Як вимкнути BitLocker: призупинити або розшифрувати диск

By Mirko Peters · 2026-11-12

Як вимкнути BitLocker: коли призупинити захист, коли розшифрувати його за допомогою Disable-BitLocker або manage-bde -off і що змінюється на керованих пристроях.

Automatically translated with AI from the original post. Read the English original

Щоб вимкнути BitLocker на системному диску, відкрийте PowerShell від імені адміністратора та виконайте Disable-BitLocker -MountPoint "C:". Те саме в командному рядку виконує manage-bde -off C:. Обидві команди видаляють протектори ключів і у фоновому режимі починають розшифрування диска. Якщо вам потрібно лише пройти оновлення прошивки або заміну апаратного забезпечення, це взагалі не потрібно. Вам потрібно призупинити захист: це тимчасовий стан, за якого дані залишаються зашифрованими. Ця стаття для користувачів Windows, які хочуть повністю прибрати BitLocker, і для адміністраторів, які отримують такі запити. Тут пояснюється різниця, наводяться точні команди, як перевірити прогрес і чому керований пристрій може не дозволяти розшифрування.

Головне

• Призупинення BitLocker є тимчасовим і залишає диск зашифрованим, тоді як вимкнення BitLocker розшифровує весь диск і видаляє його протектори ключів.
• Щоб розшифрувати системний диск, виконайте Disable-BitLocker -MountPoint C: у PowerShell від імені адміністратора або manage-bde -off C: у командному рядку з правами адміністратора.
• Використовуйте Suspend-BitLocker перед оновленням прошивки або TPM, щоб Windows не запитувала ключ відновлення під час наступного перезавантаження.
• На пристрої, яким керує ваша організація, політика може вимагати шифрування, тож перш ніж щось розшифровувати, спитайте ІТ-відділ.
• Прогрес можна перевірити за допомогою Get-BitLockerVolume, яка показує стан тому, стан захисту та відсоток шифрування.

Призупинити чи розшифрувати: вирішіть, перш ніж щось вводити

Дві різні дії називають однаково «вимкнути», і саме їх плутанина спричиняє більшість проблем.

Призупинення захисту тимчасово зупиняє BitLocker. Диск залишається зашифрованим, і захист можна відновити будь-коли. Microsoft рекомендує призупиняти захист перед оновленнями стороннього програмного забезпечення, які змінюють компоненти завантаження, зокрема перед оновленнями прошивки від виробника та оновленнями прошивки TPM. Якщо пропустити призупинення, Microsoft попереджає, що система не розпізнає ключ BitLocker, і під час наступного перезавантаження, як і під час кожного наступного, вас попросять ввести ключ відновлення.

Розшифрування виконують команди PowerShell і manage-bde. Вони видаляють усі протектори ключів і починають розшифрування тому. У посібнику Microsoft з операцій BitLocker є чітке правило: розшифрування доречне тоді, коли захист більше не потрібен, а не для усунення несправностей.

Тож поставте собі одне запитання. Ви хочете, щоб диск назавжди залишився без захисту, чи лише на кілька хвилин звільнити його для іншого завдання? Для оновлення прошивки, зміни BIOS або ремонтних робіт призупиніть захист. Якщо хтось каже, що ноутбук «працює швидше без нього», перевірте це твердження, перш ніж розшифровувати пристрій, на якому зберігаються корпоративні дані. Моя рекомендація: залишайте шифрування увімкненим на кожному ноутбуці, який виходить за межі офісу.

Призупиніть BitLocker для оновлення, а потім відновіть захист

Це займе хвилину і дозволить уникнути запиту ключа відновлення. Microsoft описує як маршрут через Панель керування, так і маршрут через PowerShell.

Панель керування:

1. Відкрийте Панель керування.
2. Виберіть Система та безпека, потім Шифрування диска BitLocker, потім Призупинити захист.
3. Виберіть Так.
4. Після оновлення перейдіть у те саме місце, виберіть Resume protection і натисніть Yes.

PowerShell, запущений від імені адміністратора:

1. Виконайте Suspend-BitLocker -MountPoint "C:" -RebootCount 0.
2. Встановіть оновлення та перезавантажуйте пристрій стільки разів, скільки потрібно.
3. Виконайте Resume-BitLocker -MountPoint "C:".

