Clonare un disco crittografato con BitLocker

Molti PC con Windows 11 sono crittografati senza che il cliente lo sappia: la crittografia del dispositivo si attiva al primo accesso con un account Microsoft. Prima di clonare bisogna saperlo, avere la chiave e scegliere se mantenere o no la crittografia.

Il disco è crittografato?

Nelle Impostazioni: Privacy e sicurezza, Crittografia dispositivo (oppure «Gestisci BitLocker» nel Pannello di controllo).
In Esplora file: un lucchetto sull’unità C:.
In un prompt dei comandi come amministratore: manage-bde -status C:. Il comando indica la percentuale crittografata e lo stato della protezione.

Prima di tutto: la chiave di ripristino

È una sequenza di 48 cifre. Il cliente la ritrova su account.microsoft.com/devices/recoverykey, con il suo account Microsoft, oppure presso il suo reparto IT per un PC aziendale. Sul PC in funzione, manage-bde -protectors -get C: mostra le protezioni del disco, tra cui questa password di ripristino.

Procuratela prima di iniziare: se un disco crittografato la chiede e nessuno ce l’ha, i suoi dati sono persi.

Tre modi di procedere

Copiare in chiaro: Windows presenta i suoi file decrittografati, li si copia, e il nuovo disco non è crittografato. Si rimette la crittografia dopo, con una nuova chiave.
Mantenere la crittografia: la partizione crittografata viene ricopiata così com’è, settore per settore. Il nuovo disco si apre con la stessa chiave.
Decrittografare prima di clonare, poi crittografare di nuovo: funziona con qualsiasi strumento, ma la decrittografia e la crittografia richiedono ognuna delle ore.

In tutti i casi, aspetta che una crittografia o una decrittografia in corso sia finita: un disco crittografato a metà non si clona in modo pulito.

Con MBI Clone

Il Windows del PC in funzione viene copiato in chiaro, senza essere prima decrittografato: MBI Clone legge i file che Windows presenta. Vengono copiati solo i file presenti, mai lo spazio libero, dove vecchi file eliminati si ritroverebbero in chiaro sul nuovo disco. Prima di iniziare, una casella lo fa confermare: «Ho capito: il nuovo disco non sarà crittografato». Il vecchio disco resta crittografato.

Il disco di un altro PC, collegato alla postazione del laboratorio, si sblocca prima. Poi scegli:

Mantieni la crittografia (stessa chiave): MBI Clone chiede la chiave del cliente e verifica che apra il suo disco, in sola lettura, prima di scrivere qualsiasi cosa. La partizione crittografata viene ricopiata così com’è, e lo spazio in più del nuovo disco resta libero subito dopo C:, per estenderlo in seguito. La chiave non viene scritta da nessuna parte.
Copia in chiaro: i file vengono copiati uno per uno, e il nuovo disco non è crittografato.

Al primo avvio

Crittografia mantenuta, nel PC del cliente: Windows può chiedere la chiave una volta, perché il suo avvio è stato ricreato e il chip di sicurezza del PC se ne accorge. Digitala, poi Windows si avvia.
Crittografia mantenuta, in un altro PC: la chiave viene chiesta a ogni avvio, finché la protezione non viene rimessa sul chip di questo PC. In Gestisci BitLocker, «Sospendi protezione», poi «Riprendi protezione». Con i comandi: manage-bde -protectors -disable C:, poi manage-bde -protectors -enable C:.
Copia in chiaro: per rimettere la crittografia, Impostazioni, Privacy e sicurezza, Crittografia dispositivo (oppure Gestisci BitLocker). Viene creata una nuova chiave: quella di prima apre solo il vecchio disco. Windows può anche rilanciare da sé la sua crittografia automatica al primo avvio, e chiedere un account Microsoft per completarla.

Le insidie

Il cliente non sapeva che il suo PC era crittografato: chiedigli se vuole che lo resti. Su un PC di casa, spesso è la crittografia automatica.
La nuova chiave: assicurati che resti al cliente. La crittografia del dispositivo la salva nel suo account Microsoft; con Gestisci BitLocker, Windows chiede dove conservarla.
Il vecchio disco: tienilo così com’è fino al primo avvio riuscito del nuovo.

Domande frequenti

Bisogna decrittografare il disco prima di clonare?

Non per forza. Uno strumento che legge Windows in funzione copia i file in chiaro, e uno strumento che ricopia la partizione così com’è mantiene la crittografia.

Perché Windows chiede la chiave dopo il cambio di disco?

Il chip di sicurezza del PC verifica l’avvio: se è cambiato, chiede la chiave, una volta. È una protezione, non un guasto.

E se il cliente non ha la sua chiave?

Sul PC in funzione, manage-bde -protectors -get C: la mostra. Se il PC non si avvia più e la chiave è introvabile, i dati del disco crittografato sono persi: è il principio della crittografia.