Panduan praktis BitLocker — enkripsi drive yang dimulai dari pengelolaan kunci pemulihan

«Saya mereset PC, dan pada boot berikutnya muncul layar biru yang belum pernah saya lihat, meminta kunci 48 digit.» «Saya hanya memperbarui BIOS, lalu langsung ke layar kunci pemulihan — tidak ada yang menyerahkan kunci seperti itu kepada saya.» «Saya melihat pengaturan di PC baru dan «Enkripsi perangkat» sudah nyala sendiri. Sepertinya akan memperlambat aplikasi bisnis kami, jadi boleh dimatikan saja?» — dalam kira-kira satu tahun terakhir, konsultasi semacam ini dari pelanggan naik secara nyata.

Latar belakangnya jelas. Sejak Windows 11 versi 24H2, PC yang diinstal bersih menjalankan «Enkripsi perangkat» (pengaktifan otomatis BitLocker) secara default. Persyaratan perangkat keras juga dilonggarkan, sehingga kumpulan PC yang memenuhi syarat melebar jauh. Dengan kata lain, BitLocker bukan lagi sesuatu yang «perusahaan besar dengan sadar menggelar» — ia sudah menjadi sesuatu yang «diam-diam masuk juga ke PC UKM». Dalam situasi ini, satu-satunya tali penyelamat adalah kunci pemulihan, dan keadaan paling berbahaya adalah enkripsi berjalan sementara kunci itu tidak ada di bawah pengelolaan siapa pun.

Artikel ini ditujukan kepada staf TI dan pimpinan UKM, serta pengembang yang bertanggung jawab atas aplikasi bisnis dan PC perangkat, dan menata BitLocker bukan sebagai «sesuatu yang dimatikan» melainkan «sesuatu yang dipakai dengan benar». Berpijak pada sumber primer seperti Microsoft Learn per Agustus 2026, artikel ini mencakup perbedaan antar edisi, mekanisme minimum hubungan TPM dan kunci, tabel keputusan tempat menyimpan kunci pemulihan, pengaktifan dan operasi di organisasi, penanganan insiden, dan hubungannya dengan pembuangan.

1. Intinya dulu

• BitLocker adalah fitur Windows yang mengenkripsi seluruh drive, mencegah kebocoran data dari kehilangan, pencurian, atau pembuangan yang tidak tepat. Bahkan terhadap serangan di mana disk dicabut dan disambungkan ke PC lain, data tidak dapat dibaca selama terenkripsi.¹
• BitLocker berfitur lengkap hanya dapat diaktifkan di Pro, Enterprise, Pro Education, dan Education. Padanan sederhananya, «Enkripsi perangkat», tersedia di semua edisi termasuk Home.¹
• Sejak Windows 11 24H2, persyaratan enkripsi perangkat otomatis dilonggarkan. Persyaratan HSTI/Modern Standby dan persyaratan «tidak ada antarmuka DMA yang tidak diizinkan» dihapus, sehingga begitu OOBE (penyiapan awal) selesai setelah instalasi bersih, enkripsi diinisialisasi secara default pada banyak PC yang memenuhi TPM + UEFI Secure Boot.²
• «Memulai» enkripsi dan «mengaktifkan» perlindungan adalah hal yang berbeda. Perlindungan tidak diaktifkan (armed) sampai cadangan kunci pemulihan ke akun Microsoft, Entra ID, atau (dengan kebijakan pemulihan dikonfigurasi) AD DS berhasil. PC yang hanya memakai akun lokal, tanpa tempat cadangan, tetap tidak terlindungi meskipun terenkripsi.¹²
• Tempat menyimpan kunci pemulihan (kata sandi pemulihan 48 digit) secara efektif ada empat: Entra ID, AD DS, akun Microsoft, atau salinan cetak/file. Alur default-nya: Entra ID jika perangkat bergabung ke Entra ID, AD DS jika bergabung ke domain AD, dan selain itu akun Microsoft administrator.¹³
• Diminta kunci pemulihan bukan hanya tanda ada yang tidak beres. Pembaruan firmware, perubahan pengaturan Secure Boot, pengosongan TPM, penggantian motherboard, pemindahan drive ke mesin lain — setiap perubahan lingkungan boot bisa menjadi pemicu. Praktik standar sebelum pekerjaan terencana adalah menangguhkan perlindungan terlebih dahulu.³
• Metode enkripsi default adalah XTS-AES 128-bit. Mengubah metode kemudian mensyaratkan dekripsi lalu enkripsi ulang, jadi lebih baik diputuskan di awal. Untuk drive baru, «enkripsi hanya ruang terpakai» memotong waktu enkripsi awal secara substansial.⁴⁵
• Jika PC meminta kunci pemulihan dan Anda tidak dapat menghasilkannya, data harus dianggap hilang. Bahkan Dukungan Microsoft tidak dapat mengambil kunci yang hilang. Itulah sebabnya tema artikel ini bukan «apakah harus dienkripsi» melainkan «di mana kunci pemulihan disimpan dan siapa yang dapat mengambilnya».⁶

Peta pengetahuan artikel ini

BitLocker mengenkripsi seluruh drive untuk mencegah kebocoran data akibat kehilangan atau pencurian, dan perlindungan kunci enkripsi biasanya memakai TPM. Sejak Windows 11 24H2, «Enkripsi perangkat» secara otomatis menginisialisasi enkripsi di banyak PC, sehingga inti praktik menjadi mengelola di mana kunci pemulihan — tali penyelamat — disimpan, Entra ID, AD DS, atau akun Microsoft, dan siapa yang dapat mengambilnya.

