איך משביתים את BitLocker: השעיה או פענוח של כונן

By Mirko Peters · 2026-11-12

איך משביתים את BitLocker: מתי כדאי להשעות את ההגנה, מתי לפענח אותה באמצעות Disable-BitLocker או manage-bde -off, ומה משתנה במכשירים מנוהלים.

Automatically translated with AI from the original post. Read the English original

כדי להשבית את BitLocker בכונן המערכת, פתחו את PowerShell כמנהל מערכת והריצו Disable-BitLocker -MountPoint "C:". אותה פעולה בשורת הפקודה היא manage-bde -off C:. שתי הפקודות מסירות את מגני המפתחות ומתחילות לפענח את הכונן ברקע. אם אתם צריכים רק לעבור עדכון קושחה או שינוי חומרה, אין בכך צורך כלל. מה שתרצו הוא להשעות את ההגנה, פעולה זמנית ששומרת על הנתונים מוצפנים. המאמר הזה מיועד למשתמשי Windows שרוצים להסיר את BitLocker, ולמנהלי מערכת שמקבלים בקשה כזו. הוא מסביר את ההבדל, את הפקודות המדויקות, כיצד לבדוק את ההתקדמות, ומדוע מכשיר מנוהל עשוי לא לאפשר פענוח.

עיקרי הדברים

• השעיית BitLocker היא זמנית ושומרת על הכונן מוצפן, ואילו כיבוי BitLocker מפענח את הכונן כולו ומסיר את מגני המפתחות שלו.
• כדי לפענח את כונן המערכת, הריצו Disable-BitLocker -MountPoint C: ב-PowerShell כמנהל מערכת, או manage-bde -off C: בשורת הפקודה של מנהל המערכת.
• השעו את BitLocker באמצעות Suspend-BitLocker לפני עדכוני קושחה או TPM, כדי ש-Windows לא יבקש את מפתח השחזור באתחול הבא.
• במכשיר שמנוהל על ידי הארגון, המדיניות עשויה לחייב הצפנה, לכן שאלו את מחלקת ה-IT לפני שמפענחים דבר.
• בדקו את ההתקדמות באמצעות Get-BitLockerVolume, שמציג את סטטוס הנפח, סטטוס ההגנה ואחוז ההצפנה.

השעיה או פענוח: בחרו לפני שמקלידים דבר

שתי פעולות שונות נקראות "השבתה", וערבובן ביניהן גורם לרוב הצרות.

השעיית ההגנה משהה את BitLocker לזמן מה. הכונן נשאר מוצפן, וניתן להמשיך בכל עת. Microsoft ממליצה לעשות זאת לפני עדכוני תוכנה שאינם של Microsoft ומשנים רכיבי אתחול, כגון עדכוני קושחה של היצרן ועדכוני קושחה של TPM. אם מדלגים על ההשעיה, לפי Microsoft מערכת לא תזהה את מפתח BitLocker, ותידרשו למפתח השחזור באתחול הבא ובכל אתחול אחריו.

הפענוח הוא מה שהפקודות של PowerShell ו-manage-bde עושות. הוא מסיר את כל מגני המפתחות ומתחיל לפענח את הנפח. מדריך הפעולות של BitLocker של Microsoft קובע כלל ברור: פענוח שייך למצב שבו ההגנה כבר אינה נדרשת, ולא לפתרון תקלות.

לכן שאלו את עצמכם שאלה אחת: האם אתם רוצים שהכונן יישאר לא מוגן לתמיד, או רק שייצא מהדרך לכמה דקות? לעדכון קושחה, שינוי ב-BIOS או משימת תיקון, השעו. אם מישהו אומר שהמחשב הנייד "מהיר יותר בלעדיו", מדדו את הטענה לפני שמפענחים מכשיר שנושא נתוני חברה. ההמלצה שלי היא להשאיר הצפנה פעילה בכל מחשב נייד שיוצא מהבניין.

השעו את BitLocker לצורך עדכון, ואז המשיכו בהגנה

התהליך לוקח דקה ומונע בקשה למפתח השחזור. Microsoft מתעדת הן את מסלול לוח הבקרה והן את מסלול PowerShell.

לוח הבקרה:

1. פתחו את לוח הבקרה.
2. בחרו מערכת ואבטחה, אחר כך הצפנת כונן BitLocker, ואז השעה הגנה.
3. בחרו כן.
4. לאחר העדכון, היכנסו לאותו מקום, בחרו ב-המשך הגנה ולאחר מכן ב-כן.

PowerShell, שנפתח כמנהל מערכת:

1. הריצו Suspend-BitLocker -MountPoint "C:" -RebootCount 0.
2. התקינו את העדכון והפעילו מחדש את המחשב כמה פעמים שיידרש.
3. הריצו Resume-BitLocker -MountPoint "C:".

