Processo de recuperação do BitLocker

Se um dispositivo ou unidade não for desbloqueado usando o mecanismo configurado do BitLocker, os usuários poderão recuperá-lo automaticamente. Se a auto-recuperação não for uma opção ou o usuário não tiver certeza de como proceder, a assistência técnica deve ter procedimentos em vigor para recuperar informações de recuperação de forma rápida e segura.

Este artigo descreve o processo de obtenção de informações de recuperação do BitLocker para dispositivos ingressados no Microsoft Entra, híbrido no Microsoft Entra e no Active Directory. Supõe-se que o leitor já esteja familiarizado com a configuração de dispositivos para fazer backup automático das informações de recuperação do BitLocker e com as opções de recuperação do BitLocker disponíveis. Para obter mais informações, consulte o artigo de visão geral da recuperação do BitLocker .

Auto-recuperação

A senha de recuperação do BitLocker e a chave de recuperação de uma unidade do sistema operacional ou de uma unidade de dados fixa podem ser salvas em um ou mais dispositivos USB, impressas ou salvas no Microsoft Entra ID ou no AD DS.

Se a auto-recuperação incluir o uso de uma senha ou chave de recuperação armazenada em uma unidade flash USB, os usuários devem ser avisados para não armazenar a unidade flash USB no mesmo local que o dispositivo, especialmente durante viagens. Por exemplo, se o dispositivo e os itens de recuperação estiverem na mesma bolsa, será fácil para um usuário não autorizado acessar o dispositivo. Outra política a ser considerada é fazer com que os usuários contatem a assistência técnica antes ou depois de executar a auto-recuperação para que a causa raiz possa ser identificada.

Uma chave de recuperação não pode ser armazenada em nenhum dos seguintes locais:

• A unidade que está sendo criptografada
• O diretório raiz de uma unidade não removível
• Um volume criptografado

Recuperação automática com senha de recuperação

Se você tiver acesso à chave de recuperação, insira os 48 dígitos na tela de recuperação de pré-inicialização.

• Se você estiver tendo problemas para inserir a senha de recuperação na tela de recuperação de pré-inicialização ou não puder mais inicializar seu dispositivo, poderá conectar a unidade a outro dispositivo como uma unidade secundária. Para obter mais informações sobre o processo de desbloqueio, consulte Desbloquear uma unidade
• Se o desbloqueio com a senha de recuperação não funcionar, você poderá usar a ferramenta de Reparo do BitLocker para recuperar o acesso à sua unidade

Recuperação automática no Microsoft Entra ID

Se as chaves de recuperação do BitLocker forem armazenadas no Microsoft Entra ID, os usuários poderão acessá-las usando a seguinte URL: https://myaccount.microsoft.com. Na guia Dispositivos , os usuários podem selecionar um dispositivo Windows de sua propriedade e selecionar a opção Exibir chaves do BitLocker.

Auto-recuperação com unidade flash USB

Se os usuários salvaram a senha de recuperação em uma unidade USB, eles podem conectar a unidade a um dispositivo bloqueado e seguir as instruções. Se a chave foi salva como um arquivo de texto na unidade flash, os usuários devem usar um dispositivo diferente para ler o arquivo de texto.

Recuperação da Assistência Técnica

Se um usuário não tiver uma opção de recuperação de autoatendimento, a assistência técnica deve ser capaz de ajudar o usuário com uma das seguintes opções:

• Se o dispositivo for ingressado no Microsoft Entra ou no Microsoft Entra híbrido, as informações de recuperação do BitLocker poderão ser recuperadas do Microsoft Entra ID
• Se o dispositivo estiver associado a um domínio, as informações de recuperação poderão ser recuperadas do Active Directory
• Se o dispositivo estiver configurado para usar um DRA, a unidade criptografada poderá ser montada em outro dispositivo como uma unidade de dados para que o DRA possa desbloquear a unidade

A lista a seguir pode ser usada como um modelo para criar um processo de recuperação de senha pelo suporte técnico.

Recuperação da assistência técnica no Microsoft Entra ID

Há algumas funções do Microsoft Entra ID que permitem que um administrador delegado leia as senhas de recuperação do BitLocker dos dispositivos no locatário. Embora seja comum que as organizações usem as funções internas de Administrador de Dispositivo em Nuvem ou Administrador de Assistência Técnica do Microsoft Entra ID, você também pode criar uma função personalizada, delegando acesso às chaves do BitLocker usando a microsoft.directory/bitlockerKeys/key/read permissão. As funções podem ser delegadas para acessar senhas de recuperação do BitLocker para dispositivos em Unidades Administrativas específicas.

O centro de administração do Microsoft Entra permite que os administradores recuperem senhas de recuperação do BitLocker. Para saber mais sobre o processo, consulte Exibir ou copiar chaves do BitLocker. Outra opção para acessar as senhas de recuperação do BitLocker é usar a API do Graph, que pode ser útil para soluções integradas ou com script. Para obter mais informações sobre essa opção, consulte Obter bitlockerRecoveryKey.

