Co je BitLocker: tiché šifrování Windows, které zamkne data

Jeden z nejnepříjemnějších telefonátů při záchraně dat zní takhle: „Nejde mi nastartovat notebook, naskočila nějaká modrá obrazovka a chce to nějaký dlouhý klíč, který nemám.“ V tu chvíli skoro vždycky vím, co se stalo — disk je zašifrovaný BitLockerem a počítač po nějaké změně chce 48místný recovery klíč, který majitel nikdy neviděl.

A teď to hlavní: bez toho klíče se k datům nedostane nikdo. Ani my, ani výrobce disku, ani Microsoft. To není strašení, to je celý smysl šifrování.

Nejhorší na tom je, že drtivá většina lidí vůbec netuší, že mají disk zašifrovaný. Nikdo to nezapínal. Stalo se to samo. Pojďme si projít, jak to funguje, proč se to děje, jak vás to může zamknout — a co s tím. A protože „o tom psát od stolu“ neumíme, prošli jsme celý scénář naživo na testovacím počítači v dílně.

K screenshotům: snímky jsou z anglické instalace Windows 11 (verze 24H2) na našem testovacím stroji. U názvů proto uvádíme anglicky, jak to vidíte na obrazovce, i česky z české verze Windows. Recovery klíč na snímcích a v ukázkách je z našeho laboratorního počítače — pro kohokoliv jiného je bezcenný, ukazujeme ho schválně, ať víte, jak přesně takový klíč vypadá.

Co je BitLocker a „Device Encryption“

BitLocker je vestavěné šifrování celého disku ve Windows. Nezašifruje jednotlivé soubory, ale celý oddíl — když někdo vytáhne disk z vypnutého notebooku a strčí ho do jiného počítače, uvidí jen nečitelnou změť. To je dobře: chrání to vaše data při krádeži nebo ztrátě.

Důležité je rozlišení, které mate spoustu lidí:

• BitLocker (s plnou správou — výběr disku, zásady, správa klíčů) je jen ve Windows 11 Pro, Enterprise a Education.
• „Device Encryption“ (Šifrování zařízení) je zjednodušená, automaticky zapínaná varianta téhož a je i ve Windows 11 Home. Uživatel ji nenastavuje — jen běží.

Pod kapotou je to ale stejný engine. A právě ta automatická varianta je důvod, proč jsou dnes lidé zašifrovaní, aniž by o tom věděli. (dokumentace Microsoftu)

Jak to drží pohromadě (a proč na tom záleží)

Stačí vám zapamatovat si řetěz tří klíčů:

TPM  →  odemyká  VMK  →  šifruje  FVEK  →  šifruje  DATA na disku

• FVEK je klíč, kterým se reálně šifrují data na disku.
• VMK je „hlavní“ klíč, který chrání ten FVEK.
• TPM (bezpečnostní čip na desce) drží VMK „zapečetěný“ a vydá ho jen když při startu sedí měření systému (že se nezměnil firmware, Secure Boot, bootloader…).

Výchozí šifra je XTS-AES 128bit — moderní a v praxi neprolomitelná hrubou silou (k tomu se ještě dostaneme). Zapamatujte si jen, že klíč je všechno. Když se ztratí, data jsou ztracená s ním.

Tiché šifrování: proč se to zapne samo (24H2 a HP)

Tady je jádro problému. Windows 11 verze 24H2 (a notebooky řady HP a dalších výrobců) zapínají Device Encryption automaticky po čisté instalaci nebo resetu, jakmile se přihlásíte účtem Microsoft.

Microsoft v 24H2 navíc zrušil dřívější hardwarové podmínky (DMA, HSTI/Modern Standby), takže se teď kvalifikuje prakticky každý nový počítač: „Starting in Windows 11, version 24H2, the prerequisites of DMA and HSTI/Modern Standby are removed. As a result, more devices are eligible for automatic … device encryption.“ (Microsoft Learn)

A tady pozor — past přímo pro servis a pro vás:

• Po čisté instalaci nebo „Resetovat tento počítač“ se disk zašifruje. Notebook, který byl před opravou nešifrovaný, je po reinstalaci najednou zašifrovaný. (Tom’s Hardware)
• HP to dokonce dokumentuje sám: BitLocker se zapne automaticky a „The recovery key is uploaded to the Microsoft account … automatically“ — s varováním „It is vital that you back up your BitLocker recovery key.“ (HP support)

Na našem testovacím stroji to bylo přesně vidět. manage-bde -status ukázal disk jako plně zašifrovaný (100 %), ale přitom ochrana vypnutá — to je ten mezistav, kdy je systém přihlášený lokálním účtem a šifrování „čeká“:

Volume C: [Windows]
    Conversion Status:    Used Space Only Encrypted
    Percentage Encrypted: 100.0%
    Encryption Method:    XTS-AES 128
    Protection Status:    Protection Off       ← šifrované, ale ochrana ještě "neozbrojená"
    Key Protectors:       None Found

Microsoft to popisuje stejně: dokud se přihlásíte jen lokálním účtem, „it remains unprotected even though the data is encrypted“. Jakmile se přihlásíte účtem Microsoft, ochrana se „ozbrojí“, vygeneruje se recovery klíč a uloží do vašeho účtu — a vy o tom nevíte.

