Cloner un disque chiffré par BitLocker

Beaucoup de PC sous Windows 11 sont chiffrés sans que le client le sache : le chiffrement de l’appareil s’active dès la première connexion avec un compte Microsoft. Avant de cloner, il faut le savoir, avoir la clé, et choisir de garder le chiffrement ou non.

Le disque est-il chiffré ?

Dans les Paramètres : Confidentialité et sécurité, Chiffrement de l’appareil (ou « Gérer BitLocker » dans le Panneau de configuration).
Dans l’Explorateur : un cadenas sur le lecteur C:.
Dans une invite de commandes en administrateur : manage-bde -status C:. La commande dit le pourcentage chiffré et l’état de la protection.

Avant tout : la clé de récupération

C’est une suite de 48 chiffres. Le client la retrouve sur account.microsoft.com/devices/recoverykey, avec son compte Microsoft, ou auprès de son service informatique pour un PC d’entreprise. Sur le PC en marche, manage-bde -protectors -get C: affiche les protections du disque, dont ce mot de passe de récupération.

Ayez-la avant de commencer : si un disque chiffré la demande et que personne ne l’a, ses données sont perdues.

Trois façons de faire

Copier en clair : Windows présente ses fichiers déchiffrés, on les copie, et le nouveau disque n’est pas chiffré. On remet le chiffrement ensuite, avec une nouvelle clé.
Garder le chiffrement : la partition chiffrée est recopiée telle quelle, secteur par secteur. Le nouveau disque s’ouvre avec la même clé.
Déchiffrer avant de cloner, puis rechiffrer : ça marche avec n’importe quel outil, mais le déchiffrement et le chiffrement prennent chacun des heures.

Dans tous les cas, attendez qu’un chiffrement ou un déchiffrement en cours soit terminé : un disque à moitié chiffré ne se clone pas proprement.

Avec MBI Clone

Le Windows du PC en marche est copié en clair, sans être déchiffré d’abord : MBI Clone lit les fichiers que Windows présente. Seuls les fichiers présents sont copiés, jamais la place libre, où d’anciens fichiers supprimés se trouveraient en clair sur le nouveau disque. Avant de lancer, une case le fait confirmer : « J’ai compris : le nouveau disque ne sera pas chiffré ». L’ancien disque reste chiffré.

Le disque d’un autre PC, branché sur le poste de l’atelier, se déverrouille d’abord. Vous choisissez alors :

Garder le chiffrement (même clé) : MBI Clone demande la clé du client et vérifie qu’elle ouvre son disque, en lecture seule, avant d’écrire quoi que ce soit. La partition chiffrée est recopiée telle quelle, et la place en plus du nouveau disque reste libre juste après C:, pour l’agrandir ensuite. La clé n’est écrite nulle part.
Copier en clair : les fichiers sont copiés un par un, et le nouveau disque n’est pas chiffré.

Au premier démarrage

Chiffrement gardé, dans le PC du client : Windows peut demander la clé une fois, parce que son démarrage a été recréé et que la puce de sécurité du PC le remarque. Tapez-la, puis Windows démarre.
Chiffrement gardé, dans un autre PC : la clé est demandée à chaque démarrage, tant que la protection n’est pas remise sur la puce de ce PC. Dans Gérer BitLocker, « Suspendre la protection », puis « Reprendre la protection ». En commandes : manage-bde -protectors -disable C:, puis manage-bde -protectors -enable C:.
Copie en clair : pour remettre le chiffrement, Paramètres, Confidentialité et sécurité, Chiffrement de l’appareil (ou Gérer BitLocker). Une nouvelle clé est créée : celle d’avant n’ouvre que l’ancien disque. Windows peut aussi relancer de lui-même son chiffrement automatique au premier démarrage, et demander un compte Microsoft pour le terminer.

Les pièges

Le client ne savait pas que son PC était chiffré : demandez-lui s’il veut le rester. Sur un PC familial, c’est souvent le chiffrement automatique.
La nouvelle clé : gardez-la avec le client. Le chiffrement de l’appareil la range dans son compte Microsoft ; avec Gérer BitLocker, Windows demande où la garder.
L’ancien disque : gardez-le tel quel jusqu’au premier démarrage réussi du nouveau.

Questions courantes

Faut-il déchiffrer le disque avant de cloner ?

Pas forcément. Un outil qui lit Windows en marche copie les fichiers en clair, et un outil qui recopie la partition telle quelle garde le chiffrement.

Pourquoi Windows demande la clé après le changement de disque ?

La puce de sécurité du PC vérifie le démarrage : s’il a changé, elle demande la clé, une fois. C’est une protection, pas une panne.

Et si le client n’a pas sa clé ?

Sur le PC en marche, manage-bde -protectors -get C: l’affiche. Si le PC ne démarre plus et que la clé est introuvable, les données du disque chiffré sont perdues : c’est le principe du chiffrement.