Windows 10-update triggert opnieuw BitLocker-paniek
Een recente update zorgde al voor de nodige BitLocker-paniek onder Windows-gebruikers. Toen ging het nog om een update van Windows 11 die tot kopzorgen leidde. Nu is Windows 10 aan de beurt, waar een ESU-update op sommige toestellen voor problemen zorgt.
Blauw scherm in plaats van loginscherm
De problemen beginnen nadat je Windows-computer opnieuw wordt opgestart om de update (KB5094127) te installeren. In plaats van het vertrouwde loginscherm verschijnt dan het BitLocker-paneel. Om je pc op te starten, moet je de BitLocker-key invullen. Microsoft waarschuwt nu voor de bug, maar benadrukt tegelijkertijd dat dit verificatiescherm slechts eenmaal opduikt. Ook zegt Microsoft er nog bij dat thuisgebruikers er waarschijnlijk geen last van hebben.
Dat heeft er dan weer mee te maken dat een zeer specifieke subset van Windows-gebruikers de bug kan ondervinden. Ten eerste moet BitLocker zijn ingeschakeld voor de systeemschijf. Daarnaast moet een specifieke Group Policy zijn geactiveerd voor TPM-verificatie (met PCR7), moet de Secure Boot PCR7-binding als ‘Niet mogelijk’ staan aangegeven in de systeeminstellingen én moet je pc geschikt zijn voor nieuwe Windows UEFI-bootcertificaten (CA 2023).
Vooral zakelijke pc’s getroffen
Enkel als al die seinen op groen staan, krijg je het BitLocker-herstelscherm te zien. In de basis betekent dit vooral dat je als thuisgebruiker weinig te vrezen hebt. Group Policy’s gelden in de meeste gevallen enkel voor zakelijke pc’s. Tenzij je thuiscomputer aan een zakelijk netwerk is gekoppeld, is de kans daarom klein dat je de bug tegenkomt.
Minder groot zijn de problemen daardoor echter niet. Heel wat bedrijven vertrouwen nog op Windows 10, ondanks dat de officiële ondersteuning al is beëindigd. Pc’s krijgen de komende jaren nog wel updates dankzij het ESU-programma, dat voor consumenten nu één jaar gratis is. Zakelijke gebruikers met de genoemde Group Policy worden door Microsoft gemaand deze uit te schakelen voor ze de update installeren. Dat kan met dit stappenplan:
- Open de Groepsbeleidseditor (gpedit.msc) of uw Groepsbeleidsbeheerconsole.
- Navigeer naar: Computerconfiguratie > Beheersjablonen > Windows-onderdelen > BitLocker-schijfversleuteling > Besturingssysteemschijven.
- Stel “TPM-platformvalidatieprofiel configureren voor native UEFI-firmwareconfiguraties” in op “Niet geconfigureerd”.
- Voer de volgende opdracht uit op de betreffende apparaten om de beleidswijziging door te voeren: gpupdate /force
- Voer de volgende opdracht uit om BitLocker op te schorten (wanneer BitLocker is ingeschakeld op de C:-schijf): manage-bde -protectors -disable C:
- Voer de volgende opdracht uit om BitLocker te hervatten (wanneer BitLocker is ingeschakeld op de C:-schijf): manage-bde -protectors -enable C:
Hiermee worden de BitLocker-koppelingen bijgewerkt om het door Windows geselecteerde standaard PCR-profiel te gebruiken. Dat is overigens de tussentijdse oplossing. Wie meer geduld heeft en de Patch Tuesday-update van juni langer durft uit te stellen, kan ook Microsofts definitieve oplossing afwachten. Wanneer die er precies is, heeft Microsoft nog niet bekendgemaakt.
