BitLocker To Go utilise le même moteur de chiffrement que BitLocker pour les lecteurs système, mais l’applique aux supports amovibles : disques durs externes, SSD externes et clés USB. La procédure de déverrouillage est similaire à celle décrite dans notre guide de récupération des données d’un volume BitLocker interne. Toutefois, les lecteurs amovibles présentent des problèmes spécifiques : absence de TPM pour prendre le relais, présence d’une partition FAT32 visible souvent confondue avec l’intégralité du disque et risque accru de déconnexion physique pendant l’opération. Ce guide couvre les particularités des disques externes et des clés USB.
Contenu
- Ce qui distingue BitLocker To Go
- Diagnostiquer le problème
- Quand la récupération est possible — et quand elle ne l’est pas
- Où trouver la clé de récupération
- Récupération des données avec RS Partition Recovery
| Situation | Mesure à prendre | Difficulté |
|---|---|---|
| Mot de passe oublié, mais clé de récupération ou fichier BEK disponible | Déverrouiller directement le lecteur avec la clé lors de la récupération | Faible |
| Lecteur débranché ou coupure de courant pendant le chiffrement | Déverrouiller le lecteur avec la clé et lancer une analyse ; reprendre séparément le chiffrement si nécessaire | Moyenne |
| Seule une petite partition FAT32 est visible et le reste du lecteur semble vide | Le volume chiffré se trouve sur une partition distincte et masquée : il n’est pas perdu | Faible |
| Windows demande de formater le lecteur, mais aucun formatage n’a encore été effectué | Ne pas cliquer sur « Formater » : rechercher directement la signature FVE | Élevée |
| Le lecteur a déjà été formaté, rapidement ou complètement | Aucune solution : le formatage détruit les métadonnées FVE auxquelles la clé est associée | Non récupérable |
| La clé de récupération correspondant à ce lecteur n’a jamais été enregistrée | Les données ne peuvent pas être récupérées : le chiffrement remplit son rôle | Non récupérable |
Ce qui distingue BitLocker To Go
La structure du volume et les métadonnées FVE (Full Volume Encryption, chiffrement intégral du volume) sont identiques à celles d’un lecteur interne. En revanche, l’ensemble des protecteurs disponibles diffère, car un lecteur amovible n’est pas associé au matériel d’un ordinateur donné. Le déverrouillage automatique par TPM ne s’applique pas ici : un protecteur TPM n’existe que pour le volume de démarrage de l’ordinateur auquel il est associé. Un lecteur externe nécessite donc un mot de passe explicite, une carte à puce ou une clé de récupération sur chaque ordinateur auquel il est connecté. Lorsque BitLocker To Go est activé, l’Explorateur de fichiers Windows utilise par défaut un protecteur par mot de passe et génère une clé de récupération au format standard de 48 chiffres, identique à celui utilisé pour les volumes internes. Cette clé peut être enregistrée dans un compte Microsoft, imprimée ou stockée dans un fichier.
Le déverrouillage automatique est également disponible pour les lecteurs externes, mais il est associé à chaque ordinateur et non au lecteur lui-même : après qu’un ordinateur Windows a déverrouillé le lecteur à l’aide du mot de passe, il mémorise celui-ci et n’affiche plus la demande lors des connexions suivantes. Cette information est enregistrée sur l’ordinateur, et non sur le lecteur. Le même lecteur demande donc toujours un mot de passe lors de sa première connexion à un autre ordinateur : un autre PC, un environnement Linux autonome ou une station de travail de récupération. En pratique, une clé de récupération ou un mot de passe n’est jamais réellement facultatif pour un lecteur externe, contrairement à ce qui peut sembler être le cas pour un lecteur système lorsque le déverrouillage automatique fonctionne. Tôt ou tard, sur un ordinateur donné, l’un de ces éléments devra être utilisé. Les protecteurs configurés sur un lecteur connecté peuvent être vérifiés à l’aide de la lettre qui lui est attribuée :
manage-bde -protectors -get E:
Diagnostiquer le problème
Lorsqu’un disque n’affiche qu’une petite partition FAT32 dans l’Explorateur de fichiers, sans aucun signe du reste des données, cela ne signifie pas que celles-ci ont disparu. Les disques chiffrés avec d’anciennes versions de Windows comportent une seconde petite partition FAT32, en plus du volume chiffré. Celle-ci contient le lecteur BitLocker To Go, un outil autonome qui permettait aux systèmes de l’ère Windows 7 ne prenant pas encore en charge BitLocker nativement de déverrouiller le disque. Le volume chiffré constitue une partition distincte, que Windows monte uniquement après son déverrouillage : il n’a pas disparu. La Gestion des disques, ou un logiciel de récupération prenant en charge les partitions, affiche les deux partitions, même si seule la partition FAT32 reçoit automatiquement une lettre de lecteur.
