跳至主要內容
ITD網站資安平台
ITD
搜尋

資安指南

#BitLocker#磁碟加密#Windows#防盜#裝置

BitLocker 與「裝置加密」的區別 —— 同一技術的完整版與自動·簡易版

BitLocker 與「裝置加密」使用同一套加密技術：裝置加密是 Home 也能用的自動簡易版，BitLocker 是 Pro 以上的完整版。說明兩者差異、如何確認自己的 PC 用哪一個，以及修復金鑰。

發布於 2026-06-11 更新於 2026-10-06 閱讀時間 4 分鐘
本頁內容

「BitLocker，和設定裡出現的『裝置加密』，是兩個不同的東西嗎？」——這是個常見疑問，本文來回答它。先把結論放在前面：加密技術是同一套，不同的是能用的功能。這裡不涉及攻擊手法。

加密技術相同，功能不同

裝置加密
自動·簡易（Home 可用）
BitLocker
完整控制（Pro 及以上）
↓ 核心相同 ↓
BitLocker 加密引擎（把靜態資料變成密文）
兩者都使用同一套 BitLocker 加密引擎。『裝置加密』是自動·簡易版，BitLocker 是可完整控制的版本。

一覽兩者的區別

維度裝置加密BitLocker
適用版本Home 也可用Pro / Enterprise / Education
啟用方式滿足條件即自動（Microsoft 帳戶）自己手動啟用·設定
設定項極少（基本全託管）豐富（方式·對象·維運）
啟動 PIN基本沒有可設定（提升防盜強度）
外接/USB 加密不支援可用 BitLocker To Go
修復金鑰的保存自動備份到 Microsoft 帳戶保存位置自己選
管理命令幾乎沒有用 manage-bde 做詳細管理
預設加密方式XTS-AES 128 位元預設相同；可用群組原則變更
公司或學校的 PC修復金鑰存到 Entra ID / Active Directory依組織的原則管理
加密的效果（本質）相同（保護靜態資料）相同

我的 PC 是哪一種？確認方法

1

在設定裡找『裝置加密』

設定的搜尋裡出現「裝置加密」且能看到開/關，那用的就是它（Home 常見）。
2

Pro 及以上看『管理 BitLocker』

在搜尋裡開啟「管理 BitLocker」，即可對各磁碟機的加密狀態和修復金鑰進行操作。
3

用命令查看狀態

在系統管理員終端機裡執行 manage-bde -status。是否加密、採用的方式、保護狀態都會一覽顯示。
4

務必確認修復金鑰在哪

無論哪種情況，都要確認修復金鑰是否已備份在 Microsoft 帳戶等PC 之外的地方。這一點最重要（→ 什麼是 BitLocker）。

「已加密」和「受保護」不是同一件事

這是最常被忽略的一點。Microsoft 說明，裝置加密在 Windows 安裝完成時就開始加密，但一開始使用的是沒有上鎖的「clear key（明文金鑰）」。這和暫停中的 BitLocker 一樣：磁碟機內容是密文，但金鑰放在誰都能用的地方。

只有在下列任一情況發生後，保護才會開啟：

  • 個人 PC：系統管理員用 Microsoft 帳戶登入，修復金鑰存到該帳戶
  • 公司或學校的 PC：修復金鑰存到 Microsoft Entra ID 或 Active Directory

對於只使用本機帳戶的 PC，Microsoft 寫道「資料已加密但未受保護」。在這個狀態下，你拿不到真正的好處：讓竊賊讀不到磁碟機的內容。

查看位置受保護已加密但未受保護
檔案總管中的 C: 磁碟機鎖頭圖示黃色警告圖示
manage-bde -status 的「Protection Status」Protection OnProtection Off
修復金鑰已存到 Microsoft 帳戶等處沒有存在任何地方

設定的位置（Windows 11）

在 Home 上，「裝置加密」位於 設定 → 隱私權與安全性 → 裝置加密。如果找不到這個項目，請以系統管理員身分開啟「系統資訊」（msinfo32），查看「裝置加密支援」（Device Encryption Support）這一列。若沒有顯示「符合必要條件」（Meets prerequisites），原因就會列在那裡。

從 Windows 11 版本 24H2 起條件放寬了（移除了 Modern Standby/HSTI 與 DMA 連接埠的條件），因此更多全新安裝的 PC 會自動加密。

依情況：該怎麼做

你的情況該怎麼做
Home，用 Microsoft 帳戶登入確認「裝置加密」已開啟，且修復金鑰已存到帳戶
Home，只用本機帳戶可能已加密但未受保護。查看 manage-bde -status 的「Protection Status」。要受到保護，請用具系統管理員權限的 Microsoft 帳戶登入一次
Pro，個人使用在「管理 BitLocker」開啟，並把修復金鑰保存在 PC 之外：Microsoft 帳戶、列印本或 USB
公司或學校配發的 PC不要自己變更設定。修復金鑰由組織保管，請洽 IT 部門
也想加密 USB 隨身碟或外接磁碟機裝置加密不涵蓋它們。請使用 BitLocker To Go（Pro 及以上）
攜帶敏感資料或擔心失竊在 Pro 及以上加上啟動 PIN（TPM + PIN）

