这篇文章起源于这样一篇推文，虽然它已经被证明是噱头大过实际，但我依然很难忘记刚开始看到它时的震撼，毕竟作为我最常用的社交软件之一的 Telegram，竟然可以随意的被读取聊天记录和图片。不过随后就有大佬指出尽管 Telegram 存储在本地的记录是加密的，它的密钥很有可能也以某种形式被缓存在本地，因此只要找到密钥就可以解密记录了。

因此这个问题并不是不可以解决的，解决方式有几个：

• Bitlocker是什么

Bitlcoker 发展于 Windows XP 上的“安全启动”功能，内置于 Windows Vista 及之后发布的系统中，当与兼容的可信平台模块（TPM）结合使用时可以在解密受保护的卷之前验证引导和系统文件的完整性，如果验证失败，会禁止用户访问受保护的卷。Bitlocker 使用 AES-CBC（已被Windows 10/11弃用） 或 AES-XTS 128/256位密钥执行全盘加密，有基础的 GUI 设置界面，但高级功能需要使用自带的 manage-bde 命令行工具设置和管理。

作为从很久以前开始就一直存在的系统自带加密工具，Bitlocker 的存在感一直不强，甚至很多人可能都不知道有这样一个东西的存在。然而作为数据的第一道防线，Bitlocker 可以有效的防止物理攻击，这是其他数据安全工具无法做到的。

• Bitlocker 的验证方式

Bitlocker支持已下六种验证方式

一般来说建议对系统盘使用 TPM+PIN 的方式，比较方便也可以享受到完整的保护，也不容易有麻烦。不过如果你想要最高级的安全性的话，也可以使用最后一种，不过要再提醒一遍，如果你要用这种方式的话请一定保护好你的 U 盘。对于一般的数据盘建议使用仅 TPM 模式，十分方便。并且 Bitlocker 在系统启动时是会先解密系统盘再解密其余磁盘的，因此如果系统盘没有解密的话，数据盘也会保持加密状态。

• 设置并启动 Bitlocker

在打开命令行之前，我们需要去到组策略来更改一些设置。按下 Win+R 键打开运行，然后输入 gpedit.msc 并按回车键。随后依次打开 计算机配置 ——> 管理模板 ——> Windows组件 ——> Bitlocker驱动器加密 ——> 操作系统驱动器加密。

打开“启动时需要附加身份验证”选项卡，将左上角的选项切换为“已启用”，然后关闭“没有兼容的TPM时允许Bitlocker”功能。最后将 配置TPM需要启动PIN 选项设置为“有TPM时允许启动PIN”，其他选项保持默认即可，完成设置后应该如下图所示。

接下来打开 “启用Bitlocker身份验证需要在平板电脑上预启动键盘上输入” 选项卡（这个东西看上去很奇怪只是因为微软的翻译有问题），将左上角切换为“已启用”。然后来到“允许增强型启动PIN”，同样切换为已启用。最后来到“在操作系统驱动器上强制实施驱动器加密类型”选项卡，切换为已启用，然后在下方选择加密类型为“完全加密”。

至此组策略设置完成，然后以管理员权限打开命令行，接下来我们将使用 manage-bde 命令来设置Bitlocker。其全部可用参数如下：

我们给C盘启动 Bitlocker 加密，使用 TPM+PIN 模式，并生成恢复用的密钥和密码，命令如下：

manage-bde -on C: -TPMAndPIN -RecoveryPassword -RecoveryKey 你想保存密钥的路径 -SkipHardwareTest

#解释如下：
-TPMAndPIN：使用 TPM 与 PIN 双重验证模式，可替换为你想要使用的模式。
-RecoveryPassword：生成在忘记PIN或更换电脑时恢复用的密码，密码将在成功启动Bitlocker后出现在命令行上，请妥善保管。
-RecoveryKey：生成作用同上的密钥文件，不能保存于已加密或将要加密的驱动器中，请妥善保管。
-SkipHardwareTest：略过硬件兼容性测试，选择双重/三重验证的方式时不使用此项会导致玄学问题，所以一定要开启。一般允许 Windows11 的电脑都有兼容的TPM芯片。

输入以上命令并回车后它会要求你输入两次 PIN （建议使用大小写+数字+特殊字符的强密码），系统随后会显示出恢复用密码并在后台开始加密流程，你可以使用 manage-bde -status C: 来查看加密进度，加密时间视硬盘大小和性能有所不同，在加密完成前不要关闭电脑，否则会无法进入系统。

在加密完成后关闭电脑并重新启动，你会看到如下一个界面，先按 Insert 键使你能看到输入的东西，然后输入你的密码并回车即可。需要注意的是某些电脑在这里时按 Shift键 和 Caps Lock键 也可能会有字符输入，请注意检查。

• 忘记密码/丢了密钥怎么办

在输入PIN 的界面的左下角告诉了你如何进入恢复模式（按 Esc 键），进入恢复模式后按照指引进行并输入在设置 Bitlocker 时系统给你的恢复密码或密钥（二选一即可），随后系统会解密磁盘并关闭 Bitlocker，如果需要继续使用 Bitlocker 的话使用需要重新开启。如果你真的连恢复密码和密钥都丢了的话只能祈祷你平时的重要数据有备份吧。

• 了解Bitlocker的缺陷并进一步加强安全性

关于上方的第二点，我们可以通过修改电源配置的方式来规避，首先打开控制面板，来到 系统和安全——> 电源选项 ——> 选定的计划 ——> 更改计划设置 ——> 更改高级电源设置，找到睡眠 ——> 在此时间后休眠，将 “使用电池” 和 “使用电源” 两个子选项都设置为 120分钟（设置的太短会很麻烦，设置的太长会 影响安全性，120分钟时我的个人建议，具体可以自行调整）。与睡眠不同，进入休眠状态后 Bitlocker 会加密磁盘。你还可以在 电源选项 中左侧的“选择电源按钮的功能”选项卡里把合上笔记本盖后的默认动作也调整为休眠来进一步加强安全性。

• 结语

Bitlocker 很实用，但并不是一个完美的工具，例如其不能提供“可否认加密”的功能，但也已经足以抵抗大部分攻击了。关于它的更多内容和详细的技术细节，你可以在 Windows 的官方文档里找到。如果你想要更强大的加密防护，可以考虑再额外使用 Veracrypt ，不过那又是另外的话题了。以上。

完