# Windows 11 BitLocker：什么时候开，怎么不把自己锁在外面

> BitLocker 保护静态数据，不保护正在运行的系统。理解 TPM 要求、恢复密钥、挂起流程，以及导致锁死的常见错误。

**测试环境**

- 版本号: 26300.9457
- 版本: Pro / Enterprise
- 架构: x64
- 证据: E1
- 核验日期: 2026-10-28

## 一句话结论

BitLocker 加密磁盘，让拿走硬盘或启动另一个系统的人读不到文件。它**不**阻止你登录后运行的恶意软件，也**不**替代备份。

设备会离开你的控制时（笔记本、移动硬盘、共享办公室），在准备好恢复密钥方案后开启。最常见的事故不是算法被破，而是固件更新、换主板或 TPM 重置后密钥丢了。

## 它防什么

| 威胁 | BitLocker 有用？ | 原因 |
|---|---|---|
| 笔记本被偷、硬盘被拆 | 有用 | 静态数据加密 |
| 启动 Linux/U 盘读文件 | 有用（卷锁定时） | 拿不到密钥 |
| 你登录后的恶意软件 | 无用 | 系统已经解锁 |
| 勒索软件 | 无用 | 登录后加密文件 |
| 误删除 | 无用 | 加密不是备份 |
| 丢密钥 + TPM 失败 | 更糟 | 无法解密 |

## 开启之前

1. **备份文件。** 加密转换通常安全，但断电/固件 bug 会发生。
2. **保存恢复密钥**到 Microsoft 账户（如果使用）、密码管理器，以及打印/离线副本。
3. **检查 TPM 和 Secure Boot。** `tpm.msc`、`msinfo32`。TPM 2.0 + UEFI + Secure Boot 是现代基线。
4. **知道固件更新流程。** 有些 BIOS/TPM 更新要先挂起 BitLocker。
5. **规划双系统。** Linux 读不了锁定的 BitLocker 卷；读写共享是坏主意。

> **危险: 没有密钥就没有数据**
>
> TPM 被清除、主板更换或恢复密钥丢失，数据就没了。个人设备没有“微软能帮你解锁”的支持路径。

## TPM-only 还是 TPM+PIN？

| 保护器 | 解锁 | 适合 | 代价 |
|---|---|---|---|
| 仅 TPM | 启动时 TPM 放行 | 固定台式机、被盗风险低 | 冷启动/ evil-maid 攻击比 PIN 容易 |
| TPM + PIN | TPM + 预启动 PIN | 会带出门的笔记本 | PIN 会忘；支持成本更高 |
| TPM + PIN + USB | TPM + PIN + 启动密钥 | 高风险移动设备 | U 盘丢了又多一条锁死路径 |
| 仅密码 | 预启动密码 | 老设备/无 TPM | 较弱；不是现代默认 |

选你能真正运维的最弱保护器。没人记得住的 PIN，最后都会变成恢复事件。

### 设备加密 vs BitLocker 管理

“设备加密”是受支持现代设备上的自动、受限体验；“管理 BitLocker”才暴露 TPM/PIN、恢复密钥导出和额外磁盘。不要假设设置页和 `manage-bde` 在每个版本上显示相同选项。

## 开启

### 设置（设备加密）

支持的现代设备：**设置 → 隐私和安全性 → 设备加密**。可能自动开启。确认恢复密钥已保存。

### BitLocker 管理

Pro/Enterprise：**管理 BitLocker**，或：

```powershell
Get-BitLockerVolume
manage-bde -status C:
```

用向导开启，选择 **TPM** 或 **TPM + PIN**。PIN 增加预启动密码，也增加锁定/恢复路径。容易被偷的笔记本，TPM + PIN 对关机攻击更强；固定台式机 TPM-only 更简单。

## 验证，不要假设

- `manage-bde -status C:` 显示 **Percentage Encrypted: 100%**、**Protection Status: On**。
- `manage-bde -protectors -get C:` 列出 TPM/PIN/密码/恢复密钥。
- 打开恢复密钥 URL/账户，确认密钥在那里。
- 重启一次。加密后从未重启的机器不算验证。

## 固件更新前挂起

BIOS/UEFI/TPM 更新前，挂起一次重启：

```powershell
manage-bde -protectors -disable C: -RebootCount 1
```

更新固件，启动 Windows，再确认保护已恢复。不要长期让 BitLocker 处于挂起状态。

## 恢复

在恢复提示输入 48 位恢复密钥。只有 key ID 不够，你仍然需要密钥本身。恢复后重新开启保护，并调查触发原因（TPM 变化、启动顺序、固件、硬件）。

## 不要做

- 不要把唯一密钥放在被加密的磁盘上。
- 不要在同一十分钟里开 BitLocker 又跳过备份。
- 加密后不要随意关 Secure Boot 或改启动顺序。
- 不要把加密盘克隆到不同硬件还指望能启动。
- 不要用随机网站的“BitLocker 破解器”。那不是 malware，就是猜密钥工具。

## 来源

- [Microsoft — BitLocker 概述](https://learn.microsoft.com/zh-cn/windows/security/operating-system-security/data-protection/bitlocker/)
- [Microsoft — BitLocker 恢复](https://support.microsoft.com/zh-cn/windows/security/encryption/find-your-bitlocker-recovery-key)
- [Microsoft — 设备加密](https://support.microsoft.com/zh-cn/windows/security/encryption/device-encryption-in-windows)

---

来源页面: https://winbook.fyi/zh/windows/security/bitlocker/