Windows 10のセキュアブート更新が引き起こすBitLocker回復モードの誤作動――原因と回避策を徹底解説

Microsoftは現在、BitLockerの回復モードを意図せず起動させてしまうWindows 10のバグの修正に取り組んでいます。このバグは、セキュアブート（Secure Boot）の脆弱性に対処するために配信された最新の更新プログラムとともに、Windows 10にもたらされたものです。

BitLocker回復モードのバグとは？

問題の発端となったのは、2021年1月にWindowsシステム向けにリリースされた更新プログラム「KB4535680」です。

この更新は本来、セキュアブートの不具合を解消するためのセキュリティ更新でした。セキュアブートとは、信頼されていないOSがPC上で起動するのをブロックするセキュリティ機能であり、ルートキットやブートキットなど、危険度の高いマルウェアからの保護を主な役割としています。

しかし、KB4535680には副作用があり、BitLockerに影響を与えるバグが意図せず組み込まれてしまいました。このバグが発動するとBitLocker回復モードが実行され、BitLocker回復キーの入力を求められることになります。詳細については、MicrosoftのSecurity Updateブログ（英語）をご確認ください。

「ネイティブUEFIファームウェア構成用のTPMプラットフォーム検証プロファイルを構成する」というBitLockerグループポリシーが有効で、ポリシーによりPCR7が選択されている場合、PCR7バインドが不可能な一部のデバイスではBitLocker回復キーが要求される可能性があります。具体的には、PCR7を除外してこのポリシーを設定すると、「整合性の検証にセキュアブートを許可する」グループポリシーが上書きされます。その結果、BitLockerはプラットフォームやブート構成データ（BCD）の整合性検証にセキュアブートを使用できなくなり、ファームウェア更新時にBitLocker回復が発生する場合があります。

影響を受けるWindowsのバージョン

このBitLocker回復モードのバグは、以下の複数のWindowsバージョンに影響を及ぼしています。

• Windows Server 2012（x64）
• Windows Server 2012 R2（x64）
• Windows 8.1（x64）
• Windows Server 2016（x64）
• Windows Server 2019（x64）
• Windows 10 バージョン1607（x64）
• Windows 10 バージョン1803（x64）
• Windows 10 バージョン1809（x64）
• Windows 10 バージョン1909（x64）

なお、このエラーに遭遇した場合は、Microsoftが公開しているBitLocker回復キーのガイドを参照することをおすすめします。回復キーは、Microsoftアカウントに紐づくオンラインページや、セットアップ時に印刷・保存したファイル、企業環境であればIT管理者から確認できるケースもあります。

BitLocker回復モードのバグへの回避策

BitLocker回復モードには回避策が存在しますが、適用できる方法はデバイスの構成によって異なります。ポイントとなるのは、デバイスでCredential Guardがどのように構成されているか、そして当該更新プログラムをすでにインストール済みかどうかの2点です。

Credential Guardが無効で、更新未適用の場合

デバイスでCredential Guardが有効になっておらず、更新プログラムもまだインストールされていない場合は、管理者権限でコマンドプロンプトを開き、次のコマンドを実行して「1回の再起動サイクルの間だけBitLockerを一時停止」できます。

Manage-bde –Protectors –Disable C: -RebootCount 1

このコマンドを実行してからセキュリティ更新（その他の重要なセキュリティ修正も含まれています）をインストールし、システムを再起動すれば、BitLocker回復モードに遭遇することなく作業を完了できます。

Credential Guardが有効で、更新未適用の場合

一方、デバイスでCredential Guardが有効になっており、更新プログラムがまだインストールされていない場合は、複数回の再起動が必要になることがあります。その際は、BitLockerの一時停止回数を3回に増やす次のコマンドを使用してください。

Manage-bde –Protectors –Disable C: -RebootCount 3

まとめ：慌てずに冷静に対応しよう

いずれの場合も、BitLocker回復モードのバグに遭遇してもパニックになる必要はありません。コマンドによる一時停止という回避策が用意されているほか、Microsoft自身もこの問題の正式な修正に取り組んでいます。今後の更新情報に注意しながら、落ち着いて対応しましょう。