BitLocker

Коротко: BitLocker — це шифрування дисків у Windows. Він шифрує розділ або весь диск, тож без правильного ключа дані — лише випадкові значення, навіть якщо накопичувач вийняти.

Докладніше: Пароль входу в Windows не захищає дані від того, хто запустить комп’ютер з іншої системи або вставить диск в інший комп’ютер. Тоді файли можна просто прочитати. BitLocker закриває цю шпарину: без ключа дані лишаються нечитними.

Подробиці

Як це працює:

• Дані шифруються блок за блоком за допомогою AES (128 або 256 біт, зазвичай режим XTS). Для користувача це прозоро, а на сучасному обладнанні майже не знижує продуктивність.
• Ключ даних (FVEK, full volume encryption key) сам шифрується (за допомогою VMK, volume master key).
• VMK захищається одним або кількома протекторами: TPM, PIN, USB-ключ, ключ відновлення.
• Прив’язка до TPM: ключ зберігається в чипі TPM і видається лише якщо запуск незмінний (прошивка, завантажувач, стан Secure Boot). Якщо ланцюжок завантаження змінено або диск вставлено в інший комп’ютер, ключ лишається заблокованим.
• Додатковий PIN: «TPM + PIN» запитує введення до запуску. Захищає від зловмисників, які мають увесь комп’ютер.

Ключ відновлення (48 цифр): показується під час налаштування й зберігається в обліковому записі Microsoft. Без нього після зміни прошивки, заміни материнської плати чи збою дані безповоротно втрачаються. Обов’язково зробіть його резервну копію.

Роль у захисті вимкненого комп’ютера: якщо ноутбук викрадено, пароль Windows не захищає файли. BitLocker захищає, бо злодій не може ні розшифрувати диск, ні підмінити систему.

Обмеження:

• Не захищає, поки комп’ютер працює й розблокований (шкідливе ПЗ, користувач, що увійшов, атаки на пам’ять).
• Лише Windows Pro, Enterprise та Education (у Windows 11 Home є «шифрування пристрою» з подібною технологією).
• Споріднені: FileVault (macOS), LUKS/dm-crypt (Linux), VeraCrypt.
• Типові проблеми: «Відновлення BitLocker» з’являється після оновлень BIOS або зміни параметрів завантаження. Тримайте ключ напохваті, а потім призупиніть і відновіть захист.

Див. також: TPM і TPM 2.0, Secure Boot, Bypassing: як обходять захист входу і як захищатися