Zamknutý BIOS a DriveLock: keď si počítač pýta heslo, ktoré nepoznáte

Kúpite výhodne odslúžený firemný počítač alebo presuniete SSD zo starého notebooku do nového, zapnete to a namiesto systému sa objaví strohá výzva na heslo. Žiadne vysvetlenie, žiadne „zabudli ste heslo?“. Vyzerá to ako koniec, ale nie vždy ním je. Kľúčové je zistiť, ktorý z dvoch úplne odlišných zámkov vás vlastne blokuje, pretože každý sa rieši inak.

Dva zámky, ktoré si ľudia mýlia

Rozdiel je zásadný. Heslo do BIOSu je vlastnosťou počítača, takže disk z neho vyberiete, zapojíte inde a máte svoje dáta. DriveLock je vlastnosťou disku a putuje s ním. Nezaujíma ho, do čoho ho zapojíte, ani aký operačný systém naň pošlete.

Heslo do BIOSu

Býva v dvoch podobách. Zapínacie heslo (power-on) sa pýta hneď po zapnutí a bez neho počítač vôbec nenaštartuje. Heslo správcu (administrator) pustí systém, ale nepustí vás do nastavení, takže nezmeníte poradie zavádzania ani nič iné.

Pri stolových počítačoch a pracovných staniciach býva na doske prepojka na zmazanie hesla, často označená ako PSWD alebo CLR PWD. Postup je vždy podobný: odpojiť napájanie, prepojku prestaviť, raz zapnúť, vypnúť, vrátiť do pôvodnej polohy. Dva podstatné háčiky:

• Reset CMOS nie je to isté. Vytiahnutie batérie alebo prepojka CLR CMOS vráti nastavenia na predvolené, ale heslá nechá tak. To je zámer, nie chyba.
• Sprísnené zabezpečenie. Firemné dosky mávajú voľbu, po ktorej doska prepojku na heslo jednoducho ignoruje. Vtedy heslo hardvérovo zrušiť nejde.

Pri notebookoch žiadna takáto prepojka nebýva a heslo je uložené v chránenej pamäti. Návody typu „vytiahnite batériu na hodinu“ pri strojoch z posledných rokov nefungujú. Zostáva servis výrobcu, ktorý heslo odstráni po preukázaní vlastníctva dokladom o kúpe. Kto vám sľúbi „univerzálny odomykací kód z internetu“, predáva vám nádej, nie riešenie.

DriveLock a prečo je oveľa tvrdší

Tu treba pochopiť jednu vec, ktorá prekvapí aj skúsených používateľov: moderné SSD sú šifrované vždy. Aj to lacné bez akýchkoľvek nastavení. Radič disku má v sebe šifrovací kľúč a všetko, čo naň zapíšete, cezeň prechádza. Kým disk nie je zamknutý, robí to automaticky a vy o tom neviete.

Keď sa zapne DriveLock (výrobcovia mu hovoria aj HDD password, Hard Disk Password alebo Security Password), heslo neuzamkne dáta, ale ten šifrovací kľúč. Bez hesla radič kľúč nesprístupní a odmietne akúkoľvek požiadavku na čítanie aj zápis. Preto:

• disk nejde preformátovať, formátovanie je tiež len zápis,
• nepomôže iný počítač ani iný systém, zámok vynucuje samotný radič disku,
• nepomôže laboratórium na obnovu dát, aj keby z disku vybrali samotné pamäťové čipy, je na nich len zašifrovaná podoba dát.

Technicky ide o dva mechanizmy. Pri starších diskoch SATA to zabezpečuje ATA Security, pri novších diskoch NVMe štandard TCG Opal. Firemné počítače túto funkciu často zapínajú automaticky podľa firemných pravidiel, aby sa zo strateného alebo ukradnutého stroja nedali vytiahnuť dáta. Robia presne to, čo majú. Problém nastane až vtedy, keď stroj skončí v bazári a nové heslo nikto nepozná.

DriveLock verzus BitLocker: v čom sa líšia

Toto je najčastejšia zámena, akú v servise počúvame. Obe veci chránia dáta na disku, ale robia to na úplne inej úrovni a hlavne sa úplne inak zachovajú, keď sa heslo stratí.

Rozdiel, na ktorom všetko stojí, je záchranný kľúč. BitLocker si pri zapnutí vypýta, kam si uložiť 48-miestny obnovovací kľúč, a ten si viete odložiť do konta Microsoft, vytlačiť alebo uložiť vo firme. Keď sa niečo pokazí, napríklad po výmene základnej dosky alebo aktualizácii firmvéru, kľúčom disk odomknete. DriveLock nič také nemá. Neexistuje kľúč, ktorý si odložíte, ani výrobca, ktorý ho pozná.

Ešte jedna vec, ktorá prekvapí: BitLocker a DriveLock si neprekážajú a môžu bežať naraz. Vtedy pri štarte najprv zadáte heslo DriveLock, aby disk vôbec vydal dáta, a až potom sa BitLocker postará o šifrovanie v systéme. Znie to ako dvojitá ochrana a technicky ňou aj je, len si treba uvedomiť, že jedna z nich je nemilosrdná.

