VeraCrypt救援盘

• 如果启动时意外缺少VeraCrypt密码提示（例如，出现Windows启动错误或自动修复界面），则VeraCrypt引导加载程序可能已损坏。在EFI启动模式下，固件启动菜单中的VeraCrypt引导项也可能已被更改或删除。 VeraCrypt救援盘可帮助您恢复对加密Windows系统的访问。您仍然需要输入正确的密码。 如果您有意隐藏了密码提示或设置了自定义引导消息，仅凭这一点并不能判断加载程序已损坏。

  EFI启动模式：

  如果固件显示Secure Boot Violation（安全启动违规）或类似的安全拒绝消息，或者因安全启动而拒绝启动救援USB盘， 请先按照EFI安全启动中的恢复说明操作。恢复文件不会改变固件的信任策略。

  请关闭Caps Lock，并使用小写字母选择菜单项。救援盘菜单使用固件的键盘布局；如果采用美式布局， 法式AZERTY键盘上标有,的按键会输入m。

  1. 断开无关的USB存储设备和外部磁盘。从为您的加密Windows系统创建的VeraCrypt救援盘（USB盘）启动计算机。
  2. 选择Restore VeraCrypt loader binaries to system disk（将VeraCrypt加载程序二进制文件恢复到系统磁盘，按r键）。 如果出现Select EFI boot volume:（选择EFI启动卷）提示，请根据列出的设备路径确定要恢复的Windows系统所使用的卷，并明确输入其编号。 [Boot]标记表示候选项，其中也可能包含其他可启动设备。如果无法确定正确的卷，请停止操作，不要开始恢复。 如果只找到一个候选卷，则会自动选择该卷。
  3. 等待出现VeraCrypt Loader restored to disk successfully（VeraCrypt加载程序已成功恢复到磁盘）消息。 返回救援盘菜单是正常现象。此操作不会显示密码提示，也不会重新启动计算机。
  4. 要直接启动恢复后的加载程序，如果菜单中有Boot VeraCrypt loader from system disk（从系统磁盘启动VeraCrypt加载程序）选项，请选择该项（按b键）。 否则，请取出救援盘并重新启动计算机。此时应出现VeraCrypt密码提示。

  如果正常重新启动时仍绕过VeraCrypt，请再次从救援盘启动计算机，然后选择 Restore VeraCrypt loader to boot menu（将VeraCrypt加载程序恢复到启动菜单，按m键）。如果提示选择卷，请选择执行r操作时使用的同一个EFI启动卷。 此操作会将VeraCrypt置于固件启动顺序的首位，排在所有其他引导管理器之前。 返回救援盘菜单且未出现错误后，请取出救援盘并再次重新启动计算机。

  如果未找到合适的EFI启动卷，救援盘菜单会显示Not Ready（未就绪）。 如果恢复操作或直接启动尝试报告错误，请先记录错误消息，再尝试其他恢复操作。

  Windows启动后，请按照下面的恢复后的操作说明，在需要时更新加载程序并创建新的救援盘。

  MBR传统启动模式：

  从救援盘启动前，请断开无关的外部磁盘。MBR修复会写入BIOS列出的第一个磁盘（磁盘0）。 在确认Modify drive 0? (y/n)（是否修改磁盘0？）提示前，请确保该磁盘是加密的系统磁盘。

  在救援盘界面中选择Repair Options（修复选项） > Restore VeraCrypt Boot Loader（恢复VeraCrypt引导加载程序）。 按Y键确认操作。出现VeraCrypt Boot Loader restored.（VeraCrypt引导加载程序已恢复）消息后，按任意键返回修复菜单。 取出救援盘并重新启动计算机。 此时应出现VeraCrypt密码提示。

• 如果VeraCrypt引导加载程序频繁损坏（例如，由于设计不当的激活软件），或者如果您不希望VeraCrypt引导加载程序驻留在硬盘上（例如，如果您想为其他操作系统使用替代的引导加载程序/管理器），您可以直接从VeraCrypt救援盘启动（因为它也包含VeraCrypt引导加载程序），而无需将引导加载程序恢复到硬盘。对于EFI启动模式，只需将救援盘插入USB端口，从它启动计算机，然后在救援盘界面上选择Boot VeraCrypt loader from rescue disk（从救援盘启动VeraCrypt加载程序）。对于MBR传统启动模式，您需要将救援盘插入CD/DVD驱动器，然后在救援盘界面中输入您的密码。

  在VeraCrypt 1.19至1.26.24版本创建的EFI救援介质上，此菜单项实际会从系统磁盘启动加载程序，而不是从救援USB盘启动。 请使用当前版本的VeraCrypt重新创建救援盘，以使用修正后的救援启动流程。

