Забутий пароль у BIOS ThinkPad: чому його не можна просто стерти та як розпізнати заблокований ноутбук із секонд-хенду

Коротка відповідь: Пароль у BIOS ThinkPad не зберігається в пам’яті CMOS, яку живить батарейка-таблетка, — тому після її виймання він не зникає, на відміну від настільних комп’ютерів дев’яностих років. Щодо забутого пароля supervisor Lenovo зазначає, що «сервісної процедури для видалення пароля не існує», і спрямовує до авторизованого сервісного центру для заміни системної плати. У разі забутого пароля NVMe (диска) Lenovo не скидає пароль і не відновлює дані — диск доведеться замінити. Пароль power-on можна видалити лише за наявності пароля supervisor або system management. Ми не відкриваємо заблоковані пристрої без підтвердження права власності.

Три паролі, які люди плутають

До нашого сервісу в Brno регулярно приносять заблоковані ThinkPad, і розмова майже завжди починається однаково: «У мене пароль у BIOS». Але це може означати три зовсім різні ситуації з трьома зовсім різними наслідками. У посібнику до сучасних серій T і P Lenovo описує їх так:

• Power-on password — вікно введення пароля з’являється відразу після ввімкнення, і без нього комп’ютер не завантажується.
• Supervisor password — за визначенням Lenovo, «захищає системну інформацію, збережену в UEFI BIOS», тобто налаштування самого BIOS. Він має вищі повноваження та перекриває пароль power-on.
• System management password — захищає те саме, що й пароль supervisor, але «за замовчуванням має нижчі повноваження»; його також можна налаштовувати віддалено через Windows Management Instrumentation, тому він трапляється переважно в корпоративних пристроях.
• NVMe password — захищає не комп’ютер, а диск. У режимі одного пароля без нього не відкриваються файли й програми на диску. У режимі двох паролів існує ще й пароль адміністратора, за допомогою якого адміністратор отримує доступ до корпоративних пристроїв, причому «лише адміністратор може видалити користувацький пароль NVMe».

Різниця принципова. Заблокований BIOS означає, що комп’ютер неможливо налаштувати або запустити, але сам диск може бути справним. Заблокований диск означає, що дані недоступні незалежно від того, до якого пристрою його під’єднати.

Чому виймання батарейки не допомагає

Уявлення про те, що BIOS можна «обнулити», від’єднавши батарейку-таблетку, походить із часів настільних комп’ютерів, у яких налаштування та пароль зберігалися в пам’яті CMOS, що живилася саме цією батарейкою. Від’єднали живлення — пам’ять усе забула, пароль зник.

У ThinkPad це не працює, і так зроблено навмисно. Якби блокування зникало після від’єднання батареї, воно було б марним — корпоративний ноутбук можна розібрати викруткою за п’ять хвилин. Тому пароль зберігається в постійній пам’яті на системній платі, яка не втрачає вміст без живлення.

Найкращий доказ наводить сам виробник: якби існував спосіб стерти пароль, Lenovo описала б його. Натомість у посібнику зазначено, що для забутого пароля supervisor сервісної процедури не існує, а рішенням є заміна системної плати в авторизованого сервісного партнера. Заміна всієї плати — дорога й незручна операція, і ніхто не приписував би її, якби достатньо було щось від’єднати.

Інструкції з обходу захисту тут не буде. Ми її не публікуємо й таких дій не виконуємо. Не через надмірну обережність, а тому, що інструкція з розблокування чужого захисту фактично пояснює, як продати крадений ноутбук.

Що саме говорить Lenovo про кожен пароль

Варто заздалегідь згадати ще одне речення з посібника: «Якщо ви забудете будь-який із паролів, необхідні ремонтні дії не покриватимуться гарантією». Тобто забутий пароль не є гарантійною несправністю, навіть якщо ноутбук новий.

Пароль диска — зовсім не те саме, що BitLocker

У випадку пароля NVMe часто запитують, чи не можна «прочитати диск ззовні» — вийняти його, встановити в адаптер і скопіювати дані. Не можна. Блокування забезпечує не Windows і не BIOS, а контролер самого диска; у чужому комп’ютері диск визначатиметься як заблокований і не віддасть жодних даних. Саме тому відповідь Lenovo така коротка: пароль не скидаємо, дані не відновлюємо, диск замінюється.

