BitLocker и Ubuntu: как безопасно настроить dual boot и не потерять доступ к Windows

1. Что такое BitLocker и как он защищает Windows

BitLocker является встроенной системой шифрования накопителей Windows. Она защищает данные, если SSD или HDD извлекли из компьютера, ноутбук был украден либо загрузочная среда была изменена.

На современных компьютерах BitLocker обычно взаимодействует с TPM, Secure Boot и загрузчиком Windows. При нормальном запуске TPM разрешает автоматическую разблокировку системного тома. Пользователь вводит пароль Windows, но не вводит длинный recovery key.

Если загрузочная конфигурация отличается от ожидаемой, автоматическая разблокировка может быть запрещена. Тогда Windows показывает экран восстановления BitLocker.

2. Почему установка Ubuntu может вызвать запрос recovery key

Установка Ubuntu способна изменить порядок загрузки UEFI, добавить загрузчик GRUB, создать новую EFI-запись или изменить способ запуска Windows Boot Manager.

Сам факт наличия Ubuntu не расшифровывает и не повреждает Windows. Запрос ключа возникает из-за того, что путь загрузки или измерения TPM отличаются от конфигурации, с которой была связана защита BitLocker.

3. BitLocker и Device Encryption: что именно включено в Windows

Пользователь может не помнить, что его системный диск уже зашифрован. На подходящем компьютере Windows способна автоматически включить Device Encryption после входа в учетную запись Microsoft.

4. Ubuntu 24.04 и 26.04: различия при работе с BitLocker

Возможности установщика зависят от версии Ubuntu. Это необходимо учитывать до изменения разделов.

5. Какой сценарий установки выбрать

Выберите подходящий сценарий до запуска установщика. Не принимайте решение в последний момент на экране разметки.

6. Что сохранить перед установкой Ubuntu

До изменения загрузки требуются две независимые защиты: резервная копия данных и возможность разблокировать Windows.

• Документы, фотографии, проекты и локальные базы.
• Профили браузеров и менеджер паролей.
• Почтовые архивы Outlook или Thunderbird.
• Сертификаты, PFX, P12, SSH-ключи и VPN.
• Recovery key каждого зашифрованного тома.
• Список программ, лицензий и рабочих настроек.
• Загрузочную флешку Windows или Recovery Drive.
• Текущий порядок загрузки UEFI.

Сохранение диагностической информации

manage-bde -status > E:\UbuntuBackup\bitlocker-status.txt
manage-bde -protectors -get C: > E:\UbuntuBackup\bitlocker-protectors.txt
bcdedit /enum firmware > E:\UbuntuBackup\uefi-boot-entries.txt

7. Как найти и сохранить recovery key BitLocker

Recovery key содержит 48 цифр. На экране восстановления также отображается идентификатор ключа. Он позволяет выбрать правильную запись, если в учетной записи хранится несколько ключей.

Где может находиться ключ

• в учетной записи Microsoft;
• в рабочей или учебной учетной записи;
• в системе управления организации;
• в распечатанном документе;
• в сохраненном текстовом файле;
• на отдельной USB-флешке.

Резервное копирование через интерфейс Windows

1. Откройте поиск Windows.
2. Введите «Управление BitLocker».
3. Выберите системный диск.
4. Нажмите «Создать резервную копию ключа восстановления».
5. Сохраните ключ минимум в двух независимых местах.
6. Проверьте доступ к ключу с другого устройства.

Проверка протекторов

manage-bde -protectors -get C:

8. Как проверить состояние BitLocker перед установкой

Откройте командную строку или Windows Terminal от имени администратора.

manage-bde -status
manage-bde -status C:
manage-bde -protectors -get C:

Что смотреть в результате

9. Приостановка защиты и полное отключение BitLocker

Эти операции нельзя считать взаимозаменяемыми.

Приостановить защиту

manage-bde -protectors -disable C:

Приостановить на два перезапуска

manage-bde -protectors -disable C: -RebootCount 2

Возобновить защиту

manage-bde -protectors -enable C:

Полностью отключить BitLocker

manage-bde -off C:

10. Когда достаточно временно приостановить BitLocker

Приостановка применяется, когда Windows-раздел не переразмечается, а изменение загрузки является контролируемым и обратимым.

Типичные случаи

• обновление UEFI или firmware по инструкции производителя;
• временное изменение состояния Secure Boot;
• изменение порядка загрузки;
• установка Ubuntu на отдельный SSD;
• диагностика повторных запросов recovery key;
• обновление загрузочной записи.

11. Как полностью отключить BitLocker и проверить расшифровку

Полное отключение применяется, если установщик требует обычный незашифрованный Windows-раздел или нужно уменьшать том в сценарии, который не поддерживает сохранение BitLocker.

Через интерфейс Windows

1. Откройте «Управление BitLocker».
2. Выберите системный диск.
3. Нажмите «Отключить BitLocker».
4. Подтвердите расшифровку.
5. Подключите питание ноутбука.
6. Дождитесь полного завершения операции.

Через командную строку

manage-bde -off C:
manage-bde -status C:

Не начинайте уменьшение раздела и установку Ubuntu, пока параметр Conversion Status не покажет, что том полностью расшифрован.

12. Установка Ubuntu на отдельный SSD с сохранением BitLocker

Отдельный накопитель позволяет оставить Windows полностью зашифрованной и не изменять ее разделы.

