BitLocker 与设备加密：开箱加密的原理与恢复密钥自救

设备加密与 BitLocker 的关系

很多新电脑开箱即处于加密状态，用户却毫无感知——那是设备加密（Device Encryption），BitLocker 技术的消费级形态，在现代硬件（含 TPM 2.0）上自动启用，对系统盘透明加密。完整版 BitLocker 是专业版能力，额外支持对 U 盘等可移动介质加密（BitLocker To Go）与更细的控制。

查看你的加密状态

「设置 > 隐私和安全性 > 设备加密」：显示开或关。专业版设备也可在「控制面板 > BitLocker 驱动器加密」里逐盘管理。家庭版设备若满足硬件要求且有「设备加密」开关，打开即可。

为什么必须管好恢复密钥

加密后每次硬件变更、固件更新或触发安全检测时，系统可能要求输入 48 位恢复密钥才能解锁。密钥丢失 = 数据永久无法找回，没有后门。所以开启加密后的第一件事是确认密钥去向。

恢复密钥的五个可能位置

开启加密时系统会让你选择或自动选择保存位置：

1. Microsoft 账户：最推荐。开启加密时选了备份到账户的，在另一台设备浏览器登录微软账户，进入官方的「BitLocker 恢复密钥」查询页即可看到密钥列表；解锁时先记下提示界面的密钥 ID 前 8 位，与列表中对应的那条匹配。
2. 打印件：当初打印过纸质版。
3. U 盘文件：保存成了文本文件。
4. 本地文件：存到了非加密分区或另一台设备。
5. 组织账户：公司设备由 IT 管理，密钥在单位账户里，用工作账户登录官方的 Entra 设备密钥查询页查找。

解锁界面出现时：记下密钥 ID 的前 8 位 → 到上述位置找到对应密钥（48 位分 8 组）→ 输入即可解锁进入系统。

常见触发场景

• 重装系统或大量更换硬件（主板、TPM 重置）。
• 固件（BIOS/UEFI）更新，见 TPM 2.0 与安全启动。
• 安全启动配置变化、多次输错 PIN。
• 这也是装机章节反复强调改固件前先暂停 BitLocker 的原因。

开关与注意事项

• 关闭加密：设置里关掉开关后解密需要一段时间，期间别断电。
• 对 U 盘加密（专业版）：文件资源管理器右键 U 盘选「启用 BitLocker」。
• 加密对性能影响在现代硬件上可忽略，游戏帧数基本无感。

恢复流程以解锁界面的官方提示为准；无法找回密钥时数据无法恢复，请勿轻信任何「破解服务」。