myös Home versiossa menee Bit-locker käyttöön. Home versiossa ei ole Bit-locker asetuksia ollenkaan, Pro versiosta asetukset löytyy. Bit-locker salausavain tallentuu MS-tilille. Typerä toiminta tämä on kun asennuksen aikana ei missään mainita, että Bit-locker mene päälle eikä edes kehoita ottaa Bit-locker salausavainta taltteen. Nopeati pystyy katsomaan että onko Bit-locker salaus levyllä käytössä, kun menet resurssienhallintaa, katso löytyykö levy kuvakkeen päältä lukon kuva.

Tästä on tullu myös ongelma, kun joittenkin kannettavien Bios päivittyy automaattisesti, päivityksen jälkeen Bit-locker lukitsee koneen.

Rufus voi luoda Windows 11 asennustikun, jolla voi ohittaa Bit-locker salauksen.

 

[EliEli]

Nykyisissä Windows 11 järjestelmissä Bit-locker salaus menee päälle kun kirjaudut MS-tilillä sisään. Myös Home versiossa menee Bit-locker käyttöön. Home versiossa ei ole Bit-locker asetuksia ollenkaan, Pro versiosta asetukset löytyy. Bit-locker salausavain tallentuu MS-tilille. Typerä toiminta tämä on kun asennuksen aikana ei missään mainita, että Bit-locker mene päälle eikä edes kehoita ottaa Bit-locker salausavainta taltteen. Nopeati pystyy katsomaan että onko Bit-locker salaus levyllä käytössä, kun menet resurssienhallintaa, katso löytyykö levy kuvakkeen päältä lukon kuva.

Tästä on tullu myös ongelma, kun joittenkin kannettavien Bios päivittyy automaattisesti, päivityksen jälkeen Bit-locker lukitsee koneen.

Rufus voi luoda Windows 11 asennustikun, jolla voi ohittaa Bit-locker salauksen.

Toissapäivänä minulle tuli tämän kanssa ongelmia kun sukulaisen Windows 11 Home HP-koneelle päätin asentaa UEFI/BIOS-päivityksen kun sellainen oli tarjolla ja koneessa oleva oli monen vuoden takaa, monta versiota jäljessä.

UEFI-päivityksen jälkeen kone kysyi aina buutissa nollataanko jokin TPM:seen liittyvä avain tms., ja annettiin vaihtoehdot:
1. Ei nollata. Mutta jos valitsee tämän, jotkut ohjelmat saattavat tykätä kyttyrää.
2. Nollaa, mutta jos sinulla on Bitlocker käytössä, saattaa Windows kysyä sen salausavainta.

Kun ei ollut mitään tietoa onko Bitlocker käytössä vai ei ja onko sen avain MS-tilillä tallessa, en uskaltanut tehdä nollausta. Tämä ilmeisesti aiheutti sen että MS-tilin PIN-koodi piti määritellä uudestaan ja loggautua MS-tilille uudestaan, mutta tämä oli paljon pienempi paha kuin jos koko levyn datat olisivat lukkiutuneet kryptauksen taakse.

Tähän tilaan konetta ei kuitenkaan voinut jättää koska se kysyi buutissa aina tuon nollauksen perään, joten yritin kissojen ja koirien kanssa varmistaa onko Bitlocker päällä. Kaikki viittasi siihen ettei ole mutta kaiken varalta otin vielä kaikki käyttäjädatat (Documents jne.) ulkoiselle USB-levylle talteen, siinä menikin sitten tunti tai pari.

Sen jälkeen uskalsin buutissa valita Yes eikä levy mennyt lukkoon, eli ei sitten tainnut onneksi olla Bitlockeria käytössä. Swidutti vaan suuresti kun tuli nyt niin paljon lisätyötä ja pelkokerrointa kun Microsoft on ilmeisesti alkanut salassa laittaa Home-versiossakin Bitlockeria päälle ja kryptaamaan levyjä käyttäjiltä kysymättä.

