☰

安装 Ubuntu 后 BitLocker 要求输入保护代码

tag-icon • tag-icon ubuntu windows-10 boot encryption bitlocker
安装 Ubuntu 后 BitLocker 要求输入保护代码

我刚刚将 Ubuntu 并排安装到新笔记本电脑上的 Windows 10 分区中。

意思是，笔记本电脑附带有 Windows 10，我通过闪存驱动器使用 Ubuntu 桌面安装 ISO 在 Windows 分区上安装了 Ubuntu。

现在，每次我启动 Windows 启动管理器时，BitLocker 都会要求我输入较长的 BitLocker 恢复密钥。几个问题 ―

  1. 为什么 BitLocker 会受到 Ubuntu 设置的新引导加载程序的影响？一个天真的想法是 BitLocker 解密密钥存储在主板 TPM 上，不受新引导加载程序安装的影响，这可能是真的，否则 Windows 将不再能够读取自己的文件。那么为什么 BitLocker 现在甚至需要恢复密钥呢？
  2. Ubuntu 并行安装提到了一些有关摆弄启动保护的事情，但这是否与 TPM 或单独的安全机制有关仍不清楚。
  3. Ubuntu 安装程序甚至要求输入一个密码来帮助重新建立安全启动，但在安装后，无论是使用 Ubuntu 还是 Windows 引导加载程序启动，我都没有被提示在任何地方使用它。
  4. 如何让 BitLocker 再次值得信任？在 Windows 10 中，我只看到一个可以完全禁用磁盘加密的选项，但不确定为什么它不能继续运行。
  5. 关闭加密然后重新打开（在 Windows 中）似乎有点小题大做，而且我不知道这样做是否会扰乱我的 Ubuntu 分区。

在 Windows 中，提供恢复密钥后，我可以看到设备加密已打开。所以我的理解是，我的 Windows 分区仍在解密自己的文件，而我的 Ubuntu 分区没有询问可信平台管理在写入文件时加密文件，在读取文件时解密文件。

答案1

这个问题是 Windows 不认为 GRUB 是安全组件。因此，每当您从 GRUB 启动 Windows 时，Windows 都会认为启动顺序可能已被破坏，并强制重新输入密钥。

我知道解决这个问题的唯一方法是完全不使用 GRUB。你可以

  • 直接通过 BIOS 菜单选择启动顺序（我使用的解决方案是在启动期间输入 F12，然后 BIOS 就会在启动方案之间进行选择）
  • 或者使用 Windows 引导程序并向其中添加 Linux 选项（点击此处了解如何实现）。

答案2

我通过以下方式解决了这个问题：“Bitlocker”-->“暂停加密”-->重新启动 Windows 10-->在 GRUB 中选择 Windows 引导加载程序-->Windows 10 加密再次启用，但不再要求输入加密长密钥。

我有 1 个 SSD，上面有： - Windows 10（UEFI / GPT）Bitlocker - Ubuntu：（3 个分区：启动、根和家庭）。

答案3

迟到了，但截至 2022 年 4 月，在 Dell E6530 上安装 Mint 20.3，位于同一驱动器上启用了 bitlocker 的 Windows 10 分区旁边，并且禁用了安全启动，我也遇到了这个问题，并且无法使用此线程或许多其他线程上的各种答案来解决它：

  • 暂停保护无效
  • 解密并重新加密磁盘不起作用：
    • 在加密前重新启动进行测试时，弹出消息“指定的数据驱动器未设置为在当前计算机上自动解锁，并且无法自动解锁。 C：未加密”。
    • 绕过测试后，加密成功，但每次启动时都必须输入恢复密钥
  • @jean-bernard-jensen 的回答，根据我的情况，用TPMAndPIN代替TPM也不起作用。安全启动已禁用，所以我的 PCR 配置文件是 0,2,4,11。PCR 配置文件保持不变是它不起作用的原因。

有效的方法：

  • 启动 Windows（使用您的恢复密钥，我假设您已经提取并准备好了该密钥，以防在其余过程中出现任何问题）
  • 打开组策略编辑器（gpedit打开开始菜单后输入）并导航至管理模板> Windows 组件> Bitlocker 驱动器加密> 操作系统驱动器
  • 打开“为本机 UEFI 固件配置配置 TPM 平台验证配置文件”的策略设置
  • 选择“已启用”
  • 取消勾选“PCR 4：启动管理器”
  • 打开提升的命令提示符并使用以下命令（您可能可以用 替换TPMAndPin）TPM：
    • manage-bde -protectors -delete C: -type TPMAndPIN
    • manage-bde -protectors -add C: -TPMAndPIN（要求我设置新的PIN码，可以和之前的一样）
  • 重启
  • 享受！

一旦我的设置完成 - 我可能需要在短期/中期内调整分区大小 - 我可能会再次执行此操作以PCR 5: GPT / Partition Table在 PCR 配置文件中启用。

顺便提一下，一旦您完成了该阶段，下一步可能就是设置一个可以在 Windows 和 Linux 之间共享的加密驱动器。为此，您可能需要了解一下 VeraCrypt，它可以在使用密钥文件登录时在两个操作系统上自动安装相同的加密驱动器，并且具有许多其他出色的功能（隐藏卷）。您也可以完全摆脱 Bitlocker，将 VeraCrypt 用于系统卷，但那是另一回事……

答案4

在评论区好心人的帮助下，我终于优雅地解决了这个问题。这是优雅的解决方案，取自此处：

为了让 BitLocker 重新获得信任，我只需禁用然后重新启用 BitLocker：

C:\Windows\system32\manage-bde.exe" -protectors -enable c:

C:\Windows\system32\manage-bde.exe" -protectors -disable c:

我认为现在 Windows 像以前一样通过 TPM 使用 BitLocker 和磁盘加密，而 Ubuntu 根本不使用。

可以安装一些 Ubuntu 的东西来让它工作喜欢BitLocker（因此大概也能实现 Windows 和 Ubuntu 之间的共享分区），但我认为目前 Ubuntu 不使用 TPM 硬件，所以它会将整个加密密钥存储在磁盘上，从而违背了加密的目的，所以我想这不值得。

因此，BitLocker 知道启动操作，因此即使 TPM 集成保持完整，也理所当然地等待信任恢复事件。输入保护密钥，然后在 Windows 中使用上述几个命令，使其重新进入信任状态，恢复正常运行。

相关内容