TL;DR

这篇文章的唯一价值在于提醒你知道恢复密钥这个东西，其他的BitLocker技术细节，都可以问AI得到更详细的回答。

因为恢复密钥这个东西，往往是在你最紧张、最关键、系统已经无法启动的时候，才第一次真正出现在你眼前。

而且在Windows11里，这个恢复密钥并不一定是你“主动生成”的。很多情况下，它是在系统安装和初始化过程中由Windows自动生成，并且在你几乎没有明显感知的情况下，被直接上传到了你在OOBE阶段登录的Microsoft账户或者单位的AD中。

如果你再不幸一点，操作系统并不是你自己安装的，而是别人帮你装的，并且他先完成了OOBE登录流程（不专业），那么这个恢复密钥很可能绑定在他的账户名下。等到你真正需要的时候，你会发现自己根本拿不到这串决定你数据生死的数字。

什么是全盘加密，以及为什么它是必要的

设想一个并不极端的场景：你在一个与他人共享的办公室里工作，如果没有设置BIOS开机密码，那么在你下班之后，任何能够接触到你电脑的人，都可以通过插入一个启动U盘来启动系统，并直接把硬盘里的数据全部拷贝走。如果你是教师，那么试卷、考题等内容就可能在你毫不知情的情况下泄露。

即使你设置了BIOS密码，这个问题也并没有真正解决。对于一台台式机来说，拆下硬盘、接到另一台电脑上读取数据，本身并不需要多高的技术门槛。

被人盯上，要搞你有很多种方法。比如不拷贝你数据，只在你的启动分区或目录中植入恶意程序，然后再把硬盘装回去，整个过程对你来说几乎是无感知的，恶意用户就可以在很长一段时间内监控你的一举一动。

全盘加密正是用来应对这种“物理接触假设”的。在没有解锁密钥的前提下，硬盘上的每一个扇区都只是一段随机数据，这使得上述攻击在现实中失去了可行性。

开始

你也许会在某一次开机时，突然发现Windows没有正常进入系统，而是直接跳转到了一个要求你输入 BitLocker 恢复密钥的界面。

对绝大多数人来说，这往往是他们第一次意识到自己的电脑“其实已经被加密了”。

这种体验有点像近几年电动车事故里反复被提到的“机械门把手”问题：车辆在断电后电子系统失效，车门打不开，最终导致严重后果。但事实上，机械门把手一直都存在，只是绝大多数人在事故发生前并不知道它在哪里，也不知道应该怎么用。

所以你坐稳网约车的第一时间，可以看看机械门把手在哪。

BitLocker也是一样。我已经遇到过好几次，有人拿着这个界面来找我，说电脑突然就进不去了，不知道发生了什么。

其实是因为从Windows11开始，微软正在把全盘加密逐步变成一个默认能力，而这个过程是在后台默默完成的，用户并不会被清晰地告知其中的关键细节。

手机其实早就全盘加密了，但手机很少有人会把存储芯片拆下来接到别的设备上去读数据，因此这个问题在手机上并不明显。电脑就完全不同了，一旦涉及到硬件更换、BIOS设置调整、系统修复，或者只是不小心插着U盘启动，或者是把硬盘拆下来接到另一台机器上，就会遇到全盘加密的问题。

不管你听到的概念是全盘加密、设备加密，还是BitLocker，它们在Windows11里本质上指向的是同一件事情，而你至少需要清楚下面这几点。

关于Windows11全盘加密，你必须明确的事实

在较新的Windows11版本中，只要设备满足硬件和安全条件，新安装系统后，系统盘往往已经处于加密状态。一旦磁盘被加密，无论是硬件发生变化、BIOS或UEFI中某些设置被调整，还是你把硬盘拆下来接到别的电脑上，如果你无法提供正确的恢复密钥，那么这些数据对于任何人来说都是完全不可读的。

