# Překonání ochrany heslem u zařízení WD My Passport a WD My Book s hardwarovým šifrováním Oficiální HTML: Poslední aktualizace této textové reprezentace: 2026-04-10T13:17:07+02:00 Toto je textová reprezentace veřejné stránky MyBlueDay. Aktuální podmínky a kontakty ověřte na oficiálním webu. Externí disky WD My Passport, WD My Book a WD Elements Desktop používají hardwarové šifrování AES‑256 realizované buď v USB‑SATA bridge čipu, nebo přímo v řadiči disku. Při poruše elektroniky, ztrátě hesla nebo naformátování nemusí být obnova dat nemožná, závisí na generaci šifrování, zachování DEK a stavu bridge. Článek vysvětlí technické principy, jednotlivé scénáře selhání a reálné možnosti jak zachránit data v laboratorních podmínkách při poškození disků Western Digital. ## Proč externí disky Western Digital (WD) šifrují téměř vždy Běžná představa je, že **šifrování externího disku WD** začne fungovat až ve chvíli, kdy si uživatel nastaví heslo v aplikaci WD Security, případně v novějších nástrojích WD Discovery nebo SanDisk Memory Zone Desktop. Ve skutečnosti je situace složitější. U mnoha moderních externích disků Western Digital, zejména řad My Passport a My Book, **probíhá hardwarové šifrování dat** na úrovni zařízení průběžně už od okamžiku, **kdy je disk uveden do provozu**. To znamená, že data se na médium neukládají v čitelné podobě, ale v podobě šifrované, a to i tehdy, pokud uživatel žádné heslo nikdy nenastavil. Právě proto bývá [záchrana dat z disků WD My Passport a Elements](https://www.myblueday.cz/zachrana-a-obnova-dat-z-disku-wd-my-passport/) v některých případech výrazně složitější, než se na první pohled zdá. ![Zaheslovaný - šifrovaný disk WD](https://www.myblueday.cz/assets/img/obrazky/wd-unlock.jpg) Heslo nastavené přes WD Security / Discovery **neslouží jako šifrovací klíč**. Jeho úlohou je zamknout přístup k tzv. **DEK** ( *Data Encryption Key* ) - symetrickému klíči AES‑256, kterým jsou data reálně šifrována. DEK je generován při výrobě (nebo při prvním erase) a uložen v šifrované podobě v oblasti firmware, přičemž k jeho dešifrování se používá odvozenina uživatelského hesla (KEK - *Key Encryption Key* ). Pokud **heslo nastaveno není**, bridge čip DEK odemyká automaticky a transparentně; **uživatel o šifrování vůbec neví**. Z toho vyplývá velmi důležitý důsledek pro praxi záchrany dat. **Obsah uložený na plotnách** nebo v interním úložném prostoru disku nemusí být **bez správné elektroniky, firmware** a odpovídajícího šifrovacího kontextu **vůbec použitelný**, i když je samotné médium mechanicky v pořádku. Právě proto může být [obnova dat z disku WD My Book](https://www.myblueday.cz/zachrana-a-obnova-dat-z-disku-western-digital-wd-my-book/) nebo jiného externího WD zařízení s hardwarovým šifrováním technicky náročná a vyžaduje **velmi opatrný postup bez neodborných pokusů** o výměnu elektroniky či improvizované zásahy. Tento princip má zásadní důsledek: **data na plotnách těchto HDD jsou vždy šifrovaná** . Bez přístupu ke správnému DEK je obsah ploten kryptograficky nečitelný, i když jsou mechanicky zcela v pořádku. --- ## Dvě generace šifrování: bridge vs. disk WD v průběhu let nasadil dvě odlišné architektury hardwarového šifrování. Pochopení rozdílu mezi nimi je klíčové pro volbu správného postupu při obnově dat. ### 1. generace - šifrování v USB‑SATA bridge U starších modelů (typicky My Passport a My Book vyráběných přibližně do roku 2015–2017, ale s přesahy v obou směrech) šifrování provádí čip na PCB externího boxu, nejčastěji řadiče **Symwave / Initio INIC‑1607E** , **JMicron JMS538S** a především **JMicron JMS569** . DEK je uložen v EEPROM nebo v oblasti flash paměti bridge čipu. Praktický důsledek: samotný **HDD uvnitř boxu obsahuje šifrovaná data**, ale žádnou informaci o klíči. Pokud dojde k poruše bridge PCB (přepětí, poškozený USB konektor, vadný čip), disk sice fyzicky pracuje, ale bez původního bridge s uloženým DEK nelze data dešifrovat. **Typické scénáře selhání a možnosti záchrany:** - **Poškození