BitLocker 与自加密硬盘：硬件加密什么时候有用
BitLocker 如何使用 eDrive/Opal 硬盘、怎么查加密状态、硬件加密的信任前提，以及恢复密钥应该放哪。
测试环境Pro (26H2) / Server · 版本号 26300.9457 / 26100.33650 · x64
E1- 版本号
- 26300.9457 / 26100.33650
- 版本
- Pro (26H2) / Server
- 架构
- x64
- 支持
- 文档（E1）
- 证据
- E1官方文档
- 核验日期
- 2026-10-29
- 页面类型
- 任务
BitLocker 有两种加密方式：
- 软件加密——CPU 加密，硬盘看到的是明文。任何硬盘都支持。
- 硬件加密（eDrive/Opal）——硬盘用自己的密钥在内部加密，BitLocker 管理那把密钥。
硬件加密更快，因为活由硬盘干；但它把信任转移到了硬盘固件。这是取舍，不是白捡的便宜。
查看当前状态
Section titled “查看当前状态”manage-bde -statusGet-BitLockerVolume | Select-Object MountPoint,VolumeStatus,EncryptionMethod,ProtectionStatus,KeyProtector看加密方法和硬盘报告的能力：
XtsAes128/XtsAes256——软件加密。HardwareEncryption——硬盘在加密。UsedSpaceOnly——只加密已分配空间；启用更快，但会泄露空闲空间的模式。
硬盘声明支持硬件加密却跑着软件加密，通常是 BitLocker 不信任该固件（组策略或系统默认），或者被强制成软件加密。
BitLocker 为什么有时拒绝硬件加密
Section titled “BitLocker 为什么有时拒绝硬件加密”微软对自加密硬盘固件一直持谨慎态度：如果固件可以被诱导交出密钥，加密就是摆设。
现实后果：
- 部分 Windows 版本在 Opal 硬盘上仍默认软件加密。
- 组策略可以强制硬件或软件加密。
- 企业环境可能为了可审计性统一选软件加密。
对现代 CPU 的笔记本，软件 AES-XTS 已经足够快，这点差异通常不值得拿信任去换。
按正确顺序启用
Section titled “按正确顺序启用”- 确认机器有 TPM 2.0 且安全启动已开。
- 启用前备份恢复密钥——微软账户、AD/Entra，或打印后单独存放。
- 对系统卷启用 BitLocker。
- 决定固定数据卷是自动加密还是手动。
- 记录固件更新与换主板时的处理方式。
Get-BitLockerVolume C: | Select-Object VolumeStatus,ProtectionStatus,KeyProtector(Get-BitLockerVolume C:).KeyProtector | Where-Object KeyProtectorType -eq 'RecoveryPassword'会出什么事，怎么避免
Section titled “会出什么事，怎么避免”| 情况 | 结果 | 预防 |
|---|---|---|
| TPM 被清除或固件重置 | 开机要求恢复密钥 | 密钥不要放在被加密的机器上 |
| 更换主板 | 要求恢复密钥 | 送修前挂起 BitLocker |
| 双系统改引导 | 要求恢复密钥，或另一系统读不了盘 | 改动前挂起 |
| 固件更新 | 有时要求恢复密钥 | 挂起 → 更新 → 恢复 |
| 硬盘换到另一台机器 | 要求恢复密钥 | 这是设计如此 |
# 刷固件或送修之前Suspend-BitLocker -MountPoint C: -RebootCount 1- 现代 CPU 上的软件 XTS-AES 很快，正常负载开销很小。
- 硬件加密把 CPU 解放出来，但增加固件依赖。
- 新装系统时
UsedSpaceOnly让首次加密快得多。
不要在虚拟机上测 BitLocker 然后引用数字——虚拟化 AES 性能没有代表性。
什么时候不要用
Section titled “什么时候不要用”- 放在上锁房间、从不移动的台式机，恢复密钥管理反而是更大的风险。
- 无法保证密钥托管的服务器——凌晨三点重启卡在恢复提示，就是一次故障。
E1。BitLocker 行为有微软文档依据。实验室没有用自加密硬盘启用 BitLocker，因此不声称任何硬件加密性能。