BitLocker di Windows 11 tengah menjadi sorotan setelah seorang peneliti keamanan menunjukkan bahwa proteksi enkripsi disk itu bisa dilewati dengan bantuan USB stick dan beberapa langkah fisik di perangkat. Temuan ini membuat banyak pihak waspada, karena BitLocker selama ini dipakai sebagai pengaman utama agar isi drive tetap sulit diakses saat laptop hilang atau dicuri.
Yang membuat kasus ini semakin ramai dibicarakan adalah dugaan bahwa perilaku mekanismenya tidak sekadar menyerupai bug biasa. Peneliti bernama Nightmare-Eclipse bahkan menyebut cara kerjanya tampak seperti backdoor, karena alur yang terjadi dinilai sulit dijelaskan secara wajar.
Eksploit yang dipamerkan lewat YellowKey
Celah itu ditunjukkan melalui proof of concept bernama YellowKey yang dirilis pada 12 Mei. Targetnya mencakup Windows 11 serta Windows Server 2022 dan 2025, sementara Windows 10 disebut tidak terdampak.
Eksploit ini bekerja pada BitLocker dengan mode TPM-only, yaitu konfigurasi yang umum dipakai di banyak perangkat konsumen. Nightmare-Eclipse juga mengklaim metode serupa dapat bekerja pada konfigurasi TPM+PIN, meski versi itu tidak dipublikasikan.
Cara bypass berjalan lewat WinRE
Menurut rincian yang dipublikasikan, seluruh eksploit disiapkan di folder yang bisa dipindahkan ke USB stick. Folder bernama FsTx itu ditempatkan pada jalur tertentu di dalam direktori System Volume Information.
Setelah USB dipasang ke perangkat Windows 11 yang terkunci, proses dilanjutkan dengan masuk ke Windows Recovery Environment atau WinRE. Pengguna menahan Shift sambil menekan Restart, lalu melepas Shift dan menahan tombol CTRL pada momen reboot agar command prompt dengan akses tanpa pembatasan ke volume terenkripsi bisa terbuka.
Dari titik itu, drive yang dilindungi BitLocker dapat dipasang menggunakan diskpart dan isi datanya bisa dibaca. Nightmare-Eclipse juga menyebut USB stick bukan satu-satunya jalur, karena folder FsTx dapat ditulis ke partisi sistem EFI jika drive target sempat dilepas, lalu drive dipasang kembali dan pemicu celah tetap bekerja.
Konfirmasi independen menambah kekhawatiran
Klaim tersebut tidak berhenti pada demonstrasi pembuatnya. Peneliti keamanan KevTheHermit mengatakan telah berhasil mereproduksi langkah itu pada Windows 11 build 10.0.26100.1 dan membagikan hasilnya di X.
Konfirmasi dari pihak lain membuat YellowKey lebih sulit dianggap sebagai klaim sepihak. Hal ini juga memperkuat kekhawatiran karena celah tersebut menyasar konfigurasi BitLocker yang lazim digunakan pada perangkat konsumen.
Mengapa peneliti curiga ada unsur sengaja
Kontroversi lain muncul dari lokasi komponen yang memicu bypass. Dalam penjelasan YellowKey, komponen yang bertanggung jawab atas celah hanya ada di image WinRE, sementara komponen dengan nama yang sama di instalasi Windows normal tidak memiliki fungsi pemicu bypass.
Nightmare-Eclipse menyebut temuan itu sebagai alasan utama kecurigaannya. Ia mengatakan tidak menemukan penjelasan lain selain kemungkinan bahwa mekanisme tersebut dibuat secara sengaja.
Windows 10 tidak terdampak, penyebabnya belum jelas
Salah satu bagian paling aneh dari kasus ini adalah Windows 10 yang justru tidak terdampak. Hingga kini, penyebab perbedaan itu belum diketahui secara jelas.
Nightmare-Eclipse juga mengakui akar masalahnya belum dipahami publik secara menyeluruh. Eksploitnya sudah ada dan bekerja, tetapi alasan teknis paling mendasar mengapa hal itu bisa terjadi masih belum terjawab sepenuhnya.
Langkah pengamanan yang paling masuk akal
Beralih dari TPM-only ke TPM+PIN terdengar seperti langkah logis, tetapi peneliti menyatakan konfigurasi itu juga tidak membantu. Sampai saat ini, belum ada pihak di luar Nightmare-Eclipse yang menguji klaim tersebut pada TPM+PIN untuk mengonfirmasi atau membantahnya.
Karena itu, pencegahan akses fisik ke perangkat menjadi mitigasi yang paling kuat saat ini. Untuk lingkungan perusahaan yang masih memakai TPM-only lewat kebijakan, ancamannya bahkan dinilai setara dengan drive yang tidak terenkripsi sampai tambalan tersedia.
Microsoft belum mengeluarkan pengakuan publik atas YellowKey maupun menetapkan CVE pada saat pernyataan itu dibuat. Perusahaan hanya menyatakan berkomitmen menyelidiki laporan masalah keamanan, memperbarui perangkat yang terdampak secepat mungkin, dan mendukung coordinated vulnerability disclosure.
Perbaikan juga tidak akan sederhana karena bug berada di image WinRE, bukan di sistem operasi utama. Riwayat pembaruan partisi pemulihan pun tidak selalu mulus, sehingga perhatian kini tertuju pada seberapa cepat dan rapi Microsoft bisa menutup celah ini.