与此同时，Windows11在OOBE阶段通常会将恢复密钥自动托管到你当时登录的Microsoft账户，或者在单位环境中托管到AD中。这一步骤往往不会引起用户的注意，建议你必须亲自去验证一次，确认自己知道恢复密钥存放在哪里，并且下载一份离线备份。理论上，如果你正在读这篇文章，那么此刻就应当去做这个事情。

全盘加密会显著提高数据恢复的难度，即使你掌握了恢复密钥，也无法像未加密磁盘那样进行低级别的数据抢救（开盘等）。因此，备份非常重要，而且至少应当有一份离线备份作为最终兜底。（就把备份做好有多难）

如果你的Windows11是从旧版本升级而来的，或者使用的是本地账户而非微软账户（一些高级用户懂得如何Bypass微软账户登录），那么系统有可能并未默认启用磁盘加密，这种情况下反而更建议你手动确认并开启。

为什么微软现在才开始默认启用全盘加密

从理论上讲，只要操作系统引入了账户口令登录机制，全盘加密（关于密码的一些事）就应当是一个基本配置，否则无论你的账户口令设置得多复杂，都无法抵挡针对物理设备的攻击。

但在过去很长一段时间里，这个条件并不成熟。TPM并非标配，安全启动的覆盖率有限，DMA防护能力不足，用户对于启动链和平台完整性的理解也很有限。如果在这样的环境中强行默认启用全盘加密，一旦密钥保护机制本身存在问题，反而会给用户一种“已经很安全了”的错觉，这种错觉本身就是一种风险。HTTPS是否还会被监听

直到Windows11强制推广TPM，并将安全启动、启动度量、密钥释放机制整合为一套相对完整的体系，全盘加密才具备了大规模作为默认配置的基础。

“设备加密”其实就是隐藏了细节的 BitLocker

对于普通用户而言，如果设备满足条件，并且在Windows11的OOBE阶段登录了微软账户，系统会自动启用磁盘加密，并生成恢复密钥托管到对应的账户中。整个过程对用户来说几乎是无感的，而你在“设置”中看到的“设备加密”，其底层实现就是BitLocker。

BitLocker是Windows自带的能力，并不需要额外购买专门的加密软件或硬件。一些带有硬件加密功能的硬盘或移动硬盘，则是由存储设备自身完成加密，速度和隔离性通常更好。

关于几个密码/口令

对于大部分普通用户而言，只要知道恢复密钥即可，但是全盘加密其实包括非常多个密码，引入TPM也是无密码的设计（手机最重要的4个密码），所以你想要了解更多，可以继续往下看。

全盘加密并不会直接使用用户输入的口令来对磁盘数据进行加密，这种设计在安全性和可用性上都是不可接受的。用户口令往往较短、可能复用，而且需要定期更换，如果每次更换口令都要对整个磁盘重新加解密，这在现实中几乎无法使用。

早期的ZIP加密正是这种思路，口令简单地派生出密钥来加密，其安全性早已被证明不足。即便是改进后的ZIP加密方式，在口令过短的情况下，依然难以抵御现代硬件的暴力破解。因此，小于8个字符的ZIP加密，在实际安全意义上基本可以视为明文。

如果有人发送ZIP文件给你，并且口令不是长的随机的，那你可以认为实际上是没有加密的。

BitLocker采用的是分层密钥模型。真正用于加密磁盘数据的是FVEK（Full Volume Encryption Key），它是随机生成的，通常在整个加密生命周期内不会改变；而FVEK本身又由 VMK（Volume Master Key）进行保护。VMK可以更换，通常也很少更换，他并不直接参与数据的加解密。

保护好了VMK，就保护了FVEK。

TPM、PIN、启动密钥文件（.bek）、密码以及 48 位的恢复密钥，本质上都是VMK的不同解封方式。可以把VMK理解为一个保险箱，FVEK放在里面，而这些方式都是打开保险箱的钥匙，只要其中任意一种可用，系统就可以获取FVEK并正常访问数据。

