Povolení a zakázání nástroje BitLocker s čipem TPM v systému Windows

Přehled

Tento článek vysvětluje, jak povolit a zakázat šifrování disku Windows BitLocker pomocí modulu TPM (Trusted Platform Module) na počítačích Dell se systémem Windows 10 nebo Windows 11. Zahrnuje aktivaci čipu TPM v systému BIOS, nastavení nástroje BitLocker, ověření stavu, pozastavení a dešifrování. Konfigurace USB jako TPM, změny zásad skupiny domén a nasazení nástroje BitLocker spravovaného sítí jsou mimo rozsah tohoto článku.

Stručné reference

Pomocí níže uvedené tabulky můžete rychle přiřadit dotaz nebo záměr uživatele k příslušné části.

Klíčové pojmy a definice

Šifrování disku nástrojem BitLocker

Funkce šifrování celého svazku integrovaná v systému Windows, která chrání data šifrováním celých svazků disku. Je-li povolena, nástroj BitLocker šifruje data v klidu a brání neoprávněnému přístupu, pokud je disk odebrán nebo počítač odcizen.

Modul Trusted Platform Module (TPM)

Vyhrazený hardwarový bezpečnostní čip na základní desce, který ukládá šifrovací klíče. Nástroj BitLocker používá čip TPM k utěsnění šifrovacích klíčů a zajišťuje, že disk lze dešifrovat pouze v původním počítači se stejnou konfigurací hardwaru. Existují dvě verze:

• TPM 1.2 – vyžadováno pro starší systémy v režimu spouštění (bez UEFI).
• TPM 2.0 – podporováno v režimu spouštění UEFI. Vyžadováno pro systém Windows 11. Některé modely (např. Latitude 5175, Latitude 7275) mají pouze čip TPM 2.0.

Obnovovací klíče

48místný číselný klíč vygenerovaný během nastavení nástroje BitLocker. Je to jediný způsob, jak získat přístup k disku šifrovanému nástrojem BitLocker, pokud nelze ověřit čip TPM (např. po změnách hardwaru). Ztráta obnovovacího klíče způsobí, že šifrovaná data budou trvale nepřístupná – je nutné přeinstalovat operační systém.

Stavy nástroje BitLocker

• On (Encrypted) – Disk je plně šifrován a chráněn.
• Encrypting – probíhá šifrování nástroje BitLocker.
• Suspended – nástroj BitLocker je dočasně pozastaven; disk je přístupný bez čipu TPM. Vyžadováno před určitými úlohami údržby.
• Off (Decrypted) – nástroj BitLocker je zakázán a disk není šifrovaný.

Předpoklady a kompatibilita

Kompatibilita s verzí TPM a režimem spouštění

Část 1 – Povolení čipu TPM v systému BIOS

1. Zapněte počítač.
2. Během testu POST stiskněte klávesu F2 pro vstup do nastavení systému BIOS.
3. Přejděte do části Security.
4. V části Security vyhledejte možnost TPM.
5. V levém panelu vyberte možnost TPM 2.0 či TPM 1.2.
6. Zaškrtnutím pole TPM zapněte čip TPM.
7. Vyberte možnost Activate TPM nebo Enable TPM (pokud je tato možnost k dispozici).
8. Klikněte na možnost Save Changes a ukončete systém BIOS. Počítač se nyní restartuje.

Část 2 – Povolení nástroje BitLocker v systému Windows

1. krok – Otevřete konzoli pro správu nástroje BitLocker

Použijte jeden z následujících způsobů:

Způsob A – vyhledání v nabídce Start (doporučeno)

1. 1. Klikněte na tlačítko nabídky Start systému Windows.
   2. Do pole pro vyhledávání zadejte výraz: Spravovat nástroj BitLocker (Windows 10) nebo šifrování zařízení (Windows 11).
   3. Stiskněte klávesu Enter nebo klikněte na ikonu výsledku.

Způsob B – Ovládací panely

1. 1. Klikněte na nabídku Start systému Windows → Ovládací panely.
   2. Klikněte na položku Systém a zabezpečení.
   3. Klikněte na některou možnost v části Nástroj BitLocker Drive Encryption.