הפרמטר -RebootCount קובע כמה הפעלות מחדש יכולות לעבור לפני ש-BitLocker יופעל שוב באופן אוטומטי. הערכים התקינים הם 0 עד 15. הערך 0 משאיר את ההגנה מושהית עד שתמשיכו בה ידנית, ולכן צריך לזכור את השלב האחרון. מיקרוסופט מציינת גם שהמשך ההגנה פועל רק במכשירים שקיבלו את רישיון השימוש (EULA) של Windows.

כיצד לבטל את BitLocker: פענוח כונן באמצעות PowerShell או manage-bde

פענוח דורש פקודה אחת לכל כונן. פתחו את PowerShell או שורת פקודה כמנהל מערכת, שכן פעולות BitLocker דורשות זאת.

1. בדקו את המצב הנוכחי. הריצו Get-BitLockerVolume C: | fl ב-PowerShell. הפלט כולל את VolumeStatus, ProtectionStatus, LockStatus ו-EncryptionPercentage. כונן שהוצפן במלואו ומוגן מציג FullyEncrypted ו-On.
2. פענחו את הכונן. ב-PowerShell הריצו Disable-BitLocker -MountPoint "C:". BitLocker מתחיל לפענח את C: מיד. בשורת פקודה, הפקודה המקבילה היא manage-bde -off C:. התיאור של מיקרוסופט מציין שהפעולה מפענחת את הכונן ומכבה את BitLocker, וששכבות המפתחות (key protectors) כולן מוסרות לאחר סיום הפענוח.
3. עקבו אחר ההתקדמות. הריצו שוב Get-BitLockerVolume C:, או manage-bde -status, ובדקו את אחוז ההצפנה. בדפי מיקרוסופט שבדקתי לא מופיע משך זמן טיפוסי, ולכן אין לנחש. הזמן תלוי בכמות הנתונים בכונן ובעומס על המחשב. אפשר להמשיך לעבוד בזמן הפענוח.
4. אשרו את התוצאה. כשהפענוח מסתיים, מצב הנפח מציג שהכונן פוענח במלואו וההגנה כבויה.

כמה וריאציות על הדוגמאות של מיקרוסופט:

• מספר כוננים בבת אחת. $BLV = Get-BitLockerVolume ואחריה Disable-BitLocker -MountPoint $BLV מבטלים את BitLocker בכל הנפחים. מדריך הפעולות מציג גם Disable-BitLocker -MountPoint C,D עבור כוננים מסוימים.
• הרצת בדיקה. Disable-BitLocker תומך ב--WhatIf, שמציג מה היה קורה בלי לבצע את הפעולה בפועל. זו הרגל שימושי על שרת.
• מפתחות אוטומטיים לכונני נתונים. אם לנפח מערכת ההפעלה יש מפתחות אוטומטיים שפותחים אותו באתחול, Disable-BitLocker לא ימשיך. הריצו תחילה Clear-BitLockerAutoUnlock, ורק לאחר מכן בטלו את BitLocker בנפח. מיקרוסופט לא מסבירה כיצד מפתחות אלה בדרך כלל נוצרים, ולכן בדקו את הפלט של ה-cmdlet אם תיתקלו בכך.
• מחשב אחר. manage-bde מקבל את הפרמטר -computername כדי לשנות את ההגנה במחשב אחר.

את הפרטים המלאים תוכלו למצוא בתיעוד Disable-BitLocker של מיקרוסופט ובדף manage-bde -off.

הערה על אפליקציית ההגדרות ועל Windows Home. Windows Home אינו כולל את BitLocker Drive Encryption. במקומו קיימת Device Encryption, ש‏Windows מפעיל כשנכנסים עם חשבון Microsoft או עם חשבון עבודה או לימודים. מנהלים אותה ב-הגדרות, תחת פרטיות ואבטחה, הצפנת מכשיר. המאמר של מיקרוסופט שבדקתי מתאר כיצד להפעיל אותה ואינו מתעד את השלבים לכיבוי, ולכן בדקו את המתג במכשיר שלכם וקראו את הטקסט שעל המסך לפני שתשנו את ההגדרה.

כוננים לנתונים, כונני USB והפעלה מחדש של BitLocker

הפקודות פועלות לכל ווליום בנפרד, ולכן אותם שלבים חלים גם על כונן נתונים או על כונן USB. התוסף של לוח הבקרה מציג שלוש קבוצות: כונן מערכת ההפעלה, כונני נתונים קבועים, וכונני נתונים נשלפים - BitLocker To Go. עם manage-bde -off מציינים את הווליום לפי אות כונן ואחריה נקודתיים, למשל manage-bde -off E:. Microsoft מקבלת גם נתיב GUID של ווליום או ווליום מעוגן במקום הזה. החליפו את האות באות שמציג Explorer עבור הכונן שלכם, ובדקו אותה פעמיים, כי פענוח הווליום הלא נכון מבזבז זמן.

לפענוח כונן נשלף יש השלכה מעשית אחת. לאחר שהפענוח מסתיים, כל מי שמחבר את ההתקן למחשב יכול לקרוא את הקבצים, ללא סיסמה. לפני כן החליטו אם הנתונים שעליו צריכים להישאר מוגנים.