只使用 TPM 的情况下

这是最简单、也是目前绝大多数Windows11设备正在使用的方式。以Windows11的默认配置为例，在首次启用磁盘加密时，系统会生成并保护相关的加密密钥，并将VMK通过加密封包的方式绑定到TPM中。在之后的每一次启动过程中，Windows都会尝试从TPM中获取VMK，整个过程对用户来说是完全无感的，不需要输入任何密码或口令。

TPM并不是“简单地存着一个密钥”，而是会结合启动过程中的一系列度量结果来决定是否释放VMK。只有当它认为当前的启动环境与加密时记录的状态一致，也就是启动链完整、平台配置未发生异常变化时，才会允许解封VMK。一旦在这个过程中检测到硬件或关键配置发生变化，例如BIOS设置被修改、启动模式发生改变、主板或启动相关组件出现调整，TPM就可能拒绝释放VMK，系统随之进入要求输入恢复密钥的界面。

这也是为什么有些情况下你会看到BitLocker的恢复界面，但在你把BIOS设置改回原样，U盘拔了，或者简单重启几次之后，这个界面又消失了，本质上并不是“系统坏了”，而是TPM在重新评估启动环境后重新认可了当前状态。

从安全角度来说，TPM的一个重要特性在于，它并不会允许外部直接读取其中的密钥材料。密钥以受保护的形式存在，只能在TPM内部参与计算和解封过程，而不能被直接导出，这也是这种模式被认为足够安全的原因。如果你对这种“全自动解锁”的方式仍然不放心，还可以在TPM的基础上额外增加一个PIN，或者配置一个启动密钥文件（.bek）。不过需要注意的是，这些操作都发生在 Windows 启动之前，每一次开机你都需要重复输入PIN或插入U盘，安全性提高的同时，便利性也会明显下降。

口令

在BitLocker的设计中，口令这种方式主要用于数据卷或可移动介质，而系统盘本身并不支持仅依赖口令来解锁。如果你采用的是前面提到的自动模式，那么即便是数据卷，默认情况下也可能通过TPM来进行解锁。

当你手动对某个非系统盘启用BitLocker，例如对一个移动硬盘或U盘进行全盘加密时，系统允许你指定一个口令，用这个口令来解锁VMK。这种方式在使用上比较直观，但从安全性角度来看，明显弱于基于TPM的方案，因为口令本身可以被离线暴力破解，而TPM参与的模式下，解封操作会受到硬件级的速率限制和平台完整性保护，两者在攻击成本上并不处于同一个量级。

恢复密钥：48位数字

对于同一个加密卷来说，可以存在多个恢复密钥，而这些恢复密钥在效果上是等价的，只要其中任意一个可用，都可以解锁对应的VMK并恢复数据。在Windows11的默认使用场景下，恢复密钥通常会被自动托管到你在安装或初始化阶段登录的Microsoft账户，或者在单位环境中托管到AD中。

需要说明的是，如果恢复密钥确实被托管在微软的系统中，那么在符合法律程序的前提下，微软在特定条件下可能会向执法机构提供该密钥。最近一些新闻有提到这个。但这并不意味着可以“远程解密”你的数据，因为无论如何，恢复密钥只有在能够物理接触到硬盘、并读取加密数据的情况下才有实际意义。

.bek文件

.bek文件中保存的是用于解封VMK的二进制密钥数据，其本质是一个随机生成的高强度密钥，而不是面向人工输入的口令。从纯粹的密码学强度角度看，它要高于48位数字形式的恢复密钥，但代价也很明显：它无法人工输入，一旦文件丢失，又没有其他可用的解锁方式，对应的数据就将永久无法访问。

所以.bek绝对必须备份在2个地方，并且定期确认有效性。

结尾

总体来说，在无法完全控制设备物理接触环境的情况下，BitLocker是一个非常值得启用的能力。它对性能的影响通常可以忽略，你也可以选择只对系统盘或敏感数据盘进行加密。

在全盘加密已经成为默认配置的今天，一份可靠、离线的备份，永远是真正能在最坏情况下救你数据的东西。