跳至主要內容
ITD網站資安平台
ITD
搜尋

名詞解釋

#BitLocker#磁碟加密#Windows#防竊

BitLocker 是什麼：在裝置遺失或被竊時保護資料的 Windows 磁碟加密

BitLocker 是 Windows 內建的磁碟加密功能。啟用後，即使你的電腦或被拔出的磁碟機被偷走，沒有你的憑證或修復金鑰也無法讀取裡面的內容。本文從防禦視角講解它的原理、啟用步驟，以及最常見的錯誤（沒有妥善保管修復金鑰）。

發布於 2026-06-11 更新於 2026-10-06 閱讀時間 3 分鐘
本頁內容

BitLocker 用來保護遺失或被竊筆電裡的資料。本文講解它的原理、啟用步驟，以及最常見的錯誤。

它保護什麼，不保護什麼

加密無法防範所有情況。要正確掌握它在哪些場景有效。

情形BitLocker 有效嗎？
筆電遺失/被竊（關機狀態）◎ 內容是密文。沒有憑證/修復金鑰無法讀取
只拔出硬碟接到另一台電腦◎ 同上。實體帶走也沒用
已登入、使用中的電腦被偷看/被操作✗ 不保護（→ 屬於強登入＋自動鎖定的範疇）
惡意軟體感染、釣魚✗ 不保護（需要另外的對策）

原理（大致）

開機：TPM 持有金鑰＋你的登入（可選 PIN）來解鎖
↓ 只要是正常開機就會自動讀取內容
日常使用：透明地加密／解密（幾乎感覺不到變慢）
↓ 但一旦拔出磁碟機、插到另一台電腦
沒有金鑰＝只是一堆密文。會被要求輸入修復金鑰
磁碟機裡的內容始終處於加密狀態。開機時用 TPM（＋可選的 PIN）解鎖。被拔出後，就只是一堆密文。

金鑰由 TPM（電腦的安全晶片）持有，並與硬體的完整性綁定，在開機時解鎖。想要更強，可以設定成開機時要求輸入 PIN。

最重要的事：妥善保管修復金鑰

使用 BitLocker 真正會遇到的麻煩，與其說是「被破解」，不如說是把自己鎖在門外。

一旦遺失修復金鑰，你自己的資料將永遠打不開

TPM 狀態變化、更換主機板、韌體更新等情況下，BitLocker 可能會要求輸入48 位的修復金鑰。如果你沒有備份它，作為正當擁有者的你就會被鎖在自己的資料之外。保管的原則是放在加密電腦的外部。只存在同一台電腦裡，在被鎖定時是取不出來的。

啟用步驟

1

確認版本

Pro/Enterprise/Education 用的是 BitLocker。Home 用的是『裝置加密』（在受支援的硬體上自動啟用）。在設定裡搜尋「BitLocker」或「裝置加密」。
2

啟用，並把修復金鑰存到『外部』

儲存到 Microsoft 帳戶、列印出來、或存到另一個安全的地方，三者擇其一。不要只放在要加密的那台電腦裡。
3

想更強就要求輸入 PIN

設定開機 PIN 後，僅僅開機並不會解鎖。被竊時的強度更高。
4

行動硬碟/隨身碟用 BitLocker To Go

把要帶出門的行動硬碟和隨身碟也加密。防止遺失時資料外洩。

如何檢查自己的電腦

不要假設磁碟機已經加密。請確認它的狀態，以及修復金鑰實際存在哪裡。

1

確認加密是否開啟

在 Windows 11 上，前往「設定」→「隱私權與安全性」→「裝置加密」。Pro 以上版本，開啟「控制台」→「BitLocker 磁碟機加密」查看每個磁碟機。
2

用命令列查看詳細資訊

在系統管理員終端機中執行 manage-bde -status。它會顯示每個磁碟機的保護狀態、加密方法與加密的百分比。如果保護是關閉的，即使磁碟機已加密，也沒有受到保護。
3

找出修復金鑰存在哪裡

如果存到個人的 Microsoft 帳戶，可以從另一台裝置在 Microsoft 帳戶的裝置清單中查看。公司的電腦通常存在 Microsoft Entra ID 等地方，請詢問 IT 管理員。請與 manage-bde -protectors -get C: 顯示的金鑰 ID 比對，掌握哪一把金鑰屬於哪個磁碟機。
4

BIOS 更新前先暫停

BIOS/UEFI 更新與 TPM 變更，是被要求輸入修復金鑰的常見原因。在進行這類計畫好的作業前，先把 BitLocker 設為「暫停保護」。磁碟機仍保持加密，也能避免被要求輸入修復金鑰（重新開機後保護會自動恢復）。

只用本機帳戶的電腦，可能已加密卻沒有受到保護

根據 Microsoft 的說明，裝置加密一開始處於相當於「暫停」的狀態，金鑰以明文保存。等修復金鑰儲存到 Microsoft 帳戶（公司電腦則是 Entra ID 等）之後，保護才會開啟。只用本機帳戶使用的電腦，即使資料已加密，也會一直停留在未受保護的狀態。請用上面的 manage-bde -status 確認保護狀態。

