Как работает режим гибернации в windows 10 — Ваш верный помощник с OS Windows

Полное выключение компьютера

Чтобы завершить работу, нажмите кнопку Пуск , а затем выберите Power > Завершение работы .

Спящий режим

В спящем режиме потребляется очень мало электроэнергии, компьютер запускается быстрее, и вы можете продолжить с того, на чем остановились. Если батарея разрядится, вы не потеряете внесенные изменения. Windows автоматически сохранит вашу работу и выключит компьютер при низком уровне заряда батареи. Используйте спящий режим, если вы ненадолго отходите от компьютера, например чтобы выпить кофе.

Многие компьютеры (особенно ноутбуки и планшеты) переходят в спящий режим, когда вы закрываете крышку или нажимаете кнопку питания.

Чтобы настроить компьютер на переход в спящий режим при закрытии крышки или нажатии кнопки питания:

Выберите Поиск на панели задач, введите панель управления и выберите ее в результатах.
Выберите Система и безопасность.
В разделе Параметры питания выберите Изменить действия кнопок питания.
Нажмите Изменение параметров, которые сейчас недоступны.
Выберите параметры с учетом того, как должен работать спящий режим:
- Для ноутбука разверните список При закрытии крышки в столбце От батареи и выберите Сон. При желании повторите это для столбца От сети.
- Для компьютера, планшетного ПК или ноутбука разверните список Действие при нажатии кнопки питания в столбце От батареи и выберите Сон. При желании повторите это для столбца От сети.
Выберите Сохранить изменения.

Когда вам понадобится перевести компьютер в спящий режим, просто нажмите кнопку питания вашего настольного компьютера, планшетного ПК или ноутбука или закройте крышку ноутбука.

На большинстве компьютеров, чтобы продолжить работу, нужно нажать кнопку питания. Однако не все компьютеры одинаковые. На некоторых компьютерах можно возобновить работу нажатием любой клавиши на клавиатуре, щелчком мыши или открытием крышки ноутбука. Прочтите документацию к компьютеру или перейдите на веб-сайт изготовителя, чтобы получить дополнительные сведения.

Режим гибернации

Эта возможность была разработана специально для ноутбуков и может быть доступна не на всех компьютерах. (Например, на компьютерах с InstantGo нет режима гибернации.) В режиме гибернации компьютер потребляет меньше энергии, чем в спящем режиме. После включения вы вернетесь к моменту приостановки работы (хотя и не так быстро, как после спящего режима).

Режим гибернации рекомендуется, если вы не планируете использовать ноутбук или планшет в течение длительного промежутка времени и у вас не будет возможности подзарядить батарею. Сначала проверьте, есть ли такая возможность в вашем компьютере. Если есть, включите ее.

Чтобы настроить компьютер так, чтобы он смог гибернировать, выполните следующие действия:

Выберите Поиск на панели задач, введите панель управления и выберите ее в результатах.
Выберите Система и безопасность.
В разделе Параметры питания выберите Изменить действия кнопок питания.
Нажмите Изменение параметров, которые сейчас недоступны.
В разделе «Параметры завершения работы» выберите Режим гибернации.
Выберите Сохранить изменения.

Теперь вы можете перевести компьютер в режим гибернации несколькими различными способами:

Нажмите Пуск и выберите Выключение > Гибернация.
Нажмите клавишу с логотипом Windows + X на клавиатуре, а затем выберите Завершить работу или выйти > гибернации.
Вы также можете установить закрытие крышки или нажатие кнопок питания или спящего режима для перехода компьютера в режим гибернации, если вы хотите, используя те же инструкции в разделе Настройка компьютера, чтобы он переходил в спящий режим при закрытии крышки или нажатии кнопки питания.

Примечание: Если после выхода из спящего режима или режима гибернации подключенные к вашему компьютеру устройства (например, монитор, принтер или сканер) не работают должным образом, могут потребоваться отключение и повторное подключение устройств или перезагрузка компьютера. Кроме того, необходимо убедиться, что у вас установлены самые свежие версии драйверов для всех устройств.

Источник

Когда компьютер под управлением Windows 10 остаётся без присмотра, он переходит в один из режимов низкого потребления энергии. Речь про «Сон» и «Гибернацию». Оба могут быть активированы автоматически, а также вручную из меню контроля питания операционной системы. Обсудим их различия.

