Zgubiony laptop może zawierać dokumenty, zdjęcia i zapisane dane służbowe. Szyfrowanie utrudnia odczytanie dysku poza działającym systemem, ale wymaga przygotowania drogi odzyskania dostępu. Wyjaśniamy, gdzie sprawdzić ochronę w Windows i macOS oraz jak przechować klucz potrzebny po awarii lub zmianie sprzętu.
Co daje szyfrowanie dysku
Hasło do konta zabezpiecza zwykłe logowanie. Szyfrowanie zajmuje się również sytuacją, w której ktoś próbuje odczytać nośnik poza tym mechanizmem, na przykład po wyjęciu go i podłączeniu do innego komputera. Microsoft opisuje właśnie taki scenariusz jako jedno z zastosowań BitLockera. Samo posiadanie skradzionego dysku nie powinno wtedy wystarczać do odczytania danych.
Zakres ochrony ma znaczenie przy wyborze rozwiązania. BitLocker i FileVault służą zabezpieczeniu pamięci masowej. Włączając je, przygotuj również sposób odzyskania dostępu: system może poprosić o dodatkowy klucz także prawowitego właściciela. Microsoft wskazuje jako możliwą przyczynę m.in. zmianę sprzętu lub oprogramowania układowego.
Windows Home i Pro mają różne możliwości
W Windows są dwa powiązane rozwiązania: uproszczone „Szyfrowanie urządzenia” i ręcznie zarządzane „Szyfrowanie dysków funkcją BitLocker”. Pierwsze może być dostępne także w Windows Home, zależnie od urządzenia. Panel ręcznego zarządzania dyskami jest przewidziany dla edycji Pro, Enterprise i Education.
Zacznij od sprawdzenia istniejącego stanu. Przy konfiguracji obsługiwanego urządzenia z kontem Microsoft albo kontem służbowym ochrona może zostać aktywowana automatycznie, a klucz przypisany do konta. Dokumentacja Microsoft zastrzega, że konto lokalne nie włącza jej automatycznie. Samo hasło logowania lub nazwa edycji systemu nie potwierdzają więc, że konkretny dysk jest zaszyfrowany.
Jak sprawdzić szyfrowanie urządzenia w Windows 11
Zaloguj się jako administrator. Otwórz Ustawienia, następnie „Prywatność i zabezpieczenia” oraz „Szyfrowanie urządzenia”. Sprawdź stan przełącznika. Jeśli ochrona jest wyłączona, można ją włączyć w tym miejscu, o ile funkcja jest dostępna na danym komputerze.
Brak tej pozycji może wynikać z konfiguracji sprzętu albo ze standardowego konta użytkownika. Microsoft zaleca sprawdzenie „Informacji o systemie”, uruchomionych jako administrator, i pola dotyczącego obsługi szyfrowania urządzeń. Wskazane przyczyny obejmują m.in. brak dostępnego TPM, nieskonfigurowane WinRE lub nieobsługiwane wiązanie PCR7. Przy komputerze firmowym ustalenia te przekaż działowi IT, zanim zmienisz ustawienia rozruchu.
Ręczne włączenie BitLockera
W obsługiwanej edycji Windows otwórz Start, wpisz „BitLocker” i wybierz „Zarządzaj funkcją BitLocker”. Panel rozróżnia dysk systemu operacyjnego, dodatkowe stałe dyski danych i nośniki wymienne, oznaczane jako BitLocker To Go. Wybierz właściwy nośnik, zamiast zakładać, że ustawienie jednego dysku obejmuje wszystkie pozostałe.
Przy wybranym dysku użyj „Włącz funkcję BitLocker”, wybierz sposób odblokowania i wykonaj kopię klucza odzyskiwania zgodnie z kreatorem. Poczekaj na zakończenie szyfrowania; Microsoft dopuszcza korzystanie z komputera w trakcie tego procesu. Czas zależy od konkretnego nośnika i konfiguracji, dlatego nie podajemy uniwersalnej liczby minut.
Gdzie bezpiecznie zachować klucz BitLockera
Klucz odzyskiwania BitLockera ma 48 cyfr. W panelu zarządzania, przy odpowiednim dysku, wybierz utworzenie kopii klucza. Dostępne możliwości obejmują konto Microsoft, nośnik USB, plik albo wydruk. Sprawdź, czy wybrana kopia rzeczywiście istnieje i czy masz do niej dostęp z innego urządzenia.
Wydruk oraz pendrive z kluczem przechowuj oddzielnie od laptopa. Trzymanie ich razem sprawia, że złodziej może zdobyć komputer i narzędzie jego odblokowania jednocześnie. Przy zapisie do pliku Microsoft nie pozwala użyć dysku zaszyfrowanego BitLockerem. Praktycznym sprawdzianem jest odpowiedź na pytanie: czy odnajdziesz klucz, gdy ten konkretny komputer nie uruchomi systemu?
