המדריך המקיף: ביטול הצפנת דיסק ופתיחת כונן נעול במעבר מחשב
תקלות הצפנה הן מהמאתגרות ביותר בעולמות ה-IT. לקוח מעביר את כונן ה-SSD הישן שלו למחשב חדש (או משכפל אותו), ומיד נתקל במסך כחול הדורש מפתח שחזור (Recovery Key). במדריך המעמיק הזה נבין את מאחורי הקלעים של הצפנת מיקרוסופט, נלמד כיצד לבטל את ההצפנה בבטחה לפני ההעברה, מה לעשות אם הדיסק כבר ננעל, וכיצד למנוע קריסות דרייברים (BSOD) במחשב החדש.
כדי להבין את הפתרון, חייבים להבין את הארכיטקטורה. כלי ההצפנה (BitLocker או Device Encryption) אינם שומרים את מפתח הפענוח על הדיסק עצמו. במקום זאת, הם משתמשים במנגנון הנקרא קשירת חומרה (Hardware Binding). המפתח מאוחסן בתוך שבב אבטחה הנקרא TPM (Trusted Platform Module), שמולחם ללוח האם. כאשר אתם שולפים את הדיסק ומחברים אותו ללוח אם אחר, הדיסק לא מוצא את שבב ה-TPM המקורי. המערכת מסיקה שהדיסק נגנב, ונועלת אותו באופן מיידי כהגנה על המידע.
תהליך ביטול ההצפנה (Decryption) או הצפנה מחדש מחייב קריאה וכתיבה של כל קובץ וסקטור בדיסק. לעולם אל תכבו את המחשב באמצע התהליך! אם מדובר בלפטופ, חברו אותו לחשמל. כיבוי פתאומי ישחית את מערכת ההפעלה והמידע עשוי לרדת לטמיון.
חלק 1: ביטול הצפנה (Decryption) לפני העברת הדיסק
אם המחשב המקורי עדיין עובד, זו הדרך הנכונה לפעול. ישנן שלוש דרכים שונות לבטל את ההצפנה, בחרו את זו שמתאימה לגרסת ה-Windows שלכם.
שיטה א': ניהול דרך שורת הפקודה (הדרך המקצועית)
בדיקת סטטוס ההצפנה הנוכחי
פתחו את התחל, חפשו CMD, לחצו קליק ימני ובחרו הפעל כמנהל (Run as Administrator). הריצו את הפקודה הבאה:
# Check current encryption status of all drives
manage-bde -status
חפשו את השורה Percentage Encrypted. אם מופיע 100%, הכונן מוצפן ויש לבטל אותו.
כיבוי ה-BitLocker
כדי לבטל לחלוטין את ההצפנה מכונן C (אין להשתמש בפקודת Suspend, שרק משהה את ההצפנה להפעלה בודדת, אלא בכיבוי מוחלט), הריצו:
# Turn off BitLocker encryption on drive C:
manage-bde -off C:
מעקב והמתנה לסיום
הפענוח יתחיל ברקע (עשוי לארוך זמן רב בדיסקים גדולים). הריצו שוב את manage-bde -status עד שתראו שהתהליך הסתיים (0% ו-Fully Decrypted).
שיטות חלופיות לממשק הגרפי (GUI)
למשתמשי Windows Pro/Enterprise
חפשו בהתחל Manage BitLocker. בחלון שייפתח תראו את רשימת הכוננים. לחצו על Turn off BitLocker (בטל את BitLocker) ואשרו את הפעולה. תופיע חלונית התקדמות בשורת המשימות.
למשתמשי Windows Home
לגרסת Home יש מערכת פשוטה יותר שנקראת "Device Encryption". היכנסו ל-הגדרות (Settings) > פרטיות ואבטחה (Privacy & security) > הצפנת מכשיר (Device encryption), והעבירו את המתג למצב כבוי (Off).
חלק 2: חילוץ נתונים – מה לעשות אם הדיסק כבר ננעל?
אם המחשב הישן תקול (לוח אם שרוף) והדיסק הועבר, תקבלו מסך שחזור המבקש קוד בן 48 ספרות. הנה תהליך החילוץ במעבדה:
איתור מפתח השחזור (Recovery Key)
ללא הקוד הזה, המידע אבוד לחלוטין. חפשו את המפתח במקומות הבאים:
- חשבון Microsoft מקוון: גשו לכתובת
account.microsoft.com/devices/recoverykeyמכל סמארטפון והתחברו עם המייל של הלקוח. - סביבה ארגונית: אם המחשב מחובר לדומיין (Active Directory) או ל-Azure AD, מנהל הרשת יכול למצוא את המפתח במסוף הניהול.
פתיחת הדיסק מתוך מחשב טכנאי
חברו את הדיסק הבעייתי כדיסק משני למחשב המעבדה שלכם. נניח שהוא קיבל את האות D:. פתחו CMD כמנהל והריצו את פקודת השחרור (החליפו את המספרים במפתח האמיתי שלכם):
# Unlock the drive using the 48-digit Recovery Key
manage-bde -unlock D: -RecoveryPassword 111111-222222-333333-444444-555555-666666-777777-888888
ביטול ההצפנה במעבדה לטובת העברה
כעת, כשהדיסק נפתח, אתם יכולים לגבות נתונים. אבל כדי שמערכת ההפעלה תעלה עצמאית במחשב החדש, חייבים לבטל את ההצפנה לחלוטין לפני ההחזרה:
# Turn off encryption on the secondary drive
manage-bde -off D:
חלק 3: תחזוקה שוטפת, טיפים למקצוענים ופתרון תקלות
ביטול ההצפנה פותר את בעיית הנעילה, אבל לא את התנגשות החומרה! אם העברתם דיסק למחשב עם לוח אם או מעבד שונים לחלוטין (למשל Intel ל-AMD), המערכת עלולה לקרוס בזמן העלייה בגלל דרייברים שגויים של בקרי הדיסק.
אם המחשב הישן עדיין פועל (ולאחר שביטלתם את ההצפנה), פתחו CMD כמנהל והריצו את הכלי הבא:
# Generalize the OS and remove hardware-specific drivers before shutdown
sysprep /oobe /generalize /shutdown
מה זה עושה? זה מנקה את מנהלי ההתקן (Drivers) ומכבה את המחשב מבלי לפגוע בקבצים או בתוכנות. כשתדליקו את הדיסק במחשב החדש, Windows תזהה את החומרה מאפס ותתקין את הדרייברים הנכונים באופן אוטומטי וללא קריסות.
מערכת הפעלה ללא הצפנה היא סכנת אבטחה. ברגע שהמחשב החדש עובד בצורה תקינה והחומר מאומת, ודאו שב-BIOS מופעלים ה-Secure Boot ו-TPM 2.0. לאחר מכן, גשו לממשק ה-BitLocker והפעילו את ההצפנה מחדש (Turn On). הדיסק ייקשר לשבב ה-TPM של המחשב החדש. זכרו לגבות מיד את מפתח השחזור החדש שייווצר למקום בטוח.