Какие различия есть у режима «Сна», а также «Гибернации»

Многие пользователи Windows 10 отождествляют «Сон» и «Гибернацию». Между данными режимами операционной системы для низкого энергопотребления компьютера действительно есть очевидные сходства. Они отличаются, прежде всего, типом сохраняемой информации, а также способом хранения данных.

Сохранение информации

«Сон» — открытые файлы вместе с несохранёнными в них данными сохраняются в оперативной памяти.
«Гибернация» — открытые файлы, а также данные, которые вы не успели сохранить, записываются на диск.

Потребление энергии

«Сон» — компьютер в данном режиме потребляет очень мало энергии.
«Гибернация» — в этом режиме потребление энергии сведено к нулю, и система фактически выключается.

Доступность режимов

«Сон» — данный режим работы операционной системы Windows 10 доступен на абсолютно всех компьютерах.
«Гибернация» — она доступна не на всех компьютерах под контролем Windows 10. К примеру, если в системе используется InstantGo (особенный режим сна с сохранением подключения к интернету), указанного режима в ней не будет. Более того, экономия энергии с его помощью может быть банально выключена по умолчанию.

Возможно, вы неправильно оставляете компьютер. Чем отличаются «Сон» и «Гибернация» в Windows 10

Повреждение SSD

«Сон» — в рамках данного режима твердотельные накопители не могут быть повреждены, срок их службы сокращаться не будет.
«Гибернация» — известно, что этот режим может сократить срок службы ранних моделей твердотельных накопителей. Впрочем, более новые SSD данному недоразумению не так уж подвержены.

Повреждение HDD

Ни «Сон», ни «Гибернация» не могут негативно сказаться на времени полезного использования жёсткого диска или неожиданно повредить его.

Активность индикаторов

«Сон» — в данном режиме аппаратные индикаторы компьютера, если таковые имеются, могут показывать работу накопителя, а также другие признаки активности.
«Гибернация» — любые аппаратные индикаторы в данном случае окажутся неактивными. При взгляде на компьютер невозможно будет понять, работает ли он в данный момент времени или выключен.

Начало использования

«Сон» — данный режим отличается максимально быстрым переходом к использованию после паузы.
«Гибернация» — операционная система Windows 10 выходит из данного режима достаточно долго.

Вывод из режима

«Сон» — выйти из него получится с помощью клавиши питания, любой кнопки на клавиатуре или мыши.
«Гибернация» — вывести компьютер из данного режима получится только с помощью клавиши питания.

Когда нужно использовать режим «Сна», а когда «Гибернацию»

Так как режимы «Сна» и «Гибернации» зачастую доступны в рамках одной и той же системы, у пользователя появляется выбор. Обычно «Сон» рекомендуют, когда нужно сделать короткий промежуток в работе с компьютером продолжительностью от 15 минут до одного часа. Что касается «Гибернации», то её включают, когда в использовании Windows 10 запланирован продолжительный промежуток. После возобновления использования в данном случае работа абсолютно всего активного софта будет продолжена с того же места, на котором была взята пауза, — этим «Гибернация» отличается от выключения компьютера.

«Гибернацию» применяют далеко не все только потому, что средний компьютер выходит из неё достаточно долго. Именно поэтому для длительного промежутка в использовании Windows 10 многие просто выключают машину. Во время активации этого процесса пользователям предлагается сохранить все открытые файлы, поэтому про потерю данных беспокоиться не нужно. Более того, включение компьютера по времени сравнимо с его выходом из режима «Гибернации», поэтому заморачиваться с ним хотят далеко не все. Единственное, после выключения и запуска системы все приложения придётся запускать повторно.

В Windows 10 есть также особенный «Гибридный спящий режим». Он представляет собой нечто среднее между традиционным «Сном» и «Гибернацией». В его рамках данные, которые необходимы для продолжения работы, записываются на диск, а не сохраняются в оперативной памяти. При этом они периодически обновляются, когда это нужно. В активный из «Гибридного спящего режима» компьютер переходит быстрее, чем из «Гибернации», но медленнее, чем из «Сна». Когда Windows 10 находится в указанном состоянии, операционная система продолжает расходовать энергию, но делает это медленнее, чем в режиме «Сон».

При выборе между «Сном» и «Гибернацией» пользователи обычно руководствуются производительностью компьютера. Если он очень быстрый и довольно проворно справляется с режимом «Гибернации», то её можно активно использовать. В противном случае лучше отдать предпочтению традиционному «Сну».

