1

トピック: Bitlockerからデータを復元するレポート

前提条件
Bitlockerで暗号化されておりロック解除はできるがアクセスできないHDDです。
Chkdskが正常終了しないのでNTFSの論理障害と推定しました。
復元には時間がかかります。半日から24時間は覚悟しておいてください。

repair-bdeで復旧を試みます。
※このコマンドには、次の制限があります。
・このコマンドでは、暗号化または暗号化解除の処理中に失敗したドライブを修復することはできません。
・このコマンドは、ドライブが暗号化されている場合、ドライブが完全に暗号化されていることを前提としています。
・復元先のドライブの容量が足りないと復元処理前にエラーが発生します。
repair-bde <復旧元のドライブ>  <復元先のドライブ> <強制アンマウント> <パスワード> <ログファイル>
repair-bde F: G: -f -pw -lf c:\log.txt

>このボリュームをロック解除するためのパスワードを入力します:
>BitLocker メタデータのスキャンを開始しています。

>ブート セクターでメタデータへのポインターをスキャンしています: 100%
>BitLocker メタデータのスキャンが完了しました。
>暗号化解除を開始しています。
>暗号化を解除しています: 100% 完了。
>暗号化解除が完了しました。

>必要な操作: 暗号化解除されたデータを表示する前に、'chkdsk G: /f' を実行してください。
Chkdsk <復元先のドライブ> /f を実行します
Chkdsk G: /f

これにて終了としたかったのに、HDDにアクセスすると「場所が利用できません アクセスが拒否されました。」が発生しました。

<! –
TestDiskで「Quick Search」を行い'P MS Data'が見つかる。
ボリュームラベルが正しいので「Write」としたけど、Windowsではファイルが見れない。
TestDiskは今回の障害と関係なかった。
–>

NTFSのアクセス権が消えたようで、アクセス拒否でHDDのフォルダやファイルが見れないときの解決方法を検索して解決しました。
今回のHDDはデータ倉庫でハッシュを記録していたのでベリファイをして問題ないことを確認できました。

気になること
同容量のHDDへ復元できますか?
微妙に容量が少ないドライブに復元できました。できない時は復元処理前にエラーが発生します。
<復旧元> WD30EZRX-00D8PB0   3,000,457,228,288
<復元先> ST3000DM001-1ER166 3,000,457,224,192

副次ストリームにハッシュ値を記録しているのですが復元先のファイル破損チェックはできますか?
短い答えですが、はい。

論理障害が起きた原因に心当たりは?
HDDを取り外すためにPCの電源を落とすのが面倒だったのでスリープ状態で取り外したから。こういうことはしないで下さいね。

2

Re: Bitlockerからデータを復元するレポート

ご報告いただき、ありがとうございました。