一、BitLocker基础：了解全盘加密

1.1 BitLocker的工作原理

BitLocker是微软从Windows Vista开始引入的全盘加密功能，它通过对整个磁盘分区进行加密来保护数据安全。即使硬盘被物理拆下安装到其他电脑上，没有密钥也无法读取数据。

加密流程：

1. 生成卷主密钥（VMK）：BitLocker首先创建一个随机的卷主密钥
2. 生成全盘加密密钥（FEK）：用于实际加密磁盘数据的密钥
3. TPM保护：VMK被TPM芯片（或USB密钥/密码）保护
4. 启动验证：每次启动时，TPM验证系统完整性后才释放VMK
5. 透明解密：系统运行时，数据读写自动加解密，用户无感知

1.2 BitLocker的版本差异

功能	Windows 11/10 专业版	Windows 11/10 家庭版	Windows 11/10 教育版
系统盘加密	✅ 完整支持	❌ 不支持	✅ 完整支持
固定驱动器加密	✅ 支持	❌ 不支持	✅ 支持
可移动驱动器加密	✅ 支持（BitLocker To Go）	✅ 支持	✅ 支持
组策略管理	✅ 支持	❌ 不支持	✅ 支持
网络解锁	✅ 支持	❌ 不支持	✅ 支持

注意： Windows家庭版虽然不支持完整的BitLocker，但支持"设备加密"功能，这是一种简化版的BitLocker，在支持Modern Standby的设备上会自动启用。

1.3 BitLocker的加密模式

TPM模式（推荐）

• 使用TPM 2.0芯片存储加密密钥
• 启动时无需输入密码（透明启动）
• 安全性最高，防止离线攻击

TPM + PIN模式

• 结合TPM芯片和用户PIN码
• 启动时需要输入PIN码
• 双重保护，即使TPM被绕过也无法解密

密码模式（无TPM）

• 不使用TPM芯片
• 启动时需要输入密码
• 适用于没有TPM的老电脑

USB密钥模式

• 将启动密钥存储在USB闪存盘中
• 启动时需要插入USB密钥
• 物理隔离，安全性高但不够方便

二、BitLocker开启前的准备

2.1 检查系统要求

检查TPM状态：

:: 方法一：通过TPM管理控制台
tpm.msc

:: 方法二：通过PowerShell
Get-WmiObject -Class Win32_Tpm -Namespace root\cimv2\Security\MicrosoftTpm

:: 方法三：通过命令行工具
manage-bde -tpm -info

检查磁盘分区类型：

• BitLocker要求系统分区（包含启动文件）为FAT32格式
• 操作系统分区（Windows安装位置）为NTFS格式
• 两个分区必须是不同的分区

:: 查看磁盘分区信息
diskpart
list disk
select disk 0
list partition

检查磁盘空间：

BitLocker加密过程需要一定的可用空间：

• 系统盘至少需要500MB可用空间
• 建议保留10%以上的可用空间

2.2 备份恢复密钥（极其重要）

恢复密钥是BitLocker的生命线！ 如果忘记PIN码、TPM故障或系统更新导致启动异常，只有恢复密钥才能解锁磁盘。丢失恢复密钥意味着数据永久丢失。

保存恢复密钥的方式：

1. 保存到Microsoft账户（推荐）

• 加密完成后自动提示保存
• 访问 https://account.microsoft.com/devices/recoverykey 查看
• 确保记住Microsoft账户密码

1. 保存到USB闪存盘

• 将恢复密钥文件（.txt）保存到U盘
• U盘要妥善保管，不要和加密电脑放在一起

1. 打印恢复密钥

• 打印恢复密钥文件
• 存放在安全的物理位置（如保险箱）

1. 保存到Active Directory（企业环境）

• 域环境可以自动将恢复密钥备份到AD
• 管理员可以通过AD查看恢复密钥

恢复密钥格式：

BitLocker 恢复密钥

驱动器 ID：卷标识符
恢复密钥：
XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX

2.3 评估性能影响

BitLocker加密对性能的影响取决于硬件配置：

硬件加速加密（AES-NI指令集）：

• 2011年后的CPU基本都支持AES-NI
• 性能影响通常在2-5%以内
• 用户几乎无法感知

:: 检查CPU是否支持AES-NI
powershell "(Get-CimInstance Win32_Processor).Name"
:: 查看CPU规格确认是否支持AES指令集