Источник: AddictiveTips.

Источник

Привет, друзья. Эту статью мы посвятим вопросу – как включить гибернацию в Windows 10. Гибернация – это один из трёх режимов энергосбережения операционной системы от Microsoft наряду со спящим режимом и гибридным спящим режимом. Сама операционная система отдаёт меньшее предпочтение гибернации, по умолчанию предлагая пользователю в качестве альтернативы выключению компьютера спящий режим. Тем не мене гибернация условно используется на ноутбуках. И при желании мы также можем пользоваться ей в отдельных ситуациях, когда именно этот режим энергосбережения будет целесообразен. Ну и вот, собственно, давайте ниже разберём, что такое гибернация, как она работает, чем отличается от двух других режимов энергосбережения Windows 10, и как её включить.

Как включить гибернацию в Windows 10

Что такое гибернация

Итак, друзья, режим гибернации Windows 10 – один из трёх режимов энергосбережения этой операционной системы, унаследованных актуальной версией от версий-предшественниц. Своё название режим получил от англ. hibernation — «зимняя спячка» из-за сходства принципа работы с зимней спячкой некоторых животных. Появилась гибернация ещё в Windows XP, но она называлась спящим режимом. Начиная с Vista спящим режимом стал называться усовершенствованный ждущий режим Windows XP, а первичный спящий режим стал гибернацией. Три режима энергосбережения – это спящий режим, гибридный спящий режим и, собственно, гибернация.

Примечание: все эти три режима, друзья, могут быть не на каждом ПК, ноутбуке, моноблоке или прочем компьютерном устройстве. Устройства должны аппаратно поддерживать режимы энергосбережения. И их поддержка не должна быть выключена в BIOS. Какие из режимов энергосбережения поддерживает конкретно ваше компьютерное устройство, вы можете посмотреть с помощью командной строки. Запустите её от имени администратора и введите:

Далее вы получите перечень всех доступных вам режимов энергосбережения режимов. И также в этом перечне будет отображаться технология быстрого запуска Windows 10, которая, кстати, работает на базе гибернации. Спящий режим в этом перечне отображается как ждущий режим (S3). Вот в этом случае на ПК доступны все три режима.

А вот, например, на виртуальной машине VMware ни спящий режим, ни гибернация недоступны.

Эти три режима энергосбережения предназначены для экономного расходования заряда аккумулятора портативных компьютеров и электроэнергии стационарными компьютерами. Они являют собой более удобную альтернативу выключению компьютера на случаи, когда нам нужно на время отлучиться от него, это альтернатива, сохраняющая наш рабочий сеанс. Если нам в течении дня необходимо на какое-то время отойти от компьютера, нам не нужно закрывать все наши программы и файлы, выключать компьютер, потом снова его включать, запускать по новой программы и файлы. При погружении в режим энергосбережения операционная система фиксирует наш рабочий сеанс – все наши фоновые процессы, активные программы, открытые окна, документы и проекты. И потом восстанавливает всё это при выходе из режима энергосбережения. Для выхода из любого такого режима нужно нажать кнопку питания, любую клавишу на клавиатуре или пошевелить мышкой. Восстановление из режима энергосбережения занимает меньше времени, чем включение Windows 10, и избавляет от рутинных действий по новому запуску всех нужных нам программ и файлов. Между собой три режима энергосбережения отличаются оперативностью возобновления рабочего сеанса и эффективностью экономии энергии.

Гибернация – это самый эффективный в плане экономии энергии режим. При погружении в него наш рабочий сеанс сохраняется в специальный файл на жёстком диске, и компьютер отключается полностью, т.е. от электропитания отключаются все его компоненты. Но восстановление рабочего сеанса из гибернации происходит дольше, чем при других режимах. Дольше потому, что записанный на жёстком диске сеанс работы должен быть выгружен в оперативную память. У спящего режима этот процесс отсутствует, поскольку наш сеанс сохраняется непосредственно в оперативной памяти. Потому спящий режим более быстрый в плане восстановления работы компьютера. Однако он менее эффективный в плане экономии энергии, чем гибернация. При спящем режиме отключаются все компоненты, кроме оперативной памяти, где хранится наш сеанс, на этот компонент компьютера продолжает поступать питание. Но, друзья, как вы знаете, оперативная память не способна сохранять данные при отсутствии питания, и, если в спящем режиме произойдёт сбой питания – разрядится аккумулятор ноутбука или в случае с ПК в электросети произойдёт сбой, наш рабочий сеанс будет утерян. И вот третий режим энергосбережения — гибридный спящий режим – являет собой компромисс между спящим режимом и гибернацией. Он работает по принципу обычного спящего режима, т.е. обеспечивает оперативность восстановления данных. Но в гибридном спящем режиме наш рабочий сеанс дополнительно переписывается с оперативной памяти на жёсткий диск. И мы свой сеанс получим восстановленным, если даже произойдёт сбой питания.

