Processo de recuperação do BitLocker

Se um dispositivo ou unidade não conseguir desbloquear com o mecanismo BitLocker configurado, os utilizadores poderão recuperá-lo automaticamente. Se a recuperação automática não for uma opção ou se o utilizador não souber como proceder, o suporte técnico deverá ter procedimentos para obter informações de recuperação de forma rápida e segura.

Este artigo descreve o processo de obtenção de informações de recuperação do BitLocker para Microsoft Entra dispositivos associados, Microsoft Entra associados híbridos e associados ao Active Directory. Presume-se que o leitor já está familiarizado com a configuração de dispositivos para criar automaticamente cópias de segurança das informações de recuperação do BitLocker e das opções de recuperação do BitLocker disponíveis. Para obter mais informações, veja o artigo Descrição geral da recuperação do BitLocker .

Auto-recuperação

A palavra-passe de recuperação e a chave de recuperação do BitLocker para uma unidade do sistema operativo ou uma unidade de dados fixa podem ser guardadas num ou mais dispositivos USB, impressos, guardados no Microsoft Entra ID ou no AD DS.

Se a recuperação automática incluir a utilização de uma palavra-passe ou de uma chave de recuperação armazenada numa pen USB, os utilizadores têm de ser avisados para não armazenarem a pen USB no mesmo local que o dispositivo, especialmente durante a viagem. Por exemplo, se o dispositivo e os itens de recuperação estiverem no mesmo saco, seria fácil para um utilizador não autorizado aceder ao dispositivo. Outra política a considerar é fazer com que os utilizadores contactem o suporte técnico antes ou depois de realizarem a recuperação automática para que a causa raiz possa ser identificada.

Não é possível armazenar uma chave de recuperação em nenhuma das seguintes localizações:

• A unidade que está a ser encriptada
• O diretório raiz de uma unidade não móvel
• Um volume encriptado

Recuperação automática com palavra-passe de recuperação

Se tiver acesso à chave de recuperação, introduza os 48 dígitos no ecrã de recuperação pré-inicial.

• Se estiver a ter problemas ao introduzir a palavra-passe de recuperação no ecrã de recuperação pré-inicial ou já não conseguir iniciar o dispositivo, pode ligar a unidade a outro dispositivo como uma unidade secundária. Para obter mais informações sobre o processo de desbloqueio, consulte Desbloquear uma unidade
• Se desbloquear com a palavra-passe de recuperação não funcionar, pode utilizar a ferramenta de Reparação do BitLocker para recuperar o acesso à unidade

Recuperação automática no Microsoft Entra ID

Se as chaves de recuperação do BitLocker estiverem armazenadas no Microsoft Entra ID, os utilizadores podem aceder às mesmas com o seguinte URL: https://myaccount.microsoft.com. No separador Dispositivos , os utilizadores podem selecionar um dispositivo Windows que possuem e selecionar a opção Ver Chaves BitLocker.

Recuperação automática com pen USB

Se os utilizadores guardarem a palavra-passe de recuperação numa pen USB, podem ligar a unidade a um dispositivo bloqueado e seguir as instruções. Se a chave tiver sido guardada como um ficheiro de texto na pen, os utilizadores têm de utilizar um dispositivo diferente para ler o ficheiro de texto.

Recuperação de suporte técnico

Se um utilizador não tiver uma opção de recuperação self-service, o suporte técnico deverá conseguir ajudar o utilizador com uma das seguintes opções:

• Se o dispositivo estiver Microsoft Entra associado ou Microsoft Entra associado híbrido, as informações de recuperação do BitLocker podem ser obtidas a partir de Microsoft Entra ID
• Se o dispositivo estiver associado a um domínio, as informações de recuperação podem ser obtidas a partir do Active Directory
• Se o dispositivo estiver configurado para utilizar uma DRA, a unidade encriptada pode ser montada noutro dispositivo como uma unidade de dados para que o DRA consiga desbloquear a unidade

A lista seguinte pode ser utilizada como um modelo para criar um processo de recuperação para obtenção de palavra-passe de recuperação pelo suporte técnico.

Recuperação de suporte técnico no Microsoft Entra ID

Existem algumas funções Microsoft Entra ID que permitem a um administrador delegado ler palavras-passe de recuperação do BitLocker a partir dos dispositivos no inquilino. Embora seja comum as organizações utilizarem as funções incorporadas de Administrador de Dispositivos da Cloud ou Administrador de Suporte Técnico Microsoft Entra ID existentes, também pode criar uma função personalizada, delegando o acesso às chaves do BitLocker com a microsoft.directory/bitlockerKeys/key/read permissão . As funções podem ser delegadas para aceder às palavras-passe de recuperação do BitLocker para dispositivos em Unidades Administrativas específicas.

O centro de administração do Microsoft Entra permite que os administradores obtenham palavras-passe de recuperação do BitLocker. Para saber mais sobre o processo, consulte Ver ou copiar chaves BitLocker. Outra opção para aceder às palavras-passe de recuperação do BitLocker é utilizar o microsoft API do Graph, o que pode ser útil para soluções integradas ou com scripts. Para obter mais informações sobre esta opção, consulte Get bitlockerRecoveryKey.