No exemplo a seguir, usamos o cmdlet Get-MgInformationProtectionBitlockerRecoveryKey do PowerShell do Microsoft Graph para criar uma função do PowerShell que recupera senhas de recuperação do Microsoft Entra ID:

function Get-EntraBitLockerKeys{
    [CmdletBinding()]
    param (
        [Parameter(Mandatory = $true, HelpMessage = "Device name to retrieve the BitLocker keys from Microsoft Entra ID")]
        [string]$DeviceName
    )
    $DeviceID = (Get-MGDevice -filter "displayName eq '$DeviceName'").DeviceId
    if ($DeviceID){
      $KeyIds = (Get-MgInformationProtectionBitlockerRecoveryKey -Filter "deviceId eq '$DeviceId'").Id
      if ($keyIds) {
        Write-Host -ForegroundColor Yellow "Device name: $devicename"
        foreach ($keyId in $keyIds) {
          $recoveryKey = (Get-MgInformationProtectionBitlockerRecoveryKey -BitlockerRecoveryKeyId $keyId -Select "key").key
          Write-Host -ForegroundColor White " Key id: $keyid"
          Write-Host -ForegroundColor Cyan " BitLocker recovery key: $recoveryKey"
        }
        } else {
        Write-Host -ForegroundColor Red "No BitLocker recovery keys found for device $DeviceName"
      }
    } else {
        Write-Host -ForegroundColor Red "Device $DeviceName not found"
    }
}

Install-Module Microsoft.Graph.Identity.SignIns -Scope CurrentUser -Force
Import-Module Microsoft.Graph.Identity.SignIns
Connect-MgGraph -Scopes 'BitlockerKey.Read.All' -NoWelcome

Depois que a função é carregada, ela pode ser usada para recuperar senhas de recuperação do BitLocker para um dispositivo específico. Exemplo:

PS C:\> Get-EntraBitLockerKeys -DeviceName DESKTOP-53O32QI
Device name: DESKTOP-53O32QI
 Key id: 4290b6c0-b17a-497a-8552-272cc30e80d4
 BitLocker recovery key: 496298-461032-321464-595518-463221-173943-033616-139579
 Key id: 045219ec-a53b-41ae-b310-08ec883aaedd
 BitLocker recovery key: 158422-038236-492536-574783-256300-205084-114356-069773

Recuperação de assistência técnica no Active Directory Domain Services

Para exportar uma senha de recuperação do AD DS, você deve ter acesso de leitura aos objetos armazenados no AD DS. Por padrão, somente Administradores de Domínio têm acesso às informações de recuperação do BitLocker, mas o acesso pode ser delegado a entidades de segurança específicas.

Para facilitar a recuperação de senhas de recuperação do BitLocker do AD DS, você pode usar a ferramenta Visualizador de Senha de Recuperação do BitLocker . A ferramenta está incluída nas Ferramentas de Administração de Servidor Remoto (RSAT) e é uma extensão para o snap-in Usuários e Computadores do Active Directory Console de Gerenciamento Microsoft (MMC).

Com o Visualizador de Senha de Recuperação do BitLocker, você pode:

• Verifique as propriedades do objeto de computador do Active Directory para recuperar as senhas de recuperação do BitLocker associadas
• Pesquisar a senha de recuperação do BitLocker no Active Directory em todos os domínios na floresta do Active Directory

Os procedimentos a seguir descrevem as tarefas mais comuns executadas usando o Visualizador de Senha de Recuperação do BitLocker.

Exibir as senhas de recuperação para um objeto de computador

1. Abra o snap-in do MMC de Usuários e Computadores do Active Directory, Usuários e Computadores do Active Directory e selecione o contêiner ou UO no qual os objetos de computador estão localizados
2. Clique com o botão direito do mouse no objeto de computador e selecione Propriedades
3. Na caixa de diálogo Propriedades , selecione a guia Recuperação do BitLocker para exibir as senhas de recuperação do BitLocker associadas ao computador

Localizar uma senha de recuperação usando uma ID de senha

1. Em Usuários e Computadores do Usuários e Computadores do Active Directory, clique com o botão direito do mouse no contêiner de domínio e selecione Encontrar Senha de Recuperação do BitLocker
2. Na caixa de diálogo Localizar Senha de Recuperação do BitLocker , digite os primeiros oito caracteres da senha de recuperação na caixa ID da Senha (primeiros 8 caracteres) e selecione Pesquisar

Agentes de recuperação de dados

Se os dispositivos estiverem configurados com um DRA, o Suporte Técnico poderá usar o DRA para desbloquear a unidade. Depois que a unidade BitLocker estiver conectada a um dispositivo que tenha a chave privada do certificado DRA, a unidade poderá ser desbloqueada usando o manage-bde.exe comando.