Гибернация, друзья, не является дефолтным режимом энергосбережения Windows 10. Операционная система отдаёт предпочтение спящему режиму. Именно он реализован в опциях завершения работы системы, и уход именно в него настроен по умолчанию при определённом времени бездействия компьютера. Более подробно о спящем режиме, о всех его преимуществах можете почитать в статье сайта «Спящий режим Windows 10». Также в этой статье вы найдёте инструкцию по включению гибридного спящего режима, если сочтёте его более подходящим к вашей ситуации. Мы же вернёмся к гибернации. По умолчанию в Windows 10 уход в гибернацию назначается только для ноутбуков по истечении 180 минут нахождения устройства в спящем режиме. Таким образом операционная система упреждает потерю рабочего сеанса из-за разрядки аккумулятора в спящем режиме.

Итого, друзья, о гибернации. Она дольше других режимов энергосбережения восстанавливает наш рабочий сеанс. Поскольку она хранит данные нашего рабочего сеанса на жёстком диске, она производит дополнительные операции перезаписи, а, соответственно, изнашивает ресурс SSD. Но она надёжна в плане сохранности нашего рабочего сеанса. Такая надёжность, конечно, не нужна, если в помещении, где стоит ПК, нечасто происходят перебои с электропитанием. И если с аккумулятором ноутбука всё в порядке. Повторюсь, гибернация сама включится на ноутбуке после трёх часов нахождения в спящем режиме. Но если у вас часто происходят перебои с электропитанием, если аккумулятор ноутбука сильно изношен, в таком случае вам лучше предпочесть дефолтному спящему режиму гибернацию. Давайте разберём дальше, как включить гибернацию в Windows 10 и настроить её автоматическое применение после спящего режима.

Как включить гибернацию в Windows 10

Чтобы включить гибернацию, отправляемся в системные настройки электропитания. В поле команды «Выполнить» или в системный поиск вписываем:

Кликаем «Действия кнопок питания».

Здесь, если хотите, можете назначить погружение в режим гибернации на кнопку питания компьютера или на клавишу сна, если у вас расширенная клавиатура.

Если у вас ноутбук, гибернацию вы можете назначить ещё и на закрытие крышки. И также вам будут доступны варианты назначения всего этого отдельно, когда ноутбук работает от батареи, и отдельно, когда он работает от сети. Назначенный при питании от сети спящий режим оставляйте как есть, а вот при питании от батареи либо на кнопку питания, либо на закрытие крышки можете назначить гибернацию.

Но можете кнопки не трогать, а просто добавить гибернацию в перечень вариантов завершения работы. Жмём «Изменение параметров, которые сейчас недоступны»

Ставим галочку «Режим гибернации» и жмём «Сохранить изменения».

И вот у нас гибернация появилась в вариантах выключения компьютера в меню «Пуск».

И также она появилась в вариантах выключения компьютера в меню по клавишам Win+X.

Важно: если у вас гибернация не появилась в вариантах выключения компьютера, возможно, у вас гибернация отключена на системном уровне. Чтобы включить, запустите командную строку от имени администратора, введите:

И смотрите, появилась ли гибернация в числе вариантов выключения компьютера.

Также, друзья, вы можете создать на рабочем столе или закрепить на панели задач Windows 10 кнопку погружения компьютера в гибернацию. На пустом рабочем столе делаем клик правой клавишей мыши, выбираем создание ярлыка.

Вписываем объект:

C:\Windows\System32\rundll32.exe PowrProf.dll,SetSuspendState

Называем объект «Гибернация». Жмём «Готово».

На созданном ярлыке делаем клик правой клавишей мыши, запускаем свойства. В свойствах меняем значок и можем задать свои горячие клавиши.