No exemplo seguinte, utilizamos o cmdlet Get-MgInformationProtectionBitlockerRecoveryKey do PowerShell do Microsoft Graph para criar uma função do PowerShell que obtém palavras-passe de recuperação de Microsoft Entra ID:

function Get-EntraBitLockerKeys{
    [CmdletBinding()]
    param (
        [Parameter(Mandatory = $true, HelpMessage = "Device name to retrieve the BitLocker keys from Microsoft Entra ID")]
        [string]$DeviceName
    )
    $DeviceID = (Get-MGDevice -filter "displayName eq '$DeviceName'").DeviceId
    if ($DeviceID){
      $KeyIds = (Get-MgInformationProtectionBitlockerRecoveryKey -Filter "deviceId eq '$DeviceId'").Id
      if ($keyIds) {
        Write-Host -ForegroundColor Yellow "Device name: $devicename"
        foreach ($keyId in $keyIds) {
          $recoveryKey = (Get-MgInformationProtectionBitlockerRecoveryKey -BitlockerRecoveryKeyId $keyId -Select "key").key
          Write-Host -ForegroundColor White " Key id: $keyid"
          Write-Host -ForegroundColor Cyan " BitLocker recovery key: $recoveryKey"
        }
        } else {
        Write-Host -ForegroundColor Red "No BitLocker recovery keys found for device $DeviceName"
      }
    } else {
        Write-Host -ForegroundColor Red "Device $DeviceName not found"
    }
}

Install-Module Microsoft.Graph.Identity.SignIns -Scope CurrentUser -Force
Import-Module Microsoft.Graph.Identity.SignIns
Connect-MgGraph -Scopes 'BitlockerKey.Read.All' -NoWelcome

Depois de a função ser carregada, pode ser utilizada para obter palavras-passe de recuperação do BitLocker para um dispositivo específico. Exemplo:

PS C:\> Get-EntraBitLockerKeys -DeviceName DESKTOP-53O32QI
Device name: DESKTOP-53O32QI
 Key id: 4290b6c0-b17a-497a-8552-272cc30e80d4
 BitLocker recovery key: 496298-461032-321464-595518-463221-173943-033616-139579
 Key id: 045219ec-a53b-41ae-b310-08ec883aaedd
 BitLocker recovery key: 158422-038236-492536-574783-256300-205084-114356-069773

Recuperação de suporte técnico no Active Directory Domain Services

Para exportar uma palavra-passe de recuperação do AD DS, tem de ter acesso de leitura a objetos armazenados no AD DS. Por predefinição, apenas os Administradores de Domínio têm acesso às informações de recuperação do BitLocker, mas o acesso pode ser delegado a principais de segurança específicos.

Para facilitar a obtenção de palavras-passe de recuperação do BitLocker do AD DS, pode utilizar a ferramenta Visualizador de Palavras-passe de Recuperação do BitLocker . A ferramenta está incluída nas Ferramentas de Administração Remota do Servidor (RSAT) e é uma extensão para o snap-in Usuários e Computadores do Active Directory Consola de Gestão da Microsoft (MMC).

Com o Visualizador de Palavras-passe de Recuperação do BitLocker, pode:

• Verifique as propriedades do objeto de computador do Active Directory para obter as palavras-passe de recuperação do BitLocker associadas
• Procurar palavra-passe de recuperação do BitLocker no Active Directory em todos os domínios na floresta do Active Directory

Os seguintes procedimentos descrevem as tarefas mais comuns executadas com o Visualizador de Palavras-passe de Recuperação bitLocker.

Ver as palavras-passe de recuperação de um objeto de computador

1. Abra Usuários e Computadores do Active Directory snap-in MMC e selecione o contentor ou UO no qual os objetos do computador estão localizados
2. Clique com o botão direito do rato no objeto do computador e selecione Propriedades
3. Na caixa de diálogo Propriedades , selecione o separador Recuperação BitLocker para ver as palavras-passe de recuperação do BitLocker associadas ao computador

Localizar uma palavra-passe de recuperação com um ID de palavra-passe

1. No Usuários e Computadores do Active Directory, clique com o botão direito do rato no contentor de domínio e selecione Localizar Palavra-passe de Recuperação do BitLocker
2. Na caixa de diálogo Localizar Palavra-passe de Recuperação do BitLocker , escreva os primeiros oito carateres da palavra-passe de recuperação na caixa ID da Palavra-passe (primeiros 8 carateres) e selecione Procurar

Agentes de Recuperação de Dados

Se os dispositivos estiverem configurados com um DRA, o Suporte Técnico pode utilizar o DRA para desbloquear a unidade. Assim que a unidade BitLocker estiver ligada a um dispositivo que tenha a chave privada do certificado DRA, a unidade pode ser desbloqueada com o manage-bde.exe comando .