软件加密（无硬件加速）：

• 性能影响可能达到10-30%
• 老旧电脑不建议开启
• 可以通过基准测试评估影响

加密前后性能对比测试：

:: 使用winsat评估磁盘性能
winsat disk -seq -read -drive c
winsat disk -ran -read -drive c

三、BitLocker加密操作步骤

3.1 加密系统驱动器

方法一：通过控制面板

1. 打开"控制面板" → "系统和安全" → "BitLocker驱动器加密"
2. 找到"操作系统驱动器"，点击"启用BitLocker"
3. 系统会检查兼容性，等待检查完成
4. 选择解锁方式：

• "输入PIN"：每次启动需要输入PIN码
• "使用TPM"：自动解锁（需要TPM支持）

1. 选择恢复密钥保存方式
2. 选择加密模式：

• "仅加密已用磁盘空间"（新电脑推荐，速度快）
• "加密整个驱动器"（已使用的电脑推荐，更安全）

1. 选择加密算法：

• XTS-AES 128位（默认，推荐）
• XTS-AES 256位（更高安全性）

1. 勾选"运行BitLocker系统检查"
2. 点击"继续" → 重启电脑开始加密

方法二：通过命令行

:: 初始化BitLocker（使用TPM保护）
manage-bde -protectors -add C: -tpm

:: 启动加密
manage-bde -on C:

:: 使用TPM+PIN模式
manage-bde -protectors -add C: -tpm -pin

:: 使用密码模式（无TPM）
manage-bde -protectors -add C: -pw

:: 使用密码+TPM模式
manage-bde -protectors -add C: -tpm -pw

:: 指定加密算法
manage-bde -on C: -encryptionmethod xts-aes256

:: 仅加密已用空间（快速加密）
manage-bde -on C: -usedspaceonly

方法三：通过PowerShell

# 启用BitLocker（TPM模式）
Enable-BitLocker -MountPoint "C:" -TpmProtector

# 添加密码保护器
Add-BitLockerKeyProtector -MountPoint "C:" -PasswordProtector

# 设置加密算法
Enable-BitLocker -MountPoint "C:" -EncryptionMethod XtsAes256

# 备份恢复密钥到AD
Backup-BitLockerKeyProtector -MountPoint "C:" -KeyProtectorId (Get-BitLockerVolume -MountPoint "C:").KeyProtector[0].KeyProtectorId

3.2 加密固定数据驱动器

对D盘、E盘等非系统盘加密：

:: 启用固定驱动器BitLocker
manage-bde -on D:

:: 使用密码保护
manage-bde -protectors -add D: -pw

:: 使用自动解锁（仅当系统盘已加密时可用）
manage-bde -autounlock -enable D:

自动解锁功能：

• 当系统盘已加密并解锁后，固定数据盘可以自动解锁
• 无需每次输入密码
• 前提是系统盘和固定盘在同一台电脑上

3.3 加密可移动驱动器（BitLocker To Go）

对U盘、移动硬盘加密：

:: 启用BitLocker To Go
manage-bde -on E: -pw

:: 设置密码
manage-bde -protectors -add E: -pw

:: 设置加密算法
manage-bde -on E: -encryptionmethod xts-aes128

BitLocker To Go的特点：

• 在任何Windows电脑上都可以输入密码解锁
• 支持只读模式（在未安装BitLocker的电脑上）
• 可以设置自动解锁（在特定电脑上）

四、BitLocker管理与维护

4.1 查看加密状态

:: 查看所有驱动器的BitLocker状态
manage-bde -status

:: 查看特定驱动器状态
manage-bde -status C:

:: 查看加密进度
manage-bde -status C:

:: 通过PowerShell查看
Get-BitLockerVolume

状态说明：

• Fully Encrypted：完全加密
• Fully Decrypted：完全解密
• Encryption In Progress：正在加密
• Decryption In Progress：正在解密
• Encryption Paused：加密暂停
• Locked：已锁定（需要解锁才能访问）

4.2 暂停和恢复加密

:: 暂停加密（用于维护操作）
manage-bde -pause C:

:: 恢复加密
manage-bde -resume C:

:: 查看加密进度百分比
manage-bde -status C:

暂停加密的场景：

• 需要大量磁盘写入操作时
• 磁盘空间不足需要临时释放时
• 进行磁盘性能测试时

4.3 管理保护器

:: 查看所有保护器
manage-bde -protectors -get C:

