Obnovovací klíč si zajistěte předem

Chystá se oprava, která se dotkne základní desky, čipu TPM nebo firmwaru? Věnujte deset minut jedné jediné věci — dohledejte obnovovací klíč k šifrovanému disku a odložte si ho mimo počítač. Je to úkon, který se dělá jednou a zpětně už ho nikdo neudělá.

Proč si náhradní deska řekne o klíč, když disk zůstal stejný?

Šifrování systémového disku ve Windows si svoje tajemství neukládá do souboru, ale do bezpečnostního čipu TPM. Ten je osazený přímo na základní desce a s ní také odchází. Náhradní deska přijde s vlastním čipem — prázdným a bez jakéhokoli vztahu k vašemu disku — takže při prvním startu nemá co vydat. Systém se v tu chvíli přepne na záložní cestu a chce dlouhý číselný klíč naťukaný ručně.

Stejná obrazovka se ale neváže výhradně na výměnu desky. Umí ji vyvolat i vyčištění obsahu čipu, přepnutí způsobu, jakým se systém zavádí, nahrání jiné verze firmwaru nebo situace, kdy ochrana Sure Start sama opraví poškozený BIOS ze své záložní kopie. Každá z těch událostí posune otisk prostředí, proti kterému čip klíč uvolňuje.

Odtud plyne jednoduché pravidlo: klíč mějte po ruce vždycky, když se chystá cokoli pod úrovní operačního systému. Nemusí jít o návštěvu dílny. O klíč si řekne i stroj, kterému jste doma sami nahráli novější firmware, i notebook, na kterém IT oddělení přenastavilo zabezpečení. Liší se jen to, jestli ho během minuty opíšete z papíru, nebo jestli začnete hledat, když už je pozdě.

Tři místa, odkud se klíč dá získat, dokud stroj naběhne

Dokud se počítač přihlásí do Windows, je situace ve vašich rukou a nabízí se hned několik cest. Každá zabere pár minut a nevyžaduje žádné nářadí ani zásah do systému.

Účet Microsoft. Pokud se do Windows hlásíte tímhle způsobem, klíč tam nejspíš leží už od okamžiku, kdy se ochrana zapnula — ukládá se tam sám. Zobrazíte si ho z libovolného jiného přístroje v přehledu svých zařízení. Vyfoťte si ho nebo opište, jen ne do toho počítače, kterého se to týká.

Papír. Windows umožňují obnovovací klíč vytisknout a v naší dílenské praxi je to varianta, která zklame nejméně často: list papíru nepotřebuje heslo, baterii ani připojení k síti. Patří do desek s dokladem o koupi, do šuplíku, do trezoru — jen ne do brašny, která cestuje spolu s notebookem.

Jiné médium. Třetí cesta je uložení souboru na flash disk, do vlastního úložiště nebo do počítače, kterého se oprava netýká. Zní to samozřejmě, a přesto se nejčastější chyba dělá právě tady: soubor s klíčem skončí na ploše téhož šifrovaného disku. Tam je naprosto k ničemu, protože ve chvíli, kdy ho budete potřebovat, se k němu nedostanete.

Ať už zvolíte kteroukoli možnost, přidejte na konec jeden krok navíc. Windows u každého chráněného disku ukazují krátký identifikátor a ten si poznamenejte spolu s klíčem. Když máte doma dva notebooky a oba chráněné, je to jediný způsob, jak později poznat, který zápis patří kterému stroji.

• účet Microsoft — v přehledu zařízení položka s obnovovacími klíči
• vytištěný list uložený mimo brašnu s počítačem
• soubor na flash disku, který s přístrojem necestuje
• zápis ve správci hesel dostupném z jiného počítače
• u firemního kusu evidence, kterou vede správce sítě

Ve firmě klíč nedrží uživatel, ale správce

V organizaci se klíče obvykle sbírají centrálně. Zařízení je při zapnutí ochrany odevzdá do správy, kterou vede IT, a člověk u stolu se k nim vůbec nedostane — a ani nemusí. Pro objednání opravy z toho plyne jediný praktický důsledek: žádost o klíč nesměřuje ke kolegovi, ale ke správci.

Ordinace se čtyřmi ProBooky to obvykle vyřeší tak, že si před odesláním nechá k sériovému číslu vypsat klíč a vytiskne ho na samostatný list, který jede v obálce spolu s přístrojem. Projekční kancelář, kde každý ZBook drží rozpracované zakázky, má zase zvyk celou skupinu vypsat jednou za rok a uložit výpis do trezoru vedle smluv.

Horší je to tam, kde firma vyrostla rychleji než její správa. Malá společnost, která notebooky nakupovala postupně po jednom kuse a každý nastavoval někdo jiný, klíče nikde pohromadě nemá. Stroj, kterému nastavení kdysi udělal zaměstnanec, jenž už dávno odešel, je v takové kanceláři ten úplně nejrizikovější kus.

Co se stane, když klíč nemá vůbec nikdo?

Tohle je místo, kde se nedá nic zjemnit. Bez klíče je obsah disku nečitelný a nečitelný zůstane. Neexistuje nástroj, kterým bychom ho rozluštili, a neumí to ani výrobce počítače — jeho vlastní podklady to říkají otevřeně. Zbývá disk přeformátovat, nasadit systém znovu a smířit se se ztrátou všeho, co bylo uložené jenom tam.

Šifrovaný disk se tím zásadně liší od úložiště, které selhalo mechanicky. U vadného disku existuje aspoň teoretická naděje, že se něco přečte po kouscích. Tady ne: zašifrovaná data vypadají po vyjmutí disku do cizího počítače jako náhodný shluk znaků a náhodným shlukem znaků zůstanou napořád.

Ptáme se proto na klíč ještě dřív, než přístroj vůbec otevřeme, a stejnou otázku najdete i v objednávkovém formuláři. Není to formalita ani krytí zad. Je to poslední okamžik, kdy se dá rozhodnutí o osudu dat ještě otočit — jakmile je deska venku, zpátky se nevrací nic.

Příprava, kterou zvládnete za jeden večer

Celé to má pět kroků a vejde se do doby, než doběhne film. Rodina, která posílá pětiletý notebook kvůli uvolněnému napájecímu konektoru, ani netuší, že se ho chystaná práce může dotknout — a přitom je to právě ten typ zakázky, kde se občas sahá na desku.

Domácnosti tuhle otázku často odbydou větou, že žádné šifrování přece nemají. U strojů koupených v posledních letech to bývá omyl: ochrana bývá aktivní od prvního spuštění, aniž by se někdo ptal, a navenek se nijak neprojeví. Deset minut ověření je proto levnější než jakákoli varianta toho druhého scénáře.

Zálohu dat za vás uděláme rádi, ale jen na výslovné přání a po vzájemné dohodě — není to součást běžné zakázky. U šifrovaného disku na to navíc upozorňujeme dopředu: chybí-li obnovovací klíč, zůstane obsah zavřený úplně všem, nás nevyjímaje. Pokud vám z toho něco není jasné, zeptejte se ještě před odesláním, ne až potom.

1. Ověřte v nastavení Windows, jestli je systémový disk chráněný.
2. Nechte si klíč zobrazit a uložte ho na dvě místa, z nichž ani jedno není tenhle počítač.
3. Připište si k němu identifikátor disku, ať víte, ke kterému stroji patří.
4. Přeneste si dokumenty a fotografie na externí médium — šifrování je chrání, ale zálohu nenahradí.
5. Do popisu závady uveďte, že je disk šifrovaný, a teprve pak objednejte svoz.

Časté dotazy

Tenhle text jsme naposledy kontrolovali 22. září 2026.