كانت BitLocker تحت تدقيق عام متزايد في الأشهر الأخيرة، حيث كانت الثغرات مثل YellowKey تحظى باهتمام الإعلام. من خلال استخدام بيئة استعادة ويندوز (WinRE)، تمكنت YellowKey من تجاوز إعدادات معينة لBitLocker، مما مكنها من فك تشفير الأقراص التي كان يجب أن تكون محمية. بينما تم تصحيح هذه المشكلة بسرعة، تركت خطورة هذا الاكتشاف العديد من المعنيين بقلق بشأن أمان BitLocker.
ما يتم التغاضي عنه غالبًا في المناقشات حول YellowKey هو أنها ليست نوعًا جديدًا من الثغرات؛ لقد تم استخدام الأخطاء في WinRE لتجاوز BitLocker لسنوات. إحدى الأسباب التي جعلت إرشادات المركز الوطني للأمن السيبراني NCSC تشجع دائمًا على استخدام رمز PIN لBitLocker هي منع هذه الأنواع من الهجمات. وعلى الرغم من الأوصاف المبالغ فيها لمؤلف YellowKey التي قارنها بفتحة خلفية، كانت مايكروسوفت صريحة جدًا بشأن ذلك. في عام 2025، اكتشفت مايكروسوفت وأصلحت أربع ثغرات مشابهة جدًا، وقدمتها في مؤتمر بلاك هات للأمن، بالإضافة إلى مدونة تشرح كيفية عمل هذه الثغرات وكيفية الحماية منها. إذا كنت أحاول إخفاء شيء ما، فإن ذلك بالتأكيد ليس هو ما سأبدأ به.
توصي إرشادات NCSC بتكوين BitLocker ليتطلب رمز PIN، مما يقلل من خطر ثغرة YellowKey. ولكن السؤال الأساسي هو، لماذا تستمر هذه الهجمات في الحدوث؟ إذا كانت WinRE تشكل تهديدًا كبيرًا لBitLocker، فلماذا لم يتم إصلاحها؟
الإجابة هي أن هذه المشكلة تتعلق بمبادئ التصميم المتضاربة بقدر ما تتعلق بالأخطاء الفردية. تعمل WinRE لضمان أنه يمكنك استعادة بياناتك حتى لو حدث خطأ ما. لتحقيق ذلك، لا يقوم BitLocker بتشفير الملفات المرتبطة بWinRE (لأن مشكلة في BitLocker قد تكون هي السبب الذي يجعلك بحاجة إلى استرداد البيانات). هذا الغياب للتشفير يترك فجوة يمكن استغلالها من قبل ثغرات مثل YellowKey، وطالما أن هذا القرار التصميمي قائم، ستستمر الثغرات مثل YellowKey في الظهور.
لهذا فإن تكوين BitLocker ليتطلب رمز PIN أمر حيوي. يتطلب التحقق من هوية المستخدم قبل استخدام WinRE مساعدة في حماية عنصر من ويندوز يمكن استغلاله بشكل فريد. من هذه الناحية، فإن استخدام BitLocker بدون رمز PIN سيكون دائمًا تدبيرًا غير مكتمل؛ الأمر مجرد مسألة وقت قبل اكتشاف ثغرات جديدة في نظام تشغيل كبير مثل ويندوز. لم تكن YellowKey المرة الأولى التي يتم فيها استخدام WinRE لتجاوز BitLocker، ولن تكون الأخيرة.
Source: UK NCSC (Cyber) (13 August 2026)
