跳到正文
ITDWeb 安全平台
ITD
搜索

术语表

#BitLocker#磁盘加密#Windows#防盗

BitLocker 是什么：用 Windows 磁盘加密，在设备被盗或丢失时保护数据

BitLocker 是 Windows 内置的磁盘加密功能。启用后，即使你的电脑或被拔出的驱动器被偷走，没有你的凭据或恢复密钥也无法读取里面的内容。本文从防御视角讲解它的原理、启用步骤，以及最常见的失误（没有妥善保管恢复密钥）。

发布于 2026-06-11 更新于 2026-10-06 3 分钟阅读
本页目录

BitLocker 用来保护丢失或被盗的笔记本电脑里的数据。本文讲解它的原理、启用步骤，以及人们最常犯的失误。

它保护什么，不保护什么

加密不能防住所有情况。要正确把握它在哪些场景生效。

情形BitLocker 有效吗？
笔记本电脑丢失/被盗（关机状态）◎ 内容是密文。没有凭据/恢复密钥无法读取
只拔出硬盘接到另一台电脑◎ 同上。物理带走也没用
已登录、使用中的电脑被偷看/被操作✗ 不保护（→ 属于强登录＋自动锁定的范畴）
恶意软件感染、钓鱼✗ 不保护（需要另外的对策）

原理（大致）

开机：TPM 持有密钥＋你的登录（可选 PIN）来解锁
↓ 只要是正常开机就会自动读取内容
日常使用：透明地加密／解密（几乎感觉不到变慢）
↓ 但一旦拔出驱动器、插到另一台电脑
没有密钥＝只是一堆密文。会被要求输入恢复密钥
驱动器里的内容始终处于加密状态。开机时用 TPM（＋可选的 PIN）解锁。被拔出后，就只是一堆密文。

密钥由 TPM（电脑的安全芯片）持有，并与硬件的完整性绑定，在开机时解锁。想要更强，可以设置成开机时要求输入 PIN。

最重要的一点：妥善保管恢复密钥

使用 BitLocker 真正会遇到的麻烦，很少是「被破解」，而是自己也无法访问数据。

一旦丢失恢复密钥，你自己的数据将永远打不开

TPM 状态变化、更换主板、固件更新等情况下，BitLocker 可能会要求输入48 位的恢复密钥。如果你没有备份它，作为正当所有者的你就会被锁在自己的数据之外。保管的原则是放在加密电脑之外。只存在同一台电脑里，在被锁定时是取不出来的。

启用步骤

1

确认版本

Pro/Enterprise/Education 用的是 BitLocker。Home 用的是『设备加密』（在受支持的硬件上自动启用）。在设置里搜索「BitLocker」或「设备加密」。
2

启用，并把恢复密钥存到『外部』

保存到 Microsoft 账户、打印出来、或存到另一个安全的地方，三者择其一。不要只放在要加密的那台电脑里。
3

想更强就要求输入 PIN

设置开机 PIN 后，仅仅开机并不会解锁。被盗时的强度更高。
4

移动硬盘/U 盘用 BitLocker To Go

把要带出门的移动硬盘和 U 盘也加密。防止丢失时数据外泄。

如何检查自己的电脑

不要想当然地以为驱动器已经加密。确认它的状态，以及恢复密钥实际存放在哪里。

1

确认加密是否开启

在 Windows 11 上，打开「设置」→「隐私和安全性」→「设备加密」。Pro 及以上版本，打开「控制面板」→「BitLocker 驱动器加密」查看各个驱动器。
2

用命令行查看详情

在管理员终端中运行 manage-bde -status。它会显示每个驱动器的保护状态、加密方法和已加密的百分比。如果保护处于关闭状态，即使已加密，驱动器也不受保护。
3

找到恢复密钥的存放位置

如果保存到了个人 Microsoft 账户，可以从另一台设备在 Microsoft 账户的设备列表中查看。工作电脑通常存放在 Microsoft Entra ID 等处，请询问 IT 管理员。与 manage-bde -protectors -get C: 显示的密钥 ID 对照，弄清哪个密钥属于哪个驱动器。
4

BIOS 更新前先暂停

BIOS/UEFI 更新和 TPM 变更是出现恢复提示的常见原因。在进行这类计划内的操作之前，把 BitLocker 设为「暂停保护」。驱动器仍保持加密，同时可以避免恢复提示（重启后保护会自动恢复）。

只用本地账户的电脑，可能已加密却未受保护

据 Microsoft 称，设备加密开始时处于相当于「已暂停」的状态，密钥以明文存放。把恢复密钥保存到 Microsoft 账户（工作电脑则是 Entra ID 等）之后，保护才会开启。只用本地账户的电脑，即使数据已经加密，也会一直停留在未受保护的状态。请用上面的 manage-bde -status 确认保护状态。

案例：2024 年那次让很多人需要恢复密钥的故障

2024 年 7 月，一款企业安全产品的更新导致大量 Windows 机器无法启动。Microsoft 估计约有 850 万台设备受到影响。

Microsoft 公布的恢复步骤要求在安全模式或恢复环境中启动电脑，并提醒在此过程中可能会被要求输入 BitLocker 恢复密钥。在没人知道密钥存放在哪里的机器上，恢复工作就停在了这一步。