flowchart LR
    accTitle: Peta pengetahuan panduan praktis BitLocker
    accDescr: Diagram yang menunjukkan hubungan BitLocker, TPM, Enkripsi perangkat, kunci pemulihan, mode pemulihan dan pemicunya (pembaruan firmware, perubahan Secure Boot, penggantian perangkat keras), tujuan penyimpanan (Entra ID, AD DS, akun Microsoft, salinan manual), syarat edisi, clear key dan keadaan terenkripsi tanpa perlindungan, serta operasi saat perbaikan dan pembuangan
    bitlocker["BitLocker"]
    recovery_key["kunci pemulihan (kata sandi pemulihan)"]
    tpm["TPM"]
    xts_aes["XTS-AES"]
    device_loss_data_leak["kebocoran data akibat kehilangan atau pencurian"]
    device_encryption["Enkripsi perangkat"]
    uefi_secure_boot["UEFI Secure Boot"]
    entra_id["Microsoft Entra ID"]
    active_directory["Active Directory (AD DS)"]
    microsoft_account["akun Microsoft"]
    recovery_mode["mode pemulihan BitLocker"]
    firmware_update["pembaruan firmware"]
    group_policy["Kebijakan Grup"]
    intune["Microsoft Intune"]
    bitlocker_pin["PIN saat boot (TPM+PIN)"]
    startup_key["startup key"]
    bitlocker_suspend["penangguhan perlindungan (suspend)"]
    key_backup_policy["kebijakan cadangan informasi pemulihan wajib"]
    recovery_key_loss["kehilangan data karena kunci pemulihan tidak ada"]
    manage_bde["manage-bde"]
    pro_edition["edisi Windows Pro/Enterprise"]
    home_edition["edisi Windows Home"]
    clear_key["clear key"]
    local_account["akun lokal"]
    unprotected_encryption["keadaan terenkripsi tanpa perlindungan"]
    hardware_replacement["penggantian perangkat keras"]
    printed_copy["salinan cetak atau file"]
    used_space_only["enkripsi hanya ruang terpakai"]
    repair_maintenance["perbaikan dan pemeliharaan"]
    recovery_key_exposure["kebocoran kunci pemulihan"]
    key_rotation["penerbitan ulang kata sandi pemulihan (rotasi)"]
    pc_disposal["pembuangan PC"]
    data_erasure["prosedur penghapusan data"]
    encryption_overhead["dampak kinerja enkripsi"]
    msinfo32["msinfo32 (Informasi Sistem)"]
    password_protector["metode kata sandi"]
    personal_account_storage["penyimpanan kunci pemulihan di akun pribadi staf"]
    recovery_key_id["ID kunci pemulihan"]
    cipher_choice["pemilihan metode enkripsi"]
    unattended_pc["PC perangkat yang beroperasi tanpa pengawasan"]
    encrypted_master_image["duplikasi image yang perlindungannya sudah diaktifkan"]
    clone_deployment["penyebaran klon"]
    dpapi["DPAPI"]
    app_secrets["rahasia aplikasi"]
    bitlocker -.->|"menggunakan"| tpm
    bitlocker -->|"menggunakan"| xts_aes
    bitlocker -->|"mencegah"| device_loss_data_leak
    device_encryption -->|"mengotomatiskan"| bitlocker
    device_encryption -->|"mensyaratkan"| tpm
    device_encryption -->|"mensyaratkan"| uefi_secure_boot
    recovery_key -.->|"disimpan di"| entra_id
    recovery_key -.->|"disimpan di"| active_directory
    recovery_key -.->|"disimpan di"| microsoft_account
    recovery_mode -->|"mensyaratkan"| recovery_key
    firmware_update -.->|"dapat menyebabkan"| recovery_mode
    bitlocker -->|"dikonfigurasi dengan"| group_policy
    bitlocker -->|"dikonfigurasi dengan"| intune
    bitlocker -.->|"menggunakan"| bitlocker_pin
    bitlocker -.->|"menggunakan"| startup_key
    bitlocker_suspend -.->|"mencegah"| recovery_mode
    key_backup_policy -->|"mencegah"| recovery_key_loss
    key_backup_policy -->|"dikonfigurasi dengan"| group_policy
    recovery_mode -.->|"dapat menyebabkan"| recovery_key_loss
    bitlocker -->|"diverifikasi dengan"| manage_bde
    bitlocker -.->|"mensyaratkan"| pro_edition
    home_edition -.->|"menggunakan"| device_encryption
    device_encryption -->|"menggunakan"| clear_key
    local_account -.->|"dapat menyebabkan"| unprotected_encryption
    unprotected_encryption -.->|"dapat menyebabkan"| device_loss_data_leak
    uefi_secure_boot -.->|"dapat menyebabkan"| recovery_mode
    tpm -.->|"dapat menyebabkan"| recovery_mode
    hardware_replacement -.->|"dapat menyebabkan"| recovery_mode
    recovery_key -.->|"disimpan di"| printed_copy
    bitlocker -.->|"menggunakan"| used_space_only
    repair_maintenance -.->|"dapat menyebabkan"| recovery_key_exposure
    key_rotation -->|"mengurangi"| recovery_key_exposure
    pc_disposal -->|"mensyaratkan"| data_erasure
    data_erasure -->|"mencegah"| device_loss_data_leak
    bitlocker -.->|"dapat menyebabkan"| encryption_overhead
    bitlocker_suspend -->|"sebaiknya didahului"| firmware_update
    key_backup_policy -->|"sebaiknya didahului"| bitlocker
    key_rotation -->|"disarankan untuk"| recovery_key_exposure
    key_rotation -.->|"mensyaratkan"| key_backup_policy
    device_encryption -->|"diverifikasi dengan"| msinfo32
    password_protector -->|"tidak disarankan"| bitlocker
    personal_account_storage -.->|"dapat menyebabkan"| recovery_key_loss
    recovery_key -->|"diverifikasi dengan"| recovery_key_id
    recovery_key -->|"diverifikasi dengan"| manage_bde
    cipher_choice -->|"sebaiknya didahului"| bitlocker
    bitlocker_pin -->|"tidak kompatibel"| unattended_pc
    encrypted_master_image -->|"tidak disarankan"| clone_deployment
    dpapi -->|"disarankan untuk"| app_secrets

Pada diagram, garis utuh menunjukkan relasi yang selalu berlaku dan garis putus-putus menunjukkan relasi bersyarat (syaratnya ada pada penjelasan masing-masing relasi di halaman rincian). Daftar lengkap relasi (total 48, beserta bukti dan tingkat kepastian) serta definisi konsep utama dikumpulkan di halaman rincian peta pengetahuan (dalam bahasa Jepang). Data: JSON-LD / Turtle

2. BitLocker vs Enkripsi perangkat — apa yang tersedia menurut edisi

Mari mulai dengan merapikan istilah. «BitLocker» dan «Enkripsi perangkat» adalah dua wajah dari teknologi enkripsi yang sama.