Co BitLocker ve Windows reálně dělá (pod kapotou)

Tohle většina článků vynechá, ale je to užitečné — když víte, co v systému běží, líp pochopíte, proč se chová, jak se chová. Na živém systému jsme si „osahali“ jednotlivé součásti:

• Služba BDESVC (BitLocker Drive Encryption Service) — řídí celý BitLocker, běží uvnitř svchost.exe.
• Ovladač jádra fvevol.sys (Full Volume Encryption driver) — tohle je ten dělník: sedí ve storage stacku pod systémem souborů a šifruje/dešifruje každý jednotlivý zápis a čtení za běhu. Proto se data na disku nikdy neobjeví nezašifrovaná a vy přitom nic nepoznáte. Startuje hned při bootu.
• tpm.sys — ovladač bezpečnostního čipu TPM, který drží klíč.

Z reálného auditu testovacího stroje:

SVC  BDESVC   = Running   (BitLocker Drive Encryption Service)
DRV  fvevol   = RUNNING   StartMode: Boot   C:\WINDOWS\system32\DRIVERS\fvevol.sys
DRV  tpm      = RUNNING   C:\WINDOWS\system32\drivers\tpm.sys
WMI  Win32_EncryptableVolume:  ProtectionStatus=1(On)  EncryptionMethod=6(XTS-AES128)

Stav si kdykoliv ověříte i vy — buď v aplikaci BitLocker Drive Encryption (Šifrování jednotky BitLocker) v Ovládacích panelech, nebo v příkazové řádce příkazem manage-bde -status.

Recovery klíč: jak vypadá a kde ho najdete

Když se ochrana ozbrojí, Windows vygenerují recovery klíč — vaši poslední záchranu. Vypadá takhle: 48 číslic v 8 skupinách po šesti (jen číslice, žádná písmena). Tohle je reálný klíč z našeho laboratorního počítače:

ID klíče: {524E3754-49E7-4020-A2FC-EDD55FA41AB5}
Klíč:     160743-618486-642796-137687-058773-205568-527890-414128

Každý klíč má svoje ID (to dlouhé v závorce). Pozor — ID není klíč, je to jen „štítek“, podle kterého se v úložišti pozná, který z více klíčů patří k tomuhle disku. Na recovery obrazovce se vám zobrazí právě jen to ID, ne klíč.

Kam se klíč ukládá (a kde ho tedy hledat):

1. Váš účet Microsoft — nejčastější u domácích počítačů. Najdete ho na account.microsoft.com/devices/recoverykey (zkratka aka.ms/myrecoverykey).
2. Firemní účet (Microsoft Entra / Azure AD) — aka.ms/aadrecoverykey.
3. USB flash / textový soubor.
4. Vytištěný na papíře.

Klíč si musíte najít z jiného zařízení (z telefonu, jiného PC) — zamčený počítač čeká na recovery obrazovce a nic jiného na něm neuděláte.

Jak vás obyčejná aktualizace zamkne

Teď ta nejčastější bolest z praxe. BitLocker v běžném režimu (jen TPM, bez PINu) svazuje klíč s měřením startu počítače — konkrétně s registry PCR 7 a PCR 11 (stav Secure Bootu a bootloaderu). Když se tohle měření změní, TPM klíč nevydá a vy spadnete do recovery obrazovky.

A co takovou změnu způsobí? Úplně běžné věci:

• aktualizace BIOSu / UEFI nebo firmwaru TPM,
• některé aktualizace Windows, které sáhnou na Secure Boot,
• změna pořadí bootování, přenos disku do jiného počítače.

Že to není teorie, ukazují doložené hromadné případy z posledních dvou let:

• Červenec 2024 — aktualizace KB5040442 / KB5040427 poslaly po restartu spoustu počítačů (Windows 10, 11 22H2/23H2) do BitLocker recovery. Microsoft to potvrdil a opravil. (BleepingComputer)
• Říjen 2025 — aktualizace KB5066835 spustila recovery hlavně na strojích Intel, a navíc na řadě z nich recovery prostředí nebralo USB klávesnici — lidé klíč měli, ale nemohli ho zadat. Microsoft vydal mimořádnou opravu. (Tom’s Hardware)
• Duben 2026 — aktualizace KB5083769 spustila jednorázovou recovery výzvu kvůli změně certifikátu Secure Boot (změna měření PCR7). (BleepingComputer)

Vidíte ten vzorec? „Po čtvrté za čtyři roky.“ Tohle se prostě opakuje.

