BitLocker 保护什么，需要什么
BitLocker 加密整个卷——系统文件、程序、你的文档——解锁密钥永远不会离开 TPM 芯片，除非你主动导出恢复密钥。从笔记本里拔走 SSD 的小偷只能得到一堆噪声，而不是数据；即使是拥有完整磁盘访问权的可启动 U 盘也读不出任何内容。加密透明运行，在任何现代 CPU 上开销几乎为零——在如今这个年代的硬件上，也就是所有 CPU 上。
坑在于系统版本和硬件。完整 BitLocker 需要 Windows 11 Pro、Enterprise 或 Education；家庭版在受支持的硬件上只提供较轻的“设备加密”。此外还需要 TPM 2.0 芯片和 UEFI 启动——任何 Windows 11 机器的标准配置——以及一把两年后你真的还能找回来的恢复密钥。
- 改变了度量启动状态的 BIOS、UEFI 或 TPM 固件更新
- 更换主板或 CPU，或者把 SSD 移到另一台电脑
- 修改启动顺序、Secure Boot 设置，或者插着忘拔的可启动 U 盘
- 为维护而挂起、之后却一直没有恢复的保护
- 忘记的启动 PIN（如果你在 TPM 之外还设了 PIN）
逐步启用 BitLocker
打开控制面板 → 系统和安全 → BitLocker 驱动器加密——最快的路子是在开始菜单里搜“管理 BitLocker”——或者在文件资源管理器中右键点击 C: 盘，选择“启用 BitLocker”。向导首先问把 48 位恢复密钥保存到哪里：Microsoft 帐户、U 盘、文件或打印件。Microsoft 帐户最方便，随时可以在 aka.ms/myrecoverykey 取回密钥；唯一要紧的规矩是：绝不要把唯一一份副本放在它所保护的那个驱动器上。
接着选择“仅加密已用磁盘空间”——对日常使用中的驱动器完全够用——或者“加密整个驱动器”——对已经装过数据的盘更合适，然后决定下次重启时是否运行 BitLocker 系统检查。重启后托盘里会出现挂锁图标，加密在后台慢慢推进；随时可以在管理员命令提示符里用 manage-bde -status C: 查看进度。在现代 NVMe 盘上，整个活通常不到一小时。事先还有一项检查：许多预装笔记本出厂就已经开着较轻的设备加密——去“设置 → 隐私和安全性 → 设备加密”查看——但只有完整的向导才提供挂起保护、启动 PIN 和数据驱动器控制。
启用之后：固件更新前先挂起，必要时解密
两个习惯能让 BitLocker 不找麻烦。在更新 BIOS/UEFI 或 TPM 固件之前，打开同一个 BitLocker 页面，点击“挂起保护”：数据仍然加密，但 Windows 不再强制校验度量启动状态，这样更新就不会在下一次开机时触发恢复密钥提示。事后恢复保护即可——或者干脆重启，因为挂起会自动结束。至于额外的数据驱动器，在资源管理器里右键点击、启用 BitLocker，并勾选自动解锁，它们就会随系统盘一起打开。
彻底移除 BitLocker——“关闭 BitLocker”——会把驱动器完全解密，这在老式 HDD 上要花几个小时，在 SSD 上则短得多；如果你要卖掉电脑，用“删除所有内容”选项进行 Windows 重置是更干净的路。而如果 Windows 真的在开机时要恢复密钥，去 aka.ms/myrecoverykey 取，不要瞎猜——反复输错可能会把你锁在驱动器之外。
常见问题与解答
BitLocker 会让电脑变慢吗？
在任何现代处理器上都测不出来——AES 硬件加速把开销控制在远低于百分之一的水平。日常使用中你不会察觉。
在哪里能找到我的 BitLocker 恢复密钥？
如果保存到了 Microsoft 帐户，就在 aka.ms/myrecoverykey；否则在设置时选择的文件、U 盘或打印件里。
Windows 11 家庭版有 BitLocker 吗？
没有——完整 BitLocker 需要 Pro、Enterprise 或 Education。家庭版只有“设备加密”，它会在受支持的硬件上自动开启。
联系我们: [email protected]