Disco guasto e BitLocker: perché non bisogna modificare il PC prima del recupero dati
Quando un hard disk, un SSD SATA o un SSD NVMe smette di funzionare, una delle prime reazioni è sostituire il supporto, reinstallare Windows e cercare successivamente di recuperare i dati dal vecchio disco.
Se sul computer era attiva la crittografia BitLocker, questa sequenza di operazioni può complicare il successivo recupero dei dati.
Con i sistemi moderni, infatti, il problema potrebbe non riguardare soltanto il disco guasto: anche il computer originale può contenere elementi fondamentali per accedere ai dati cifrati.
Indice della pagina
BitLocker: recuperare il disco potrebbe non essere sufficiente
BitLocker è il sistema di crittografia integrato in Windows utilizzato per proteggere il contenuto delle unità.
In caso di guasto fisico del supporto, un laboratorio specializzato può intervenire sull’hard disk o sull’SSD e, quando tecnicamente possibile, realizzarne una copia fisica settore per settore.
Ma con BitLocker esiste una differenza fondamentale:
recuperare correttamente tutti i settori del disco non significa necessariamente aver recuperato i file.
Se il volume è cifrato, i dati presenti nella copia rimangono crittografati finché non viene fornito il materiale necessario allo sblocco.
Ed è qui che il computer originale può diventare estremamente importante.
Il ruolo del TPM
Nei computer moderni BitLocker viene frequentemente utilizzato insieme al TPM – Trusted Platform Module.
Il TPM è un componente di sicurezza, hardware o implementato tramite firmware, che può proteggere materiale crittografico utilizzato dal sistema per consentire lo sblocco del volume BitLocker quando vengono rispettate determinate condizioni di sicurezza.
Per questo motivo, in un intervento di recupero dati da un disco cifrato, la scheda madre e la configurazione originale del computer possono avere un valore fondamentale.
Il TPM non deve essere considerato semplicemente come un contenitore nel quale si trova memorizzata in chiaro la classica Recovery Key BitLocker da 48 cifre. Il funzionamento è più complesso: il TPM può proteggere informazioni crittografiche utilizzabili dal sistema per lo sblocco del volume.
Di conseguenza, modificare inutilmente la configurazione originale prima di aver valutato il recupero può eliminare o rendere inutilizzabile una possibile strada di accesso ai dati.
Cosa NON fare se il disco BitLocker si guasta
Se un computer non si avvia più e il disco contiene dati importanti, la prima regola è:
non effettuare modifiche importanti al computer originale prima di aver verificato la configurazione BitLocker.
1. Non cancellare o reinizializzare il TPM
Operazioni come Clear TPM, inizializzazione o reset del modulo di sicurezza possono eliminare materiale crittografico protetto dal TPM.
Se quel materiale era necessario per lo sblocco del precedente volume BitLocker, la sua eliminazione può compromettere una possibilità di recupero.
2. Non aggiornare o resettare BIOS/UEFI
Prima di aggiornare il BIOS/UEFI, ripristinare le impostazioni di fabbrica o modificare parametri relativi a TPM e Secure Boot, è opportuno verificare la situazione BitLocker.
BitLocker con protezione TPM può dipendere anche dalle misurazioni dello stato di avvio del computer. Modificare firmware o configurazione può quindi provocare la richiesta della chiave di ripristino.
Se il computer contiene dati da recuperare e la Recovery Key non è disponibile, queste operazioni dovrebbero essere evitate finché non è stata effettuata una diagnosi.
3. Evitare reinstallazioni e riconfigurazioni non necessarie
Installare Windows su un nuovo disco non cancella automaticamente le informazioni BitLocker presenti nel TPM.
È però preferibile evitare interventi non necessari sul computer originale.
Durante reinstallazioni, ripristini, aggiornamenti firmware o riconfigurazioni delle funzioni di sicurezza potrebbero infatti essere eseguite operazioni che modificano l’ambiente utilizzato precedentemente da BitLocker.
Se il vecchio disco contiene dati importanti, la scelta più prudente è quindi preservare il computer nella configurazione originale finché non è stato verificato il TPM.
4. Non formattare, inizializzare o “riparare” il disco
Se Windows rileva il vecchio supporto come illeggibile e propone di inizializzarlo, formattarlo o eseguire operazioni di riparazione, non bisogna procedere.
Un disco BitLocker danneggiato può apparire incomprensibile al sistema proprio perché il contenuto è cifrato oppure perché sono presenti ulteriori problemi al filesystem o al dispositivo.
Prima deve essere realizzata, quando possibile, una copia fisica del supporto.
5. Conservare il computer originale
Questo è probabilmente il consiglio più importante.
Se il disco proviene da un notebook o da un PC sul quale BitLocker era attivo, non portate al laboratorio soltanto il disco guasto.
