Как смонтировать BitLocker‑зашифрованный раздел в Linux

Быстрый план действий

1. Установите Dislocker (пакет или сборка из исходников).
2. Создайте два каталога: один для dislocker‑file, второй — для самой NTFS‑точки монтирования.
3. Найдите устройство с помощью fdisk или lsblk.
4. Запустите dislocker с паролем, ключом восстановления или BEK‑файлом.
5. Смонтируйте /media/bitlocker/dislocker-file как loop‑устройство.

Важно: никогда не вводите секреты в общедоступные скрипты и избегайте хранения паролей в истории оболочки.

Установка Dislocker

Dislocker — свободная утилита для расшифровки BitLocker‑томов и предоставления их в виде виртуального файла (dislocker‑file), который затем можно монтировать как обычный NTFS‑раздел.

На Ubuntu, Debian и производных введите в терминале:

sudo apt install dislocker

Если пакет отсутствует в репозиториях вашей дистрибуции, загрузите исходники с официального репозитория Dislocker и соберите вручную (обычно: ./configure && make && sudo make install). Следуйте инструкции сборки в репозитории вашей версии.

Создание двух директорий для монтирования

Нужно два каталога:

• /media/bitlocker — сюда Dislocker запишет виртуальный файл dislocker‑file.
• /media/mount — сюда вы потом смонтируете NTFS‑файловую систему.

Создайте их командой:

sudo mkdir -p /media/bitlocker
sudo mkdir -p /media/mount

Как найти BitLocker‑раздел

Определите устройство, содержащее зашифрованный раздел. Можно использовать fdisk или lsblk.

sudo fdisk -l
# или
lsblk -f

Запомните имя устройства, например /dev/sda3 или /dev/nvme0n1p3 — это пригодится в команде dislocker.

Расшифровка BitLocker‑тома с помощью Dislocker

Dislocker поддерживает несколько способов аутентификации:

• -u<пароль> — пароль пользователя (если вы его знаете);
• -p — 48‑значный ключ восстановления BitLocker;
• -k — BEK‑файл (ключ) при наличии.

Общий синтаксис (замените плейсхолдеры своими значениями):

sudo dislocker -V  -u  -- /media/bitlocker

Если нужно только читать том (без риска изменения), добавьте опцию -r:

sudo dislocker -r -V  -u  -- /media/bitlocker

Примеры с ключом восстановления и BEK‑файлом:

sudo dislocker -V /dev/sda3 -p 111111-222222-...-888888 -- /media/bitlocker
sudo dislocker -V /dev/sda3 -k /path/to/file.bek -- /media/bitlocker

Dislocker создаст файл /media/bitlocker/dislocker-file — виртуальный образ NTFS‑раздела.

Примечание: если ваш том — системный раздел с включённым Fast Startup или если Windows находится в состоянии гибернации, том может быть заблокирован. В таких случаях лучше загрузиться в Windows и корректно выключить Fast Startup/завершить сеанс (не гибернацию), либо получить ключ восстановления.

Монтирование расшифрованного объёма

После успешной работы dislocker смонтируйте виртуальный файл как loop‑устройство:

sudo mount -o loop /media/bitlocker/dislocker-file /media/mount

Для монтирования в режиме только‑для‑чтения используйте:

sudo mount -r -o loop /media/bitlocker/dislocker-file /media/mount

После этого откройте файловый менеджер и перейдите в /media/mount — вы увидите файлы NTFS‑тома.

Корректное отмонтирование

Всегда сначала отмонтируйте NTFS‑точку, затем остановите Dislocker/FUSE:

sudo umount /media/mount

Если Dislocker по‑прежнему работает как процесс FUSE, можно:

sudo fusermount -u /media/bitlocker
# либо, если необходимо, завершить процесс dislocker осторожно
sudo pkill dislocker

Проверьте, что устройства больше не отображаются в выводе mount или lsblk.

Когда этот подход не сработает

• У вас нет пароля, ключа восстановления или BEK‑файла — без них расшифровать нельзя.
• Если раздел системный и Windows находится в состоянии гибернации/Fast Startup, диск будет заблокирован до корректного завершения Windows.
• Аппаратные защиты TPM+PIN без доступного ключа восстановления могут блокировать доступ — в таких случаях нужен доступ к устройству с Windows и получение recovery‑ключа.

Альтернативы и дополнительные варианты

• Использовать live‑Windows или загрузиться в Windows, расшифровать и скопировать нужные данные на внешний носитель.
• Если требуется постоянный совместный доступ между Linux и Windows, рассмотреть шифрование под Linux (LUKS) и отдельный общедоступный NTFS‑раздел для обмена.
• Для автоматизации можно написать systemd‑сервис, который запускает dislocker и монтирует том при старте, но хранить секреты в юнит‑файле нельзя.

Мини‑методология (шаги для повторения)

1. Убедитесь, что у вас есть пароль или recovery key.
2. Установите dislocker.
3. Создайте /media/bitlocker и /media/mount.
4. Найдите устройство sudo fdisk -l или lsblk -f.
5. Запустите dislocker с нужным ключом/паролем.
6. Смонтируйте dislocker-file как loop.
7. После работы корректно отмонтируйте и завершите dislocker.

Контрольный чек‑лист по ролям

• Для пользователя «владелец диска»:

  • Имеется пароль или ключ восстановления.
  • Отключён Fast Startup в Windows (если применимо).
  • Созданы каталоги /media/bitlocker и /media/mount.

• Для администратора системы:

  • Установлен пакет dislocker.
  • Защищена история оболочки (не хранить пароли в plain text).
  • Настроены права доступа к монтируемым папкам.

Критерии приёмки

• Раздел расшифровывается без ошибок и отображается как /media/mount.
• Файлы читаются (и, при необходимости, записываются) корректно в ожидаемом режиме (rw или ro).
• После работы разделы корректно отмонтированы, стерты временные файлы и процессы dislocker завершены.

Короткий глоссарий

• BitLocker — штатный шифровальщик томов Windows.
• Dislocker — инструмент для расшифровки BitLocker‑томов в Linux (FUSE).
• dislocker‑file — виртуальный файл, представляющий NTFS‑том после расшифровки.
• BEK — файл ключа BitLocker.

Безопасность и конфиденциальность

• Не передавайте пароли и recovery‑ключи по незащищённым каналам.
• Избегайте вставки пароля прямо в командную строку, если это оставляет след в истории. Используйте цитирование и очищайте историю оболочки: history -d <номер> или временно отключайте запись истории.
• Работая с системными томами, убедитесь, что Windows корректно выключена, чтобы избежать повреждений данных.

Советы и отладка

• Если dislocker выдаёт ошибки, проверьте права доступа к /media/bitlocker и свободное место на разделе, где создаётся dislocker‑file.
• При проблемах с FUSE проверьте, установлен ли пакет fuse и нет ли ограничений AppArmor/SELinux.
• Если вы не видите ожидаемых файлов в /media/mount, убедитесь, что смонтирован именно /media/bitlocker/dislocker-file, а не сам /media/bitlocker.

Подведение итогов

Dislocker — надёжный способ получить доступ к BitLocker‑зашифрованным разделам из Linux при наличии пароля или ключа восстановления. Процесс включает установку dislocker, создание двух каталогов, расшифровку тома и монтирование виртуального файла. Всегда соблюдайте меры безопасности при работе с ключами и корректно отмонтируйте томы.

Если у вас есть свои приёмы по работе с зашифрованными томами или вопросы по конкретным ошибкам — опишите вашу ситуацию, и мы разберём возможные варианты.