BitLocker Kurtarma

BitLocker veri kurtarma, Microsoft tarafından geliştirilen ve Windows işletim sistemlerinde varsayılan olarak sunulan BitLocker disk şifreleme teknolojisi ile korunan depolama birimlerinden; biçimlendirme, donanım değişikliği, sistem çökmesi, kurtarma anahtarı veya parolanın kaybedilmesi gibi durumlarda verilerin yeniden erişilebilir hale getirilmesi sürecinin genel adıdır.

Veri kurtarma merkezimize artarak gelen BitLocker kullanılan depolama birimlerine yapılan biçimlendirme (format) işlemlerinden sonra BitLocker veri kurtarma taleplerinde son yıllarda belirgin bir artış gözlemlenmektedir. Bunun temel nedeni, işletim sistemleri ve bilgisayar üreticilerinin TPM ile birlikte BitLocker kullanımını varsayılan hale getirmesi ve çoğu zaman kullanıcının farkında bile olmadan bu şifrelemenin aktif edilmesidir.

BitLocker ile kullanılan diskler sektör bazlı olarak şifrelendiğinden, kullanıcıların kendi imkânlarıyla yaptıkları veri kurtarma denemeleri çoğunlukla sonuçsuz kalmakta ve vakayı daha karmaşık hale getirmektedir. Bu nedenle öncelikle BitLocker'ın temel çalışma mantığının anlaşılması gerekmektedir.

BitLocker'ın Yapısal Analizi

BitLocker, Microsoft tarafından Windows işletim sistemlerinde kullanıcılarına ücretsiz olarak sunulan bir veri güvenliği teknolojisidir. BitLocker ile korunan disklerde iki temel yapı bulunur: çalışma mantığı gereği yalnızca verileri değil, bu verilerin şifreli olduğunu tanımlayan meta verileri de disk üzerine kaydeder.

İşletim sistemine bağlı olarak XTS-AES-128 veya XTS-AES-256 (Server sürümleri) algoritması kullanılır. BitLocker, 48 haneli kurtarma anahtarı veya parola ile çözülebilmektedir.

1. Meta Veri Başlıkları: Şifreleme parametreleri ve BitLocker yapısal bilgilerini içeren alanlar
2. Şifrelenmiş Veri Sektörleri: Meta verilerden elde edilen bilgilerle şifrelenmiş gerçek kullanıcı verileri

BitLocker kullanılan bir diski herhangi bir hex editör ile incelediğinizde, disk sektörlerine dağıtılmış meta veri imzaları açıkça görülebilir. Şifre kurtarma işlemlerinde benzersiz kimlik bu alanlardan üretilir. Recovery key ile yapılan kurtarma işlemlerinde de bu meta veriler temel referans noktasıdır. Bu yapılar disk üzerinde tamamen silinmez, genellikle dağınık şekilde korunur.

En Sık Karşılaşılan BitLocker Hatalarının Sebepleri

• Yanlışlıkla biçimlendirme (format) yapılması
• BIOS güncellemeleri
• Anakart veya donanım değişikliği
• Sistem çökmesi (mavi ekran vb.)
• Şifrenin unutulması, kurtarma anahtarının kaybedilmesi
• Disk sağlığının bozulması (RAW disk, bad sector vb.)

Formatlanmış Disklerde Veri Kurtarma Süreci

Her vaka kendine özgü olsa da BitLocker korumalı ve formatlanmış disklerde genel olarak aşağıdaki profesyonel adımlar izlenmektedir.

1. Disk Kalıbı (İmaj) Alımı ve Veri Güvenliğinin Sağlanması

Profesyonel bir veri kurtarma sürecinin ilk ve en kritik adımı veri güvenliğinin sağlanmasıdır. Bu nedenle disk, salt okunur (read-only) modda erişilerek sektör bazlı tam disk imajı alınır ve işlemler bu imaj üzerinden gerçekleştirilir.

2. Meta Veri Analizi

• BitLocker'a özgü imza desenleri tespit edilir
• Kayıp meta veri başlıklarının parçaları analiz edilir
• Şifreleme parametreleri ve yapısal bilgiler yeniden oluşturulur

3. BitLocker Sanallaştırma

• Bulunan meta veriler birleştirilir
• Şifreleme zinciri yeniden yapılandırılır
• Sanal bir BitLocker disk ortamı oluşturulur

4. Şifre Çözme ve Veri Erişimi

Oluşturulan sanal disk, müşteriden temin edilen Windows BitLocker kurtarma anahtarı veya parola ile açılır. Erişilen veriler CRC doğrulamasından geçirilerek bütünlük kontrolleri yapılır ve güvenli şekilde teslim edilir.

Format Sonrası Yapılmaması Gerekenler

• Formatlanmış diske kesinlikle yeni veri yazmayın
• İşletim sistemi kurulumu veya dosya kopyalama yapmayın
• Yetkin olmayan kişi veya yazılımlarla müdahale etmeyin
• BitLocker'ı yeniden aktifleştirmeye çalışmayın
• Disk bölümleme veya yeniden format işlemlerinden kaçının

BitLocker Şifresi Unutulmuş Disklerde Veri Kurtarma

BitLocker kurtarma anahtarının kaybolması ve şifreye de ulaşılamadığı durumlarda da veri kurtarma teoride mümkündür. Fakat iş pratiğe geldiğinde oldukça zordur. Bunun sebebi; eğer cihazın RAM ve BIOS'undan bu anahtar elde edilemez ise 48 karakterli kurtarma anahtarının tüm kombinasyonlarının denenmesi gerektiğidir. Bu da 10⁴⁸ ihtimal demektir. Bu işlem Passware Kit Ultimate gibi donanım destekli şifre çözme araçları ile yapılabilmektedir. Temelde Bitcoin madenciliği gibi yüksek GPU ve CPU yükü gerektiren bu işlem, tesis edilecek sunucunun kapasitesine göre haftalar veya aylar alabilmektedir.

Sıkça Sorulan Sorular