# BitLocker 与自加密硬盘：硬件加密什么时候有用

> BitLocker 如何使用 eDrive/Opal 硬盘、怎么查加密状态、硬件加密的信任前提，以及恢复密钥应该放哪。

**测试环境**

- 版本号: 26300.9457 / 26100.33650
- 版本: Pro (26H2) / Server
- 架构: x64
- 证据: E1
- 核验日期: 2026-10-29

## 一句话结论

BitLocker 有两种加密方式：

- **软件加密**——CPU 加密，硬盘看到的是明文。任何硬盘都支持。
- **硬件加密（eDrive/Opal）**——硬盘用自己的密钥在内部加密，BitLocker 管理那把密钥。

硬件加密更快，因为活由硬盘干；但它把信任转移到了硬盘固件。这是取舍，不是白捡的便宜。

## 查看当前状态

```powershell
manage-bde -status
Get-BitLockerVolume | Select-Object MountPoint,VolumeStatus,EncryptionMethod,ProtectionStatus,KeyProtector
```

看**加密方法**和硬盘报告的能力：

- `XtsAes128` / `XtsAes256`——软件加密。
- `HardwareEncryption`——硬盘在加密。
- `UsedSpaceOnly`——只加密已分配空间；启用更快，但会泄露空闲空间的模式。

硬盘声明支持硬件加密却跑着软件加密，通常是 BitLocker 不信任该固件（组策略或系统默认），或者被强制成软件加密。

## BitLocker 为什么有时拒绝硬件加密

微软对自加密硬盘固件一直持谨慎态度：如果固件可以被诱导交出密钥，加密就是摆设。

现实后果：

- 部分 Windows 版本在 Opal 硬盘上仍默认软件加密。
- 组策略可以强制硬件或软件加密。
- 企业环境可能为了可审计性统一选软件加密。

对现代 CPU 的笔记本，软件 AES-XTS 已经足够快，这点差异通常不值得拿信任去换。

## 按正确顺序启用

1. 确认机器有 TPM 2.0 且安全启动已开。
2. **启用前**备份恢复密钥——微软账户、AD/Entra，或打印后单独存放。
3. 对系统卷启用 BitLocker。
4. 决定固定数据卷是自动加密还是手动。
5. 记录固件更新与换主板时的处理方式。

```powershell
Get-BitLockerVolume C: | Select-Object VolumeStatus,ProtectionStatus,KeyProtector
(Get-BitLockerVolume C:).KeyProtector | Where-Object KeyProtectorType -eq 'RecoveryPassword'
```

## 会出什么事，怎么避免

| 情况 | 结果 | 预防 |
|---|---|---|
| TPM 被清除或固件重置 | 开机要求恢复密钥 | 密钥不要放在被加密的机器上 |
| 更换主板 | 要求恢复密钥 | 送修前挂起 BitLocker |
| 双系统改引导 | 要求恢复密钥，或另一系统读不了盘 | 改动前挂起 |
| 固件更新 | 有时要求恢复密钥 | 挂起 → 更新 → 恢复 |
| 硬盘换到另一台机器 | 要求恢复密钥 | 这是设计如此 |

```powershell
# 刷固件或送修之前
Suspend-BitLocker -MountPoint C: -RebootCount 1
```

## 性能预期

- 现代 CPU 上的软件 XTS-AES 很快，正常负载开销很小。
- 硬件加密把 CPU 解放出来，但增加固件依赖。
- 新装系统时 `UsedSpaceOnly` 让首次加密快得多。

不要在虚拟机上测 BitLocker 然后引用数字——虚拟化 AES 性能没有代表性。

> **危险: 丢了恢复密钥就等于丢了盘**
>
> BitLocker 的设计就是没有密钥谁也解不开。TPM 被清且恢复密钥也没了，数据就没了。把密钥存在不是被加密的那台机器上。

## 什么时候不要用

- 放在上锁房间、从不移动的台式机，恢复密钥管理反而是更大的风险。
- 无法保证密钥托管的服务器——凌晨三点重启卡在恢复提示，就是一次故障。

## 相关

- [Storage Spaces](https://winbook.fyi/zh/hardware/storage/storage-spaces/)
- [硬盘健康](https://winbook.fyi/zh/hardware/storage/health-smart/)
- [NVMe 代际](https://winbook.fyi/zh/hardware/storage/nvme-generations/)

## 实验室边界

E1。BitLocker 行为有微软文档依据。实验室没有用自加密硬盘启用 BitLocker，因此不声称任何硬件加密性能。

## 来源

- [Microsoft Learn — BitLocker 概述](https://learn.microsoft.com/zh-cn/windows/security/operating-system-security/data-protection/bitlocker/)
- [Microsoft Learn — BitLocker 常见问题](https://learn.microsoft.com/zh-cn/windows/security/operating-system-security/data-protection/bitlocker/faq)
- [Microsoft Learn — manage-bde](https://learn.microsoft.com/zh-cn/windows-server/administration/windows-commands/manage-bde)

---

来源页面: https://winbook.fyi/zh/hardware/storage/bitlocker-hardware-encryption/