BitLocker 加密功能科普与使用指南

TL;DR

Windows 出厂自带用于保护数据安全的 Bitlocker 功能。然而，如果对其缺乏了解，这个功能可能导致 全盘数据丢失 的严重后果。因此，应阅读本文，了解使用此功能的最佳实践，或关闭 BitLokcer

注意

如果你的计算机并不是自己购买/配置，登录的不是自己的 Microsoft 账号（或者不知道是谁的），务必认真阅读本文并搞清楚情况！

BitLocker 简介

BitLocker 是微软自 Windows Vista 起提供的全磁盘/分区加密功能，用于保护存储在硬盘上的数据免于泄露。Windows 10/11 中，BitLocker 默认启用。

主要作用：

家庭版 v.s. 企业版

Windows 家庭版中，BitLocker 功能以“设备加密”这一名称提供。它实际上就是对全盘的 BitLocker 加密（不能分驱动器管理）。二者在设置操作上有细微的差异，但本质相同。

Windows 10 及以上的 Windows 操作系统中，Bitlocker 通常默认启用。当用户正常使用 Microsoft 账号登录 Windows 后，系统会自动使用受保护的密钥在后台完成数据的解密与加密，用户通常无需操作。
启动验证：现代品牌机通常都搭载了 TPM（可信平台模块），系统启动时会验证 BIOS、引导文件等是否被篡改。验证通过后，TPM才会释放密钥，允许系统启动；否则将进入恢复模式，要求输入恢复密钥。

BitLocker的风险主要集中在密钥管理和操作失误上。

恢复密钥丢失 = 数据永久丢失 BitLocker 的设计原则就是“没有密钥就无法解密”。如果忘记了密码，且丢失了备份的恢复密钥，数据基本无法通过常规手段恢复。
加密/解密过程意外中断在加密或解密过程中，若遭遇断电、系统崩溃或强制关机，可能导致磁盘数据结构损坏，造成数据丢失或无法访问。
系统或硬件变更触发恢复模式更换主板、升级 BIOS/UEFI 固件、修改启动顺序、TPM 重置等操作，都可能使 BitLocker 判定系统环境不安全，从而进入恢复模式，要求输入恢复密钥。在某些条件下，恢复模式可能被误触发。
对性能的影响部分配置下，加解密操作对硬盘的读写性能会有轻微的影响，但通常不会被用户感知。

当系统启动时，若检测到不安全因素，Bitlocker 会进入恢复模式，要求输入 48 位恢复密钥。这种情况下，由于 Bitlocker 采用XTS-AES-128加密，没有恢复密钥，破解的可能性几乎为 0。如果此时找不到恢复密钥，只能选择全盘格式化后重装系统，放弃所有数据。

此时需要设法找到保存的密钥。

Microsoft账户：在另一台设备上访问此网站。登录你的 Microsoft 账户可以在这里检阅你备份到 Microsoft 账户的所有恢复密钥。
打印的纸质备份：如果你曾创建过纸质备份，你可以找到它并根据它输入恢复密钥。
U 盘备份：在曾用于备份恢复密钥的U盘中查找恢复密钥文件，若你没有自定义名称，默认名称应当为BitLocker Recovery Key {一串字符}.txt。
本地/网络位置：如果你曾手动将密钥文件保存在其他硬盘或网络共享中，请前往对应位置查找。

TIP

恢复密钥 ID（恢复界面上提示的前 8 位字符）可以辅助在多个密钥中快速找到正确的那一个。

了解 BitLocker 在做什么，认识到获取恢复密钥的重要性。
通常而言，品牌机在初次启动时都会引导用户创建 Microsoft 账户，并自动备份恢复密钥。确定自己有正确登录 Microsoft 账户，并确保自己可以随时访问它（记得密码、有可靠的密码找回方式）。
如果不想使用 Microsoft 账户或希望进一步确保安全性，则手动额外备份恢复密钥并妥善保管。

你可以通过以下步骤检查你当前是否在计算机上登录了 Microsoft 账户：

点击展开Windows10步骤