Conservate anche il computer originale.
Scheda madre, TPM e configurazione del sistema potrebbero essere determinanti per accedere successivamente ai dati recuperati.
Un caso reale affrontato da MrDisk
Recentemente il laboratorio MrDisk ha affrontato un caso che dimostra concretamente l’importanza di questa precauzione.
Il supporto originale presentava problemi che avevano reso necessario un intervento di recupero dati.
È stata quindi eseguita una copia fisica del dispositivo.
L’acquisizione ha consentito di recuperare il contenuto del supporto, ma durante l’analisi è emerso un ulteriore ostacolo: erano presenti due partizioni protette mediante BitLocker.
Il recupero fisico del disco era quindi riuscito, ma i dati contenuti nelle partizioni risultavano ancora cifrati.
Nel frattempo sul computer originale del cliente era stato installato un altro disco con una nuova installazione di Windows.
Fortunatamente, però, il TPM della macchina originale non era stato cancellato o reinizializzato.
La verifica effettuata sul computer ha permesso di constatare che il materiale crittografico necessario era ancora disponibile.
È stato quindi possibile sfruttare la macchina originale per ottenere lo sblocco dei volumi BitLocker recuperati e procedere finalmente all’accesso ai dati.
In questo caso, quindi, il recupero non è stato possibile soltanto grazie alla copia del disco.
La preservazione del computer originale e del suo TPM è stata determinante per completare il recupero.
HDD, SSD SATA o NVMe: il problema è lo stesso
È importante chiarire che questa situazione non riguarda esclusivamente gli SSD.
BitLocker può proteggere volumi presenti su differenti tipi di supporto:
- hard disk meccanici HDD;
- SSD SATA;
- SSD NVMe;
- altri volumi e dispositivi compatibili con BitLocker.
Dal punto di vista del recupero dati, quindi, la regola rimane la stessa:
se il supporto è cifrato, recuperare fisicamente i settori è soltanto una parte del problema. Bisogna anche riuscire a decifrare il contenuto.
Cercare sempre anche la Recovery Key
Parallelamente alla preservazione del computer originale, è fondamentale verificare se esiste una Recovery Key BitLocker.
La chiave di ripristino è normalmente composta da 48 cifre e, a seconda della configurazione utilizzata, potrebbe essere stata salvata nell’account Microsoft dell’utente, in un ambiente aziendale gestito dall’amministratore IT, stampata, salvata su un altro dispositivo oppure archiviata in altra forma.
Quando disponibile, questa chiave può consentire lo sblocco del volume anche quando il normale meccanismo basato sul TPM non è più utilizzabile.
La regola da ricordare
Se un HDD, SSD SATA o SSD NVMe protetto da BitLocker si guasta, non bisogna considerare soltanto il supporto come oggetto del recupero.
Il computer originale può essere parte integrante del recupero dati.
Prima di intervenire:
non cancellare il TPM, non resettare o aggiornare inutilmente BIOS/UEFI, non modificare Secure Boot, non formattare il vecchio disco e, se possibile, non riconfigurare il computer originale prima di aver verificato BitLocker.
Se è necessario sostituire il disco per rendere nuovamente operativo il computer, è comunque opportuno conservare integralmente il vecchio supporto e non eseguire operazioni sul TPM o sulla configurazione di sicurezza senza aver prima valutato le conseguenze.
Con i sistemi cifrati moderni, infatti, un laboratorio può riuscire a recuperare perfettamente il contenuto fisico di un disco e trovarsi comunque davanti a dati matematicamente protetti dalla crittografia.
Preservare il disco è fondamentale. Preservare anche il computer dal quale proviene può esserlo altrettanto.
Approfondimenti
Se ti interessano le informazioni tecniche sui file system puoi proseguire su uno dei seguenti articoli:
- File System NTFS, HFS+, EXT4, APFS, XFS, FAT32;
- Cos’è un sistema RAID, RAID 0, RAID 1, RAID 5, RAID 6, RAID 10
- Recuperare i dati da un SSD;
- Recuperare i dati da un NAS;
Richiedi subito un’analisi gratuita se hai necessità del nostro supporto per recuperare i tuoi dati persi
MrDisk – Recupero Dati
Esperienza, tecnologia e analisi specialistica per il recupero dei tuoi dati.
Articoli recenti
Tag cloud
continua a leggere...
Articoli correlati
MrDisk Database Converter – ForFit Edition – Clicca sull’immagine per […]
Recupero dati dal gestionale Forfit®: esportazione del database per palestre […]
Quanto Costerà?
Calcola preventivo
Affidati a MrDisk per analisi, perizie e per riportare in vita ciò che credevi perduto! non lasciare che la perdita di dati ti privi di ricordi preziosi o ostacoli la tua attività lavorativa.
