带有 BitLocker“等待激活”的卷是否加密？

Question

在磁盘管理中，分区显示“NTFS (BitLocker Encrypted)”：

在 BitLocker 驱动器加密控制面板小程序中，它显示“BitLocker 正在等待激活”，并且有一个“打开 BitLocker”选项：

如果我转到“设置”>“设备加密”，它会显示“您需要一个 Microsoft 帐户才能完成此设备的加密”，但它有一个“关闭”选项：

如果我右键单击此 PC 中的驱动器，则会有一个“打开 BitLocker”选项：

驱动器是否使用 BitLocker 加密？ 激活仅用于创建恢复密钥，还是激活对分区进行加密？

Answer 1

卷已加密，但加密密钥“以明文形式”保存

该卷确实已加密，但 BitLocker 已“暂停”。这意味着用于加密数据的全卷加密密钥 (FVEK) 以明文形式保存到磁盘，任何人都可以访问它。这意味着他们也可以访问您的数据。

您可以自己验证这一点。假设您的音量是 C:，manage-bde -on C:从提升的命令提示符运行（不，这不会打开 BitLocker...它已经打开）：

PS C:\> manage-bde -on c:
BitLocker Drive Encryption: Configuration Tool version 10.0.17134
Copyright (C) 2013 Microsoft Corporation. All rights reserved.

Volume C: [Windows]
[OS Volume]
NOTE: This command did not create any new key protectors. Type
"manage-bde -protectors -add -?" for information on adding more key protectors.
NOTE: Encryption is already complete.
BitLocker protection is suspended until key protectors are created for the
volume. To enforce BitLocker protection on this volume, add a key protector.

注意输出中的最后一条语句：

BitLocker 保护将挂起，直到为卷创建密钥保护程序。

根据微软关于暂停 BitLocker的文档：

暂停 BitLocker 并不意味着 BitLocker 会解密卷上的数据。取而代之的是，暂停使 [the] 用于解密数据的密钥以明文形式提供给每个人。写入磁盘的新数据仍处于加密状态。

“等待激活”是什么意思？

BitLocker“等待激活”的原因是该卷不存在密钥保护程序。BitLocker 使用保护程序来控制对 FVEK 的访问。注意输出manage-bde -protectors C: -get：

PS C:\> manage-bde -protectors C: -get
BitLocker Drive Encryption: Configuration Tool version 10.0.17134
Copyright (C) 2013 Microsoft Corporation. All rights reserved.

Volume C: [Windows]
All Key Protectors

ERROR: No key protectors found.

在至少创建一个保护程序之前，BitLocker 不能离开挂起模式，Windows UI 将报告它正在等待激活。

如何完成激活 BitLocker

在这种情况下，有多种方法可以激活 BitLocker。我更喜欢从控制面板执行此操作，因为它允许您在不需要 Microsoft 帐户的情况下启用保护：

1. 在开始搜索manage BitLocker并从控制面板中选择结果
   

2. 在 BitLocker 驱动器加密小程序中单击打开 BitLocker
   

3. 选择备份恢复密钥的选项之一。
   

4. 完成向导。

完成此向导的结果是您的卷加密密钥受到“保护”，不再以明文形式保存到磁盘，这意味着您的加密数据现在实际上已受到保护，不会受到未经授权的访问。

BitLocker 是如何启用的？

如果您的设备支持现代待机或符合 HSTI 标准，则在您完成开箱即用体验 (OOBE) 后，Windows 可能已自动启用 BitLocker 。由于 Windows 8.1 BitLocker 已在这些设备上自动启用。这意味着许多新计算机出厂时默认启用 BitLocker。

其他资源

• 不同类型的 BitLocker密钥保护程序列表
• 超级用户回答讨论全卷加密密钥和密钥保护器的关系。

Answer 2

如果您想摆脱 bitlocker encrpytion 而不是激活，例如当公司使用 McAfee Drive Encryption 或您想切换到 AES256 时，请使用：

manage-bde c: -off

没有其他方法可以在处于“等待”状态时停用 bitlocker。