Параметр -RebootCount задає, скільки перезавантажень може відбутися, перш ніж BitLocker знову увімкнеться автоматично. Припустимі значення — від 0 до 15. Значення 0 залишає захист призупиненим, доки ви не поновите його вручну, тому не забудьте виконати останній крок. Microsoft також зазначає, що поновлення працює лише на пристроях, які прийняли ліцензійну угоду Windows (EULA).

Як вимкнути BitLocker: розшифрування диска за допомогою PowerShell або manage-bde

Розшифрування займає одну команду на кожен диск. Відкрийте PowerShell або командний рядок від імені адміністратора, адже операції з BitLocker цього вимагають.

1. Перевірте поточний стан. Виконайте Get-BitLockerVolume C: | fl у PowerShell. У виведенні є VolumeStatus, ProtectionStatus, LockStatus і EncryptionPercentage. Повністю зашифрований і захищений диск показує FullyEncrypted і On.
2. Розшифруйте диск. У PowerShell виконайте Disable-BitLocker -MountPoint "C:". BitLocker одразу почне розшифровувати C:. У командному рядку еквівалентна команда — manage-bde -off C:. За описом Microsoft, вона розшифровує диск і вимикає BitLocker, а після завершення розшифрування всі протектори ключів видаляються.
3. Стежте за прогресом. Знову виконайте Get-BitLockerVolume C: або manage-bde -status і подивіться відсоток шифрування. На сторінках Microsoft, які я перевіряв, немає типової тривалості, тому не варто здогадуватися. Це залежить від обсягу даних на диску та навантаження на машину. Під час процесу можна продовжувати роботу.
4. Перевірте результат. Коли розшифрування завершиться, статус тому покаже, що диск повністю розшифрований, а захист вимкнено.

Деякі варіанти порівняно з прикладами Microsoft:

• Кілька дисків одночасно. Команда $BLV = Get-BitLockerVolume, а потім Disable-BitLocker -MountPoint $BLV вимикає BitLocker на всіх томах. У посібнику з операцій також наведено Disable-BitLocker -MountPoint C,D для вказаних дисків.
• Пробний запуск. Disable-BitLocker підтримує -WhatIf, яка показує, що відбулося б, але нічого не змінює. На сервері це корисна звичка.
• Автоматичні ключі для дисків даних. Якщо на томі операційної системи є автоматичні ключі, що відкривають його під час запуску, Disable-BitLocker не виконується. Спершу виконайте Clear-BitLockerAutoUnlock, а потім вимкніть BitLocker для тому. Microsoft не пояснює, як такі ключі зазвичай з'являються, тож якщо ви зіткнулися з цим, перегляньте вивід командлета.
• Інший комп'ютер. manage-bde приймає параметр -computername, щоб змінити захист на іншому пристрої.

Детальніше читайте в довідці Microsoft про Disable-BitLocker та на сторінці manage-bde -off.

Примітка про застосунок «Параметри» та Windows Home. Windows Home не містить BitLocker Drive Encryption. Натомість там є шифрування пристрою (Device Encryption), яке Windows вмикає, коли ви входите з обліковим записом Microsoft або обліковим записом робочого чи навчального закладу. Керувати ним можна в Параметри, у розділі Конфіденційність і безпека, Шифрування пристрою. У статті Microsoft, яку я переглядав, описано, як його увімкнути, але немає кроків для вимкнення, тож перш ніж щось змінювати, перегляньте перемикач на своєму пристрої та прочитайте текст на екрані.

Диски даних, USB-накопичувачі та повторне увімкнення BitLocker

Команди працюють окремо для кожного тому, тож ті самі кроки застосовуються і до диска даних, і до USB-диска. Аплет Панелі керування має три групи: Диск операційної системи, Фіксовані диски даних і Знімні диски даних — BitLocker To Go. За допомогою manage-bde -off ви вказуєте том літерою диска з двокрапкою, наприклад manage-bde -off E:. Microsoft також приймає тут шлях із GUID тому або змонтований том. Замініть літеру на ту, яку показує Провідник для вашого диска, і перевірте її двічі, адже розшифрування не того тому забирає час даремно.

Розшифрування знімного диска має одне практичне наслідок. Щойно процес завершиться, будь-хто, хто підключить флешку до комп’ютера, зможе прочитати файли без пароля. Спочатку вирішіть, чи дані на ньому мають залишатися захищеними.