• BitLocker (berfitur lengkap): diaktifkan per drive, dan bentuk teknologi yang menghadap administrator — termasuk metode autentikasi seperti TPM+PIN dan startup key, pengendalian lewat Kebijakan Grup/Intune, dan pengelolaan lewat manage-bde.exe atau PowerShell.
• Enkripsi perangkat (Device Encryption): mekanisme yang secara otomatis mengaktifkan BitLocker pada PC yang memenuhi syarat. Tombol «Enkripsi perangkat» muncul di aplikasi Pengaturan, dan ia hanya mengenkripsi drive OS serta drive tetap internal (drive eksternal/USB dikecualikan).¹

Dukungan menurut edisi adalah sebagai berikut.¹

Apa yang berubah di Windows 11 24H2

Enkripsi perangkat otomatis sudah ada sebelumnya, tetapi sasarannya terutama PC mobile yang relatif baru, yang memenuhi syarat seperti «Modern Standby atau sesuai HSTI» dan «tidak ada port yang dapat diakses DMA dari luar». Windows 11 versi 24H2 menghapus dua persyaratan itu, sehingga syarat inti yang tersisa menyempit ke hal-hal seperti «punya TPM (1.2 atau 2.0)» dan «UEFI Secure Boot aktif». Praktik OEM mendaftarkan bus DMA yang tidak diizinkan di registri (AllowedBuses) juga tidak lagi diperlukan, dan kunci itu sendiri diabaikan sejak 24H2. Perhatikan bahwa pelonggaran persyaratan ini tidak berlaku untuk edisi Windows IoT.²

Akibatnya, menyelesaikan OOBE setelah instalasi bersih (termasuk reset atau penyiapan ulang) kini menginisialisasi enkripsi secara default bahkan pada PC desktop yang sepenuhnya biasa. Yang penting di sini adalah perbedaan antara «menginisialisasi» enkripsi dan «mengaktifkan» perlindungan.

• Pada saat OOBE selesai, drive dienkripsi dengan clear key (kunci sementara yang tidak dilindungi). Explorer menampilkan ikon peringatan.¹
• Begitu masuk dengan akun Microsoft atau akun Entra ID berhasil — atau, untuk PC yang bergabung ke domain, cadangan ke AD DS (dengan kebijakan pemulihan dikonfigurasi) berhasil — pelindung TPM dibuat dan clear key dihapus. Baru pada titik itu perlindungan menjadi aktif.¹²
• PC yang hanya dipakai dengan akun lokal tetap tidak terlindungi meskipun terenkripsi.¹

Alur ini, jika digambar, tampak seperti ini.

flowchart TB
    A["Instalasi bersih / reset<br/>(Windows 11 24H2 atau lebih baru)"] --> B{"Memenuhi syarat seperti<br/>TPM + UEFI Secure Boot?"}
    B -- "Tidak memenuhi" --> Z["Tidak dienkripsi"]
    B -- "Memenuhi" --> C["Enkripsi diinisialisasi saat OOBE selesai<br/>(clear key = kunci sementara tanpa perlindungan)"]
    C --> D{"Ke mana kunci pemulihan<br/>dicadangkan?"}
    D -- "Akun Microsoft / Entra ID /<br/>AD DS (kebijakan pemulihan dikonfigurasi)" --> E["Cadangan kunci pemulihan berhasil"]
    E --> F["Pelindung TPM dibuat, clear key dihapus<br/>= perlindungan diaktifkan (armed)"]
    D -- "Hanya akun lokal<br/>(tidak ada tujuan cadangan)" --> G["Tetap terenkripsi tetapi perlindungan nonaktif<br/>(ikon peringatan ditampilkan)"]

Mekanisme inilah yang menjadi wajah «baru sadar sudah terenkripsi». Organisasi yang mendorong penggantian ke PC Windows 11 sebagai bagian dari tanggapan akhir dukungan Windows 10 (Opsi praktis setelah akhir dukungan Windows 10 — tabel keputusan ESU, LTSC, dan penggantian) perlu memasukkan pengelolaan kunci pemulihan ke prosedur kitting dengan asumsi PC baru akan tiba dalam keadaan ini sejak hari pertama.

Anda dapat memeriksa apakah mesin sendiri memenuhi syarat dengan membuka Informasi Sistem (msinfo32.exe) sebagai administrator dan melihat baris «Dukungan Enkripsi Perangkat». «Memenuhi prasyarat» berarti perangkat layak.¹

3. Mekanisme minimum — TPM dan kunci

Yang menjaga kunci BitLocker adalah TPM (Trusted Platform Module). Tugas TPM adalah mengonfirmasi bahwa perangkat tidak diubah selama OS offline, dan ia hanya melepaskan kunci enkripsi setelah verifikasi saat mulai lolos. Itulah yang membuat dua hal bisa benar sekaligus: Windows yang sah boot secara normal dan pengguna tidak memasukkan apa pun, sementara disk yang sekadar dicabut tidak dapat dibaca.¹ Mekanisme TPM itu sendiri — struktur yang tidak pernah mengeluarkan kunci, PCR, dan Measured Boot — dibahas dengan gambar di «Apa itu TPM di Windows? — panduan bergambar «brankas yang tidak pernah mengeluarkan kunci» dan Measured Boot».

Berikut diagram apa yang terjadi pada setiap boot.

flowchart TB
    ON["Daya dinyalakan"] --> M["TPM mengukur lingkungan boot<br/>(firmware, konfigurasi boot, dll.)"]
    M --> Q{"Apakah hasil pengukuran<br/>sama seperti biasanya?"}
    Q -- "Sama" --> UN["TPM melepaskan kunci enkripsi"]
    UN --> BOOT["Boot normal<br/>(pengguna tidak memasukkan apa pun)"]
    Q -- "Berbeda" --> REC["Mode pemulihan<br/>kunci pemulihan 48 digit diminta"]
    REC --> K1["Boot jika kunci pemulihan dimasukkan"]
    REC --> K2["Jika tidak dapat dimasukkan,<br/>data tidak dapat diambil"]

Di atas TPM, Anda juga dapat memilih konfigurasi multi-faktor yang mensyaratkan memasukkan PIN atau menyisipkan startup key (file kunci di USB) saat boot. Bahkan PC tanpa TPM dapat mengenkripsi drive OS dengan metode startup key, tetapi metode kata sandi tidak punya mekanisme lockout dan rentan brute force, sehingga dinonaktifkan secara default.¹

Kapan kunci pemulihan diminta?