Автоматический уход в гибернацию

А как сделать так, чтобы компьютер при бездействии автоматически погружался не в сон, как это предусмотрено Windows 10, а в гибернацию? Настройка автоматического погружения в гибернацию так прямо не предусмотрена операционной системой, но мы можем использовать настройки гибернации после сна, как это назначено по умолчанию на ноутбуках. Идём снова в настройки электропитания (в системный поиск или команду «Выполнить» вписываем powercfg.cpl). Жмём «Настройки перехода в спящий режим».

Жмём «Изменить дополнительные параметры питания».

В пункте «Сон» раскрываем подпункт «Гибернация после». Здесь на ПК будет стоять значение «Никогда», а на ноутбуках должно стоять 180 минут (отдельно для питания от батареи и отдельно для питания от электросети). И вот нам нужно указать, через какое время после погружения в сон мы хотим, чтобы компьютер уходил в гибернацию. При необходимости вы можете выставить самое минимальное значение в 1 минуту.

***

Вот это, друзья, всё, что касается такой функции, как гибернация, и как её включить в Windows 10. Дополнительно о ней вы также можете узнать в статье сайта «Как отключить гибернацию в Windows 10». Там мы будем говорить о файле гибернации hiberfil.sys, об уменьшении размера этого файла, а также об отключении этой функции.

Источник

В процессе изъятия и анализа настольных компьютеров последние, как правило, отключаются от сети электропитания. В результате отключения питания может быть утерян доступ к некоторым типам данных — в зависимости от того, в каком состоянии находился компьютер на момент отключения. В этой статье рассматривается разница между состояниями сна, гибридного сна и гибернации, а также штатного выключения системы с активной функцией «быстрого запуска».

Состояния сна и гибернации

Компьютер включён, находится в режиме сна или гибернации? Если компьютер включён, заблокирован ли экран и есть ли доступ к пользовательской сессии? В зависимости от ответов на эти вопросы подход к анализу устройства может сильно отличаться.

Внимание: в статье рассматриваются различные режимы сна для настольных компьютеров. Ноутбуки, ультрабуки и устройства 2-в-1, способные функционировать в режиме ожидания, могут быть защищены посредством шифрования BitLocker Device Encryption.

При наличии доступа к авторизованной пользовательской сессии рекомендуем просканировать компьютер на предмет наличия подключённых зашифрованных дисков и активных зашифрованных виртуальных машин. В случае, когда такие диски или виртуальные машины присутствуют, имеет смысл извлечь из оперативной памяти компьютера соответствующие ключи шифрования при помощи Elcomsoft Forensic Disk Decryptor и/или исследовать содержимое зашифрованных разделов, не выключая устройство. Если компьютер будет выключен, существует риск потери доступа к зашифрованным данным.

Доступ к данным может быть утрачен по причине того, что ключи шифрования, которые хранятся в оперативной памяти включённого компьютера, могут не восстанавливаться после его выключения, и для монтирования зашифрованного диска или виртуальной машины может потребоваться ввести пароль. Различаются следующие ситуации:

Компьютер перезагружен или выключен (штатным образом или отключением электропитания). Большинство программ шифрования дисков (за исключением BitLocker в режиме TPM) удаляет ключи шифрования из памяти; для повторного монтирования зашифрованного диска или виртуальной машины потребуется ввести пароль.
Сон или гибернация. В большинстве программ шифрования дисков и виртуальных машин с настройками по умолчанию ключи из оперативной памяти не удаляются. При этом пользователь может самостоятельно (или через корпоративные политики безопасности) настроить шифрование дисков BitLocker (за исключением системного) таким образом, чтобы пароль для их разблокирования требовался и в этом случае. В случае использования VeraCrypt доступны опциональные настройки в приложении, которые размонтируют зашифрованные диски при переходе компьютера в состояние сна или гибернации.

Картинка с сайта: blog.elcomsoft.ru
Экран компьютера заблокирован. Это самостоятельный случай, который определяется в политиках безопасности отдельно от состояний сна/гибернации. По умолчанию в этом состоянии BitLocker не размонтирует зашифрованные диски, а для VeraCrypt доступна опциональная настройка (по умолчанию — выключено).

Различия между режимами энергосбережения Windows 10: сон, гибернация, гибридный сон, быстрый запуск

В настольных компьютерах Windows 10 определено несколько режимов энергосбережения, с каждым из которых связан ряд особенностей.

