公司的 IT 群发了一封关于有人 PC 被 BitLocker 锁死无法恢复的邮件通知，可能有的人不了解 BitLocker 究竟是什么，正好聊聊这个话题。
BitLocker 是 Windows 上的一个对磁盘做全盘加密的软件。它为磁盘提供 at-rest 的防护。通俗地说就是，它用来保障即使你的硬盘被坏人偷走，坏人也没法破解其中的数据。这块硬盘必须要由它当前所在的这台机器（主要是同一块主板上的 TPM 芯片）才能解锁。
这段描述中有几个关键信息：
1. BitLocker 提供的是 at-rest 静态保护，开机后的数据安全不归他管。
2. 必须要先解锁才能使用磁盘，所以不要把恢复密钥放在磁盘上，这相当于把保险箱钥匙锁保险箱里。
启用 BitLocker 需要有 TPM 2.0 芯片，你可以对照你的主板型号去买一个插上，也就 30 块钱左右。
BitLocker 有多种加密方式，推荐使用 BitLocker + PIN 的模式，这样的话你会有两个密码：
1. PIN 密码：解锁磁盘需要人工输入的密码
2. Recover Key：解锁失败时的恢复密钥
使用 PIN 是为了提高安全性，因为单纯依赖 BitLocker + TPM 的自动开机解密存在被绕过的可能性，要求输入 PIN 可以彻底堵上这个漏洞。PIN 和 TPM 必须协同作用才能解锁磁盘。Recover Key 则是最后的急救手段，可以无需 TPM 就解密数据，应该妥善地离线保管在安全的地方。（这两个密钥都不应该保存在被加密的硬盘里）
后续会另发一篇介绍 TPM 是什么，是如何实现加密的。
next: https://t.me/laiskynotes/69
BitLocker 是 Windows 上的一个对磁盘做全盘加密的软件。它为磁盘提供 at-rest 的防护。通俗地说就是，它用来保障即使你的硬盘被坏人偷走，坏人也没法破解其中的数据。这块硬盘必须要由它当前所在的这台机器（主要是同一块主板上的 TPM 芯片）才能解锁。
这段描述中有几个关键信息：
1. BitLocker 提供的是 at-rest 静态保护，开机后的数据安全不归他管。
2. 必须要先解锁才能使用磁盘，所以不要把恢复密钥放在磁盘上，这相当于把保险箱钥匙锁保险箱里。
启用 BitLocker 需要有 TPM 2.0 芯片，你可以对照你的主板型号去买一个插上，也就 30 块钱左右。
BitLocker 有多种加密方式，推荐使用 BitLocker + PIN 的模式，这样的话你会有两个密码：
1. PIN 密码：解锁磁盘需要人工输入的密码
2. Recover Key：解锁失败时的恢复密钥
使用 PIN 是为了提高安全性，因为单纯依赖 BitLocker + TPM 的自动开机解密存在被绕过的可能性，要求输入 PIN 可以彻底堵上这个漏洞。PIN 和 TPM 必须协同作用才能解锁磁盘。Recover Key 则是最后的急救手段，可以无需 TPM 就解密数据，应该妥善地离线保管在安全的地方。（这两个密钥都不应该保存在被加密的硬盘里）
后续会另发一篇介绍 TPM 是什么，是如何实现加密的。
next: https://t.me/laiskynotes/69