:: 添加TPM保护器
manage-bde -protectors -add C: -tpm

:: 添加PIN保护器
manage-bde -protectors -add C: -pin

:: 添加密码保护器
manage-bde -protectors -add C: -pw

:: 添加恢复密钥保护器
manage-bde -protectors -add C: -RecoveryPassword

:: 删除特定保护器
manage-bde -protectors -delete C: -ID "{保护器ID}"

:: 更改PIN码
manage-bde -changepin C:

:: 更改密码
manage-bde -changepassword C:

4.4 关闭BitLocker加密

:: 关闭BitLocker（解密驱动器）
manage-bde -off C:

:: 通过PowerShell
Disable-BitLocker -MountPoint "C:"

:: 通过控制面板
:: "控制面板" → "BitLocker驱动器加密" → "关闭BitLocker"

注意事项：

• 解密过程可能需要数小时，取决于磁盘大小和数据量
• 解密过程中可以正常使用电脑
• 解密完成后保护器会被删除
• 确保在解密前已备份重要数据

五、BitLocker故障排查

5.1 启动时要求输入恢复密钥

常见原因：

1. BIOS/固件更新：TPM检测到系统配置变化
2. 硬件变更：添加/更换硬件导致TPM验证失败
3. Windows更新：某些更新可能触发TPM重新验证
4. TPM清除：TPM被意外清除或重置

解决方法：

1. 输入恢复密钥（48位数字）
2. 进入系统后，重新添加TPM保护器：

   manage-bde -protectors -delete C: -ID "{旧TPM保护器ID}"
   manage-bde -protectors -add C: -tpm

1. 重启验证是否正常

5.2 忘记BitLocker密码/PIN

恢复方法：

1. 在登录界面点击"更多选项" → "使用恢复密钥"
2. 输入48位恢复密钥
3. 进入系统后更改密码/PIN：

   :: 更改PIN
   manage-bde -changepin C:
   
   :: 更改密码
   manage-bde -changepassword C:

如果没有恢复密钥：

• 检查Microsoft账户：https://account.microsoft.com/devices/recoverykey
• 联系企业IT管理员（域环境）
• 检查是否保存了恢复密钥文件
• 没有恢复密钥 = 数据永久丢失，这是BitLocker的安全设计

5.3 BitLocker加密导致启动失败

排查步骤：

1. 进入Windows RE：

• 重启电脑，在启动时按F8或Shift+重启
• 进入"疑难解答" → "高级选项"

1. 使用恢复密钥解锁：

   :: 在RE命令提示符中
   manage-bde -unlock C: -rp "恢复密钥"
   manage-bde -resume C:

1. 使用PE环境修复：

• 使用晨枫U盘启动盘进入PE系统
• 打开晨枫PE工具箱 → "BitLocker管理"
• 输入恢复密钥解锁磁盘
• 进行系统修复或数据备份

5.4 加密过程中断电

BitLocker设计有断电保护机制：

1. 重新通电后，加密会自动恢复
2. 检查加密状态：

   manage-bde -status C:

1. 如果显示"Encryption Paused"，手动恢复：

   manage-bde -resume C:

六、PE环境下的BitLocker管理

6.1 在PE中解锁BitLocker驱动器

当Windows无法正常启动时，可以使用晨枫PE工具箱管理BitLocker：

1. 使用晨枫U盘启动盘进入PE系统
2. 打开晨枫PE工具箱 → "BitLocker管理工具"
3. 选择需要解锁的驱动器
4. 输入恢复密钥或密码
5. 解锁后即可访问磁盘数据

命令行方式：

:: 在PE命令提示符中解锁
manage-bde -unlock D: -rp "XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX"

:: 使用密码解锁
manage-bde -unlock D: -pw

6.2 PE环境下的数据备份

如果系统无法修复，可以在PE中备份数据：

1. 解锁BitLocker驱动器
2. 使用晨枫PE工具箱中的文件管理工具
3. 将重要数据复制到外部存储设备
4. 确认数据完整后再进行系统重装

6.3 PE环境下的BitLocker状态检查

:: 在PE中检查BitLocker状态
manage-bde -status

:: 查看加密进度
manage-bde -status C:

七、BitLocker最佳实践

7.1 企业环境部署建议

通过组策略统一管理：

1. 打开组策略编辑器（gpedit.msc）
2. 导航到：计算机配置 → 管理模板 → Windows组件 → BitLocker驱动器加密
3. 关键策略设置：

• "要求额外身份验证启动时"：强制使用TPM+PIN
• "选择驱动器加密方法和加密强度"：统一使用XTS-AES 256
• "将BitLocker恢复信息存储到AD DS"：自动备份恢复密钥到AD
• "禁止启用无法由TPM保护的BitLocker"：强制使用TPM

部署脚本示例：

# 检查TPM状态
$tpm = Get-WmiObject -Class Win32_Tpm -Namespace root\cimv2\Security\MicrosoftTpm
if ($tpm.IsEnabled_EqTrue()) {
    # 初始化TPM
    Initialize-BitLocker -MountPoint "C:" -TpmProtector
    
    # 添加恢复密码保护器
    $recoveryKey = Add-BitLockerKeyProtector -MountPoint "C:" -RecoveryPasswordProtector
    
    # 备份恢复密钥到AD
    Backup-BitLockerKeyProtector -MountPoint "C:" -KeyProtectorId $recoveryKey.KeyProtectorId
    
    # 启用BitLocker
    Enable-BitLocker -MountPoint "C:" -EncryptionMethod XtsAes256
    
    # 保存恢复密钥
    $recoveryKey.RecoveryPassword | Out-File "\\server\share\$env:COMPUTERNAME-BitLockerKey.txt"
}

7.2 个人用户建议

1. 始终备份恢复密钥：保存到Microsoft账户和物理介质
2. 使用TPM + PIN模式：兼顾安全和便利
3. 定期更新系统：保持BitLocker和安全补丁为最新
4. 启用自动解锁：固定数据盘使用自动解锁减少输入
5. 测试恢复流程：定期测试恢复密钥是否可用

7.3 BitLocker与其他安全功能的配合

与Windows Hello配合：

• 使用Windows Hello PIN代替传统BitLocker PIN
• 支持指纹/面部识别解锁BitLocker

与设备加密配合：

• 支持Modern Standby的设备自动启用设备加密
• 设备加密是BitLocker的简化版本

与Secure Boot配合：

• Secure Boot防止启动时加载恶意软件
• BitLocker防止离线数据访问
• 两者结合提供完整的启动链安全

常见问题解答

Q1：开启BitLocker后电脑变慢了怎么办？

A：首先确认CPU是否支持AES-NI指令集（2011年后的CPU基本都支持）。如果支持AES-NI，性能影响通常在2-5%以内，用户几乎无法感知。如果确实感觉明显变慢，可以检查磁盘健康状态，或考虑将系统迁移到SSD。对于老旧电脑（不支持AES-NI），不建议开启BitLocker。

Q2：BitLocker加密后还能正常重装系统吗？

A：可以，但需要先关闭BitLocker或准备好恢复密钥。重装系统前：1）备份恢复密钥；2）关闭BitLocker解密磁盘，或者保留加密状态在PE环境下操作；3）正常安装系统；4）安装完成后重新启用BitLocker。注意：重装系统会删除原有的TPM保护器，需要重新配置。

Q3：BitLocker和第三方加密软件（如VeraCrypt）有什么区别？

A：BitLocker是Windows内置方案，与系统集成度高，使用方便，支持TPM硬件保护。VeraCrypt是开源方案，跨平台支持更好，加密算法选择更多，支持隐藏卷。对于纯Windows环境，BitLocker更方便；对于跨平台需求或需要更高安全级别（如 plausible deniability），VeraCrypt更合适。

Q4：SSD开启BitLocker会影响寿命吗？

A：BitLocker加密本身不会显著增加SSD的写入量。加密是在数据写入时实时进行的，不会额外产生写入操作。但是，如果频繁进行加密/解密操作（如反复开关BitLocker），可能会增加一些写入量。正常使用下，对SSD寿命的影响可以忽略不计。

Q5：恢复密钥丢失了，数据还能恢复吗？

A：如果BitLocker使用强加密（XTS-AES 128/256位），在没有恢复密钥的情况下，目前没有任何已知方法可以破解加密。这是BitLocker的安全设计——没有密钥就无法访问数据。因此，备份恢复密钥是使用BitLocker最重要的步骤。建议将恢复密钥保存到多个安全位置：Microsoft账户、USB闪存盘、打印纸质副本。