Сон

Режим сна — первый из энергосберегающих. По умолчанию в Windows 10 включён режим так называемого «гибридного» сна (см. скриншот), однако пользователь может вручную изменить эту настройку.

Если настройка «гибридного» сна не включена, то компьютер не будет сохранять содержимое оперативной памяти на диск. Если «спящий» компьютер будет отключён от сети электропитания, всё содержимое оперативной памяти будет утрачено, и при последующем включении зашифрованные диски (за исключением конфигураций BitLocker+TPM) смонтированы не будут.

Для предотвращения такой ситуации был разработан режим «гибридного» сна.

Гибридный сон

В этом режиме компьютер будет сохранять содержимое оперативной памяти на диск в момент ухода в сон. При этом на модули оперативной памяти будет по-прежнему подаваться питание, что позволит компьютеру мгновенно «проснуться». В случае, когда во время сна компьютер отключается от электросети, при его последующем включении содержимое оперативной памяти будет подгружено с диска и таким образом полностью восстановлено. Как правило, в этом случае восстанавливается и доступ к зашифрованным дискам и виртуальным машинам (если в их настройках не прописано исключение).

Гибернация

В режиме гибернации содержимое оперативной памяти также сохраняется на диске, а модули оперативной памяти обесточиваются. При пробуждении компьютера содержимое оперативной памяти всегда считывается с диска (из файла гибернации). С точки зрения программ шифрования дисков этот режим не отличается от режимов сна и гибридного сна.

Быстрый запуск

Быстрый запуск — функция Windows 10, предназначенная для сокращения времени загрузки после выключения (эта функция не задействуется между перезагрузками, а также в случаях некорректного выключения компьютера). Если эта настройка активирована (по умолчанию она включена), то в процессе штатного выключения компьютера на диск сохраняется небольшой файл гибернации. В файл попадает образ памяти ядра и сервисов системы; данные пользователя не сохраняются. В файл не должны попадать ключи шифрования (например, ключи BitLocker).

В то же время «не должны» не всегда означает «не попадают». Разработчики криптоконтейнера VeraCrypt отмечают возможность утечки ключей шифрования к дискам, которые были смонтированы на момент штатного отключения компьютера. Эту утечку пользователь может предотвратить, активировав неочевидную настройку Activate encryption of keys and passwords stored in RAM.

После активации этой настройки (и перезагрузке VeraCrypt) приложение будет хранить ключи шифрования в оперативной памяти в защищённом виде. Утечку ключей в файл гибернации и файл, создаваемый для «быстрой загрузки», разработчики VeraCrypt решили предельно прямолинейно путём отключения обеих функций на уровне системных настроек. В журнале howtogeek приводится объяснение:

“Быстрый запуск может угрожать безопасности зашифрованных дисков. Пользователи программ шифрования, таких как TrueCrypt, сообщают, что зашифрованные контейнеры, которые они установили перед выключением своей системы, были автоматически смонтированы при включении компьютера. Чтобы решить эту проблему, можно вручную размонтировать зашифрованные диски перед выключением компьютера. (Функция быстрого запуска не влияет на режим полного шифрования диска TrueCrypt, только на зашифрованные контейнеры. Также она не касается пользователей BitLocker.)”

Соответственно, при включении шифрования ключей в оперативной памяти VeraCrypt отключает функции быстрого запуска и гибернации в Windows. Если же пользователь не включил шифрование ключей памяти (а знает о существовании этой опции очень небольшое количество пользователей), то ключи VeraCrypt можно извлечь из файла гибернации. В случае отключения компьютера в режиме «быстрого запуска» из созданного небольшого файла гибернации можно попробовать извлечь ключи от криптоконтейнеров VeraCrypt (но не от тех дисков, в которых используется полнодисковое шифрование) при помощи Elcomsoft Forensic Disk Decryptor.

Анализ файла гибернации

Итак, файл гибернации создаётся в следующих ситуациях:

Штатное выключение компьютера, если режим быстрого запуска в настройках Windows разрешён.
Сон, если в настройках Windows разрешён «гибридный» режим.
Гибернация.

Небольшой файл гибернации, созданный во время операции выключения, если активирован режим быстрого запуска, можно просканировать на наличие ключей от криптоконтейнеров TrueCrypt/VeraCrypt (но не ключей шифрования дисков, если используется полнодисковое шифрование). Файлы гибернации, созданные с помощью второго и третьего варианта, можно сканировать на предмет всех типов ключей шифрования, включая BitLocker + TPM.