USB konektoru nebo pasivních součástek na bridge PCB** - Pokud je samotný bridge čip (a paměť s DEK) nepoškozený, lze PCB opravit nebo přenést EEPROM/flash čip na funkční donor PCB. Po obnovení komunikace se bridge chová standardně a data dešifruje transparentně. - **Destrukce bridge čipu** - Situace je komplikovanější, ale ne nutně beznadějná. DEK je uložen v EEPROM/flash odděleně od bridge čipu. V laboratorních podmínkách lze tuto paměť vyčíst, extrahovat zašifrovaný DEK a s pomocí specializovaných nástrojů (např. moduly v rámci PC‑3000) provést dešifrování off‑line, tedy načíst surový obsah ploten přes SATA a aplikovat DEK softwarově. - **Ztracený bridge (disk bez původního boxu)** - Bez EEPROM/flash z původního bridge nelze DEK získat. Pokud uživatel zná heslo, v některých případech existuje cesta k rekonstrukci DEK z hesla za znalosti konkrétní implementace (liší se podle bridge čipu). Bez hesla i bez bridge je obnova prakticky nerealizovatelná. ### 2. generace - šifrování v řadiči disku (Self‑Encrypting Drive) Novější modely (většina My Passport od cca 2018+, My Book s „přímým" USB řadičem, část Elements Desktop) přesouvají šifrování přímo do firmware samotného HDD nebo SSD. Disk sám je SED ( *Self‑Encrypting Drive* ) a šifruje data na úrovni svého interního řadiče. Bridge v tomto případě slouží pouze jako USB‑SATA převodník bez šifrovací funkce. DEK je uložen v servisní oblasti (SA - *Service Area* ) disku, tedy na plotnách v záhlaví, ke kterému má přístup pouze firmware disku. **Typické scénáře selhání a možnosti záchrany:** - **Porucha bridge PCB** - Protože šifrování probíhá v disku, nikoliv v bridge, stačí připojit disk přes jakýkoliv kompatibilní SATA rozhraní (přímo k PC, přes dock, přes funkční donor bridge). Data budou čitelná (za předpokladu, že heslo buď nebylo nastaveno, nebo je známé a zadané přes firmware disk‑lock mechanismus). - **Porucha elektroniky samotného disku (PCB disku)** - Vyžaduje donor PCB stejného modelu/revize a transplantaci servisních dat (adaptivních parametrů) včetně šifrovacích metadat z původní ROM/flash na PCB. Bez správného přenosu těchto dat nelze DEK odemknout. - **Porucha hlav / mechanické poškození** - Pokud je servisní oblast (SA) na plotnách čitelná, lze po výměně hlav a stabilizaci disku DEK extrahovat a data dešifrovat. Pokud je SA poškozená, situace je kritická, klíč nemusí být rekonstruovatelný. --- ## Vložené heslo „nefunguje" - co se však skutečně děje? Jedním z nejčastějších případů, se kterými se v MyBlueDay setkáváme, je situace, kdy uživatel zadává heslo, které si pamatuje, ale **disk hlásí nesprávné heslo**. Než se uchýlíte k jakýmkoliv razantním krokům, projděte následující kontrolní body: **Běžné příčiny falešného „špatného hesla":** Rozložení klávesnice je jiné než při nastavení hesla (anglická vs. česká, QWERTZ vs. QWERTY). Caps Lock nebo Num Lock je v jiném stavu. Heslo bylo nastaveno na starší verzi WD Security, která heslo hashuje odlišně než novější verze. Disk byl nastaven s funkcí auto‑unlock na konkrétním počítači - na jiném stroji se tváří jako zamčený, ale na „původním" počítači se odemkne automaticky. WD Drive Unlocker (virtuální CD oddíl na disku) používá jinou verzi unlock rutiny než nainstalovaná WD Security. **Co nedělat:** Po sérii neúspěšných pokusů o zadání hesla může WD firmware nabídnout provedení erase (smazání) disku. Tato operace je nevratná, tj. neprovádí se běžný formát, ale **kryptografický erase** : disk vygeneruje nový DEK a starý zahodí. Původní data tím okamžitě a definitivně ztrácí jakoukoliv vazbu na dešifrovací klíč. Žádná laboratoř na světě je poté neobnoví. Stejně destruktivní je použití funkce „reset password" nebo „erase drive" v aplikaci WD Security / WD Discovery. --- ## Naformátování / smazání zaheslovaného disku Relativně častý scénář: uživatel zapomene heslo, provede erase, a teprve poté si uvědomí hodnotu ztracených dat. Nebo naopak: disk přestane reagovat, uživatel jej v Disk Managementu „inicializuje" a naformátuje. U