BitLocker защищает данные на потерянном или украденном ноутбуке. Разберём, как он работает, как его включить и какую ошибку люди допускают чаще всего.
От чего защищает, а от чего нет
Шифрование защищает не от всего. Нужно понимать, где оно помогает.
| Ситуация | Помогает ли BitLocker? |
|---|---|
| Ноутбук потерян или украден (выключен) | Да — содержимое это шифртекст; нечитаемо без учётных данных/ключа восстановления |
| Диск вынут и подключён к другому ПК | Да — то же самое; уносить его бессмысленно |
| Кто-то пользуется/подсматривает за вашим ПК с активным сеансом | Нет (это надёжный вход + автоблокировка) |
| Заражение вредоносным ПО / фишинг | Нет (нужны отдельные меры защиты) |
Как это работает (кратко)
Ключ хранится в TPM (микросхеме безопасности ПК), привязан к целостности оборудования и выдаётся при загрузке. Для большей надёжности требуйте PIN при старте.
Самое важное: надёжно хранить ключ восстановления
С BitLocker настоящая беда — это редко «его взломали»; это закрыть доступ самому себе.
Потеряете ключ восстановления — и ваши же данные больше не откроются
Изменение TPM, замена материнской платы или обновление прошивки могут заставить BitLocker запросить 48-значный ключ восстановления. Если вы его не сохранили, вы — законный владелец — лишаетесь доступа к своим данным. Правило: храните его вне зашифрованного ПК. Хранить его только внутри того же ПК — значит не суметь добраться до него при блокировке.
Как включить
Проверьте редакцию
Включите и сохраните ключ восстановления ВНЕ ПК
Для большей надёжности требуйте PIN
Используйте BitLocker To Go для внешних/USB-дисков
Как проверить свой ПК
Не считайте, что диск зашифрован, по умолчанию. Проверьте его состояние и то, где на самом деле хранится ключ восстановления.
Посмотрите, включено ли шифрование
Посмотрите подробности в командной строке
manage-bde -status. Для каждого диска показываются состояние защиты (Protection Status), метод шифрования и процент зашифрованного. Если защита выключена, диск не защищён, даже если он зашифрован.Найдите, где хранится ключ восстановления
manage-bde -protectors -get C:, чтобы знать, какой ключ относится к какому диску.Приостановите защиту перед обновлением BIOS
ПК только с локальной учётной записью можно зашифровать, но не защитить
По данным Microsoft, шифрование устройства начинается в состоянии, эквивалентном «приостановленному», с ключом, хранящимся в открытом виде. Защита включается, когда ключ восстановления сохранён в учётной записи Microsoft (или, для рабочих ПК, в Entra ID или аналогичной системе). ПК, которым пользуются только с локальной учётной записью, остаётся в незащищённом состоянии, хотя его данные зашифрованы. Проверьте состояние защиты командой manage-bde -status, описанной выше.
Пример: сбой 2024 года, из-за которого многим понадобились ключи восстановления
В июле 2024 года обновление корпоративного продукта безопасности привело к тому, что множество компьютеров с Windows перестали запускаться. По оценке Microsoft, пострадали около 8,5 млн устройств.
Опубликованные Microsoft шаги восстановления требовали запустить ПК в безопасном режиме или в среде восстановления и предупреждали, что по ходу может потребоваться ключ восстановления BitLocker. На машинах, где никто не знал, где хранится ключ, восстановление на этом останавливалось.
Ключи восстановления нужны не только при краже. Этот случай показывает, что полезно подготовить:
- Храните ключ восстановления вне устройства и там, где его можно быстро найти (учётная запись Microsoft для частных лиц; Entra ID или Active Directory для организаций)
- Записывайте, к какому устройству относится каждый ID ключа восстановления
- Решите, кому разрешено просматривать ключи восстановления (любой, у кого есть ключ, может прочитать всё на этом диске)
Как найти ключ, разобрано в статье Как найти ключ восстановления BitLocker.
Чем отличается от похожих функций
| Функция | Что шифрует | Где есть |
|---|---|---|
| BitLocker | Системный и внутренние диски (с BitLocker To Go — также внешние и USB-диски) | Windows Pro / Enterprise / Education |
| Шифрование устройства | Системный и внутренние диски (не внешние и не USB-диски) | Поддерживаемые устройства, включая Windows Home. Использует тот же движок BitLocker |
| FileVault | Загрузочный диск | macOS |
| EFS (шифрованная файловая система) | Отдельные файлы и папки | Windows. Не защищает весь диск |
О более тонких различиях между BitLocker и шифрованием устройства (экраны настроек, доступные средства защиты) см. BitLocker против шифрования устройства. Как безопасно отключить BitLocker, см. Как отключить BitLocker.
Мнение этого сайта: минимальная защита для любого устройства, покидающего здание
Шифрование диска — это минимум для любого устройства, которое вы выносите наружу. Ноутбук полон материалов, утечка которых ведёт к дальнейшему ущербу: сохранённые пароли, SSH-ключи, рабочие файлы. Без шифрования кража означает, что диск вынимают и читают всё целиком. Включите BitLocker (или FileVault на Mac) и храните ключ восстановления вне ПК. Эти два шага сводят потерю или кражу к «вы лишились только железа». Но шифрование — это защита для «выключенного» состояния, поэтому всегда сочетайте его с надёжным входом и автоблокировкой.
Читать дальше
- Если запрашивают ключ восстановления: Как найти ключ восстановления BitLocker
- Чтобы отключить: Как отключить BitLocker
- В дороге: Защита ноутбука, который вы носите с собой
- Инвентаризация: Инвентаризация безопасности (аудит ПК, где хранятся ваши ключи)
- Хранение: Как выбрать менеджер паролей
- Сравнение: BitLocker против шифрования устройства
Источники (первичные)
- Microsoft Learn, «BitLocker overview» — learn.microsoft.com (поддерживаемые редакции, TPM и PIN, требования к шифрованию устройства и резервное копирование ключа восстановления, смягчённые требования в Windows 11 24H2, XTS-AES 128 по умолчанию)
- Microsoft Learn, «BitLocker recovery overview» — learn.microsoft.com (что вызывает восстановление, 48-значный пароль восстановления, места хранения, приостановка и возобновление)
- Официальный блог Microsoft (20 июля 2024, о реагировании на сбой) — blogs.microsoft.com (оценка числа затронутых устройств)
- Поддержка Microsoft, «KB5042421» (шаги восстановления после сбоя) — support.microsoft.com (при восстановлении может потребоваться ключ восстановления)