Цим пароль диска відрізняється від шифрування BitLocker, для якого існує ключ відновлення, доступний в обліковому записі Microsoft або в корпоративного адміністратора. Докладніше про це ми пишемо у статті шифрування диска на корпоративному ноутбуці. Для пароля диска аналога ключа відновлення для кінцевого користувача немає. Якщо пристроєм керувала компанія та налаштувала пару паролів, єдиний шлях веде через її адміністратора, який може видалити користувацький пароль. Якщо компанія припинила існування або адміністратор звільнився, на цьому шлях закінчується.

З тією самою межею ми стикаємося й під час відновлення даних: що можна врятувати з фізично пошкодженого диска, а що ні, пояснює стаття відновлення даних: коли воно можливе, а коли ні. Заблокований, але справний диск належить до категорії «неможливо» — і це правильно, адже саме заради цього хтось установив пароль.

Що сервіс реально може робити та що від вас знадобиться

Наша роль у роботі із заблокованим пристроєм чітко обмежена, і про це варто сказати прямо:

1. Ми визначимо, що саме заблоковано. Чи йдеться про пароль power-on, supervisor, system management або диска, а можливо, про їх поєднання. Ця інформація потрібна клієнту для ухвалення рішення, але достовірно визначити тип блокування лише з телефонного опису неможливо.
2. Ми скажемо, чи існує законний шлях. Іноді так: для пароля power-on достатньо пароля supervisor, який може бути в нотатках IT-адміністратора або колишнього власника.
3. Ми замінимо диск, якщо заблокований лише він. Після цього ноутбук працюватиме нормально, але з чистою системою та без старих даних.
4. Ми допоможемо вирішити, чи має ремонт сенс. Для старого ноутбука часто дешевше придбати інший пристрій, ніж оплачувати заміну плати, яку приписує виробник.

Від вас потрібен документ, який підтверджує право власності на пристрій. Це може бути рахунок або чек, договір купівлі-продажу вживаного пристрою чи товару з оголошення, акт передання або списання корпоративної техніки, а для успадкованого ноутбука — документ зі спадкової справи. Для корпоративного пристрою достатньо замовлення від роботодавця, якому він належить.

Без такого документа ми не працюємо із заблокованим пристроєм. В інтернеті є привабливі пропозиції на кшталт «розблокуємо будь-який BIOS», розраховані саме на тих, хто не має підтвердження походження пристрою. Ми не хочемо брати на себе таку роль, а законний власник від цього нічого не втрачає, адже документ у нього є.

Вживаний ThinkPad: що перевірити до оплати

Корпоративні ThinkPad серій T, X і L масово надходять на чеський ринок після завершення лізингу, і переважна більшість із них цілком справна. Однак іноді трапляється пристрій, з якого забули зняти корпоративне блокування. Розпізнати його можна за кілька хвилин — і зробити це слід до оплати:

• Увійдіть у BIOS. Після ввімкнення натисніть F1. Якщо вікно введення пароля з’явиться ще до самого Setup, шукайте інший пристрій.
• Спробуйте зберегти зміну. Якщо вам вдалося ввійти в Setup, змініть якийсь безпечний параметр і збережіть налаштування (F10). Якщо ноутбук запросить пароль лише тепер, установлено пароль supervisor і налаштування BIOS заблоковані.
• Перегляньте розділ Security → Password. Там видно, для яких паролів установлено стан «Enabled».
• Переконайтеся, що диск видно й ним можна користуватися. Завантажтеся з інсталяційного USB-носія Windows або звичайного Live USB з Linux і перевірте, чи визначається диск та чи можна на нього записувати. Заблокований NVMe визначатиметься як недоступний або не відображатиметься взагалі.
• Вимагайте документ. Продавець, який володіє пристроєм законно, надасть підтвердження його походження. Якщо він відмовляється, то вже відповів на запитання, чому ноутбук такий дешевий.

Повну п’ятнадцятихвилинну перевірку, зокрема батареї, шарнірів і дисплея, описано у статті вживаний ноутбук: як перевірити його за 15 хвилин, а економічну доцільність придбання розглядає стаття відновлений ноутбук: коли він вигідний.