Na okraj pre technicky zvedavých: BitLocker kedysi vedel využiť šifrovanie priamo v disku (režim eDrive) namiesto vlastného. Microsoft to po zistení chýb v riešeniach viacerých výrobcov prestal používať predvolene, takže dnes BitLocker štandardne šifruje softvérovo a na hardvérové šifrovanie disku sa nespolieha. Na macOS má rovnakú úlohu FileVault, ktorý má tiež svoj obnovovací kľúč.

Ako zistiť, ktorý zámok vás blokuje

Toto je najužitočnejšia časť a zvládnete to za pár minút:

1. Vyberte disk z počítača a zapojte ho do iného stroja, ideálne cez adaptér na USB.
2. Ak sa disk dá prečítať (vidíte jeho oddiely alebo aspoň veľkosť a dá sa z neho čítať), zamknutý nie je. Heslo si teda pýta doska pôvodného počítača a riešite heslo do BIOSu.
3. Ak sa disk nedá prečítať ani v inom počítači, alebo hlási nulovú kapacitu, prípadne chyby pri každom čítaní, zámok je v ňom a ide o DriveLock.

Malá poznámka z praxe, ktorá vie zamotať hlavu: disk môže mať prevzatú ochranu Opal a pritom sa cez USB normálne čítať. USB adaptér totiž prenáša bežné čítanie a zápis, ale bezpečnostné príkazy neprenáša. Pôvodná doska si ich pri štarte vypýta, uvidí ochranu a pýta heslo, kým iný počítač o ničom nevie. Vtedy je disk fyzicky v poriadku, len ho treba vrátiť do čistého stavu.

PSID revert: posledná záchrana disku

Ak dáta nepotrebujete a chcete aspoň disk, existuje PSID revert. PSID je 32-znakový kód vytlačený na štítku disku, obvykle pod čiarovým kódom. Príkazom cez tento kód disk zahodí svoj šifrovací kľúč, zruší ochranu a vráti sa do stavu ako z výroby.

Čo o tom treba vedieť:

• Všetky dáta sú nenávratne preč. Nie je to obnova prístupu, je to vymazanie. Zahodením kľúča sa obsah stane nečitateľným v jednom okamihu.
• Musíte mať disk fyzicky v ruke. Práve preto je kód na štítku, na diaľku sa zneužiť nedá.
• Cez bežný USB adaptér to spravidla nejde. Bezpečnostné príkazy sa cez ňu neprenesú a disk musí byť v skutočnom konektore M.2 alebo SATA.

Po reverte je disk plnohodnotný, nemá skrátenú životnosť ani zníženú kapacitu. Ak to nechcete skúšať metódou pokus-omyl, spravíme to za vás vrátane overenia, že disk je naozaj zdravý a nejde o začínajúcu poruchu.

Kedy už cesta späť nevedie

Buďme úprimní, sú prípady, v ktorých nepomôže nikto:

• Zabudnuté heslo DriveLock a dáta, ktoré potrebujete. Výrobcovia si žiadny univerzálny kľúč neuchovávajú, práve v tom je zmysel celej ochrany. Disk sa dá vrátiť do prevádzky, dáta nie.
• Heslo správcu v notebooku so sprísneným zabezpečením. Rieši to len servis výrobcu s dokladom o vlastníctve.

Preto pri firemných strojoch platí staré pravidlo dvojnásobne: dáta, o ktoré nechcete prísť, patria do zálohy, nie výlučne do jedného zašifrovaného disku.

Ako si to nespôsobiť

Pár návykov, ktoré ušetria veľa nervov:

• Pri kúpe použitého počítača ho ešte pred zaplatením nechajte naštartovať a skúste vojsť do BIOSu. Akákoľvek výzva na heslo je dôvod nekupovať, kým to predávajúci nevyrieši.
• Pri predaji alebo vyradení stroja zámok vypnite skôr, než ho odovzdáte. Zároveň to nie je náhrada za poriadne vymazanie disku.
• Ak si zámok zapínate sami, heslo uložte do správcu hesiel. Toto je presne ten typ hesla, ktoré si po roku nikto nepamätá.
• Nezamieňajte to so šifrovaním systému. BitLocker a FileVault majú obnovovací kľúč, ktorý sa dá zálohovať, DriveLock žiadny nemá. Podrobne to rozoberá porovnanie vyššie.

Zhrnutie

Keď si počítač pri štarte pýta heslo, najprv zistite, odkiaľ výzva prichádza. Heslo do BIOSu je viazané na dosku a disk s dátami z neho jednoducho vyberiete. DriveLock je viazaný na disk, cestuje s ním a bez správneho hesla sa dáta nedajú získať nijako. Disk sa dá zachrániť cez PSID revert, dáta už nie. Znie to prísne, ale presne o to pri tejto ochrane ide.

Tento článok je súčasťou prehľadu Servis a údržba.