Por exemplo, para listar o DRA configurado para uma unidade protegida pelo BitLocker, use o seguinte comando:

C:\>manage-bde.exe -protectors -get D:

Volume D: [Local Disk]
All Key Protectors

    Data Recovery Agent (Certificate Based):
      ID: {3A8F7DEA-878F-4663-B149-EE2EC9ADE40B}
      Certificate Thumbprint:
        f46563b1d4791d5bd827f32265341ff9068b0c42

Se a chave privada do certificado com uma impressão digital estiver disponível no repositório de f46563b1d4791d5bd827f32265341ff9068b0c42 certificados local, um administrador poderá usar o seguinte comando para desbloquear a unidade com o protetor DRA:

manage-bde -unlock D: -Certificate -ct f46563b1d4791d5bd827f32265341ff9068b0c42

Tarefas de pós-recuperação

Quando um volume é desbloqueado usando uma senha de recuperação:

• um evento é gravado no Log de Eventos
• as medidas de validação da plataforma são redefinidas no TPM para corresponder à configuração atual
• A chave de criptografia é liberada e está pronta para criptografia/descriptografia dinâmica quando os dados são gravados/lidos de e para o volume

Depois que o volume é desbloqueado, o BitLocker se comporta da mesma maneira, independentemente de como o acesso foi concedido.

Se um dispositivo tiver vários eventos de senha de recuperação, um administrador deverá executar uma análise pós-recuperação para determinar a causa raiz da recuperação. Em seguida, atualize a validação da plataforma BitLocker para evitar inserir uma senha de recuperação sempre que o dispositivo for iniciado.

Determinar a causa raiz da recuperação

Se um usuário precisar recuperar a unidade, será importante determinar a causa raiz que iniciou a recuperação assim que possível. Analisar corretamente o estado do computador e detectar adulterações pode revelar ameaças que têm implicações mais amplas para a segurança empresarial.

Embora um administrador possa investigar remotamente a causa da recuperação em alguns casos, o usuário pode precisar trazer o dispositivo que contém a unidade recuperada no site para analisar ainda mais a causa raiz. Aqui estão algumas perguntas que podem ser usadas para ajudar a determinar a causa raiz da recuperação:

Para ajudar a responder a essas perguntas, você pode usar o manage-bde.exe -status comando para exibir a configuração atual e o modo de proteção. Verifique o log de eventos para localizar eventos que ajudam a indicar por que a recuperação foi iniciada (por exemplo, se ocorreu uma alteração no arquivo de inicialização).

Resolva a causa raiz

Depois de identificar a causa da recuperação, a proteção do BitLocker pode ser redefinida para evitar a recuperação em cada inicialização.

Os detalhes da redefinição podem variar de acordo com a causa raiz da recuperação. Se a causa raiz não puder ser determinada, ou se um software mal-intencionado ou um rootkit infectar o dispositivo, a assistência técnica deverá aplicar as políticas de vírus de práticas recomendadas para reagir adequadamente.

Girar senhas

Os administradores podem definir uma configuração de política para habilitar a rotação de senha de recuperação automática para dispositivos ingressados no Microsoft Entra e híbridos do Microsoft Entra.
Quando a rotação de senha de recuperação automática está habilitada, os dispositivos giram automaticamente a senha de recuperação depois que a senha é usada para desbloquear a unidade. Esse comportamento ajuda a impedir que a mesma senha de recuperação seja usada várias vezes, o que pode ser um risco à segurança.

Para obter mais informações, consulte configurar a rotação de senha de recuperação.

Outra opção é iniciar a rotação de senhas de recuperação para dispositivos individuais remotamente usando o Microsoft Intune ou o Microsoft Configuration Manager.

Para saber mais sobre como alternar senhas de recuperação do BitLocker usando o Microsoft Intune ou o Microsoft Configuration Manager, confira:

• Documentação do Microsoft Intune
• Documentação do Microsoft Configuration Manager

Ferramenta de Reparo do BitLocker

Se os métodos de recuperação discutidos anteriormente neste documento não desbloquearem o volume, a ferramenta de Reparo do BitLocker (repair-bde.exe) poderá ser usada para descriptografar o volume no nível do bloco. A ferramenta usa o pacote de chaves do BitLocker para ajudar a recuperar dados criptografados de unidades gravemente danificadas.

Os dados recuperados podem ser usados para recuperar dados criptografados, mesmo que a senha de recuperação correta não consiga desbloquear o volume danificado. Ainda é recomendável salvar a senha de recuperação, pois um pacote de chaves não pode ser usado sem a senha de recuperação correspondente.

Use a ferramenta Reparar nas seguintes condições:

• A unidade é criptografada usando BitLocker
• O Windows não inicia ou a tela de recuperação do BitLocker não inicia
• Não há uma cópia de backup dos dados contidos na unidade criptografada

Existem as seguintes limitações para Repair-bde:

• Ele não pode reparar uma unidade que falhou durante o processo de criptografia ou descriptografia
• Ele pressupõe que, se a unidade tiver qualquer criptografia, ela será totalmente criptografada

Para obter uma lista completa das repair-bde.exe opções, consulte a referência Repair-bde.