Наиболее безопасная последовательность

1. Сохраните recovery key и резервную копию.
2. Полностью выключите компьютер.
3. Отключите HDD с данными и внешний backup-диск.
4. При возможности временно отключите SSD Windows.
5. Оставьте подключенным только SSD для Ubuntu.
6. Установите Ubuntu с собственным EFI-разделом.
7. Проверьте автономную загрузку Ubuntu.
8. Верните SSD Windows.
9. Выберите постоянный способ запуска систем.

13. Ubuntu 26.04 рядом с Windows 11 и включенным BitLocker

Установщик Ubuntu 26.04 способен предложить установку рядом с BitLocker-защищенной Windows, если найдено достаточное нераспределенное пространство или подходящий раздел, который можно безопасно уменьшить.

Подготовка

1. Создайте backup и сохраните recovery key.
2. Проверьте NTFS средствами Windows.
3. Отключите Fast Startup и гибернацию.
4. Уменьшите Windows-раздел через управление дисками.
5. Оставьте место нераспределенным.
6. Загрузите Ubuntu в режиме UEFI.

Что проверить в установщике

• Windows Boot Manager обнаружен;
• BitLocker-раздел сохраняется;
• Ubuntu использует только подготовленное пространство;
• Windows-раздел не форматируется;
• EFI-раздел Windows не форматируется;
• HDD с документами не участвует в операции.

14. Ubuntu 24.04: что делать, если BitLocker блокирует установку

Для Ubuntu 24.04 официальный и наиболее предсказуемый выбор:

• полностью отключить BitLocker и дождаться расшифровки;
• либо установить Ubuntu на отдельный незашифрованный накопитель.

Приостановка защиты не превращает раздел в обычный незашифрованный том. Установщик может продолжать блокировать автоматическую установку рядом.

15. Secure Boot, TPM и UEFI: что можно менять

TPM защищает секреты, а Secure Boot проверяет доверенность компонентов UEFI-загрузки. BitLocker использует параметры этой среды, поэтому изменения могут вызвать recovery mode.

16. Fast Startup, гибернация и доступ к NTFS

Fast Startup использует механизм гибернации. После обычного завершения работы Windows системный NTFS-том может оставаться в промежуточном состоянии.

Ubuntu в такой ситуации способна подключить том только для чтения либо отказаться от записи, чтобы не повредить файловую систему.

Отключение гибернации

powercfg.exe /hibernate off
shutdown /s /t 0

17. Финальная проверка перед установкой Ubuntu

18. Первый запуск Windows после установки Ubuntu

После установки Ubuntu один раз запустите Windows. Появление recovery prompt после изменения загрузочной схемы возможно и само по себе не означает повреждение данных.

Если появился экран BitLocker Recovery

1. Сверьте идентификатор recovery key.
2. Введите соответствующий 48-значный ключ.
3. Дождитесь загрузки Windows.
4. Проверьте документы и рабочие программы.
5. Проверьте состояние BitLocker.
6. Не удаляйте Ubuntu и не очищайте TPM.

manage-bde -status C:
manage-bde -protectors -get C:

19. Что делать, если BitLocker спрашивает ключ при каждом запуске

Постоянный запрос обычно означает, что Windows каждый раз запускается по пути, который BitLocker не считает стабильным, либо протекторы не были повторно связаны с новой конфигурацией.

Безопасный алгоритм

1. Введите recovery key и загрузитесь в Windows.
2. Еще раз сохраните ключ и проверьте его ID.
3. Проверьте состояние Secure Boot и TPM.
4. Определите постоянный путь запуска Windows: GRUB или прямой Windows Boot Manager.
5. Приостановите защиту на два перезапуска.
6. Перезагрузитесь выбранным способом.
7. Вернитесь в Windows и возобновите защиту.

manage-bde -protectors -disable C: -RebootCount 2
shutdown /r /t 0

После проверочной загрузки:

manage-bde -protectors -enable C:
manage-bde -status C:

Если запрос продолжается, попробуйте запустить Windows напрямую через UEFI Boot Menu. Если прямой Windows Boot Manager не просит ключ, причиной может быть путь запуска через другой загрузчик.

20. Как вернуть защиту BitLocker после установки Ubuntu

Если защита была только приостановлена, после проверки обеих систем включите протекторы повторно.

manage-bde -protectors -enable C:
manage-bde -status C:

Если том был полностью расшифрован, BitLocker включается заново через интерфейс Windows либо командой:

manage-bde -on C: -RecoveryPassword

После включения создайте новую копию recovery key и дождитесь завершения шифрования.

21. Можно ли зашифровать одновременно Windows и Ubuntu

Да. Windows и Ubuntu используют независимые системы защиты. BitLocker не защищает Linux-раздел, а LUKS не защищает Windows.

22. BitLocker на диске D и общий раздел для двух систем

Если диск D зашифрован BitLocker, Ubuntu не сможет использовать его как обычный общий NTFS-раздел без отдельной разблокировки.

23. Можно ли открыть BitLocker-раздел из Ubuntu

Ubuntu не получает recovery key из TPM автоматически тем же способом, что Windows. Потерянный ключ нельзя извлечь из Ubuntu только потому, что обе системы находятся на одном компьютере.

Для работы с важным зашифрованным томом предпочтительно загрузить Windows и разблокировать диск штатным способом.

Сторонние Linux-инструменты для чтения BitLocker существуют, но они все равно требуют действующий ключ или пароль. Они не восстанавливают потерянный recovery key и не должны быть единственным способом доступа к важным данным.

24. Опасные советы о BitLocker и dual boot

25. Типовые проблемы BitLocker при dual boot

26. Итоговый чек-лист безопасности

27. Частые вопросы о BitLocker и Ubuntu