Karena TPM mengawasi apakah «lingkungan boot sama seperti biasanya», bahkan pemilik sah masuk mode pemulihan ketika lingkungan berubah. Pemicu representatif yang dicantumkan Microsoft adalah sebagai berikut.³

• Pembaruan komponen boot awal, seperti pembaruan firmware BIOS/UEFI
• Mematikan, menonaktifkan, atau mengosongkan TPM, atau kegagalan uji mandiri TPM
• Perubahan PCR (Platform Configuration Register) yang dipakai profil validasi TPM — perubahan pengaturan Secure Boot jatuh ke sini
• Penggantian motherboard (penggantian ke TPM baru)
• Memindahkan drive yang dilindungi BitLocker ke PC lain
• Docking/undocking, perubahan tabel partisi NTFS, perubahan boot manager, boot PXE
• Entri PIN yang salah berulang, atau (pada mesin TPM 1.2) mengubah urutan perangkat boot

Dengan kata lain, «diminta kunci pemulihan setelah pembaruan BIOS» bukan kerusakan maupun serangan; itu perilaku yang bekerja persis sesuai desain. Praktik standar sebelum pekerjaan terencana (pembaruan firmware atau penggantian perangkat keras) adalah menangguhkan perlindungan terlebih dahulu. Bahkan saat ditangguhkan, drive tetap terenkripsi, dan setelah pekerjaan selesai Anda dapat melanjutkan tanpa memasukkan kunci pemulihan. Secara default, perlindungan dilanjutkan otomatis pada reboot berikutnya (Anda juga dapat menetapkan jumlah reboot).³

# Tangguhkan sebelum pembaruan firmware. Secara default perlindungan dilanjutkan
# otomatis setelah satu reboot, sehingga pada pembaruan yang memerlukan beberapa
# kali reboot, reboot kedua dan seterusnya dapat terhenti di layar pemulihan.
# -RebootCount 0 menghentikan pelanjutan otomatis; masukkan pelanjutan setelah
# pekerjaan selesai ke dalam prosedur
Suspend-BitLocker -MountPoint C: -RebootCount 0
# Wajib lanjutkan setelah pekerjaan (langkah ini wajib karena -RebootCount 0
# tidak melanjutkan otomatis)
Resume-BitLocker -MountPoint C:

Catatan tentang istilah. Dokumentasi teknis membedakan «kata sandi pemulihan» (angka 48 digit) dan «kunci pemulihan» (file .bek yang disimpan ke USB),³ tetapi layar yang menghadap konsumen, dan artikel ini, mengikuti konvensi yang luas dipakai dengan menyebut angka 48 digit sebagai «kunci pemulihan».

4. Tabel keputusan tempat menyimpan kunci pemulihan — memilih di antara empat opsi

Ini adalah inti artikel. Tempat menyimpan kunci pemulihan secara efektif ada empat, dan pilihannya hampir otomatis ditentukan oleh cara PC masuk. Tabel keputusan dulu.

Untuk perangkat hybrid-joined (baik AD maupun Entra ID), kata sandi pemulihan dicadangkan ke keduanya.⁴

Ada tiga poin yang perlu dipaku organisasi.

1. Tetapkan satu «tempat penyimpanan organisasi». Jika bergabung ke Entra ID sedang berjalan, itu Entra ID; untuk AD on-premises, itu AD DS. Keadaan di mana kunci pemulihan PC perusahaan hidup di akun Microsoft pribadi seorang staf ambruk begitu orang itu resign atau dipindahkan.
2. Jangan menganggap AD DS «otomatis saja bekerja». Cadangan ke AD DS berasumsi konfigurasi kebijakan (dibahas di bawah). Selain itu, Active Directory menyimpan riwayat kata sandi pemulihan, dan kunci lama tidak dihapus otomatis kecuali objek komputer itu sendiri dihapus.³
3. Jika Anda memilih penyimpanan file, ketat soal tempatnya. File kunci pemulihan perlu disimpan di suatu tempat selain PC itu sendiri, misalnya folder jaringan.⁵ Siapa pun yang memegang kunci pemulihan dapat mengakses semua data di drive, jadi menyimpannya terpisah dari PC yang dilindungi dan mengendalikan akses kepadanya adalah keharusan.³

Memeriksa di mana PC Anda sendiri berdiri saat ini

Jalankan salah satu dari berikut dari terminal administrator.⁵

# PowerShell: periksa status enkripsi dan jenis pelindung
Get-BitLockerVolume C: | Format-List
# Periksa kata sandi pemulihan (48 digit) dan ID-nya
(Get-BitLockerVolume -MountPoint C).KeyProtector

:: Command Prompt: periksa status
manage-bde -status
:: Daftar pelindung (TPM, kata sandi pemulihan, dll.) dan nilai 48 digit
manage-bde -protectors -get C:

Dalam keluaran manage-bde -protectors -get C:, kunci pemulihan 48 digit adalah yang ditampilkan sebagai «Numerical Password»; 8 karakter pertama ID yang menyertainya memberi petunjuk untuk mencocokkan «kunci yang mana» di layar pemulihan.⁶

Anda juga dapat mencadangkan kata sandi pemulihan PC yang sudah terenkripsi ke Entra ID atau AD DS setelah fakta.⁵

# Konfirmasikan ID kata sandi pemulihan dulu, lalu jalankan
# Cadangkan ke Entra ID
BackupToAAD-BitLockerKeyProtector -MountPoint C: -KeyProtectorId "{ID}"
# Cadangkan ke AD DS
Backup-BitLockerKeyProtector -MountPoint C: -KeyProtectorId "{ID}"

:: Dengan manage-bde
manage-bde -protectors -aadbackup C: -id {ID}
manage-bde -protectors -adbackup C: -id {ID}

Mengaudit «apakah kunci pemulihan setiap PC ada di tempat penyimpanan organisasi» adalah, seperti langkah keamanan informasi dasar yang dijelaskan di pedoman UKM IPA, bukan tugas sekali jalan melainkan sesuatu yang masuk ke operasi buku besar berkelanjutan («Dari mana UKM harus mulai soal keamanan? — panduan «Pedoman Keamanan Informasi untuk UKM» IPA, edisi ke-4»).

5. Pengaktifan dan operasi di organisasi — kebijakan, perintah, dan metode enkripsi

5.1. Memakai kebijakan untuk melarang «pengaktifan tanpa kunci pemulihan»

Pengaturan BitLocker dapat dikonfigurasi dari Kebijakan Grup (GPO) maupun MDM (BitLocker CSP, seperti di Intune).⁴ Dari sudut pengelolaan kunci pemulihan, kebijakan paling penting adalah «Pilih cara drive sistem operasi yang dilindungi BitLocker dapat dipulihkan». Di sinilah Anda mengonfigurasi yang berikut.⁴³

• Simpan informasi pemulihan ke AD DS (hanya kata sandi pemulihan, atau termasuk paket kunci)
• Aktifkan «Jangan aktifkan BitLocker sampai informasi pemulihan disimpan ke AD DS» — poros pencegahan kecelakaan, yang menolak memulai enkripsi kecuali cadangan berhasil. Dengan konfigurasi ini, kata sandi pemulihan dihasilkan otomatis

Pemikiran yang sama berlaku ketika perangkat yang bergabung ke Entra ID dikelola lewat Intune: jadikan cadangan kunci pemulihan wajib, dan baru kemudian aktifkan enkripsi. Kunci pemulihan di Entra ID dapat diambil dari pusat admin Entra, pusat admin Intune, PowerShell, atau Microsoft Graph, dan pengambilan itu juga dapat didelegasikan ke help desk.³

5.2. Metode enkripsi — default-nya XTS-AES 128

Jika Anda tidak mengonfigurasi metode enkripsi, BitLocker memakai XTS-AES 128-bit secara default. Enkripsi perangkat juga default ke XTS-AES 128. Anda dapat mengubahnya ke XTS-AES 256 dan sebagainya lewat kebijakan «Pilih metode enkripsi drive dan kekuatan sandi», tetapi rekomendasi Microsoft adalah memakai XTS-AES untuk setiap drive dan memilih panjang kunci 128 atau 256 bit menurut kinerja perangkat (dan persyaratan regulasi industri).⁴¹

Poin yang perlu diwaspadai adalah bahwa metode pada drive yang sudah terenkripsi tidak dapat diubah kemudian. Mengubah metode atau panjang kunci mensyaratkan dekripsi lalu enkripsi ulang.¹ Jika ada alasan seperti «persyaratan regulasi menuntut 256-bit», putuskan di awal peluncuran.

