详解windows vista的bitlocker加密以及windows 7的bitlocker to go技术

之前，讨论了windows vista下的EFS加密技术，现在来讨论一下windows vista下特有的bitlocker加密和windows 7下的bitlocker to go技术。需要说明的是，bitlocker只包含在Windows Vista Enterprise、Windows Vista Ultimate下。

BitLocker以加密整个操作系统分区，数据分区。能够与硬件TPM(Trusting Platform Module，多数商业用笔记本与台式机，服务器的主板均包括此组件)安全组件结合使用，除传统数据加密保护外，还可以防止硬盘被插到其他计算机上或启动组件/配置被修改或盗取数据。

与之前EFS不同的是，BitLocker 将加密整个系统驱动器，包括启动和登录所需的 Windows 系统文件。您可以正常登录和使用文件，但是 BitLocker 可以帮助阻止黑客访问您的系统文件，黑客依靠这些系统文件发现您的密码，或者通过从您的计算机删除这些系统文件并将其安装在其他计算机上来访问您的硬盘。

在将新的文件添加到具有 BitLocker 的驱动器时，BitLocker 会自动对其进行加密。文件只有存储在加密驱动器中时才保持加密状态。复制到位加密驱动器或其他计算机的文件将被解密。

在计算机启动时，如果 BitLocker 检测到某个系统条件可能表示存在安全风险（例如，磁盘错误、对 BIOS 的更改或对任何启动文件的更改），则 BitLocker 将锁定驱动器并且需要使用特定的 BitLocker 恢复密码才能进行解锁。请确保在第一次打开 BitLocker 时创建此恢复密码；否则，您可能会永久失去对文件的访问权限。

BitLocker 通常使用计算机中受信任的平台模块 (TPM) 芯片来存储用于解锁已加密硬盘的密钥。登录计算机时，BitLocker 会要求 TPM 提供硬盘密钥并将其解锁。由于在您登录计算机后 TPM 会立即为 BitLocker 提供密钥，因此计算机的安全性取决于登录密码的强度。

其详细操作，请参考： Windows BitLocker 驱动器加密循序渐进指南

这里以图示的方式进行简略说明：

1、为了使用 BitLocker，您的硬盘上必须至少包含两个分区。一个系统分区，一个活动分区：





将分区标记为“活动”分区是一项只能由高级用户执行的高级任务。在基本磁盘上将某分区标记为活动分区意味着计算机将对该分区使用加载程序（操作系统工具）以启动操作系统。

警告
如果某个分区不包含操作系统加载程序，请勿将其标记为活动分区。否则，将导致计算机停止工作。

2、打开驱动器加密：





3、如果你的计算机没有TPM，也可以使用Bitlocker。但是每次启动要插入一个U盘。使用U盘需要在配置BitLocker之前激活一个组策略









 

之前讨论说windows vista下的BitLocker不能对可移动磁盘进行加密，只能使用EFS使用技术。不过在windows 7下，这个问题解决了，它使用了一门新的技术：BitLocker To Go，而且，操作十分简单。

插入U盘，通过右击或者在控制面板的“bitlocker加密”下可以看到bitlocker to go：





操作比较简单，这里就将步骤略去了。

插入已加密的U盘，图标将显示如下：





并且访问的话，要求输入解密密钥：





解密成功后的图标：





不过，这里需要说明的是，要获得对加密U盘完全的增删文件操作，必须使用windows 7，在windows xp/vista下，只能读，不能像加密U盘写入数据：





下图是尝试在vista下向加密盘写入数据的错误提示框：