案例：讓許多人需要修復金鑰的 2024 年大規模故障

2024 年 7 月，一款企業用資安產品的更新導致大量 Windows 電腦無法開機。Microsoft 估計受影響的裝置約有 850 萬台。

Microsoft 公布的復原步驟，需要以安全模式或復原環境啟動電腦，並警告過程中可能會被要求輸入 BitLocker 修復金鑰。在沒有人知道金鑰存放在哪裡的電腦上，復原就卡在了那一步。

修復金鑰不只是為了防竊。這個案例說明了該事先準備什麼：

  • 把修復金鑰保管在裝置之外、而且能很快找到的地方（個人用 Microsoft 帳戶；組織用 Entra ID 或 Active Directory）
  • 記錄每個修復金鑰 ID 屬於哪一台裝置
  • 決定誰可以查看修復金鑰（持有金鑰的人可以讀取該磁碟機上的所有內容）

如何找到金鑰，請見如何找到 BitLocker 修復金鑰。

與相似功能的區別

功能加密什麼在哪裡可以使用
BitLocker作業系統磁碟機與內部磁碟機（使用 BitLocker To Go 時也包括外接磁碟機與隨身碟）Windows Pro / Enterprise / Education
裝置加密作業系統磁碟機與內部磁碟機（不含外接磁碟機與隨身碟）包含 Windows Home 在內的受支援裝置。使用相同的 BitLocker 引擎
FileVault開機磁碟macOS
EFS（加密檔案系統）個別的檔案與資料夾Windows。不保護整個磁碟

BitLocker 與裝置加密更細的差異（設定畫面、可用的保護裝置），請見 BitLocker 與裝置加密的區別。要安全地關閉 BitLocker，請見如何關閉 BitLocker。

本站的視角：帶出門的裝置所需的最低限度保護

對要帶出門的裝置來說，磁碟加密是最低限度的對策。筆電裡有儲存的密碼、SSH 金鑰、業務檔案等一旦外洩就會引發更多損害的東西。如果沒有加密，一旦被偷，硬碟當場就會被拔出來全部讀走。啟用 BitLocker（Mac 則是 FileVault），並把修復金鑰備份到電腦外部。僅這兩點，就能把遺失、被竊的損失縮小到「只是丟了一台硬體」。但加密守的是關機狀態，所以請務必與強登入＋自動鎖定搭配使用。

接下來讀

出處（一手資料）

  • Microsoft Learn「BitLocker overview」— learn.microsoft.com（支援的版本、TPM 與 PIN、裝置加密的條件與修復金鑰備份、Windows 11 24H2 放寬的條件、預設 XTS-AES 128）
  • Microsoft Learn「BitLocker recovery overview」— learn.microsoft.com（觸發復原的原因、48 位數的修復密碼、保存位置、暫停與恢復）
  • Microsoft 官方部落格（2024 年 7 月 20 日，關於故障的因應）— blogs.microsoft.com（受影響裝置的估計數量）
  • Microsoft 支援「KB5042421」（故障的復原步驟）— support.microsoft.com（復原過程中可能被要求輸入修復金鑰）

FAQ

QBitLocker 能防住什麼？
A

它保護處於關機狀態、或磁碟機被實體拔出狀態下的資料（靜態資料）。即使筆電被偷、或只有硬碟被拔走，沒有你的憑證或修復金鑰，裡面的內容仍是密文，無法讀取。但它無法保護已經登入、正在使用中的電腦（這種情況要靠強登入和自動鎖定）。

Q最需要注意的是什麼？
A

修復金鑰（48 位數字）的保管。BitLocker 會把金鑰與硬體狀態綁定，因此 TPM 狀態變化、更換主機板等情況下可能會要求輸入修復金鑰。一旦遺失，作為正當擁有者的你會被鎖在自己的資料之外。務必把它備份到加密電腦的『外部』——Microsoft 帳戶、列印出來、或另一個安全的地方。

QWindows Home 也能用嗎？
A

BitLocker 本體面向 Windows Pro/Enterprise/Education。Windows Home 上有一個輕量版叫『裝置加密』，在受支援的硬體上會自動啟用，理念相同（對靜態資料加密）。Mac 上的對應功能是 FileVault。

Q如何確認 BitLocker 是否已啟用？
A

在 Windows 11 上，開啟「設定」→「隱私權與安全性」→「裝置加密」；Pro 以上版本則開啟「控制台」→「BitLocker 磁碟機加密」。要看詳細資訊，請在系統管理員終端機中執行 manage-bde -status，確認保護狀態為開啟。已加密但保護為關閉的磁碟機，被偷時是沒有受到保護的。

Q我的 BitLocker 修復金鑰在哪裡？
A

如果是在登入 Microsoft 帳戶的狀態下加密個人電腦，金鑰通常會自動儲存到該帳戶，可以從另一台裝置在帳戶的裝置清單中查看。公司的電腦會把它存在 Microsoft Entra ID 或 Active Directory 中，請詢問 IT 管理員。如果你曾列印或存成檔案，請找出那份副本。本站的指南「如何找到 BitLocker 修復金鑰」逐一說明了各種情況。

Q為什麼突然被要求輸入修復金鑰？
A

BitLocker 會用 TPM 確認與開機相關的元件和上次相同。BIOS/UEFI 更新、TPM 設定變更、更換主機板、開機順序改變，或多次輸入錯誤的 PIN，都會改變這個狀態，BitLocker 就會要求輸入修復金鑰以確認是你本人。在計畫好的 BIOS 更新前先暫停保護，就能避免被要求輸入。