šifrovaných WD disků je situace následující: - **Kryptografický erase (přes WD Security / WD firmware)** – Nový DEK byl vygenerován. Původní data jsou kryptograficky nedostupná. Obnova není možná. - **Rychlý formát přes OS (bez předchozího erase)** - Pokud nebyl vyměněn DEK (tj. nedošlo ke kryptografickému erase, pouze se přepsaly souborové tabulky), data na plotnách jsou stále šifrována původním DEK, který zůstává platný. V takovém případě je obnova reálná: laboratorně se načte surový obraz, dešifruje se původním DEK a z dešifrovaného obrazu se obnoví souborová struktura. - **Plný formát / přepis daty** - DEK zůstává platný, ale obsah ploten je přepisován novými (šifrovanými) daty. Rozsah obnovy závisí na míře přepisu. --- ## Praktický postup záchrany dat v MyBlueDay Při příjmu zaheslovaného nebo šifrovaného WD disku postupujeme podle následujícího standardního schématu: **Identifikace modelu a generace šifrování.** Z označení modelu, čísla PCB a revize firmware zjistíme, zda jde o bridge‑based šifrování (1. generace) nebo SED šifrování (2. generace). Toto určuje veškeré další kroky. **Diagnostika stavu hardware.** Ověříme funkčnost bridge PCB, stav EEPROM/flash s DEK (u 1. generace), stav elektroniky a mechaniky samotného disku, čitelnost servisní oblasti (u 2. generace). **Zajištění DEK.** U bridge šifrování extrahujeme DEK z EEPROM/flash paměti bridge čipu - pokud je to možné, primárně z původního PCB, případně z vyčtené paměti na poškozené desce. U SED disků pracujeme s DEK uloženým v servisní oblasti ploten. **Vytvoření bitové kopie.** Surový obraz disku pořizujeme na úrovni sektorů, buď přes původní (opravený) bridge, přes SATA s off‑line dešifrováním, nebo v případě mechanického poškození po výměně hlav v čistém prostředí. **Off‑line dešifrování a obnova dat.** Z bitové kopie a známého DEK provedeme dešifrování a následnou rekonstrukci souborového systému. --- ## Bezpečnost WD hardwarového šifrování z pohledu uživatele **AES‑256 je z kryptografického hlediska silný standard** a při správné implementaci poskytuje ochranu, kterou **nelze obejít hrubou silou**. Síla ochrany dat na WD discích ale závisí nejen na algoritmu samotném, nýbrž na celé řadě implementačních detailů: jakým způsobem je DEK odvozen a uložen, jak silně je chráněn proti fyzické extrakci, jaký je mechanismus odvození KEK z hesla (počet iterací, použitý KDF), a **zda firmware neobsahuje známé zranitelnosti**. U starších bridge čipů byly v minulosti publikovány výzkumné práce dokumentující slabiny v implementaci (např. možnost extrahovat DEK přímo z EEPROM bez znalosti hesla u některých revizí Initio a JMicron řadičů). Novější generace tyto problémy řeší lépe, ale žádná implementace nemusí být imunní vůči fyzickému přístupu k hardware za laboratorních podmínek. Pro uživatele, kteří potřebují skutečně robustní šifrování citlivých dat, doporučujeme zvážit vrstvu softwarového šifrování na úrovni operačního systému ([BitLocker](https://www.myblueday.cz/disk-zaheslovany-sifrovanim-bitlocker), [FileVault](https://www.myblueday.cz/apple-core-storage-slozeni-a-mozne-problemy-s-obnovou-dat/), VeraCrypt) s vlastní správou klíčů, nezávisle na tom, zda disk nabízí hardwarové šifrování. Obě vrstvy se vzájemně nevylučují a softwarové šifrování poskytuje uživateli plnou kontrolu nad klíči a recovery mechanismy. --- ## Kdy má smysl kontaktovat laboratoř na záchranu dat Pokud **řešíte zaheslovaný WD disk a data mají hodnotu**, klíčové pravidlo zní: **neexperimentujte** . **Každý neúspěšný pokus** o zadání hesla, každá inicializace v Disk Managementu, každý formát nebo vymazaní dat **snižuje šanci na úspěšnou záchranu dat**. V případě kryptografického erase ji eliminuje zcela. **Ideální postup:** odpojte disk, nepokoušejte se o další odemykání a obraťte se na specializované pracoviště. V MyBlueDay provádíme bezplatnou vstupní diagnostiku, na jejímž základě dokážeme určit generaci šifrování, stav DEK a reálnou šanci na obnovu dat dříve, než se přistoupí k jakémukoliv zásahu.