Реалістичні очікування

Говорімо конкретно, щоб результат нікого не здивував:

• Забутий пароль supervisor на старому ThinkPad зазвичай означає кінець шляху. Заміна системної плати, яку приписує виробник, економічно невигідна для семирічного ноутбука.
• Забутий пароль диска означає втрату даних. Завжди. Новий диск поверне ноутбук до роботи, але не поверне дані.
• Забутий пароль power-on за наявності пароля supervisor — навпаки, найкращий варіант. Після того як знайдеться адміністратор або колишній власник, робота зазвичай займає кілька хвилин.
• Заблокований пристрій, придбаний уживаним, потрібно повертати продавцю, а не нести в сервіс. Вам продали непридатний до використання товар.

І ще про профілактику, адже головна мета цієї статті — запобігти проблемі: запишіть паролі BIOS окремо від комп’ютера, а для корпоративної техніки наполягайте, щоб їх обліковував адміністратор. У посібнику Lenovo це сформульовано одним реченням: «Запишіть усі свої паролі та зберігайте їх у безпечному місці». Це єдина порада, яка тут працює на сто відсотків.

Якщо після цих перевірок несправність не зникла або пошкодження механічне, справу перебирає сервіс ноутбуків у Брно.

Що підготувати перед відвідуванням сервісу

Підготуйте точне позначення моделі та номер типу з етикетки на нижній частині корпусу — для ThinkPad він зазвичай має формат 20XXXXXX, — інформацію про те, коли й де ви придбали пристрій, документ про право власності та опис того, що саме й на якому етапі з’являється на екрані. Фотографія екрана, зроблена телефоном, допоможе більше за словесний опис: за нею ми відразу визначимо тип блокування. Також заздалегідь вирішіть, що для вас важливіше — дані чи працездатний ноутбук. Це два різні завдання з різними результатами.

Поширені запитання

Чому пароль BIOS не стирається після виймання батарейки?

Тому що в ThinkPad він зберігається не в пам’яті CMOS, яку живить батарейка-таблетка, а в постійній пам’яті на платі. Якби його можна було стерти від’єднанням живлення, захист корпоративного ноутбука не мав би сенсу.

Чи може Lenovo надати універсальний код розблокування?

Ні. Щодо пароля supervisor у посібнику прямо зазначено, що сервісної процедури для його видалення не існує, а рішенням є заміна системної плати.

Чи втрачу я дані, якщо заблоковано лише BIOS?

Ні. Пароль диска та пароль BIOS — це дві різні речі. Якщо заблоковано лише BIOS, а диск не має пароля, дані з нього можна без проблем прочитати на іншому комп’ютері.

Що робити, якщо пристрій належав компанії, якої вже не існує?

Вам знадобиться документ про законне набуття пристрою: акт списання, договір купівлі-продажу або документ про придбання в межах процедури неплатоспроможності. Без підтвердження права власності ми не працюємо з блокуванням.

Чи вигідно замінювати системну плату?

Для новішого пристрою, який ще не надто старий для гарантійного обслуговування, іноді так. Для ноутбука віком сім років і більше — практично ніколи. Різниця порівняно з ціною якісного відновленого ноутбука зазвичай така, що заміна не окупається.

У Servis PC Brno ми відразу визначимо, який саме тип пароля встановлено на заблокованому ThinkPad і чи існує законний шлях далі. Відрізнити пароль power-on від supervisor і пароля диска можна за кілька хвилин, і це варто з’ясувати до того, як ви комусь заплатите. Ми не надаємо послуг з обходу блокування, не розблоковуємо чужі пристрої та не втручаємося в обладнання без підтвердження права власності. Ви також можете принести вживаний пристрій на перевірку до купівлі, поки від угоди ще можна відмовитися. Домовтеся про час через форму замовлення або за номером 774 777 774; вкажіть номер типу з етикетки та додайте фотографію екрана із запитом пароля.

Замовлення онлайн: Сервіс ноутбука — напишіть модель і що відбувається, ми відповімо з наступним кроком.

Джерела

• Lenovo ThinkPad T14/T16/P14s/P16s User Guide — типи паролів
• Lenovo ThinkPad T14/T16/P14s/P16s User Guide — установлення, змінення та видалення пароля
• Lenovo ThinkPad T14 Gen 5 / T16 Gen 3 User Guide — що робити, якщо ви забули пароль power-on
• Lenovo Support: як видалити пароль жорсткого диска (HDD) — ThinkPad