更改加密密码是否意味着重写所有数据？

Question

假设我在使用 BitLocker、TrueCrypt 或 VeraCrypt 加密的分区上有 1 TB 数据。

更改加密密码是否意味着重写所有数据（即，是否需要数小时/数天）？

Answer 1

不可以。您的密码仅用于加密主密钥。更改密码时，主密钥会重新加密，但本身不会更改。

（这就是某些系统，例如 BitLocker 或 LUKS，能够为同一个磁盘设置多个密​​码的原因：它们仍然对所有数据使用一个主密钥，但只是存储使用不同密码加密的主密钥的多个副本。）

Answer 2

Grawity 的答案是正确的。因为加密数据是一个相对昂贵的过程，所以创建一个在加密数据的生命周期内不会改变的单一主密钥更有意义。然后，该主密钥又可以由一个或多个二级密钥加密，然后可以随意灵活更改。

例如，BitLocker 是如何实现这一点的（它实际上使用了三个“层”键）：

1. 写入受 BitLocker 保护的卷的数据使用全卷加密密钥(FVEK) 进行加密。在从卷中完全删除BitLocker 之前，此密钥不会更改。
2. FVEK 使用卷主密钥(VMK) 进行加密，然后（以其加密形式）存储在卷的元数据中。
3. VMK 又使用一个或多个密钥保护程序加密，例如 PIN/密码。

下图显示了在启用了BitLocker全卷加密的机器上访问加密系统盘的过程：

可以在TechNet上找到有关此过程的更多信息。