5.3. Enkripsi hanya ruang terpakai vs seluruh drive

Pilihan lain yang Anda buat saat pengaktifan adalah cakupan enkripsi. Panduan Microsoft untuk memilih di antara keduanya tegas.⁵

• Enkripsi hanya ruang terpakai: untuk drive baru yang belum pernah menyimpan data. Enkripsi awal cepat
• Enkripsi seluruh drive: untuk drive yang sudah dipakai — yang pernah menyimpan data, dan di mana file yang dihapus mungkin masih tersisa

Alasannya adalah bahwa ruang yang ditempati file yang dihapus tampak sebagai «ruang kosong» bagi sistem file, jadi «hanya ruang terpakai» tidak mengenkripsinya, dan ia dapat dipulihkan dengan alat forensik sampai ditimpa.⁵ Dalam praktik cukup diingat: «hanya ruang terpakai» baik untuk PC baru langsung dari kitting, dan enkripsi seluruh drive adalah pilihan ketika menerapkannya kemudian ke PC yang sudah dipakai.

5.4. Mengaktifkannya dari PowerShell

Pola dasar untuk peluncuran berskrip adalah sebagai berikut.⁵

# 1. Tambahkan dulu pelindung kata sandi pemulihan (48 digit) (pada titik ini
#    enkripsi belum dimulai). Meski beberapa kata sandi pemulihan tersisa dari
#    percobaan ulang sebelumnya, pilih hanya yang baru ditambahkan dengan
#    selisih ID sebelum dan sesudah
$before = (Get-BitLockerVolume -MountPoint C).KeyProtector.KeyProtectorId
Add-BitLockerKeyProtector -MountPoint C: -RecoveryPasswordProtector | Out-Null
$rpId = (Get-BitLockerVolume -MountPoint C).KeyProtector |
    Where-Object { $_.KeyProtectorType -eq 'RecoveryPassword' -and $_.KeyProtectorId -notin $before } |
    Select-Object -ExpandProperty KeyProtectorId

# 2. Cadangkan kata sandi pemulihan yang ditambahkan ke tempat penyimpanan
#    organisasi. Jika ini gagal, jangan lanjut ke enkripsi, jadi
#    -ErrorAction Stop menghentikan pemrosesan jika terjadi error
#    (langkah ini selesai setelah Anda mengonfirmasi kunci terlihat di
#    pusat admin Entra / AD)
BackupToAAD-BitLockerKeyProtector -MountPoint C: -KeyProtectorId $rpId -ErrorAction Stop
# Untuk AD DS: Backup-BitLockerKeyProtector -MountPoint C: -KeyProtectorId $rpId -ErrorAction Stop

# 3. Mulai enkripsi hanya setelah cadangan berhasil. 3a dan 3b bersifat
#    saling eksklusif — jalankan hanya salah satunya (tetapkan juga metode
#    dan cakupan di sini)

# 3a. Konfigurasi standar: TPM saja (untuk PC yang memerlukan reboot tanpa pengawasan)
Enable-BitLocker C: -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector

# 3b. Konfigurasi TPM+PIN (untuk PC stasioner berkeamanan tinggi). Jalankan
#     ini sebagai ganti 3a.
#     Masukkan PIN yang berbeda untuk setiap PC di tempat. Menyematkannya
#     sebagai plaintext dalam skrip akan membuat semua PC memakai PIN yang sama,
#     dan skrip itu sendiri menjadi titik kebocoran
$Pin = Read-Host -AsSecureString -Prompt "PIN perangkat ini"
Enable-BitLocker C: -EncryptionMethod XtsAes256 -UsedSpaceOnly -Pin $Pin -TPMandPinProtector

Urutan ini — «titipkan kata sandi pemulihan, lalu mulai enkripsi» — penting. Mulai sebaliknya dari Enable-BitLocker -TpmProtector, dan jika pemrosesan berhenti di tengah jalan, Anda tertinggal dengan PC di mana hanya perlindungan TPM yang aktif tanpa cadangan pemulihan di tangan, yang berisiko kehilangan data bersama pembaruan firmware atau perubahan perangkat keras berikutnya. Dengan urutan di atas, jika berhenti di tengah, enkripsi belum dimulai, dan yang perlu Anda lakukan hanya mengulang. Untuk peluncuran organisasi, sudah memberlakukan kebijakan 5.1 «Jangan aktifkan BitLocker sampai informasi pemulihan disimpan» mencegah keadaan setengah jadi ini juga di tingkat kebijakan. «Jangan mulai enkripsi sebelum mengonfirmasi cadangan berhasil» adalah aturan besi peluncuran organisasi.

6. Penanganan insiden — ketika diminta kunci pemulihan, atau tidak dapat menemukannya

6.1. Ketika layar pemulihan muncul, mulai dari 8 digit pertama ID kunci

Layar pemulihan biru menampilkan ID kunci pemulihan. Bahkan ketika Anda punya beberapa salinan, mencocokkan 8 digit pertama ID memungkinkan Anda menentukan kunci yang benar.⁶ Tempat mencari persis tabel di bab 4; telusuri berurutan.

