Zapomenuté heslo v BIOSu ThinkPadu: co dál

Odpověď hned: Heslo v BIOSu ThinkPadu neleží v paměti CMOS, kterou drží knoflíková baterie — proto po jejím vyndání nezmizí, na rozdíl od stolních počítačů z devadesátek. Lenovo u zapomenutého supervisor hesla uvádí, že „there is no service procedure to remove the password”, a odkazuje na autorizovaný servis kvůli výměně základní desky. U zapomenutého NVMe (diskového) hesla platí, že Lenovo heslo neresetuje ani nezachrání data a mění se disk. Power-on heslo jde odstranit jen tehdy, když je po ruce supervisor nebo system management heslo. Zamčený stroj bez doložení vlastnictví neotevíráme.

Tři hesla, která si lidé pletou

Do servisu v Brně chodí zamčené ThinkPady pravidelně a rozhovor začíná skoro vždycky stejně: „mám heslo v BIOSu”. To ale může znamenat tři úplně jiné situace s třemi úplně jinými konci. Lenovo je v příručce k současným řadám T a P popisuje takto:

• Power-on password — okno s heslem se objeví hned po zapnutí a bez něj počítač nenajede.
• Supervisor password — podle Lenova „protects the system information stored in UEFI BIOS”, tedy chrání nastavení samotného BIOSu. Má vyšší oprávnění a power-on heslo přebíjí.
• System management password — chrání totéž co supervisor heslo, ale „it has lower authority by default”; nastavuje se i vzdáleně přes Windows Management Instrumentation, takže se s ním potkáte hlavně u firemních strojů.
• NVMe password — nechrání počítač, ale disk. V režimu jednoho hesla se bez něj neotevřou soubory a aplikace na disku. V režimu dvou hesel existuje ještě admin heslo, kterým správce dostane přístup napříč firemními stroji, a platí, že „only the administrator can remove the user NVMe password”.

Rozdíl je zásadní. Zamčený BIOS znamená stroj, který nejde nastavit nebo nastartovat, ale disk může být v pořádku. Zamčený disk znamená, že data jsou nedostupná bez ohledu na to, do čeho ho zapojíte.

Proč vyndání baterky nepomůže

Představa, že se BIOS „vynuluje” odpojením knoflíkové baterie, je z doby stolních počítačů, kde se nastavení i heslo držely v paměti CMOS napájené právě tou baterií. Odpojíte napájení, paměť zapomene, heslo je pryč.

U ThinkPadu tohle neplatí a je to úmysl. Kdyby zámek zmizel po odpojení baterie, byl by na nic — firemní notebook se otevírá šroubovákem za pět minut. Heslo je proto uložené v trvalé paměti na základní desce, která si obsah pamatuje i bez napájení.

Nejlepší důkaz nabízí sám výrobce: kdyby existovala cesta, jak heslo smazat, Lenovo by ji popsalo. Místo toho v příručce stojí, že u zapomenutého supervisor hesla není žádný servisní postup a řešením je výměna základní desky u autorizovaného poskytovatele servisu. Výměna celé desky je drahá a nepohodlná varianta — nikdo by ji nepředepisoval, kdyby stačilo něco odpojit.

Návod na obcházení tady nenajdete. Nepíšeme ho a neděláme to. Ne kvůli opatrnosti, ale proto, že postup na odemčení cizího zabezpečení je návod na to, jak zpeněžit kradený notebook.

Co konkrétně říká Lenovo u každého hesla

Ještě jedna věta z příručky, kterou je fér zmínit dopředu: „If you forget any of your passwords, any potential repair actions required are not covered under warranty.” Zapomenuté heslo tedy není záruční vada, i kdyby byl notebook nový.

Diskové heslo je jiná liga než BitLocker

U NVMe hesla se často objeví otázka, jestli se disk nedá „přečíst zvenku” — vytáhnout, dát do redukce a stáhnout data. Nedá. Zámek nedrží Windows ani BIOS, ale řadič samotného disku; disk se v cizím počítači ohlásí jako uzamčený a nevydá nic. Proto je Lenovo v odpovědi tak stručné: heslo neresetujeme, data neobnovíme, disk se vymění.