常見錯誤與修正

1

因為被要求修復金鑰就關閉加密

關閉加密並不能打開已經被鎖住的磁碟機。請先找到修復金鑰（→ BitLocker 要求輸入修復金鑰時）。另外，裝置加密一旦關閉，就不會自己再開啟。
2

修復金鑰只存成 PC 裡的一個檔案

PC 打不開，那個檔案也打不開。至少在 PC 之外保留一份：Microsoft 帳戶、列印本或另一個 USB 隨身碟。
3

更新 BIOS 或送修前什麼都沒做

BIOS/UEFI 設定或開機元件變更時，BitLocker 會要求輸入修復金鑰。更新前只要暫停保護就夠了，不需要關閉（→ 關閉 BitLocker 與暫停保護的差別）。
4

以為外接磁碟機也已加密

裝置加密只涵蓋 OS 磁碟機和內建的固定磁碟機。隨身攜帶的 USB 隨身碟需要另外處理。

用哪個就夠？

多數個人場景下裝置加密就夠

  • 目的是「失竊·遺失時不讓別人讀到裡面的內容」
  • 只要自動開啟，那個最關鍵的效果就已經拿到了
  • 首要任務是先做到處於已加密狀態

需要 BitLocker（Pro）的場景

  • 想用啟動 PIN 提升防盜強度
  • 想把外接/USB 也加密（To Go）
  • 想對方式·維運做精細管理

也許早已在不知情中被加密了＝立刻確認修復金鑰在哪

近來的 Windows，越來越多支援的 Home PC 在初次設定時就會自動開啟『裝置加密』。方便歸方便，但「沒意識到已經被加密」的話，一旦 TPM 狀態發生變化或更換硬體，就可能被要求輸入修復金鑰而把自己擋在門外。請趁現在確認：修復金鑰是否已備份到 Microsoft 帳戶（或存在另一個安全的地方）。

本站的觀點：比起產品名，更要看『狀態』

「是 BitLocker 還是裝置加密」，對個人而言並非本質。重要的只有兩點：靜態資料已被加密，以及修復金鑰保存在 PC 之外。只要做到這個狀態，叫什麼名字都好，失竊·遺失就只等於「丟了一台硬體」。反過來，哪怕用的是完整功能的 BitLocker，一旦丟了修復金鑰，照樣會把自己鎖在外面。

本站建議養成的習慣，不是去記「功能的名字」，而是去確認「此刻我的 PC 處於什麼狀態（是否已加密·有沒有修復金鑰）」。

接著讀

出處（官方）

已於 2026 年 10 月 6 日對照 Microsoft 官方文件確認（以 Windows 11 版本 24H2 及以後為前提）。

  • Microsoft Learn「BitLocker overview」（裝置加密、clear key、本機帳戶、24H2 的條件變更、XTS-AES 128 位元）— learn.microsoft.com
  • Microsoft Support「Device encryption in Windows」（設定的位置、Home 的可用性）— support.microsoft.com
  • Microsoft Learn「BitLocker countermeasures」（TPM + PIN、BIOS/UEFI 變更後的還原模式）— learn.microsoft.com

FAQ

QBitLocker 和裝置加密是兩回事嗎？
A

底層是同一套。「裝置加密」內部使用的就是和 BitLocker 相同的加密技術，只是把它自動化、簡化成 Windows Home 也能用的形式。區別在於打包方式和管理功能：裝置加密在用 Microsoft 帳戶登入後會自動啟用、設定項極少；而 BitLocker（Pro/Enterprise/Education）可以做啟動 PIN、外接磁碟機加密(BitLocker To Go)等更精細的控制。

QWindows Home 也能做磁碟加密嗎？
A

可以。在支援的硬體（如 TPM）上，只要用 Microsoft 帳戶登入，就能使用「裝置加密」（多數情況下會自動開啟）。完整功能的 BitLocker 管理介面需要 Pro 及以上，但把靜態資料變成密文這個最關鍵的效果，Home 的裝置加密同樣能拿到。

Q怎麼確認自己的 PC 是用哪一種加密的？
A

在設定裡搜尋，如果出現「裝置加密」，那用的就是它。Pro 及以上在搜尋裡開啟「管理 BitLocker」即可看到各磁碟機的狀態。要用命令，就在系統管理員權限的終端機裡執行 manage-bde -status，便能看出是否加密以及採用的方式。無論哪種，關鍵都是：確實處於已加密狀態，並且清楚修復金鑰存放在哪裡。

Q為什麼設定裡沒有出現「裝置加密」？
A

因為你的 PC 不符合裝置加密的條件。以系統管理員身分開啟「系統資訊」（msinfo32），查看「裝置加密支援」（Device Encryption Support）這一列：會顯示「符合必要條件」（Meets prerequisites），或列出不符合的原因。根據 Microsoft 的說明，Windows 11 版本 24H2 移除了部分條件（Modern Standby/HSTI 與 DMA 連接埠的條件），因此符合的 PC 變多了。Pro 及以上仍可從「管理 BitLocker」手動開啟 BitLocker。

Q用本機帳戶，裝置加密也能保護我嗎？
A

可能不行。根據 Microsoft，裝置加密在安裝完成後就開始，但一開始是沒有上鎖的「clear key（明文金鑰）」狀態。當系統管理員用 Microsoft 帳戶登入時，修復金鑰會存到該帳戶，並開啟 TPM 保護。對於只使用本機帳戶的裝置，Microsoft 說明資料是「已加密但未受保護」。請查看 manage-bde -status 中的「Protection Status」（保護狀態）一列。

Q可以關閉裝置加密嗎？
A

對於支援的裝置，Microsoft 建議保持開啟。一旦關閉，它不會自己再開啟，必須手動重新啟用。如果關閉的原因是被要求輸入修復金鑰，請先找到修復金鑰，再考慮關閉。關閉的步驟與注意事項，請參考本站關於關閉 BitLocker 的頁面。