Un autre scénario se produit lorsque le chiffrement ou le déchiffrement s’interrompt en cours de processus, généralement parce que le disque a été débranché, qu’une coupure de courant est survenue ou que la connexion USB a été interrompue. Le volume se retrouve alors dans un état mixte : une partie a été traitée et l’autre non. Il s’agit d’un problème différent d’une détérioration réelle des données ; il est donc important de faire la distinction avant d’entreprendre d’autres opérations.
Lorsque Windows signale que le disque est illisible ou propose de le formater, deux situations très différentes sont possibles : une table de partitions endommagée reposant sur un volume chiffré intact, ou une véritable défaillance matérielle. Les chocs, la défaillance de la puce de conversion USB-SATA et les problèmes de contrôleur surviennent plus souvent sur les disques portables que sur ceux installés en permanence dans un boîtier. Il est donc préférable d’écarter d’abord l’hypothèse d’une panne matérielle — détection irrégulière selon le port USB utilisé, bruits inhabituels ou déconnexion du disque pendant un transfert — avant de considérer qu’il s’agit uniquement d’un problème logiciel ou logique.
Enfin, il faut savoir reconnaître un dernier scénario, plutôt que tenter de le dépanner : un disque configuré pour le déverrouillage automatique sur un ordinateur, puis connecté à un autre ordinateur qui ne l’a jamais utilisé. Ce dernier demande le mot de passe ou la clé de récupération comme s’il s’agissait de la première connexion, car, de son point de vue, c’est effectivement la première fois.
Vérifiez l’état du disque avant toute autre opération :
manage-bde -status E:
Cette commande indique le pourcentage de chiffrement et l’état de verrouillage. Ces informations permettent de distinguer un chiffrement interrompu d’un disque présentant un autre problème sous-jacent, avant de déterminer les étapes suivantes.
Quand la récupération est possible — et quand elle ne l’est pas
Une fois le problème identifié, la possibilité de récupérer les données dépend d’un seul élément : les métadonnées FVE — la structure qui associe le volume chiffré à sa VMK et, par son intermédiaire, au mot de passe, à la clé de récupération ou au fichier BEK — sont-elles toujours intactes ? Quelques cas concrets couvrent la plupart des situations rencontrées en pratique :
- Fichiers supprimés ou perdus, volume toujours déverrouillé normalement. Il s’agit du cas le plus simple : les métadonnées FVE n’ont pas été modifiées, seules les entrées du système de fichiers correspondant à certains fichiers ont été supprimées. Un mot de passe, une clé de récupération ou un fichier BEK fonctionnel permet de déverrouiller le volume exactement comme auparavant.
- Le volume apparaît au format RAW, comme non alloué ou « doit être formaté ». Tant qu’aucune donnée n’a effectivement été écrite sur le disque depuis l’apparition du problème, les métadonnées FVE et les secteurs chiffrés sont généralement préservés, même si la table de partitions ne l’est plus : la table de partitions et l’en-tête FVE sont deux structures distinctes, et la perte de l’une n’entraîne pas nécessairement celle de l’autre.
- Le chiffrement ou le déchiffrement a été interrompu en cours de traitement. Le volume se retrouve dans un état mixte, une partie ayant été traitée et l’autre non. Toutefois, l’interruption n’altère pas l’en-tête FVE : le déverrouillage à l’aide d’un protecteur valide, puis l’analyse du volume, restent possibles quelle que soit l’avancement du processus.
- Le disque a été déplacé vers un ordinateur qui ne dispose d’aucun état de déverrouillage automatique pour ce volume. Le volume n’a pas été modifié ; le nouvel ordinateur ne possède simplement pas les informations de déverrouillage mises en cache. La clé de récupération ou le mot de passe fonctionne de la même manière que sur l’ordinateur d’origine.
- Le disque a été formaté, mais il contenait plusieurs partitions. Si la première partition a été supprimée, puis le disque reformaté, ce reformatage ne remplace généralement que la zone ciblée : les métadonnées FVE d’une deuxième ou d’une troisième partition située plus loin sur le disque peuvent être intactes. Ces partitions peuvent donc encore être récupérables, même si la première ne l’est plus. Il est recommandé d’analyser l’intégralité du disque physique plutôt que de considérer immédiatement le disque comme irrécupérable.
