BitLocker To Go utilizza lo stesso motore di crittografia di BitLocker per le unità di sistema, applicato ai supporti rimovibili: dischi rigidi esterni, SSD esterni e chiavette USB. Le procedure di sblocco sono le stesse descritte nella nostra guida al recupero dei dati da un volume BitLocker interno; tuttavia, nella pratica, le unità rimovibili presentano problemi differenti: non è disponibile un TPM su cui fare affidamento, una partizione FAT32 visibile può essere erroneamente identificata come l’intera unità e durante le operazioni si verificano più frequentemente disconnessioni fisiche. Questa guida illustra gli aspetti specifici del recupero dati da dischi esterni e chiavette USB.
Contenuti
- Cosa cambia con BitLocker To Go
- Diagnosi del problema
- Quando il recupero è possibile e quando non lo è
- Dove trovare la chiave di ripristino
- Recupero dei dati con RS Partition Recovery
| Situazione | Operazione consigliata | Difficoltà |
|---|---|---|
| La password è stata dimenticata, ma la chiave di ripristino o il file BEK sono disponibili | Sbloccare direttamente l’unità utilizzando la chiave durante il recupero | Bassa |
| L’unità è stata scollegata o ha perso alimentazione durante la crittografia | Sbloccare l’unità con la chiave ed eseguire una scansione; se necessario, riprendere separatamente la crittografia | Media |
| È visibile solo una piccola partizione FAT32, mentre il resto dell’unità sembra vuoto | Il volume crittografato si trova in una partizione separata e nascosta: i dati non sono persi | Bassa |
| Windows chiede di formattare l’unità, ma la formattazione non è ancora stata eseguita | Non fare clic su «Formatta»; eseguire direttamente la scansione alla ricerca della firma FVE | Alta |
| L’unità è già stata formattata, rapidamente o completamente | Nessuna: la formattazione elimina i metadati FVE a cui è associata la chiave | Non recuperabile |
| La chiave di ripristino specifica per questa unità non è mai stata salvata | Non è possibile recuperare i dati: la crittografia sta svolgendo la propria funzione | Non recuperabile |
Cosa cambia con BitLocker To Go
La struttura del volume e i metadati FVE (crittografia completa del volume) sono identici a quelli di un’unità interna. Cambia invece l’insieme delle protezioni disponibili, perché un’unità rimovibile non è associata all’hardware di un’unica macchina. In questo caso lo sblocco automatico tramite TPM non si applica: una protezione TPM esiste esclusivamente per il volume di avvio della macchina stessa. Di conseguenza, un’unità esterna richiede una password, una smart card o una chiave di ripristino da usare esplicitamente su ogni computer a cui viene collegata. Quando si attiva BitLocker To Go, Esplora file di Windows configura per impostazione predefinita la protezione tramite password e genera lo stesso formato di chiave di ripristino a 48 cifre utilizzato per i volumi interni. La chiave può essere salvata in un account Microsoft, stampata oppure memorizzata in un file.
Anche per le unità esterne è disponibile lo sblocco automatico, ma viene configurato per ogni computer e non per ogni unità: dopo che un determinato computer Windows ha sbloccato l’unità con la password, la memorizza e, ai collegamenti successivi, evita di richiederla. Questa impostazione viene salvata nel computer, non nell’unità. Pertanto, la stessa unità richiede la password al primo collegamento a qualsiasi altro sistema: un altro PC, un ambiente Linux live o una workstation di ripristino. In pratica, per un’unità esterna una chiave di ripristino o una password non è mai realmente facoltativa, come può sembrare per un’unità di sistema con lo sblocco automatico funzionante. Prima o poi, su un determinato computer, sarà necessario utilizzare l’una o l’altra. Le protezioni configurate su un’unità collegata possono essere verificate tramite la relativa lettera di unità:
manage-bde -protectors -get E:
Diagnosi del problema
Se in Esplora file un’unità mostra soltanto una piccola partizione FAT32, senza traccia del resto dei dati, non significa che i dati siano scomparsi. Le unità crittografate mediante configurazioni meno recenti di Windows presentano una seconda piccola partizione FAT32 accanto al volume crittografato. Questa partizione contiene BitLocker To Go Reader, uno strumento autonomo che consentiva ai sistemi dell’epoca di Windows 7, privi del supporto BitLocker nativo, di sbloccare l’unità. Il volume crittografato è una partizione separata che Windows monta solo dopo lo sblocco: non è stato eliminato. Gestione disco o uno strumento di recupero dati in grado di riconoscere le partizioni mostrano entrambe le partizioni, anche quando soltanto a quella FAT32 viene assegnata automaticamente una lettera di unità.
