Microsoft đang sửa lỗi Windows 10 khiến BitLocker chuyển sang chế độ khôi phục (recovery mode). Lỗi do bản cập nhật gần đây修补 lỗ hổng Secure Boot.
Lỗi Chế Độ Khôi Phục BitLocker Là Gì?
Cập nhật KB4535680 phát hành tháng 1/2021.
Bản cập nhật bảo mật này sửa lỗi Secure Boot – tính năng chặn hệ điều hành không tin cậy boot trên máy, bảo vệ chống rootkit, bootkit.
Tuy nhiên, hiệu ứng phụ: bug ảnh hưởng BitLocker. Khi kích hoạt, BitLocker yêu cầu recovery key. Xem chi tiết trên blog Microsoft Security Update.
Nếu BitLocker Group Policy "Configure TPM platform validation profile for native UEFI firmware configurations" được bật và PCR7 được chọn bởi policy, có thể dẫn đến yêu cầu BitLocker recovery key trên một số thiết bị không hỗ trợ PCR7 binding... Cụ thể, thiết lập policy này với PCR7 bị bỏ qua, sẽ ghi đè policy "Allow Secure Boot for integrity validation". Điều này ngăn BitLocker dùng Secure Boot để xác thực toàn vẹn platform hoặc Boot Configuration Data (BCD). Thiết lập policy này có thể dẫn đến BitLocker recovery khi firmware được cập nhật.
Bug ảnh hưởng nhiều phiên bản Windows:
- Windows Server 2012 x64
- Windows Server 2012 R2 x64
- Windows 8.1 x64
- Windows Server 2016 x64
- Windows Server 2019 x64
- Windows 10 version 1607, 1803, 1809, 1909 (x64)
Nếu gặp lỗi, tham khảo hướng dẫn khôi phục BitLocker recovery key của Microsoft.
Giải Pháp Tam Thời (Workaround)
Có workaround nhưng tùy cấu hình thiết bị: Credential Guard và đã cài cập nhật hay chưa.
Trường hợp 1: Thiết bị KHÔNG bật Credential Guard VÀ cập nhật CHƯA cài:
Chạy CMD Admin:Manage-bde –Protectors –Disable C: -RebootCount 1
Lệnh tạm dừng BitLocker 1 chu kỳ reboot. Chạy lệnh → cài cập nhật bảo mật (có các bản vá khác hữu ích) → reboot mà không gặp recovery mode.
Trường hợp 2: Thiết bị CÓ Credential Guard VÀ cập nhật CHƯA cài:
Cần nhiều restart hơn. Chạy lệnh tăng số lần tạm dừng lên 3:Manage-bde –Protectors –Disable C: -RebootCount 3
Cách nào cũng không cần hoang mang. Microsoft đang làm bản vá chính thức.