Знаете, сколько стоит иллюзия, что ваши рабочие файлы «зашифрованы по умолчанию»? Я сейчас не про лицензию Windows, а про реальные деньги и контракты. Корпорации платят миллионы за соответствие стандартам, госструктуры требуют BitLocker на каждом ноутбуке — и всё это держится на одном допущении: ключ шифрования надёжно спрятан в специальном чипе TPM. А теперь оказывается, что этот чип можно обмануть USB-флешкой за пару секунд. И цена этого заблуждения — не абстрактная «утечка данных», а вполне конкретные контракты, доступы и репутации.

Я тут с утра в это вчитывалась, и меня передёрнуло. Исследователь под псевдонимом Nightmare-Eclipse выложил в открытый доступ эксплойт YellowKey. Не буду давать ссылки, сами понимаете. Ars Technica, на которую я опираюсь, подтверждает: всё работает. Microsoft уже в курсе, заявили, что расследуют. Всё серьёзно.

Эксплойт обходит BitLocker в стандартной конфигурации Windows 11. Знаете, когда вы покупаете новый ноутбук с предустановленной «одиннадцатой», включаете шифрование устройства — и считаете, что данные в безопасности, если ноутбук украдут? Вот это перестало работать.

Я села разбираться, как вообще папка на флешке может обмануть железный чип. И честно — сначала не поверила.

Флешка и странная папка: как это вообще работает

Вся магия — в кастомной директории FsTx. Я посмотрела, что это значит: FsTx — это папка, которая эксплуатирует механизм под названием транзакционная NTFS (или TxF). Представьте, что вы в супермаркете с корзиной: обычно вы можете положить что-то назад на полку на кассе. TxF работает как принцип «всё или ничего» — либо вся корзина проходит через кассу одновременно, либо покупка полностью отменяется и всё возвращается назад. Это удобно для баз данных, чтобы не было «половинчатых» записей. Но оказалось, что этот механизм можно обмануть, подсунув ему специально собранную папку FsTx с нужным содержимым.

А теперь главное — про TPM (Trusted Platform Module). Это отдельный чип прямо на материнской плате, по сути железный сейф для ключей шифрования. BitLocker по умолчанию доверяется ему полностью: система просыпается, ключ достаётся из этого чипа автоматически, без вопросов. Удобно, как автоматическая дверь в бизнес-центре по пропуску. Но YellowKey каким-то образом убеждает этот сейф, что флешка — это легитимный владелец, и сейф просто отдаёт ключ.

Я перечитала инструкцию три раза. Там буквально:

  1. Скопировать папку FsTx с сайта исследователя на обычную USB-флешку (NTFS или FAT).
  2. Подойти к выключенному ноутбуку с включенным BitLocker.
  3. Вставить флешку и включить ноутбук.
  4. Всё. Данные ваши.

Это работает на дефолтных конфигурациях — не на каких-то специально ослабленных настройках, а на том, что Microsoft называет «стандартная защита». Папка на флешке обходит железный чип. Я всё ещё немного в шоке от этого.

Почему это не просто «ну, технологии сломались»

Практически любой владелец ноутбука с Windows 11, где включена стандартная защита BitLocker, в зоне риска. Но особенно — те, кто работает с конфиденциальными данными вне офиса.

Госслужащий с ноутбуком в командировке. Инженер с чертежами в кофейне. Бухгалтер с отчётностью в поезде. Если кто-то физически заберёт устройство, пока оно выключено, стандартная защита превращается в декоративную наклейку. А теперь представьте, сколько корпоративных контрактов требуют обязательного использования BitLocker и сколько госзаказов на это завязано.

Да, у атаки есть условия. Требуется физический доступ к выключенному устройству. Если ноутбук включён или в спящем режиме — другая история. Если включены дополнительные меры вроде предзагрузочного PIN-кода (это когда система спрашивает пароль ещё до появления окна Windows, как код на входной двери перед квартирой) — возможно, защита сработает. Но стандартная конфигурация этого не требует, и большинство пользователей об этом даже не знают.

BitLocker всё ещё защищает от других угроз: если кто-то украдёт жёсткий диск отдельно от ноутбука, данные не прочитают без TPM оригинального устройства. Но для кражи целого ноутбука — теперь это почти декоративный элемент.

Пока Microsoft думает: что делать уже сегодня

Я не говорю, что всё пропало. Но иллюзия надёжности теперь точно разбита. Наш любимый «безопасный» BitLocker на стандартных настройках — просто наклейка на отмычку.

Если вы не хотите оказаться героем следующей утечки:

  • Не полагайтесь на BitLocker в стандартной конфигурации для устройств, которые могут физически попасть в чужие руки. Особенно если на них данные, за которые вам потом будет стыдно.
  • Включите предзагрузочный PIN-код — это когда Windows спрашивает пароль ещё до загрузки системы, не доверяя ключ из чипа TPM.
  • Используйте BitLocker с паролем вместо TPM — меньше удобства, но ключ не сидит в чипе, который можно обмануть флешкой.
  • Заклейте или физически защитите USB-порты на критических устройствах — брутально, но эффективно против физической атаки.
  • Если вы админ — срочно проверьте, какие машины в вашей сети используют стандартную конфигурацию с TPM. Это теперь не безопасность, а декорация.

Microsoft, надо полагать, готовит патч. Но пока он не вышел, каждый ноутбук с Windows 11 и стандартным BitLocker — это коробка с прозрачной крышкой. И хорошо, что мы узнали об этом сейчас, а не после того, как кто-то прочитал чужие секреты с флешки в бизнес-зале аэропорта.

Материалы