恢复密钥不只是为了防盗。这个案例说明了需要事先做哪些准备：

  • 把恢复密钥保存在设备之外、并且能迅速找到的地方（个人用 Microsoft 账户；组织用 Entra ID 或 Active Directory）
  • 记录每个恢复密钥 ID 属于哪台设备
  • 决定谁可以查看恢复密钥（持有密钥的人可以读取该驱动器上的全部内容）

如何找到密钥，见如何找到 BitLocker 恢复密钥。

与类似功能的区别

功能加密的对象在哪里提供
BitLocker系统驱动器和内置驱动器（借助 BitLocker To Go 也包括移动硬盘和 U 盘）Windows Pro / Enterprise / Education
设备加密系统驱动器和内置驱动器（不包括移动硬盘和 U 盘）受支持的设备，包括 Windows Home。使用同一个 BitLocker 引擎
FileVault启动磁盘macOS
EFS（加密文件系统）单个文件和文件夹Windows。不保护整个磁盘

BitLocker 与设备加密的细节差异（设置画面、可用的保护方式），见 BitLocker 与设备加密的区别。要安全地关闭 BitLocker，见如何关闭 BitLocker。

本站的视角：带出门的设备必须做到的最低限度保护

对要带出门的设备来说，磁盘加密是最低限度的保护。笔记本电脑里有保存的密码、SSH 密钥、业务文件等一旦泄露就会引发更多损害的东西。如果没有加密，一旦被偷，硬盘当场就会被拔出来全部读走。启用 BitLocker（Mac 则是 FileVault），并把恢复密钥备份到电脑外部。仅这两点，就能把丢失、被盗的损失缩小到「只是丢了一台硬件」。但加密保护的是关机状态，所以请务必与强登录＋自动锁定搭配使用。

接下来读

出处（一手资料）

  • Microsoft Learn，“BitLocker overview” — learn.microsoft.com（支持的版本、TPM 与 PIN、设备加密的条件与恢复密钥备份、Windows 11 24H2 放宽的条件、默认 XTS-AES 128）
  • Microsoft Learn，“BitLocker recovery overview” — learn.microsoft.com（触发恢复的原因、48 位恢复密码、存放位置、暂停与恢复）
  • Microsoft 官方博客（2024 年 7 月 20 日，关于对该故障的应对） — blogs.microsoft.com（受影响设备的估计数量）
  • Microsoft 支持，“KB5042421”（该故障的恢复步骤） — support.microsoft.com（恢复过程中可能要求输入恢复密钥）

FAQ

QBitLocker 能防住什么？
A

它保护处于关机状态、或驱动器被物理拔出状态下的数据（静态数据）。即使笔记本电脑被偷、或只有硬盘被拔走，没有你的凭据或恢复密钥，里面的内容仍是密文，无法读取。但它无法保护已经登录、正在使用中的电脑（这种情况要靠强登录和自动锁定）。

Q最需要注意的是什么？
A

恢复密钥（48 位数字）的保管。BitLocker 会把密钥与硬件状态绑定，因此 TPM 状态变化、更换主板等情况下可能会要求输入恢复密钥。一旦丢失，作为正当所有者的你会被锁在自己的数据之外。务必把它备份到加密电脑的『外部』——Microsoft 账户、打印出来、或另一个安全的地方。

QWindows Home 也能用吗？
A

BitLocker 本体面向 Windows Pro/Enterprise/Education。Windows Home 上有一个轻量版叫『设备加密』，在受支持的硬件上会自动启用，理念相同（对静态数据加密）。Mac 上的对应功能是 FileVault。

Q怎样确认 BitLocker 是否已开启？
A

在 Windows 11 上打开「设置」→「隐私和安全性」→「设备加密」；Pro 及以上版本打开「控制面板」→「BitLocker 驱动器加密」。要看详细信息，在管理员终端中运行 manage-bde -status，确认保护状态为开启。已加密但保护处于关闭状态的驱动器，被盗时是不受保护的。

Q我的 BitLocker 恢复密钥在哪里？
A

如果你是在登录 Microsoft 账户的状态下给个人电脑加密的，密钥往往会自动保存到该账户，可以从另一台设备在账户的设备列表中查看。工作电脑会把它存放在 Microsoft Entra ID 或 Active Directory 中，请询问 IT 管理员。如果你打印过或保存成了文件，就去找那份副本。本站的指南《如何找到 BitLocker 恢复密钥》按情形逐一说明。

Q为什么突然要求输入恢复密钥？
A

BitLocker 用 TPM 确认参与启动的组件与上次相同。BIOS/UEFI 更新、TPM 设置变更、更换主板、启动顺序改变、或多次输错 PIN，都会改变这一状态，BitLocker 于是要求输入恢复密钥来确认是你本人。在计划好的 BIOS 更新之前暂停保护，就可以避免这个提示。