Un caso diverso si verifica quando la crittografia o la decrittografia si interrompe a metà, in genere perché l’unità è stata scollegata, si è verificata un’interruzione dell’alimentazione oppure la connessione USB è caduta durante il processo. Il volume rimane così in uno stato misto: una parte è stata elaborata e una parte no. Si tratta di un problema distinto da un danno effettivo ed è importante riconoscerlo prima di dedicare tempo ad altre procedure.
Quando Windows segnala che l’unità non è leggibile o propone di formattarla, le cause possono essere due e molto diverse: una tabella delle partizioni danneggiata che interessa un volume crittografato altrimenti integro, oppure un guasto fisico reale. Cadute, guasti del chip bridge da USB a SATA e problemi del controller si verificano più spesso nelle unità portatili rispetto a quelle installate stabilmente in un computer. È quindi opportuno escludere innanzitutto un danno fisico — rilevamento non uniforme su porte USB diverse, rumori insoliti o disconnessioni dell’unità durante il trasferimento sono i segnali più comuni — prima di presumere che la soluzione sia esclusivamente di tipo logico.
Esiste infine uno scenario che è utile riconoscere, anziché sottoporlo a procedure di risoluzione dei problemi: un’unità configurata per lo sblocco automatico su un computer viene collegata a un altro computer che non l’ha mai utilizzata. Il sistema richiede la password o la chiave di ripristino come se fosse la prima volta, perché per quel computer lo è effettivamente.
Controllare lo stato prima di eseguire qualsiasi altra operazione:
manage-bde -status E:
Questo comando restituisce la percentuale di crittografia e lo stato di blocco, consentendo di distinguere una procedura di crittografia interrotta da un’unità con un problema di altra natura prima di decidere come procedere.
Quando il recupero è possibile e quando non lo è
Una volta identificato il problema, la possibilità di recuperare i dati dipende da un solo fattore: i metadati FVE — la struttura che collega il volume crittografato alla relativa VMK e, tramite essa, alla password, alla chiave di ripristino o al file BEK — sono ancora integri? Alcuni casi concreti coprono la maggior parte delle situazioni che si verificano nella pratica:
- File eliminati o persi, ma il volume si sblocca normalmente. È il caso più semplice: i metadati FVE non sono mai stati modificati, sono state rimosse soltanto le voci del file system relative a determinati file. Una password, una chiave di ripristino o un file BEK funzionante consentono di sbloccare il volume esattamente come prima.
- Il volume viene visualizzato come RAW, non allocato o con il messaggio «È necessario formattare il disco». Se dopo l’accaduto non è stato effettivamente scritto nulla sull’unità, in genere i metadati FVE e i settori crittografati rimangono integri anche quando la tabella delle partizioni non lo è più: la tabella delle partizioni e l’intestazione FVE sono strutture separate e la perdita dell’una non comporta necessariamente la perdita dell’altra.
- La crittografia o la decrittografia è stata interrotta durante il processo. Il volume si trova in uno stato misto, con una parte già elaborata e un’altra ancora da elaborare, ma l’intestazione FVE non viene compromessa da un’interruzione. È quindi possibile sbloccare il volume con un protector funzionante ed eseguire una scansione, indipendentemente dal punto in cui il processo si è interrotto.
- L’unità è stata collegata a un computer in cui non è disponibile lo sblocco automatico per tale unità. Il volume non ha subito alcuna modifica: nel nuovo computer semplicemente non sono presenti le informazioni memorizzate per lo sblocco automatico. La chiave di ripristino o la password funzionano allo stesso modo di quando l’unità era collegata al computer originale.
- Il disco è stato formattato, ma conteneva più di una partizione. Se la prima partizione è stata eliminata e il disco è stato quindi riformattato, la nuova formattazione in genere sovrascrive soltanto l’area interessata. I metadati FVE di una seconda o terza partizione, situata più avanti sul disco, potrebbero quindi essere rimasti intatti. Tali partizioni potrebbero essere ancora recuperabili anche se la prima non lo è più; è consigliabile eseguire la scansione dell’intero disco fisico, invece di considerare irrecuperabile l’intera unità.
