Obnovovací klíč si zajistěte předem

Chystá se oprava, která se dotkne základní desky, čipu TPM nebo firmwaru? Věnujte deset minut jedné jediné věci — dohledejte obnovovací klíč k šifrovanému disku a odložte si ho mimo počítač. Je to úkon, který se dělá jednou a zpětně už ho nikdo neudělá.

Proč si náhradní deska řekne o klíč, když disk zůstal stejný?

Šifrování systémového disku ve Windows si svoje tajemství neukládá do souboru, ale do bezpečnostního čipu TPM. Ten je osazený přímo na základní desce a s ní také odchází. Náhradní deska přijde s vlastním čipem, prázdným a bez vztahu k vašemu disku, takže při prvním startu nemá co vydat. Systém se v tu chvíli přepne na záložní cestu a chce dlouhý číselný klíč naťukaný ručně.

Stejná obrazovka se ale neváže výhradně na výměnu desky. Umí ji vyvolat i vyčištění obsahu čipu, přepnutí způsobu zavádění systému nebo nahrání jiné verze firmwaru. Stejně tak situace, kdy ochrana Sure Start sama opraví poškozený BIOS ze své záložní kopie. Každá z těch událostí posune otisk prostředí, proti kterému čip klíč uvolňuje.

Odtud plyne jednoduché pravidlo. Klíč mějte po ruce vždycky, když se chystá cokoli pod úrovní operačního systému. Nemusí přitom jít o návštěvu dílny.

O klíč si řekne i stroj, kterému jste doma sami nahráli novější firmware. Ozve se i notebook, na kterém IT oddělení přenastavilo zabezpečení. Liší se jen to, jestli ho během minuty opíšete z papíru, nebo jestli začnete hledat pozdě.

Tři místa, odkud se klíč dá získat, dokud stroj naběhne

Dokud se počítač přihlásí do Windows, je situace ve vašich rukou a nabízí se hned několik cest. Každá zabere pár minut a nevyžaduje žádné nářadí ani zásah do systému.

Účet Microsoft. Pokud se do Windows hlásíte tímhle způsobem, klíč se tam ukládá sám už od okamžiku, kdy se ochrana zapnula. Zobrazíte si ho z libovolného jiného přístroje v přehledu svých zařízení. Vyfoťte si ho nebo opište, jen ne do toho počítače, kterého se to týká.

Papír. Windows umožňují obnovovací klíč vytisknout a v naší dílenské praxi zklame tahle varianta nejméně často. List papíru nepotřebuje heslo, baterii ani připojení k síti. Patří do desek s dokladem o koupi, do šuplíku nebo do trezoru, jen ne do brašny, která cestuje s notebookem.

Jiné médium. Třetí cesta je uložení souboru na flash disk, do vlastního úložiště nebo do počítače, kterého se oprava netýká. Zní to samozřejmě, a přesto se nejčastější chyba dělá právě tady, kdy soubor s klíčem skončí na ploše téhož disku. Tam je naprosto k ničemu, protože ve chvíli, kdy ho budete potřebovat, se k němu nedostanete.

Ať už zvolíte kteroukoli možnost, přidejte na konec jeden krok navíc. Windows u každého chráněného disku ukazují krátký identifikátor a ten si poznamenejte spolu s klíčem. Když máte doma dva chráněné notebooky, je to jediný způsob, jak zápisy od sebe rozeznat. Poznáte tak, který patří kterému stroji.

• účet Microsoft s položkou obnovovacích klíčů v přehledu zařízení
• vytištěný list uložený mimo brašnu s počítačem
• soubor na flash disku, který s přístrojem necestuje
• zápis ve správci hesel dostupném z jiného počítače
• u firemního kusu evidence, kterou vede správce sítě

Ve firmě klíč nedrží uživatel, ale správce

V organizaci se klíče obvykle sbírají centrálně. Zařízení je při zapnutí ochrany odevzdá do správy, kterou vede IT. Člověk u stolu se k nim vůbec nedostane a ani nemusí. Pro objednání opravy z toho plyne jediný důsledek, a sice že žádost o klíč nesměřuje ke kolegovi, ale ke správci.

Ordinace se čtyřmi ProBooky si před odesláním nechá k sériovému číslu vypsat klíč. Vytiskne ho na samostatný list, který jede v obálce spolu s přístrojem. Projekční kancelář, kde každý ZBook drží rozpracované zakázky, to dělá jinak. Celou skupinu vypíše jednou za rok a výpis uloží do trezoru vedle smluv.

Horší je to tam, kde firma vyrostla rychleji než její správa. Malá společnost notebooky nakupovala postupně po jednom kuse a každý nastavoval někdo jiný. Klíče proto nikde pohromadě nemá. Nejrizikovější je stroj, jehož nastavení kdysi udělal zaměstnanec, který už dávno odešel.

Co se stane, když klíč nemá vůbec nikdo?

Tohle je místo, kde se nedá nic zjemnit. Bez klíče je obsah disku nečitelný a nečitelný zůstane. Neexistuje nástroj, kterým bychom ho rozluštili, a neumí to ani výrobce počítače, jehož vlastní podklady to říkají otevřeně. Zbývá disk přeformátovat, nasadit systém znovu a smířit se se ztrátou všeho, co bylo uložené jenom tam.

Šifrovaný disk se tím zásadně liší od úložiště, které selhalo mechanicky. U vadného disku existuje aspoň teoretická naděje, že se něco přečte po kouscích. Tady taková naděje není. Zašifrovaná data vypadají po vyjmutí disku do cizího počítače jako náhodný shluk znaků a takovým shlukem zůstanou napořád.

Ptáme se proto na klíč ještě dřív, než přístroj vůbec otevřeme, a stejnou otázku najdete i v objednávkovém formuláři. Není to formalita ani krytí zad. Je to poslední okamžik, kdy se dá rozhodnutí o osudu dat ještě otočit. Jakmile je deska venku, zpátky se nevrací nic.

Příprava, kterou zvládnete za jeden večer

Celé to má pět kroků a vejde se do doby, než doběhne film. Rodina, která posílá pětiletý notebook kvůli uvolněnému napájecímu konektoru, ani netuší, že se ho chystaná práce může dotknout. Přitom je to právě ten typ zakázky, kde se občas sahá na desku.

Domácnosti tuhle otázku často odbydou větou, že žádné šifrování přece nemají. U strojů koupených v posledních letech to bývá omyl. Ochrana bývá aktivní od prvního spuštění, aniž by se někdo ptal, a navenek se nijak neprojeví. Deset minut ověření je proto levnější než jakákoli varianta toho druhého scénáře.

Zálohu dat za vás uděláme rádi, ale jen na výslovné přání a po vzájemné dohodě. Není to součást běžné zakázky. U šifrovaného disku navíc dopředu upozorňujeme, že bez obnovovacího klíče zůstane obsah zavřený úplně všem, nás nevyjímaje. Pokud vám z toho něco není jasné, zeptejte se ještě před odesláním, ne až potom.

1. Ověřte v nastavení Windows, jestli je systémový disk chráněný.
2. Nechte si klíč zobrazit a uložte ho na dvě místa, z nichž ani jedno není tenhle počítač.
3. Připište si k němu identifikátor disku, ať víte, ke kterému stroji patří.
4. Přeneste si dokumenty a fotografie na externí médium, protože šifrování je chrání, ale zálohu nenahradí.
5. Do popisu závady uveďte, že je disk šifrovaný, a teprve pak objednejte svoz.

Časté dotazy

Tenhle text jsme naposledy kontrolovali 22. září 2026.