Tím se diskové heslo liší od šifrování BitLockerem, kde existuje obnovovací klíč a dá se dohledat v účtu Microsoft nebo u firemního správce — o tom píšeme v článku šifrování disku u firemního notebooku. U diskového hesla žádná obdoba obnovovacího klíče pro koncového uživatele není. Pokud stroj spravovala firma a nastavila dvojici hesel, jediná cesta vede přes jejího správce, který umí uživatelské heslo odebrat. Když firma zanikla nebo správce odešel, cesta končí.

Na stejnou hranici narazíme i u záchrany dat: co se z fyzicky vadného disku zachránit dá a co ne, rozebírá záchrana dat: kdy jde a kdy ne. Uzamčený, ale zdravý disk patří do kategorie „nejde” — a je to tak správně, protože přesně kvůli tomu si to heslo někdo nastavil.

Co servis reálně smí a co po vás bude chtít

Naše role u zamčeného stroje je poctivě úzká a stojí za to ji říct nahlas:

1. Zjistíme, co přesně je zamčené. Tedy jestli jde o power-on, supervisor, system management nebo diskové heslo, případně o jejich kombinaci. To je informace, kterou zákazník potřebuje k rozhodnutí a kterou z popisu po telefonu spolehlivě nezjistíte.
2. Řekneme, jestli existuje legální cesta. Někdy ano — u power-on hesla stačí supervisor heslo, které má správce IT nebo bývalý majitel ve svých poznámkách.
3. Vyměníme disk, když je zamčený jen ten. Notebook pak funguje normálně, jen s čistým systémem a bez starých dat.
4. Poradíme s rozhodnutím, jestli má oprava smysl. U starší desky často vyjde levněji koupit jiný kus než platit desku, kterou předepisuje výrobce.

Co potřebujeme od vás: doklad, že je stroj váš. Faktura nebo účtenka, kupní smlouva z bazaru či inzerátu, předávací a vyřazovací protokol u techniky z firmy, u zděděného notebooku doklad z dědického řízení. U firemního zařízení stačí objednávka od zaměstnavatele, který je vlastníkem.

Bez toho zamčený stroj neřešíme. Nabídky typu „odemkneme jakýkoli BIOS” na internetu existují a jsou lákavé přesně pro toho, kdo doklad nemá; my do téhle role jít nechceme a legitimní zákazník na tom nic netratí, protože doklad prostě má.

Bazarový ThinkPad: co zkontrolovat dřív, než zaplatíte

Firemní ThinkPady řad T, X a L přicházejí na český trh po leasingu ve velkém a drtivá většina je v pořádku. Občas se ale objeví kus, kterému někdo zapomněl odebrat firemní zámek. Poznáte ho za pár minut a před placením:

• Nastartujte do BIOSu. Po zapnutí zmáčkněte F1. Když se objeví okno s heslem ještě před samotným Setupem, hledejte jiný kus.
• Zkuste uložit změnu. Když do Setupu vejdete, změňte nějakou neškodnou položku a dejte uložit (F10). Pokud si stroj vyžádá heslo teprve teď, je nastavené supervisor heslo a nastavení BIOSu je zamčené.
• Podívejte se na sekci Security → Password. Uvidíte, jestli je u jednotlivých hesel stav „Enabled”.
• Ověřte, že disk je vidět a použitelný. Nabootujte z instalačního USB Windows nebo z běžného živého Linuxu a zkontrolujte, že se disk hlásí a jde na něj zapsat. Uzamčený NVMe se ohlásí jako nedostupný nebo se neukáže vůbec.
• Chtějte doklad. Prodejce, který má stroj legálně, doklad o původu dá. Ten, který ho nedá, vám právě odpověděl na otázku, proč je tak levný.

Kompletní patnáctiminutovou kontrolu, včetně baterie, pantů a displeje, máme v článku bazarový notebook: jak ho zkontrolovat za 15 minut, a ekonomiku nákupu rozebírá repasovaný notebook: kdy se vyplatí.