Na testovacím stroji jsme si lockout vyvolali schválně (manage-bde -forcerecovery) a po restartu naskočila přesně tahle obrazovka. Všimněte si ID klíče (524E3754…) — je to stejné ID jako u klíče, který jsme vygenerovali výše. Přesně podle tohohle ID si svůj 48místný klíč v účtu Microsoft najdete:

Drobnost, kterou stojí za to vědět: při normálním startu tahle obrazovka nikdy nenaskočí — TPM odemkne disk automaticky a vy jdete rovnou na přihlášení. Proto je BitLocker „neviditelný“ a proto o něm lidi nevědí. Klíč chce až ve chvíli, kdy se něco změní — a to bývá ten nejhorší okamžik.

Pentest: dá se BitLocker obejít?

Krátká odpověď: samotnou šifru ne, ale za určitých okolností se dá ukrást klíč. Tohle je důležité pro pochopení, proti čemu vás BitLocker chrání a proti čemu ne.

• Hrubá síla na AES nemá smysl. Vyzkoušet všechny kombinace klíče je fyzikálně nemožné, ať máte výkon jaký chcete. Zašifrovaný disk bez klíče = náhodný balast. Tečka.
• Útoky proto míří na získání klíče u počítače, ke kterému má útočník fyzický přístup, a skoro všechny zneužívají to, že v režimu jen TPM (bez PINu) počítač klíč vydá sám od sebe při startu:
  • „bitpixie“ (CVE-2023-21563) — softwarový útok, který přes podvržený starší bootloader vytáhne klíč z paměti. Žádný šroubovák, pár minut. Předvedeno naživo na konferenci 38C3 (prosinec 2024, Thomas Lambertz) na plně aktualizovaných Windows 11. (neodyme.io)
  • Odposlech sběrnice TPM — u počítačů se samostatným (diskrétním) TPM čipem putuje klíč po desce v nešifrované podobě a dá se odposlechnout. Výzkumník „stacksmashing“ (Thomas Roth) to v roce 2024 předvedl na ThinkPadu za ~43 sekund pomocí Raspberry Pi Pico za pár dolarů. (Tom’s Hardware)
  • Cold boot a útoky přes DMA (Thunderbolt/PCIe) — čtení klíče z RAM, dokud je v ní.

Společný jmenovatel: fyzický přístup + jen TPM bez PINu. Pro běžného uživatele doma to není každodenní hrozba — ale pro firemní notebook s citlivými daty rozhodně ano. Obrana je jednoduchá: přidat startovací PIN (TPM+PIN). Pak počítač klíč nevydá, dokud nezadáte PIN, a většina těchhle útoků padá.

Proč TPM-only nestačí

V režimu TPM-only je BitLocker navázaný na bezpečnostní čip TPM a měření startu systému. Když firmware, Secure Boot a bootovací komponenty vypadají správně, TPM vydá klíč a Windows pokračují. Uživatel nic nezadává.

To je pohodlné pro běžnou práci a dobré proti jednoduchému scénáři „někdo vytáhne disk a dá ho do jiného počítače“. Jenže u útoků typu YellowKey, bitpixie nebo odposlech TPM sběrnice se útočník nesnaží lámat šifru. Snaží se dostat do okamžiku, kdy klíč vydá samotný počítač.

TPM+PIN přidává druhý krok: před startem Windows musíte zadat PIN. Teprve potom se šifrovací klíč rozbalí. Microsoft v dokumentaci k BitLocker countermeasures uvádí, že u TPM+PIN nejsou data na šifrovaném svazku dostupná bez zadání PINu a že TPM má ochranu proti hádání PINu.

Schéma: v TPM-only se disk odemyká automaticky. TPM+PIN přidá otázku ještě před startem Windows.

PIN z toho nedělá neprůstřelný trezor. I s PINem pořád musíte řešit aktualizace, recovery klíč, firmware, fyzickou bezpečnost a zálohy. Ale proti veřejnému YellowKey scénáři je rozdíl zásadní: bez PINu se útočník snaží dostat k už odemčenému svazku, s PINem musí nejdřív překonat pre-boot autentizaci.

Jak zjistím, v jakém režimu mám BitLocker

Otevřete příkazovou řádku jako správce:

manage-bde -status

Ve výpisu hledejte sekci Key Protectors:

• TPM znamená TPM-only. Disk se při startu odemyká sám.
• TPM And PIN znamená pre-boot PIN. To je stav, který chcete u notebooku noseného ven.
• Numerical Password je recovery klíč. Ten potřebujete mít bezpečně uložený.