I casi realmente definitivi sono meno numerosi. Un’unità con una sola partizione che è già stata formattata, con formattazione rapida o completa, non offre più strutture utilizzabili da alcun software di recupero dati: la formattazione sostituisce le strutture in cui risiedono la VMK e l’intestazione FVE, pertanto nemmeno la password originale o la chiave di ripristino corretta dispone più dei metadati necessari per lo sblocco. La stessa situazione si verifica quando sia la password sia la chiave di ripristino vengono perse definitivamente e non rimane alcun protector da utilizzare, oppure quando un danno fisico è sufficientemente grave da distruggere i settori che contengono l’intestazione FVE, e non soltanto la voce della tabella delle partizioni che vi fa riferimento.
La richiesta di Windows «Formattare questa unità?» non esegue ancora alcuna operazione: rifiutarla non comporta alcun rischio. Fare clic per confermare, invece, avvia la formattazione. Se un’unità viene visualizzata come RAW, risulta illeggibile o non formattata, è necessario eseguirne la scansione con un software di recupero dati prima di formattarla, non dopo.
Dove trovare la chiave di ripristino
La chiave di ripristino di un’unità si trova generalmente in una delle seguenti posizioni. Se nel PC utilizzato per configurare la crittografia era stato effettuato l’accesso con un account Microsoft, la chiave viene spesso salvata automaticamente ed è disponibile all’indirizzo account.microsoft.com/devices/recoverykey. In alternativa, verificare la presenza di una copia stampata o di un file di testo salvato al momento della prima crittografia dell’unità: per impostazione predefinita, Windows assegna a questi file un nome basato sull’ID univoco dell’unità, facilitando così la verifica della corrispondenza. Nei computer gestiti dall’azienda, un amministratore di dominio o di Azure AD può cercare la chiave in base al dispositivo o all’ID chiave. Se invece il volume è stato configurato per lo sblocco tramite un file di chiave di avvio anziché mediante una password digitata, il file BEK costituisce direttamente la credenziale: non è necessaria una chiave di ripristino separata.
Le chiavi di ripristino sono associate a una specifica unità e non a un account utente in generale: una chiave salvata per un’unità esterna non consentirà di sbloccarne un’altra, anche se entrambe sono state crittografate dallo stesso PC. Quando sono disponibili più chiavi, verificarne la corrispondenza tramite l’ID chiave.
Recupero dei dati con RS Partition Recovery
RS Partition Recovery rileva un volume BitLocker tramite la relativa firma FVE e richiede la password, la chiave di ripristino o il file BEK prima di avviare la scansione. La procedura è la stessa utilizzata per un’unità interna, con alcune precauzioni aggiuntive per i supporti esterni:
Collegare l’unità direttamente al computer, evitando hub o docking station di qualità incerta: una connessione USB instabile durante una scansione prolungata è una causa comune del riavvio della scansione a metà del processo.
Avviare la scansione dell’intero dispositivo fisico, non di una singola lettera di unità logica. Questo è importante per due motivi già illustrati: consente al programma di rilevare la partizione crittografata insieme alla partizione di rilevamento FAT32 e permette di individuare una seconda o una terza partizione sopravvissuta alla formattazione dell’intero disco, anche quando la prima partizione dello stesso disco non è stata recuperata.
Se l’obiettivo è soltanto verificare che l’unità non sia guasta a livello hardware prima di cercare una chiave di ripristino, è possibile eseguire la scansione senza inserire alcun elemento di protezione. Questa operazione non decrittografa il contenuto dei file, ma segnala se è presente un volume BitLocker integro dal punto di vista della struttura, un’informazione utile per escludere tempestivamente un guasto dell’unità.
Quando si è pronti a decrittografare i dati, inserire la password, la chiave di ripristino di 48 cifre oppure uno o più file .bek. È possibile aggiungere contemporaneamente più file BEK se non è chiaro quale sia quello corretto: il programma esegue l’associazione tramite l’ID della chiave, senza richiedere una selezione manuale per tentativi.
Una chiave errata viene segnalata direttamente come errore di sblocco; la scansione non passa quindi automaticamente e senza avviso al recupero dei file basato sulle firme su dati ancora crittografati.
Dopo lo sblocco, il volume viene decrittografato durante la scansione, come avviene per un’unità interna.
Salvare i file recuperati su un’altra unità fisica e non utilizzare mai la stessa unità esterna da cui si stanno recuperando i dati.