Realistická očekávání

Buďme konkrétní, ať se nikdo nediví:

• Zapomenuté supervisor heslo na starším ThinkPadu obvykle znamená konec cesty. Výměna základní desky, kterou předepisuje výrobce, se u stroje starého sedm let ekonomicky nevyplatí.
• Zapomenuté diskové heslo znamená ztrátu dat. Vždycky. Nový disk vrátí notebook do provozu, data ale nikoli.
• Zapomenuté power-on heslo tam, kde existuje supervisor heslo, je naopak nejlepší varianta — bývá to práce na pár minut, jakmile se dohledá správce nebo bývalý majitel.
• Zamčený kus koupený v bazaru je věc pro reklamaci u prodejce, ne pro servis. Prodal vám nepoužitelné zboží.

A ještě prevence, protože tenhle článek by měl hlavně zabránit tomu, aby se stal problémem: hesla v BIOSu si zapište mimo počítač a u firemní techniky trvejte na tom, aby je evidoval správce. Lenovo to má v příručce jednou větou — „you should record all your passwords and store them in a safe place” — a je to jediná rada, která tady funguje na sto procent.

Když závada po téhle kontrole nezmizí nebo jde o mechanické poškození, přebírá to servis notebooků v Brně.

Co si připravit před návštěvou servisu

Přesné označení modelu a typové číslo ze štítku na spodní straně (u ThinkPadů typicky ve tvaru 20XXXXXX), informaci, kdy a kde jste stroj pořídili, doklad o vlastnictví a popis toho, co přesně se na obrazovce objeví a v jaké chvíli. Fotka té obrazovky mobilem pomůže víc než popis — z ní poznáme typ zámku hned. A rovnou si rozmyslete, jestli jde o data, nebo o funkční notebook; jsou to dvě různá zadání s různým výsledkem.

Často se ptáte

Proč se BIOS heslo nesmaže vyndáním baterky?

Protože u ThinkPadů není v paměti CMOS napájené knoflíkovou baterií, ale v trvalé paměti na desce. Kdyby to šlo odpojením napájení, ochrana firemního notebooku by nedávala smysl.

Umí Lenovo poslat univerzální odemykací kód?

Ne. U supervisor hesla příručka výslovně říká, že žádný servisní postup na odstranění neexistuje a řeší se výměnou základní desky.

Přijdu o data, když je zamčený jen BIOS?

Ne. Diskové heslo a BIOS heslo jsou dvě různé věci. Když je zamčený jen BIOS a disk heslo nemá, data se z něj přečtou v jiném počítači bez problémů.

Co když stroj patřil firmě, která už neexistuje?

Pak potřebujete doklad o legálním nabytí — vyřazovací protokol, kupní smlouvu, doklad z insolvenčního prodeje. Bez doložení vlastnictví zámek neřešíme.

Vyplatí se výměna základní desky?

U novějšího stroje pod záruční hranicí stáří někdy ano, u sedmi- a víceletého notebooku prakticky nikdy. Rozdíl proti ceně slušného repasu bývá takový, že se výměna nevrátí.

V Servisu PC Brno vám u zamčeného ThinkPadu na počkání řekneme, o jaký typ hesla jde a jestli existuje legální cesta dál — poznat power-on od supervisor a diskového hesla je otázka pár minut a stojí to za to vědět dřív, než někam pošlete peníze. Zamykací služby ani odemykání cizích strojů neděláme a bez dokladu o vlastnictví do zařízení nezasahujeme. Přinést můžete i bazarový kus na kontrolu před koupí, dokud jde ještě couvnout. Termín si domluvte přes objednávku nebo na 774 777 774; napište typové číslo ze štítku a přiložte fotku obrazovky s výzvou k zadání hesla.

Objednávka online: Servis notebooku — napište model a co se děje, ozveme se s dalším postupem.

Zdroje

• Lenovo ThinkPad T14/T16/P14s/P16s User Guide — Password types
• Lenovo ThinkPad T14/T16/P14s/P16s User Guide — Set, change, and remove a password
• Lenovo ThinkPad T14 Gen 5 / T16 Gen 3 User Guide — What to do if you forget your power-on password
• Lenovo Support: How to remove Hard Disk Drive (HDD) Password — ThinkPad