Příkaz manage-bde -status ukáže, jestli máte jen TPM, nebo TPM And PIN.

Totéž často uvidíte i přes Ovládací panely: BitLocker Drive Encryption / Šifrování jednotky BitLocker.

Ovládací panel je přehlednější pro běžného uživatele, příkazová řádka je přesnější pro kontrolu ochranných klíčů.

Na Windows 11 Home se často nesetkáte s plným názvem BitLocker, ale s položkou Device Encryption. Pod kapotou jde o stejnou technologii šifrování systémového disku. Vysvětlujeme to podrobně v článku BitLocker: jak vám Windows tiše zašifrují disk.

Záchrana dat: bez klíče = data pryč

Tohle je část, kterou v servisu řešíme nejčastěji, a chci být úplně upřímný, protože jde o vaše data a peníze.

Když máte zašifrovaný disk, selže základní deska nebo se poškodí systém — a vy nemáte recovery klíč — jsou data nenávratně pryč. Microsoft to říká natvrdo: „Microsoft Support doesn’t have the ability to retrieve, provide, or recreate a lost BitLocker recovery key.“ (Microsoft)

Co laboratoř na záchranu dat umí a neumí:

• Umí: opravit fyzicky poškozený disk, vytáhnout obraz dat, dohledat, kam se klíč ukládal.
• Neumí: dešifrovat data bez klíče. I kdybychom vyčetli paměťové čipy přímo, dostaneme zašifrovaný blok, který je bez klíče k ničemu. Záchrana dat je obnova nosiče, ne prolomení šifry.

A varování: služby, které slibují „obejití BitLockeru“ bez klíče, jsou v drtivé většině podvod. Funkční cesta zpět vede jen přes klíč (manage-bde -unlock, případně repair-bde u poškozeného svazku — ale i ten potřebuje platný klíč).

Co s tím — návod, ať vás to nezaskočí

Dobrá zpráva: ochránit se před tímhle scénářem je zadarmo a zabere to pět minut.

1. Zjistěte, jestli jste šifrovaní. Nastavení → Soukromí a zabezpečení → Šifrování zařízení, nebo v příkazové řádce (jako správce) manage-bde -status. Když vidíte „Protection On“, jste zašifrovaní.
2. Zazálohujte si recovery klíč — a to na víc míst. Ověřte, že je ve vašem účtu Microsoft, a navíc si ho vytiskněte nebo uložte na USB, které necháte mimo počítač. U lokálního účtu se klíč nikam neukládá sám — musíte ho exportovat ručně.
3. Před aktualizací BIOSu/firmwaru BitLocker pozastavte (Suspend → update → restart). Ušetří vám to recovery prompt. Příkaz: Suspend-BitLocker -MountPoint "C:", po updatu Resume-BitLocker.
4. Na firemním notebooku zapněte startovací PIN (TPM+PIN) — výrazně to ztíží útoky popsané výše.
5. Šifrování ≠ záloha. BitLocker chrání data před cizíma očima, ale nenahradí zálohu. Když umře disk, šifrovaná data jsou pryč stejně jako nešifrovaná — jen je navíc nikdo nepřečte. Držte se pravidla 3-2-1.

Když už je zle (a proč volat dřív než později)

Pár reálných situací, se kterými za námi lidé chodí:

• „Po aktualizaci to chce klíč a já žádný nemám.“ — Někdy klíč najdeme v účtu Microsoft, na který si majitel nevzpomněl, nebo u firmy v doméně. Šance je, dokud se zbytečně nepokoušíte o resety, které mažou data.
• „Notebook spadl / nenastartuje a je na něm BitLocker.“ — Disk umíme vyčíst i z nebootujícího stroje, ale dešifrovat ho jde jen s klíčem. Proto je první otázka vždy: máte někde ten klíč?
• „Reinstaloval jsem Windows a teď se nedostanu ke starým datům na disku.“ — Klasická past 24H2: nová instalace si disk zašifrovala znovu, jiným klíčem.

Když se počítač chová divně, nenastartuje, nebo po vás najednou chce 48místný klíč, nepouštějte se do experimentů a resetů — často tím dořešíte i tu poslední šanci na záchranu. Radši napište nebo zavolejte.

V brněnské dílně řešíme záchranu dat ze šifrovaných i poškozených disků, pomůžeme dohledat recovery klíč a nastavit BitLocker tak, aby vás chránil, a ne zaskočil. A když budete chtít jen poradit, jestli a jak se vás tohle týká, ozvěte se — pár minut po telefonu ušetří hodně nervů.