Чтобы просканировать файл гибернации на предмет ключей шифрования, выполните следующие действия.

Запустите Elcomsoft Forensic Disk Decryptor. В главном окне выберите опцию Decrypt or mount the disk.

В настройках Key mining options выберите «Hibernation file«. Если вы знаете, какой именно криптоконтейнер использовался, отметьте его в настройках для ускорения поиска. Если вы не знаете, какой тип шифрования использовался, выберите все доступные параметры. В этом случае поиск займёт больше времени.

Нажмите Next для начала сканирования. Как только ключи будут обнаружены, они будут отображены в окне результатов. Ключи можно сохранить в файл и использовать для расшифровки или монтирования дисков.

Теперь можно переходить к расшифровке диска.

Укажите тип криптоконтейнера, выберите файл с ключами шифрования и нажмите Next.

Если ключи шифрования были обнаружены, инструмент предложит вам либо расшифровать диск целиком, либо смонтировать его в виде тома. Монтирование осуществляется через драйвер виртуального диска ImDisk (устанавливается вместе с Elcomsoft Forensic Disk Decryptor). Для этого нажмите Mount:

Режим сна и модули TPM: эксплуатация уязвимости «страшный сон TPM»

В любых системах безопасности встречаются уязвимости. Не избежали этой участи и модули TPM. В 2018 году корейские исследователи Seunghun Han, Wook Shin, Jun-Hyeok Park и HyoungChun Kim из National Security Research Institute представили на конференции Usenix научную работу под названием «Страшный сон».

Когда компьютер уходит в «спящий режим», TPM сохраняет свое состояние в NVRAM, а при выходе из этого режима восстанавливает его. И вот в этот момент некоторые модели модулей TPM позволяют подменить содержимое PCR регистров. Модуль TPM также ведет свой внутренний журнал, что позволяет узнать всю «цепочку доверия» в тот момент, когда в штатном режиме загружалась Windows, и модуль отдавал мастер-ключ шифрования диска. Исследователи тут же поставили в известность крупнейших производителей материнских плат: Intel, Lenovo, Gigabyte, Dell, hp. Уязвимость была закрыта в обновлениях BIOS. Однако очень немногие пользователи устанавливают обновления BIOS, так что в мире ещё много компьютеров, уязвимых к этой атаке.

Seunghun Han написал две утилиты:

Napper for TPM: https://github.com/kkamagui/napper-for-tpm

Имеет смысл запустить сначала его; это утилита для проверки TPM модуля на предмет наличия уязвимости «страшных снов». На странице есть ссылка на скачивание образа Live CD; достаточно записать его на USB накопитель (я для этих целей обычно пользуюсь отличной отечественной программой Rufus) и загрузить с неё исследуемый компьютер. К сожалению, все компьютеры в нашей тестовой лаборатории оказались неуязвимыми к этой атаке.

Вторая утилита это сам эксплоит: https://github.com/kkamagui/bitleaker

К сожалению, ее нет в виде Live CD, поэтому придется повозиться сначала с установкой Ubuntu на USB накопитель или внешний диск, а потом собрать и установить Bitleaker согласно инструкции. Для загрузки этой системы нужно либо отключить Secure Boot, либо подписать модифицированные загрузчик и ядро своей подписью и внести публичный ключ в BIOS компьютера. Подробную инструкцию можно найти, например, здесь.

Учтите, что добавление нового доверенного сертификата тоже изменяет содержимое регистров PCR, поэтому я бы советовал просто отключить Secure Boot при загрузке.

REFERENCES:

Elcomsoft Forensic Disk Decryptor

Elcomsoft Forensic Disk Decryptor обеспечивает моментальный доступ к содержимому зашифрованных дисков, созданных BitLocker, FileVault 2, PGP Disk, TrueCrypt и VeraCrypt. Доступны режимы полной расшифровки и оперативного доступа к информации. Ключи для расшифровки содержимого зашифрованных дисков извлекаются из слепка оперативной памяти компьютера, методом атаки через порт FireWire либо анализом файла гибернации. Возможно использования паролей и депонированных ключей.

Официальная страница Elcomsoft Forensic Disk Decryptor »

Источник