Způsob C – Průzkumník souborů (kliknutí pravým tlačítkem myši na disk)

1. 1. Otevře Průzkumník souborů a přejděte na Tento počítač.
   2. Pravým tlačítkem myši klikněte na jednotku C:\ (Windows).
   3. Klikněte na možnost Zapnout nástroj BitLocker. (Tím přeskočíte úvodní obrazovku nástroje BitLocker.)

2. krok 2 – Spusťte průvodce nastavením nástroje BitLocker

1. Na obrazovce správy nástroje BitLocker klikněte na možnost Zapnout nástroj BitLocker. Nástroj BitLocker provede krátkou inicializaci.
2. Uložte obnovovací klíč – vyberte jednu z těchto možností:

• • uložit do účtu Microsoft
  • uložit na jednotku USB flash
  • uložit do souboru (na jiné jednotce)
  • vytisknout obnovovací klíč

3. Po uložení klíče klikněte na možnost Další.
4. Vyberte možnost šifrování:

• • Šifrovat pouze využité místo na disku – rychlejší, preferované pro nové počítače. Šifruje data při využití místa, volné místo zůstane nezašifrované.
  • Šifrování celého disku – pomalejší, šifruje veškerý prostor bez ohledu na použití. Doporučeno pro disky, které se již používají.

5. Klikněte na tlačítko Další.
6. Pokud se zobrazí výzva, vyberte režim šifrování:

• • Nový režim šifrování (XTS-AES) – doporučeno pro pevné disky v systému Windows 11/10.
  • Kompatibilní režim – používá se pro vyměnitelné disky sdílené se staršími verzemi systému Windows.

7. Klikněte na tlačítko Další.
8. Zkontrolujte, zda je zaškrtnuto políčko Spustit kontrolu systému BitLocker a klikněte na Pokračovat.
9. Restartujte počítač a zahajte šifrování.

Část 3 – Kontrola stavu nástroje BitLocker

Způsob A – Správa konzole nástroje BitLocker

1. 1. Otevřete konzoli pro správu nástroje BitLocker pomocí libovolného způsobu v části 2, 1. krok.
   2. Přečtěte si stav uvedený v konzoli:

• • • Encrypting – právě probíhá šifrování nástroje BitLocker.
    • BitLocker On (ikona zámku) – disk je plně šifrován a chráněn.
    • BitLocker Off – disk není šifrován ani chráněn.
    • Suspended – nástroj BitLocker je pozastaven. Ochrana je dočasně zakázána.

Způsob B – Příkazový řádek

Pro automatizaci, skriptování nebo správu IT.

1. 1. Otevřete příkazový řádek se zvýšenými oprávněními: Do pole pro vyhledávání zadejte výraz cmd, poté klikněte pravým tlačítkem myši na možnost Příkazový řádek > Spustit jako správce.
   2. V okně příkazového řádku zadejte příkaz manage-bde -statusa stiskněte klávesu Enter.
   3. Prohlédněte si výstup: Pro každý svazek jsou zobrazeny informace o stavu převodu, stavu ochrany, ochraně klíčů a stavu zámku.

Klíčová pole výstupu

Část 4 – Pozastavení nástroje BitLocker

Pozastavení nástroje BitLocker je dočasný stav – nedojde k dešifrování disku. Použijte jej pro aktualizace systému BIOS, změny firmwaru nebo úpravy hardwaru.

1. Spusťte systém Windows.
2. Otevřete konzoli pro správu nástroje BitLocker (viz část 2, 1. krok).
3. Klikněte na možnost Pozastavit ochranu u cílového disku.
4. Přečtěte si upozornění a kliknutím na položku Ano potvrďte akci.
5. Po dokončení úlohy údržby se vraťte do části Správa nástroje BitLocker a kliknutím na možnost Pokračovat v ochraně znovu povolte nástroj BitLocker.

Část 5 – Zakázání (vypnutí) nástroje BitLocker

Zakázání nástroje BitLocker plně dešifruje disk. Jedná se o trvalou akci, která odstraní veškeré šifrování. Žádná data se neodstraní, ale disk již nebude chráněn.

1. Spusťte systém Windows.
2. Otevřete konzoli pro správu nástroje BitLocker (viz část 2, 1. krok).
3. Klikněte na možnost Vypnout nástroj BitLocker pro cílový disk.
4. Potvrďte rozhodnutí ve výzvě.
5. Povolte počítači dokončit dešifrování. Během dešifrování nevynucujte vypnutí počítače.

Odstraňování problémů