Por exemplo, para listar o DRA configurado para uma unidade protegida pelo BitLocker, utilize o seguinte comando:

C:\>manage-bde.exe -protectors -get D:

Volume D: [Local Disk]
All Key Protectors

    Data Recovery Agent (Certificate Based):
      ID: {3A8F7DEA-878F-4663-B149-EE2EC9ADE40B}
      Certificate Thumbprint:
        f46563b1d4791d5bd827f32265341ff9068b0c42

Se a chave privada do certificado com um thumbprint de estiver disponível no arquivo de f46563b1d4791d5bd827f32265341ff9068b0c42 certificados local, um administrador pode utilizar o seguinte comando para desbloquear a unidade com o protetor DRA:

manage-bde -unlock D: -Certificate -ct f46563b1d4791d5bd827f32265341ff9068b0c42

Tarefas de pós-recuperação

Quando um volume é desbloqueado com uma palavra-passe de recuperação:

• um evento é escrito no Registo de Eventos
• as medições de validação da plataforma são repostas no TPM para corresponder à configuração atual
• a chave de encriptação é libertada e está pronta para encriptação/desencriptação no momento em que os dados são escritos/lidos de e para o volume

Depois que o volume é desbloqueado, o BitLocker se comporta da mesma maneira, independentemente de como o acesso foi concedido.

Se um dispositivo tiver vários eventos de palavra-passe de recuperação, um administrador deve efetuar uma análise pós-recuperação para determinar a causa raiz da recuperação. Em seguida, atualize a validação da plataforma BitLocker para impedir a introdução de uma palavra-passe de recuperação sempre que o dispositivo é iniciado.

Determinar a causa raiz da recuperação

Se um utilizador precisar de recuperar a unidade, é importante determinar a causa que iniciou a recuperação o mais rapidamente possível. Analisar corretamente o estado do computador e detetar adulteração pode revelar ameaças que têm implicações mais amplas para a segurança empresarial.

Embora um administrador possa investigar remotamente a causa da recuperação em alguns casos, o utilizador poderá ter de levar o dispositivo que contém a unidade recuperada no site para analisar ainda mais a causa. Eis algumas perguntas que podem ser utilizadas para ajudar a determinar a causa principal da recuperação:

Para ajudar a responder a estas perguntas, pode utilizar o manage-bde.exe -status comando para ver o modo de configuração e proteção atual. Analise o registo de eventos para encontrar eventos que ajudem a indicar o motivo pelo qual a recuperação foi iniciada (por exemplo, se ocorreu uma alteração de ficheiro de arranque).

Resolva a causa raiz

Depois de identificar a causa da recuperação, a proteção do BitLocker pode ser reposta para evitar a recuperação em cada arranque.

Os detalhes da reposição podem variar de acordo com a causa da recuperação. Se não for possível determinar a causa raiz ou se um software malicioso ou um rootkit infectar o dispositivo, o suporte técnico deve aplicar políticas de vírus de melhores práticas para reagir adequadamente.

Rodar palavras-passe

Os administradores podem configurar uma definição de política para ativar a rotação automática de palavras-passe de recuperação para Microsoft Entra dispositivos associados e Microsoft Entra híbridos associados.
Quando a rotação automática de palavras-passe de recuperação está ativada, os dispositivos rodam automaticamente a palavra-passe de recuperação depois de a palavra-passe ser utilizada para desbloquear a unidade. Este comportamento ajuda a impedir que a mesma palavra-passe de recuperação seja utilizada várias vezes, o que pode ser um risco de segurança.

Para obter mais informações, veja Configurar a rotação de palavras-passe de recuperação.

Outra opção é iniciar a rotação de palavras-passe de recuperação para dispositivos individuais remotamente com Microsoft Intune ou Microsoft Configuration Manager.

Para saber mais sobre como rodar palavras-passe de recuperação do BitLocker com Microsoft Intune ou Microsoft Configuration Manager, consulte:

• documentação do Microsoft Intune
• documentação do Microsoft Configuration Manager

Ferramenta de Reparação do BitLocker

Se os métodos de recuperação abordados anteriormente neste documento não desbloquearem o volume, a ferramenta de Reparação do BitLocker (repair-bde.exe) pode ser utilizada para desencriptar o volume ao nível do bloco. A ferramenta utiliza o pacote de chaves BitLocker para ajudar a recuperar dados encriptados de unidades gravemente danificadas.

Os dados recuperados podem então ser utilizados para recuperar dados encriptados, mesmo que a palavra-passe de recuperação correta não desbloqueie o volume danificado. Recomenda-se que guarde a palavra-passe de recuperação, uma vez que um pacote de chaves não pode ser utilizado sem a palavra-passe de recuperação correspondente.

Utilize a ferramenta de Reparação nas seguintes condições:

• A unidade é encriptada com o BitLocker
• O Windows não inicia ou o ecrã de recuperação do BitLocker não é iniciado
• Não existe uma cópia de segurança dos dados contidos na unidade encriptada

Existem as seguintes limitações para Repair-bde:

• não consegue reparar uma unidade que falhou durante o processo de encriptação ou desencriptação
• assume que, se a unidade tiver alguma encriptação, a unidade está totalmente encriptada

Para obter uma lista completa das repair-bde.exe opções, consulte a referência Repair-bde.