Les situations réellement définitives sont plus limitées. Un disque à partition unique déjà formaté — avec un formatage rapide ou complet — ne contient généralement plus aucune structure exploitable par un logiciel de récupération de données : le formatage remplace les structures qui contiennent la VMK et l’en-tête FVE. Même le mot de passe ou la clé de récupération d’origine ne dispose alors plus des métadonnées nécessaires au déverrouillage. Il en va de même lorsque le mot de passe et la clé de récupération sont tous deux définitivement perdus, sans aucun autre protecteur disponible, ainsi que lorsque des dommages physiques suffisamment importants ont détruit les secteurs contenant l’en-tête FVE, et non la seule entrée de la table de partitions qui y fait référence.
Une invite Windows demandant « Voulez-vous formater ce lecteur ? » n’a encore rien modifié en elle-même : la refuser ne présente aucun risque. En revanche, valider le formatage entraîne des modifications. Si un lecteur apparaît au format RAW, est illisible ou non formaté, il convient de l’analyser avec un logiciel de récupération de données avant de le formater, et non après.
Où trouver la clé de récupération
La clé de récupération d’un lecteur se trouve généralement à l’un des endroits suivants. Si le PC utilisé pour configurer le chiffrement était connecté à un compte Microsoft, la clé est souvent sauvegardée automatiquement et accessible à l’adresse account.microsoft.com/devices/recoverykey. À défaut, recherchez une copie imprimée ou un fichier texte enregistré lors du premier chiffrement du lecteur. Par défaut, Windows nomme ces fichiers à partir de l’identifiant unique du lecteur, ce qui permet également de vérifier facilement qu’il s’agit de la bonne clé. Sur un ordinateur administré par une entreprise, un administrateur de domaine ou Azure AD peut retrouver la clé à partir de l’appareil ou de l’ID de clé. Enfin, si le volume a été configuré pour être déverrouillé à l’aide d’un fichier de clé de démarrage plutôt qu’avec un mot de passe saisi manuellement, le fichier BEK constitue lui-même l’identifiant d’authentification : aucune clé de récupération distincte n’est nécessaire.
Les clés de récupération sont associées à un lecteur spécifique et non à un compte utilisateur en général : une clé enregistrée pour un lecteur externe ne permet pas de déverrouiller un autre lecteur, même si les deux ont été chiffrés à partir du même PC. Lorsque plusieurs clés sont disponibles, utilisez l’ID de clé pour identifier la clé correspondante.
Récupération des données avec RS Partition Recovery
RS Partition Recovery détecte un volume BitLocker à partir de sa signature FVE et demande le mot de passe, la clé de récupération ou le fichier BEK avant de lancer l’analyse. Le processus est identique à celui utilisé pour un disque interne, avec quelques précautions supplémentaires pour les supports externes :
Connectez le disque directement à l’ordinateur, sans passer par un concentrateur USB ni une station d’accueil de qualité incertaine. Une connexion USB instable pendant une analyse prolongée est une cause fréquente de redémarrage de l’analyse en cours d’opération.
Lancez l’analyse de l’intégralité du périphérique physique, et non d’une seule lettre de lecteur logique. Cette étape est importante pour deux raisons présentées plus haut : elle permet au programme de détecter la partition chiffrée ainsi que la partition de récupération FAT32, et de retrouver une deuxième ou une troisième partition ayant survécu à un formatage complet du disque, même si la première partition du même disque n’a pas été préservée.
Si l’objectif consiste uniquement à vérifier que le disque n’est pas physiquement défaillant avant de rechercher une clé de récupération, l’analyse peut être lancée sans fournir de protecteur BitLocker. Le contenu des fichiers ne sera pas déchiffré, mais le programme indiquera si un volume BitLocker est présent et si sa structure est intacte. Cette vérification permet notamment d’écarter rapidement l’hypothèse d’une panne matérielle du disque.
Lorsque vous êtes prêt à déchiffrer le volume, saisissez le mot de passe, la clé de récupération à 48 chiffres ou ajoutez un ou plusieurs fichiers .bek. Plusieurs fichiers BEK peuvent être ajoutés simultanément s’il n’est pas certain de savoir lequel correspond au volume : le programme les associe à partir de l’ID de clé, sans nécessiter de sélection manuelle.
Une clé incorrecte est signalée directement par une erreur de déverrouillage. L’analyse ne bascule donc pas silencieusement vers une récupération de fichiers basée sur les signatures à partir de données toujours chiffrées.
Une fois le volume déverrouillé, son contenu est déchiffré à la volée pendant l’analyse, comme dans le cas d’un disque interne.
Enregistrez les fichiers récupérés sur un autre disque physique : ne les sauvegardez jamais sur le même disque externe que celui faisant l’objet de la récupération.