Увімкнути BitLocker знову можна пізніше. Стаття підтримки Microsoft про BitLocker Drive Encryption описує цей шлях: відкрийте аплет, оберіть Увімкнути BitLocker поруч із диском, виберіть спосіб захисту диска і збережіть ключ відновлення. Далі шифрування виконується у фоновому режимі, і ви можете продовжувати користуватися пристроєм, поки воно не завершиться. Сприймайте це як нове налаштування, а не як «відновлення». Усі попередні захисники ключів були видалені під час розшифрування, тож збережений раніше ключ відновлення до нового шифрування не застосовується. Збережіть новий ключ там, де до нього можна дістатися з іншого пристрою, і перевірте за інструкцією щодо пошуку ключа відновлення, чи справді новий ключ з’являється у вашому обліковому записі.

Пристрої, якими керує ваша організація

Зазвичай BitLocker налаштовує ІТ-відділ, а організаційна політика може вимагати шифрування. Це перше, що варто перевірити на робочому ноутбуці. Якщо політика вимагає шифрування, ручне розшифрування може бути скасоване або призвести до того, що пристрій перестане відповідати вимогам.

Якщо ви керуєте пристроями через Intune, параметри BitLocker розміщено в політиці шифрування дисків у межах безпеки кінцевих точок. Для тихого шифрування в рекомендаціях Microsoft перелічено такі параметри, як Require Device Encryption зі значенням Enabled. У статті Microsoft не сказано, що відбувається із зашифрованим пристроєм, коли ви видаляєте політику або скасовуєте її призначення, і не описано спосіб розшифрування через Intune. Не припускайте, що скасування призначення політики щось розшифровує. Перевірте на одному пристрої та оцініть результат за допомогою Get-BitLockerVolume.

Один висновок зі статті про Intune варто запам’ятати. Якщо ви видаляєте об’єкт Intune для пристрою, приєднаного до Microsoft Entra, який захищено BitLocker, Intune синхронізується і видаляє захисники ключів для тому операційної системи, через що BitLocker переходить у призупинений стан на цьому томі. Тому видалення запису пристрою задля «наведення порядку» не є безпечним.

Типові помилки

• Розшифрування для усунення проблеми із завантаженням. Microsoft наголошує, що розшифрування не є кроком усунення несправностей. Призупиніть, відремонтуйте, відновіть захист.
• Забута відновна дія після призупинення. З -RebootCount 0 захист залишається вимкненим, доки ви не виконаєте Resume-BitLocker. Внесіть це до списку перевірок під час оновлень.
• Невідомий ключ відновлення. Якщо ви розшифровуєте диск і згодом знову вмикаєте BitLocker, отримуєте новий набір захисників. Не покладайтеся на стару роздруківку.
• Розшифрування ноутбука з корпоративними даними. Тоді диск може прочитати будь-хто, хто отримає пристрій. Робіть це лише тоді, коли політика це дозволяє.
• Пропуск кроку з автоматичними ключами. Disable-BitLocker не запуститься, доки командлет очищення зі списку вище не видалить ці ключі.
• Припущення, що політика Intune розшифровує. Документація Microsoft цього не стверджує, тож перевірте на тестовому пристрої.

Пов’язані теми для вивчення

• Знайдіть ключ відновлення до змін: якщо оновлення прошивки або зміна обладнання викликає синій екран, ключ відновлення є єдиним способом повернути доступ.
• Призупиняйте BitLocker для оновлень BIOS і TPM: це безпечніша альтернатива вимкненню шифрування.
• Тиха розгортка BitLocker через Intune: налаштування TPM, Secure Boot і стандартних користувачів визначають, чи почнеться шифрування без запиту.
• Device Encryption проти BitLocker Drive Encryption: ці дві функції відрізняються за редакцією, а ця різниця визначає, де ви їх керуєте.
• Перевірка стану шифрування на багатьох ПК: Get-BitLockerVolume дає дані для простого звіту.

Наступний крок

Щоб вимкнути BitLocker, спершу вирішіть, чи потрібно призупинити захист, чи розшифрувати диск. Призупиняйте для оновлень і ремонтних робіт, а розшифровуйте за допомогою Disable-BitLocker або manage-bde -off лише тоді, коли диску вже не потрібен захист і це дозволяє політика. Потім перевіряйте Get-BitLockerVolume, доки том не покаже, що розшифрування завершено.