Gdy Windows zatrzyma się na ekranie odzyskiwania
Zanotuj osiem pierwszych cyfr identyfikatora klucza wyświetlonego na ekranie. Identyfikator pomaga wybrać właściwy zapis, jeśli na koncie jest kilka komputerów lub dysków; nie zastępuje 48-cyfrowego klucza. Na innym urządzeniu skorzystaj z odnośnika do odzyskiwania wskazanego w dokumentacji Microsoft i porównaj identyfikatory.
Klucz może być na koncie osoby, która konfigurowała komputer, na koncie organizacji, na wydruku albo na USB. W przypadku sprzętu służbowego skontaktuj się z IT. Microsoft nie potrafi odtworzyć utraconego klucza. Gdy nie można go odnaleźć ani cofnąć zmiany powodującej żądanie, opisywany przez producenta reset urządzenia usuwa pliki. Nie traktuj resetu jako sposobu zachowania zaszyfrowanych danych.
FileVault na Macu z Apple Silicon lub T2
Na Macach z układem Apple lub zabezpieczającym T2 pamięć wewnętrzna jest szyfrowana sprzętowo także przed włączeniem FileVault. Apple wyjaśnia jednak, że aktywny FileVault wiąże ochronę klucza z hasłem użytkownika oraz identyfikatorem sprzętowym. Dzięki temu hasło staje się istotnym elementem dostępu do danych podczas uruchamiania.
Na starszych Macach bez Apple Silicon i T2 włączenie FileVault uruchamia ochronę, której nie należy utożsamiać z opisanym sprzętowym mechanizmem nowszych modeli. Nie oceniaj stanu komputera wyłącznie po obecności hasła. Sprawdź ustawienie FileVault i model urządzenia.
Włączanie FileVault i wybór odzyskiwania
Jako administrator otwórz menu Apple, Ustawienia systemowe, „Prywatność i ochrona”, a następnie FileVault. Włącz funkcję i wykonaj polecenia kreatora. Bieżący podręcznik Apple dla macOS 27 opisuje wybór odzyskiwania przez konto iCloud albo za pomocą osobnego klucza. Dostępne opcje mogą zależeć od konfiguracji komputera.
Wybór konta iCloud wymaga utrzymania dostępu do tego konta. Przy osobnym kluczu zapisz znaki dokładnie i zachowaj kopię poza zaszyfrowanym dyskiem startowym. Jeśli z Maca korzysta kilka osób, kreator może wymagać dodatkowego włączenia uprawnień odblokowania dla użytkowników. Nie zakładaj, że każde istniejące konto automatycznie potrafi odblokować dysk.
Klucz FileVault i aplikacja Hasła
Osobisty klucz FileVault to 24-znakowy kod alfanumeryczny. Apple wyraźnie odróżnia go od klucza odzyskiwania samego konta Apple. Podobna nazwa nie oznacza, że oba ciągi można stosować zamiennie.
Jeżeli Mac używa macOS Tahoe 26 lub nowszego, klucz może być dostępny w aplikacji Hasła na innym urządzeniu zalogowanym na to samo konto Apple. Wymagane jest włączenie synchronizacji Haseł i pęku kluczy iCloud. W Hasłach wyszukaj „klucz odzyskiwania” i sprawdź wpis odpowiadający właściwemu Macowi. To możliwość zależna od konfiguracji, a nie gwarancja, że każdy klucz znajduje się już w chmurze.
Ochrona kopii zapasowej wymaga osobnej uwagi
Zaszyfrowany dysk laptopa i zaszyfrowany nośnik kopii zapasowej to odrębne miejsca przechowywania danych. W Time Machine szyfrowanie backupu wymaga ustalenia hasła, które będzie potrzebne do odtworzenia plików. Zachowaj je tak, by awaria komputera nie pozbawiła Cię również dostępu do kopii.
Przed zakończeniem konfiguracji sprawdź trzy rzeczy: stan ochrony konkretnego dysku, dostępność wybranej metody odzyskiwania oraz oznaczenie komputera lub nośnika przy zapisanym kluczu. W ten sposób unikniesz pomylenia kluczy różnych urządzeń właśnie wtedy, gdy normalne logowanie przestanie działać.
Zdjęcie wyróżniające: Zamknięty laptop, fotografia ilustracyjna z 2016 r. Zdjęcie nie potwierdza zgodności tego modelu z Windows 11 ani stanu szyfrowania. Fot. Ugion, Wikimedia Commons, CC BY-SA 4.0. Pomniejszono.
Ilustracja 1: Ugion; źródło ilustracji; licencja.
Źródło informacji: Dokumentacja Microsoft i Apple; Źródło 2; Źródło 3; Źródło 4; Źródło 5; Źródło 6; Źródło 7; Źródło 8; Źródło 9.