1. Tempat penyimpanan organisasi (pusat admin Entra ID / Intune, atau AD DS) — lewat administrator atau help desk
2. Akun pengguna sendiri — aka.ms/aadrecoverykey untuk akun kerja, aka.ms/myrecoverykey untuk akun Microsoft pribadi⁶
3. Salinan yang disimpan saat pengaktifan — lembar cetak, file di USB, atau file teks yang disimpan⁶

flowchart TB
    REC["Layar pemulihan biru<br/>ID kunci pemulihan ditampilkan"] --> ID["Catat 8 digit pertama ID kunci"]
    ID --> ORG["1. Tempat penyimpanan organisasi<br/>(pusat admin Entra ID / Intune / AD DS)"]
    ORG -- "Ada kunci yang ID-nya cocok" --> INPUT["Masukkan 48 digit dan boot"]
    ORG -- "Tidak ditemukan" --> SELF["2. Akun pengguna sendiri<br/>aka.ms/aadrecoverykey / aka.ms/myrecoverykey"]
    SELF -- "Ada kunci yang cocok" --> INPUT
    SELF -- "Tidak ditemukan" --> PAPER["3. Salinan saat pengaktifan<br/>(lembar cetak / USB / file)"]
    PAPER -- "Ada kunci yang cocok" --> INPUT
    PAPER -- "Tidak ditemukan" --> LOST["Hanya tersisa reset (semua data hilang)<br/>Microsoft pun tidak dapat mengambilnya"]
    INPUT --> AFTER["Konfirmasikan penyebab, lalu kunci yang dipakai<br/>dinonaktifkan dan diterbitkan ulang (bab 6.3)"]

Bersamaan dengan itu, biasakan mengonfirmasi mengapa Anda masuk mode pemulihan. Jika ada yang dapat ditunjuk — pembaruan BIOS sehari sebelumnya, menyentuh pengaturan Secure Boot — itu perilaku sesuai desain. Jika berulang tanpa penjelasan seperti itu, layak diselidiki lebih jauh, termasuk kemungkinan gangguan perangkat keras atau perubahan lewat akses fisik.³

6.2. Jika benar-benar tidak dapat ditemukan

Ini hal yang keras untuk dikatakan, tetapi jika kunci pemulihan tidak dapat ditemukan, tidak ada cara mengambil data di drive terenkripsi itu. Untuk PC yang dikelola organisasi, konfirmasi ke TI adalah benteng terakhir; gagal itu, yang tersisa hanya mereset perangkat (kehilangan semua data). Dukungan Microsoft tidak dapat menyediakan atau membuat ulang kunci pemulihan yang hilang.⁶

Membingkai ini sebagai «data hilang karena enkripsi» membalik sebab-akibat. Penyebabnya adalah pengelolaan kunci pemulihan tidak pernah dijadikan sistem yang benar, dan celah yang sama akan muncul sebagai kebocoran informasi jika perangkat justru dicuri.

6.3. Perlakukan kunci pemulihan yang sudah dipakai sebagai sekali pakai — operasi lewat perbaikan, kehilangan, dan resign

• Mengirim mesin untuk perbaikan: jika Anda menyerahkan kunci pemulihan ke vendor perbaikan (atau mungkin menyerahkannya), begitu mesin kembali, pertama tambahkan kata sandi pemulihan baru dan konfirmasikan cadangannya ke Entra ID / AD DS berhasil, dan baru kemudian hapus kata sandi pemulihan yang Anda serahkan. Menghapusnya dulu akan meninggalkan drive tanpa opsi pemulihan jika penambahan atau cadangan kemudian gagal, jadi urutannya penting. Microsoft juga merekomendasikan menonaktifkan kata sandi pemulihan setelah dipakai, dan seluruh urutan tambah-lalu-cadangkan-lalu-hapus dapat diselesaikan dengan perintah.⁵ Perangkat yang bergabung ke Entra ID juga punya kebijakan yang secara otomatis merotasi kata sandi pemulihan setelah dipakai. Default-nya aktif pada perangkat yang bergabung ke Entra ID, tetapi hanya berfungsi ketika kebijakan yang mewajibkan cadangan informasi pemulihan (bab 5.1) dikonfigurasi. Sebelum mengandalkan rotasi otomatis, konfirmasikan prasyarat ini dikonfigurasi dan bahwa kunci benar-benar diganti.⁴
• Ketika PC hilang: periksa, memakai catatan keluaran perintah bab 4 atau alat pengelolaan, apakah perlindungan aktif (pelindung TPM dibuat, clear key dihapus); jika terenkripsi, Anda berada di posisi untuk menyatakan bahwa data di disk tidak dapat dibaca. Ini alasan terbesar untuk mengaudit ini saat semuanya masih normal.
• Ketika staf resign dan mengembalikan PC: prioritas pertama adalah tidak pernah membiarkan kunci pemulihan PC yang dikembalikan hanya ada di akun Microsoft pribadi staf yang pergi. Jika konsolidasi ke tempat penyimpanan organisasi (bab 4) sudah ada, pekerjaan saat pengembalian hanyalah kitting ulang dan penerbitan ulang kata sandi pemulihan.

Sebagai alur, kasus perbaikan tampak seperti ini, misalnya.

flowchart LR
    S["Kirim untuk perbaikan<br/>(kunci pemulihan mungkin diserahkan)"] --> B["PC kembali"]
    B --> N["Tambahkan kata sandi pemulihan baru"]
    N --> BK["Konfirmasikan cadangan ke<br/>Entra ID / AD DS berhasil"]
    BK --> D["Nonaktifkan (hapus)<br/>kata sandi pemulihan yang diserahkan"]
    D --> OK["Perbarui buku besar dan selesai"]

7. Hubungannya dengan pembuangan — disk terenkripsi membuat pembuangan lebih mudah

Manfaat BitLocker tidak terbatas pada saat mesin dipakai. Jika drive terenkripsi sejak awal, yang tersisa di disk saat pembuangan hanyalah ciphertext. BitLocker dirancang sejak awal untuk mencegah kebocoran data bukan hanya dari kehilangan atau pencurian tetapi juga dari «perangkat yang dibuang secara tidak tepat», dan membuat data tidak dapat dibaca ketika perangkat yang dilindungi dibuang atau didaur ulang adalah bagian dari tujuannya.¹

Meski begitu, terenkripsi tidak berarti prosedur penghapusan saat pembuangan (reset, alat penghapusan khusus, penghancuran fisik) dapat dilewati. Enkripsi adalah asuransi yang «menurunkan risiko plaintext dibaca dari disk sebelum penghapusan, atau ketika penghapusan tidak mungkin»; ia bukan pengganti penghapusan yang dapat diverifikasi. Di atas itu, organisasi yang menjalankan enkripsi punya satu tugas lagi yang khas — merapikan salinan kunci pemulihan (kertas, file, entri di AD atau Entra ID). Bahkan setelah disk dihapus, pembuangan belum selesai di buku besar selama salinan kunci pemulihan masih ada. Jadikan penghapusan kunci lama bagian dari prosedur pembuangan juga.

