# BitLocker 恢复演练：密钥在哪、怎么用

> 恢复密钥可能存放的四个位置、什么会触发恢复界面，以及一次 15 分钟、证明你真能进去的演练。

**测试环境**

- 版本号: 26300.9457 / 26100.33650
- 版本: Pro (26H2) / Server
- 架构: x64
- 证据: E1
- 核验日期: 2026-10-29

## 一句话结论

从没用过的恢复密钥，等于没有密钥。演练就三步：

1. 找出所有密钥保护器。
2. 确认你能**从机器之外**读到那串密钥。
3. 故意进入恢复界面，再成功登进去。

现在花十五分钟，而不是在机场报废一台笔记本。

## 什么会触发恢复界面

| 触发原因 | 说明 |
|---|---|
| TPM 变更或清除 | 最常见 |
| 安全启动/固件设置变更 | 度量启动结果改变 |
| 启动顺序或启动管理器变更 | 双系统、U 盘启动 |
| 主板或硬盘换机器 | |
| PIN 尝试次数过多 | 锁定 |
| 固件更新（有时） | 所以才有"先挂起"的习惯 |

## 第一步：列出保护器

```powershell
manage-bde -status C:
manage-bde -protectors -get C:
Get-BitLockerVolume | Select-Object MountPoint,VolumeStatus,ProtectionStatus,KeyProtector
```

会看到类似：

- **TPM**——自动解锁，无需操作；
- **TPM + PIN**——开机要 PIN；
- **数字密码**——那个 48 位恢复密钥；
- **外部密钥**——U 盘上的 `.bek` 文件；
- **密码**——用于数据卷。

恢复界面要的是**数字密码**。

## 第二步：证明你能从外部读到它

| 位置 | 机器无法启动时怎么拿到 |
|---|---|
| 微软账户 | 任何其他设备，account.microsoft.com/devices/recoverykey |
| Entra ID | 另一台受管设备，或管理门户 |
| Active Directory | 另一台域内机器（管理员） |
| 打印/保存的文件 | 你放的地方——多数人在这里失败 |
| `manage-bde -protectors -get` 输出 | 只在系统能用时 |

写下这台机器适用**哪一条**。"在我微软账户里"只有在你知道是哪个账户、能登录（含二次验证）时才成立。

> **危险: 托管不是备份**
>
> 恢复密钥能解锁磁盘，但恢复不了被删的文件，也救不了坏掉的硬盘。同时保留真正的备份——见[能扛住勒索软件的备份](https://winbook.fyi/zh/windows/security/backup/)。

## 第三步：演练

在一台可以随便重启的机器上做：

1. 记下当前密钥（截图或导出）：`manage-bde -protectors -get C:`。
2. **挂起**一次重启：`Suspend-BitLocker -MountPoint C: -RebootCount 1`。
3. 重启，确认**没有**提示直接进入（说明挂起生效）。
4. 现在故意破坏度量启动：改一个固件设置（例如切换安全启动）后开机。
5. 应该出现恢复界面。输入 48 位密钥——**用外部那份**，不是屏幕上的。
6. 恢复固件设置。
7. `manage-bde -status`——保护状态回到 `On`。

如果第 5 步失败，你在机器还能用的时候发现了真问题。

## 日常规则

- **固件更新前、改双系统前、搬硬盘前**先挂起。
- 挂起之后确认 `manage-bde -status` 又是 `Protection On`。
- 密钥保留**两份**外部副本，放在不同地点。
- 不要把唯一副本存在被加密的那块盘上。

```powershell
Get-BitLockerVolume | Select-Object MountPoint,ProtectionStatus,VolumeStatus,EncryptionPercentage
```

## 相关

- [BitLocker 与硬件加密](https://winbook.fyi/zh/hardware/storage/bitlocker-hardware-encryption/)
- [真正影响 Windows 的 UEFI 设置](https://winbook.fyi/zh/hardware/build/uefi-settings/)
- [退役与数据擦除](https://winbook.fyi/zh/hardware/diag/retire-wipe/)

## 实验室边界

E1。保护器类型与恢复行为有微软文档依据。实验室虚拟机使用 vTPM 但未启用 BitLocker，因此未触发恢复界面。

## 来源

- [Microsoft Learn — BitLocker](https://learn.microsoft.com/zh-cn/windows/security/operating-system-security/data-protection/bitlocker/)
- [Microsoft Learn — BitLocker 常见问题](https://learn.microsoft.com/zh-cn/windows/security/operating-system-security/data-protection/bitlocker/faq)
- [Microsoft Learn — TPM 基础](https://learn.microsoft.com/zh-cn/windows/security/hardware-security/tpm/tpm-fundamentals)

---

来源页面: https://winbook.fyi/zh/windows/hardening/bitlocker-recovery-drill/