ניתן להפעיל מחדש את BitLocker מאוחר יותר. מאמר התמיכה של Microsoft בנושא BitLocker Drive Encryption מתאר את הדרך: פתחו את התוסף, בחרו בהפעלת BitLocker ליד הכונן, בחרו את אופן ההגנה על הכונן וגבו את מפתח השחזור. לאחר מכן ההצפנה מתבצעת ברקע, וניתן להמשיך להשתמש במכשיר בזמן שהיא מסתיימת. יש להתייחס אל זה כאל הגדרה חדשה ולא כ"המשך". כל מגני המפתחות הקודמים הוסרו בעת הפענוח, ולכן מפתח השחזור ששמרתם קודם לכן אינו חל על ההצפנה החדשה. שמרו את המפתח החדש במקום שניתן להגיע אליו ממכשיר אחר, ובדקו לפי ההנחיות בנושא איתור מפתח שחזור שהמפתח החדש אכן מופיע בחשבון שלכם.

מכשירים המנוהלים על ידי הארגון

מחלקת ה-IT בארגון מנהלת בדרך כלל את BitLocker, ומדיניות ארגונית עשויה לדרוש הצפנה. זה הדבר הראשון לבדוק במחשב נייד של העבודה. אם מדיניות דורשת הצפנה, ייתכן שפענוח ידני יבוטל, או שהמכשיר ייצא מהתאימות.

אם אתם מנהלים מכשירים עם Intune, הגדרות BitLocker נמצאות במדיניות endpoint security disk encryption. להצפנה שקטה, המדריך של Microsoft כולל הגדרות כמו Require Device Encryption במצב Enabled. המאמר של Microsoft אינו אומר מה קורה למכשיר מוצפן כשמסירים את המדיניות או מבטלים את השיוך שלה, והוא אינו מתאר דרך לפענח דרך Intune. אל תניחו שביטול שיוך מדיניות מפענח משהו. בדקו על מכשיר אחד וקראו את התוצאה באמצעות Get-BitLockerVolume.

יש טענה אחת במאמר של Intune ששווה לזכור. אם תמחקו את אובייקט Intune של מכשיר שמצורף ל-Microsoft Entra ו-BitLocker מגן עליו, Intune מסנכרן ומסיר את מגני המפתחות של ווליום מערכת ההפעלה, וכתוצאה מכך BitLocker נכנס למצב מושעה בווליום הזה. לכן מחיקת רשומת מכשיר כדי "לנקות" אינה חסרת השלכות.

טעויות נפוצות

• פענוח כדי לתקן בעיית אתחול. Microsoft מציינת שפענוח אינו שלב פתרון תקלות. השעו, תקנו, והפעילו מחדש.
• שכחה להפעיל מחדש לאחר השעיה. עם -RebootCount 0 ההגנה נשארת כבויה עד שמריצים Resume-BitLocker. הוסיפו זאת לרשימת הבדיקה של העדכון.
• השארת מפתח השחזור לא ידוע. אם תפענחו ולאחר מכן תפעילו מחדש את BitLocker, תקבלו סט חדש של מגני מפתחות. אל תסתמכו על הדפס ישן.
• פענוח מחשב נייד עם נתוני חברה. הכונן יהיה אז קריא לכל מי שייקח את המכשיר. בצעו זאת רק כשהמדיניות מתירה זאת.
• דילוג על שלב המפתחות האוטומטיים. Disable-BitLocker מסרב לפעול עד שפקודת הניקוי מהרשימה לעיל הסירה את המפתחות האלה.
• הנחה שמדיניות Intune מפענחת. התיעוד של Microsoft אינו אומר זאת, לכן יש לאמת במכשיר בדיקה.

נושאים קשורים לחקירה

• מצאו את מפתח השחזור לפני שינויים: אם עדכון קושחה או שינוי חומרה יפעילו מסך כחול, מפתח השחזור הוא הדרך היחידה להיכנס שוב.
• השעו את BitLocker לעדכוני BIOS ו-TPM: זו חלופה בטוחה יותר לכיבוי ההצפנה.
• פריסה שקטה של BitLocker עם Intune: ההגדרות של TPM, Secure Boot ומשתמשים סטנדרטיים קובעות אם ההצפנה תתחיל בלי הנחיה למשתמש.
• Device Encryption לעומת BitLocker Drive Encryption: שתי התכונות נבדלות לפי מהדורה, וההבדל קובע איפה תנהלו אותן.
• בדיקת מצב ההצפנה במחשבים רבים: Get-BitLockerVolume מספק את הנתונים לדוח פשוט.

הצעד הבא

כדי לבטל את BitLocker, קבעו קודם אם צריך להשהות או לפענח. השהו לצורך עדכונים ותיקונים, ופענחו עם Disable-BitLocker או manage-bde -off רק כאשר הכונן כבר אינו זקוק להגנה והמדיניות מתירה זאת. לאחר מכן בדקו את Get-BitLockerVolume עד שהכרך מדווח שהפענוח הסתיים.