Meski begitu, membuang PC juga melibatkan pertimbangan di luar enkripsi — melepas akun dan lisensi, buku besar aset, jejak audit. Prosedur lengkapnya disusun sebagai daftar periksa di «Yang perlu dilakukan sebelum membuang PC Windows — daftar periksa praktis penghapusan data, pelepasan akun, dan cadangan», jadi pakai bersama artikel ini ketika membangun alur pembuangan yang berasumsi enkripsi sudah ada.

8. Sudut pandang pengembang aplikasi bisnis — kinerja, PC perangkat, dan penyebaran klon

Terakhir, beberapa peringatan dari posisi orang yang bertanggung jawab atas aplikasi bisnis atau PC pengendali perangkat.

• Untuk dampak kinerja, langkah dasar adalah mengukur dengan default 128-bit dulu. Microsoft sendiri membingkai pilihan panjang kunci sebagai tergantung kinerja perangkat — 256-bit untuk drive dan CPU berkinerja tinggi, 128-bit jika tidak.⁴ Balikkan itu, dan artinya default XTS-AES 128 jarang memengaruhi rasa aplikasi bisnis di PC modern; dalam pengalaman kami sendiri hampir tidak pernah menjadi masalah di luar aplikasi dengan I/O file yang luar biasa berat. Jika curiga, Anda harus mengukur I/O sebelum dan sesudah enkripsi pada volume data setara produksi dan memutuskan dari situ; mematikannya karena firasat «mungkin akan lebih lambat» membalik urutan yang benar.
• Enkripsi transparan bagi aplikasi. BitLocker mengenkripsi seluruh volume, dan perilaku API file tidak berubah. Dibalik, BitLocker tidak dapat melindungi rahasia yang ditangani aplikasi saat runtime di mesin — string koneksi, kunci API, karena pada mesin yang sudah logon drive terlihat dalam bentuk terdekripsi. Di situlah DPAPI dan sejenisnya masuk («Di mana menyimpan rahasia aplikasi Windows — praktik terbaik berporos pada DPAPI»).
• Untuk PC perangkat dan PC kiosk, konfigurasi diputuskan dari «bisakah reboot tanpa pengawasan». Dengan konfigurasi hanya TPM, pemulihan dari pemutusan daya juga bangkit tanpa pengawasan, tetapi TPM+PIN atau startup key memerlukan manusia di setiap boot, yang tidak cocok untuk perangkat tanpa pengawasan. Di sisi lain, konfigurasi hanya TPM membawa risiko terhenti di layar pemulihan pada pemicu bab 3 (pembaruan firmware dan sebagainya), jadi menyimpan kunci pemulihan jauh dari lokasi (penyimpanan terkunci plus buku besar) dan menuliskan «Suspend-BitLocker sebelum pekerjaan» di prosedur pemeliharaan perangkat menjadi poros operasi. Mengunci terminal tanpa pengawasan secara umum dibahas di «Mengunci terminal bisnis dengan mode kiosk — memilih Assigned Access dan Shell Launcher, serta merancang operasi». Perhatikan bahwa pelonggaran persyaratan 24H2 untuk enkripsi perangkat otomatis tidak berlaku untuk edisi Windows IoT,² tetapi itu tidak berarti «enkripsi otomatis tidak terjadi di IoT». Pada model yang memenuhi persyaratan sebelum pelonggaran (HSTI/Modern Standby, dll.), enkripsi otomatis masih dapat terjadi seperti sebelumnya, jadi memasukkan pemeriksaan status manage-bde -status ke prosedur kitting untuk PC perangkat juga adalah langkah yang andal.
• Jangan «enkripsi, lalu image» untuk penyebaran klon. Kata sandi pemulihan spesifik untuk perangkat yang membuatnya.³ Jangan mengkloning image mesin induk dengan perlindungan sudah diaktifkan; sebaliknya, setelah penyebaran, aktifkan per PC (atau biarkan enkripsi otomatis terjadi di OOBE), lalu cadangkan kunci pemulihan, dalam urutan itu. Jika kitting Anda sudah berskrip («Mengotomatiskan kitting PC dengan winget + PowerShell — membuat runbook dapat dijalankan»), yang perlu Anda lakukan hanya menambahkan langkah pengaktifan dan konfirmasi cadangan bab 5.4 sebagai tahap akhir.

9. Ringkasan

• Pada instalasi bersih sejak Windows 11 24H2, Enkripsi perangkat diinisialisasi secara default pada PC yang memenuhi TPM + UEFI Secure Boot. Persyaratan HSTI/Modern Standby dan DMA dihapus, memperluas cakupan sampai PC desktop biasa.
• Tanggapan yang benar terhadap «terenkripsi sendiri» bukan menonaktifkannya melainkan mengonfirmasi di mana kunci pemulihan. Mematikannya menghilangkan perlindungan saat kehilangan, pencurian, atau pembuangan, dan sekali dimatikan tidak diaktifkan kembali secara otomatis.
• Tempat menyimpan kunci pemulihan adalah pilihan empat — Entra ID, AD DS, akun Microsoft, atau salinan cetak/file — dan sebagian besar ditentukan oleh bentuk masuk. Tetapkan satu tempat penyimpanan organisasi dan audit apakah kunci setiap PC benar-benar ada di sana.
• Pemeriksaan dilakukan dengan manage-bde -protectors -get C: atau (Get-BitLockerVolume -MountPoint C).KeyProtector, dan mencadangkan setelah fakta diselesaikan dengan BackupToAAD-BitLockerKeyProtector / Backup-BitLockerKeyProtector.
• Kunci pemulihan juga diminta dari pemilik sah, lewat pembaruan firmware, perubahan pengaturan Secure Boot, penggantian perangkat keras, dan sejenisnya. Masukkan Suspend-BitLocker sebelum pekerjaan terencana ke runbook.
• Metode default adalah XTS-AES 128, dan mengubahnya kemudian mensyaratkan dekripsi lalu enkripsi ulang. Untuk drive baru, mengenkripsi hanya ruang terpakai sudah cukup.
• Nonaktifkan dan terbitkan ulang kunci pemulihan setelah dipakai; jangan biarkan kunci duduk di akun staf yang sudah pergi; kubur juga salinan kunci saat pembuangan — kunci pemulihan bukan sesuatu yang «diterbitkan lalu dilupakan», ia adalah sesuatu yang dikelola sepanjang seluruh siklus hidupnya.
• Enkripsi juga berfungsi sebagai asuransi saat pembuangan, tetapi bukan pengganti prosedur penghapusan (reset, alat penghapusan, penghancuran fisik). Alih-alih mematikan BitLocker, memakainya dengan benar bersama pengelolaan kunci pemulihan adalah jawaban realistis bagi UKM.