• 如果您多次输入正确的密码，但VeraCrypt仍提示密码错误，则可能是主密钥或其他关键数据已损坏。VeraCrypt救援盘可让您恢复它们，从而重新访问您的加密系统和数据（不过，请注意，您仍然需要输入正确的密码）。对于EFI启动模式，在救援盘界面中选择Restore OS header keys（恢复操作系统头密钥）。对于MBR传统启动模式，请选择Repair Options（修复选项） > Restore key data (volume header)（恢复密钥数据，即卷头）。然后输入您的密码，按“Y”确认操作，从USB端口或CD/DVD驱动器中取出救援盘，然后重新启动计算机。
  
  注意：此功能不能用于恢复驻留有隐藏操作系统的隐藏卷的头（请参阅隐藏操作系统部分）。要恢复此类卷头，请点击选择设备，选择诱饵系统分区后面的分区，点击确定，选择工具 > 恢复卷头，然后按照说明操作。
  
  警告：使用VeraCrypt救援盘恢复密钥数据时，您也会恢复创建VeraCrypt救援盘时有效的密码。因此，每当您更改密码时，您应该销毁您的VeraCrypt救援盘并创建一个新的（选择系统 -> 创建救援盘）。否则，如果攻击者知道您的旧密码（例如，通过键盘记录器捕获），并且他随后找到了您的旧VeraCrypt救援盘，他可以使用它来恢复密钥数据（用旧密码加密的主密钥），从而解密您的系统分区/驱动器。
• 如果Windows损坏且在VeraCrypt密码提示中输入正确密码后无法启动，VeraCrypt救援盘可让您在Windows启动前永久解密分区/驱动器。对于EFI启动，在救援盘界面中选择Decrypt OS（解密操作系统）。对于MBR传统启动模式，请选择Repair Options（修复选项） > Permanently decrypt system partition/drive（永久解密系统分区或驱动器）。输入正确的密码，等待解密完成。然后，您可以例如启动您的MS Windows安装CD/DVD来修复您的Windows安装。请注意，此功能不能用于解密驻留有隐藏操作系统的隐藏卷（请参阅隐藏操作系统部分）。
  
  注意：或者，如果Windows损坏（无法启动）并且您需要修复它（或访问其上的文件），您可以通过以下步骤避免解密系统分区/驱动器：如果您的计算机上安装了多个操作系统，请启动不需要预启动身份验证的操作系统。如果您的计算机上没有安装多个操作系统，您可以启动WinPE或BartPE CD/DVD或Linux Live CD/DVD/USB。您还可以将系统驱动器作为辅助或外部驱动器连接到另一台计算机，然后启动该计算机上安装的操作系统。启动系统后，运行VeraCrypt，点击选择设备，选择受影响的系统分区，点击确定，选择系统 > 无需预启动身份验证挂载，输入您的预启动身份验证密码，然后点击确定。该分区将作为常规VeraCrypt卷挂载（数据将在访问时在RAM中进行即时解密/加密，如往常一样）。
• 在MBR传统启动模式下，您的VeraCrypt救援盘包含第一个驱动器磁道原始内容的备份（在将VeraCrypt引导加载程序写入该磁道之前制作），并允许您在必要时恢复它。第一个磁道通常包含系统加载程序或引导管理器。在救援盘界面中，选择Repair Options（修复选项） > Restore original system loader（恢复原始系统加载程序）。

在启用安全启动的EFI启动模式下，VeraCrypt救援盘使用创建救援盘时计算机当前安全启动db所信任、由Microsoft UEFI CA签名的引导加载程序套件。VeraCrypt 2023引导加载程序套件需要Microsoft UEFI CA 2023和Microsoft Option ROM UEFI CA 2023；2011套件需要Microsoft Corporation UEFI CA 2011。如果之后更改了固件或安全启动db条目，请创建新的VeraCrypt救援盘。在仅信任一代Microsoft UEFI CA的计算机上创建的救援盘，可能无法在仅信任另一代CA的计算机上通过安全启动。

在EFI系统上，启用自动引导加载程序修复后，VeraCrypt服务会在Windows启动、会话登录或解锁、从睡眠恢复以及关机时刷新已安装的加载程序。 对引导项的更改遵循系统 > 设置中的选项。

恢复后的操作： 较旧的救援盘可能会将已安装的加载程序替换为旧版本或使用另一套安全启动证书的加载程序。 如果您使用了较旧的救援介质或禁用了自动引导加载程序修复，请以修复/重新安装模式运行与已安装VeraCrypt版本对应的安装程序。 手动更改固件中的安全启动信任条目后，也请这样做。 然后选择系统 > 创建救援盘来创建新的救援盘，并通过系统 > 验证救援盘进行检查。 请在不连接救援盘的情况下重新启动一次，以确认正常启动已恢复。

如果你的VeraCrypt救援盘损坏，你可以通过选择系统 > 创建救援盘来创建一个新的救援盘。要确定你的VeraCrypt救援盘是否损坏，请将其插入USB端口（在MBR传统启动模式下插入CD/DVD驱动器），然后选择系统 > 验证救援盘。