Nyt minulla on siis tiedossa ainakin kaksi Windows 11 Home (25H2) konetta joissa mielestäni kaikki ehdot täyttyvät (MS admin-tili käytössä jolla Windows 11 on alunperin asennettukin, TPM 2.0, SecureBoot päällä jne.)... eikä kummassakaan ole Bitlockerista jälkeäkään. Onneksi.

Eli edelleen ihmettelen, mikä sen nyt sitten määrittää meneekö Bitlocker Home-versiossa automaattisesti päälle, ja mikä on estänyt sen näillä kahdella koneella?

Lisäksi ymmärsinkö oikein että jos ja kun Bitlocker menee Home-versiossa päälle, Home-versiosta puuttuu kokonaan "Manage Bitlocker" työkalu eli Bitlockeria ei saa enää pois päältä, vaikka haluaisi? Jos näin oikeasti on niin mitä vettua?!? Microsoft tuntuu päivitys päivitykseltä vievän varsinkin Home-käyttäjiltä kokonaan kontrollin pois omaan koneeseensa. Ei voi estää päivityksiä, ei voi laittaa antivirusta kokonaan pois päältä, ei saa käyttää lokaalia tunnusta ainoana tunnuksena, ja nyt viimeisimpänä tämä Bitlocker sekoilu... Onneksi itse pääsen pakoon Linuxiin ja saan kontrollin takaisin koneeseeni mutta en tiedä alanko sen takia patistaa sukulaisia myös Linuxiin.

Jos Bitlocker kryptaa salassa jonkun sukulaisen Windowsin datat eikä avainta löydy mistään, mietin voisiko siinä olla oikeustoimien paikka missä Microsoft on tuottamuksellisesti tuhonnut käyttäjälle tärkeää dataa omilla toimillaan ja päätöksillään?

 

[nahkamursu]

Jos Bitlocker kryptaa salassa jonkun sukulaisen Windowsin datat eikä avainta löydy mistään, mietin voisiko siinä olla oikeustoimien paikka missä Microsoft on tuottamuksellisesti tuhonnut käyttäjälle tärkeää dataa omilla toimillaan ja päätöksillään?

Tämä on tosiaan uskomatonta ja ihme ettei tästä ole isompaa älämölöä. Ja siis BitLockerhan ei lukitse pelkäästään C-asemaa, vaan jokaisen kovalevyn mikä epäonnisessa koneessa on kiinni.

Itsellä on BitLocker disabloituna kaikin mahdollisin keinoin joka paikasta ja TPM pois BIOSista, mutta jossain vaiheessa TPM ainakin pitää laittaa päälle että saa asennettua Windowsin feature updaten vaimikäseoli, ja sitä ennen luultavasti järkevin kohta päivittää BIOS sikäli kun senkin haluaisin tehdä, mutta kyllä kuumottaa jo etukäteen...

 

[EliEli]

Tämä on tosiaan uskomatonta ja ihme ettei tästä ole isompaa älämölöä. Ja siis BitLockerhan ei lukitse pelkäästään C-asemaa, vaan jokaisen kovalevyn mikä epäonnisessa koneessa on kiinni.

Tarkoittaako tuo myös USB-levyjä, kuten eilen ko. koneessa käyttämäni minun USB-levyni?

 

[root]

Pikainen vierailu

Tarkoittaako tuo myös USB-levyjä, kuten eilen ko. koneessa käyttämäni minun USB-levyni?

Microsoft tukisivun (linkki lontoon kielellä) mukaan automaattinen salaus koskee laitteen kiinteitä levyjä (operating System drive and fixed drives).