Artikel terkait

• Apa itu TPM di Windows? — panduan bergambar «brankas yang tidak pernah mengeluarkan kunci» dan Measured Boot
• Yang perlu dilakukan sebelum membuang PC Windows — daftar periksa praktis penghapusan data, pelepasan akun, dan cadangan
• Opsi praktis setelah akhir dukungan Windows 10 — tabel keputusan ESU, LTSC, dan penggantian
• Dari mana UKM harus mulai soal keamanan? — panduan «Pedoman Keamanan Informasi untuk UKM» IPA, edisi ke-4
• Mengunci terminal bisnis dengan mode kiosk — memilih Assigned Access dan Shell Launcher, serta merancang operasi
• Mengotomatiskan kitting PC dengan winget + PowerShell — membuat runbook dapat dijalankan
• Di mana menyimpan rahasia aplikasi Windows — praktik terbaik berporos pada DPAPI

Area konsultasi terkait

KomuraSoft LLC menangani konsultasi merancang operasi enkripsi untuk lingkungan Windows yang mencakup aplikasi bisnis dan PC perangkat (merancang di mana kunci pemulihan disimpan, memasukkannya ke kitting, konfigurasi BitLocker pada PC perangkat), serta verifikasi kinerja dan pemecahan masalah aplikasi bisnis di lingkungan terenkripsi. Tidak apa-apa mulai hanya dengan memeriksa apakah aman mengenkripsi PC perangkat.

• Konsultasi teknis dan tinjauan desain
• Pengembangan aplikasi Windows
• Investigasi bug dan akar masalah
• Hubungi kami

Tautan referensi

Artikel terkait

Artikel terbaru dengan tag yang sama untuk mendalami topik-topik terdekat.

Topik terkait

Halaman-halaman ini menempatkan topik dalam konteks layanan dan keputusan yang lebih luas.

Layanan yang terkait dengan topik ini

Artikel ini berkaitan langsung dengan layanan berikut.

Pertanyaan yang sering diajukan

Pertanyaan yang sering muncul dalam konsultasi tentang topik artikel ini.

Saya baru sadar «Enkripsi perangkat» sudah aktif sendiri. Boleh dimatikan?

Tidak disarankan mematikannya. Pada instalasi bersih Windows 11 versi 24H2 atau lebih baru, Enkripsi perangkat diinisialisasi secara default pada PC yang memenuhi syarat seperti TPM dan Secure Boot, sehingga tampak «nyala sendiri». Ini mekanisme yang melindungi data saat hilang atau dicuri; mematikannya menghilangkan perlindungan itu, dan sekali dimatikan tidak akan aktif kembali secara otomatis. Yang harus dilakukan bukan menonaktifkannya, melainkan memastikan kunci pemulihan dengan perintah seperti manage-bde -protectors -get C: dan menyimpannya di tempat yang diputuskan organisasi — akun Microsoft, Entra ID, atau AD, misalnya.

Di mana kunci pemulihan BitLocker?

Tempat penyimpanannya ditentukan oleh cara PC masuk. Untuk PC yang diatur dengan akun Microsoft pribadi, masuk ke https://aka.ms/myrecoverykey dengan akun yang sama untuk melihat daftarnya. Untuk PC yang bergabung ke Entra ID perusahaan (akun kerja), periksa «Lihat kunci BitLocker» di https://aka.ms/aadrecoverykey. Untuk PC yang bergabung ke domain AD on-premises, jika kebijakan sudah dikonfigurasi, administrator dapat mengambilnya dari bawah objek komputer. Bisa juga ada salinan cetak, USB, atau file yang disimpan. Mencocokkan 8 digit pertama ID kunci pemulihan yang tampil di layar pemulihan memungkinkan Anda mengidentifikasi kunci yang benar.

Bisakah BitLocker dipakai di PC Windows 11 Home?

Fitur yang tersedia berbeda menurut edisi. BitLocker berfitur lengkap, termasuk penambahan PIN dan pengelolaan kebijakan, hanya dapat diaktifkan pada keluarga Pro/Enterprise/Education; tidak tersedia di Home. Padanan sederhananya, Enkripsi perangkat, tersedia di semua edisi termasuk Home, dan aktif otomatis jika syarat seperti TPM dan UEFI Secure Boot terpenuhi. Namun mengaktifkan perlindungan mensyaratkan masuk dengan akun Microsoft yang punya hak administrator — akun lokal saja tidak memberi perlindungan. Jika dikelola sebagai PC perusahaan, kami merekomendasikan konfigurasi yang berasumsi Pro dan mengelola kunci pemulihan secara terpusat lewat Entra ID atau AD.

Setelah pembaruan BIOS (firmware UEFI), saya diminta kunci pemulihan. Mengapa?

BitLocker memakai TPM untuk memverifikasi bahwa lingkungan boot tidak diubah, dan ketika nilai pengukuran saat boot berubah — karena pembaruan firmware, perubahan pengaturan Secure Boot, pengosongan TPM, penggantian motherboard, dan sebagainya — ia menilai lingkungan «berbeda dari biasanya» dan masuk mode pemulihan. Ini bukan kerusakan; ini perilaku sesuai desain. Sebelum pembaruan terencana, menangguhkan perlindungan dengan Suspend-BitLocker (atau manage-bde -protectors -disable C:) memungkinkan pekerjaan tanpa memasukkan kunci pemulihan. Drive tetap terenkripsi selama ditangguhkan, dan secara default perlindungan dilanjutkan otomatis pada reboot berikutnya.

Jika kunci pemulihan tidak ditemukan, bisakah datanya tetap diambil?

Tanpa kunci pemulihan yang benar (kata sandi pemulihan 48 digit) atau cara buka lain, tidak ada cara mengambil data di drive terenkripsi. Dukungan Microsoft sendiri menyatakan dengan tegas bahwa mereka tidak dapat menerbitkan ulang atau mengambil kunci pemulihan yang hilang. Untuk PC yang dikelola organisasi, konfirmasikan dulu ke TI; untuk PC pribadi, cari di halaman kunci pemulihan akun Microsoft, salinan cetak, atau file .bek/.txt di USB. Jika semuanya tidak ada, yang tersisa hanya mereset (menginstal ulang) PC, dan data hilang. Itulah sebabnya, sebelum berdebat apakah enkripsi harus dimatikan, Anda harus memastikan dulu bahwa kunci pemulihan setiap PC ada di bawah pengelolaan organisasi.

Profil penulis

Halaman perkenalan penulis artikel.

Go Komura

Direktur KomuraSoft LLC

Berspesialisasi dalam pengembangan perangkat lunak Windows, konsultasi teknis, dan investigasi bug, terutama pada proyek dengan sistem yang sudah ada dan bug yang sulit direproduksi.