Ja noihin aikaisempiin huoliin: koska automaattisen salauksen yhtenä ehtona on Microsoft tilille kirjautuminen, salauksen purkuavain (recovery key) tallennetaan myös sinne samalle tilille. Eli jos jotain tapahtuu BIOS/UEFI tasolla ja kone alkaa bootissa vaatimaan purkuavainta, se pitäisi olla helposti saatavilla kirjautumalla Microsoft tilille jollain toisella laitteella ja selaimella: https://aka.ms/myrecoverykey

Tietenkin on syytä pitää Microsoft tilin kirjautumistavat kunnossa ja katsoa että on joku muukin tapa kirjautua tilille kuin sen windows koneen pääsyavain. Voi luoda esimerkiksi palautuskoodin sen varalle ettei mikään muu tapa kirjautua tilille enää toimi.

 

[nahkamursu]

Ja noihin aikaisempiin huoliin: koska automaattisen salauksen yhtenä ehtona on Microsoft tilille kirjautuminen, salauksen purkuavain (recovery key) tallennetaan myös sinne samalle tilille. Eli jos jotain tapahtuu BIOS/UEFI tasolla ja kone alkaa bootissa vaatimaan purkuavainta, se pitäisi olla helposti saatavilla kirjautumalla Microsoft tilille jollain toisella laitteella ja selaimella: https://aka.ms/myrecoverykey

Jos tämä pitäisi kaikissa tapauksissa paikkansa, niin kaikki olisi järkevää ja hyvin. Mutta itselläni on kokemus nimenomaan siitä, että salaus aktivoitui BIOS-päivityksen myötä itsestään koneessa, jonka Windows ei ollut liitettynä MS-tiliin, jolloin se salausavain myöskään ei sinne tullut.

Jos sen avaimen saisi hätätapauksessa edes jotenkin palautettua johonkin, vaikka olemassaolevalle MS-tilille, niin huoli olisi pienempi. Mutta kun se salaus on mahdollista nimenomaan siten, että et näe edes vilaukselta ikinä sitä purkuakoodia.

 

[PaskaTykki]

Nyt minulla on siis tiedossa ainakin kaksi Windows 11 Home (25H2) konetta joissa mielestäni kaikki ehdot täyttyvät (MS admin-tili käytössä jolla Windows 11 on alunperin asennettukin, TPM 2.0, SecureBoot päällä jne.)... eikä kummassakaan ole Bitlockerista jälkeäkään. Onneksi.

Eli edelleen ihmettelen, mikä sen nyt sitten määrittää meneekö Bitlocker Home-versiossa automaattisesti päälle, ja mikä on estänyt sen näillä kahdella koneella?

Lisäksi ymmärsinkö oikein että jos ja kun Bitlocker menee Home-versiossa päälle, Home-versiosta puuttuu kokonaan "Manage Bitlocker" työkalu eli Bitlockeria ei saa enää pois päältä, vaikka haluaisi? Jos näin oikeasti on niin mitä vettua?!? Microsoft tuntuu päivitys päivitykseltä vievän varsinkin Home-käyttäjiltä kokonaan kontrollin pois omaan koneeseensa. Ei voi estää päivityksiä, ei voi laittaa antivirusta kokonaan pois päältä, ei saa käyttää lokaalia tunnusta ainoana tunnuksena, ja nyt viimeisimpänä tämä Bitlocker sekoilu... Onneksi itse pääsen pakoon Linuxiin ja saan kontrollin takaisin koneeseeni mutta en tiedä alanko sen takia patistaa sukulaisia myös Linuxiin.

Bit-locker automaattinen käyttö otettiin Windows 11 24H2 lähtien. Jos olet alottanut Win 11 käytön 23H2 tai vanhemmasta versiosta ja päivität uusimpaan Win11 versioon. Päivityksen yhteydessä Bit-locker ei mene atuomaattisesti käyttöön. Uudet koneet joissa on Win 24H2 tai 25H2, näissä Bit-locker menee automaattisesti päälle, kun kirjaudut MS-tilille. Home versiosta voi ottaa Bit-locker pois käytöstä CMD avulla.