BitLocker в Windows 11¶

BitLocker — средство шифрования дисков, разработанное корпорацией Microsoft и включённое в состав операционных систем Windows начиная с Windows Vista. В Windows 11 оно предназначено для защиты данных на внутренних и съёмных носителях путём автоматического шифрования всего раздела, включая системные файлы, файл подкачки и данные скрытых разделов. BitLocker использует шифр AES с длиной ключа 128 или 256 бит и режимами ECB или CBC в сочетании с твёрдотельными модулями TPM (Trusted Platform Module) для хранения ключей расшифровки.

¶История

BitLocker был впервые представлен в Windows Vista в 2006 году. Первоначально технология была доступна только в редакциях Enterprise и Ultimate. В Windows 7 появилась улучшенная версия — BitLocker To Go, обеспечившая шифрование съёмных носителей (флеш-накопителей, внешних жёстких дисков). В Windows 8 и 10 технология была существенно модернизирована: появилась поддержка аппаратного ускорения шифрования, улучшена интеграция с TPM 2.0 и добавлена возможность предзагрузочной проверки подлинности.

В Windows 11 BitLocker стал доступен во всех редакциях, включая Home. Однако в Home-редакции автоматическое шифрование включается только при наличии TPM 2.0 и выполняется автоматически при первой настройке системы, тогда как в редакциях Pro, Enterprise и Education пользователь может управлять параметрами шифрования вручную через оснастку «Управление BitLocker» или командную строку.

¶Принцип работы

BitLocker шифрует данные на уровне тома, а не отдельных файлов. При включении шифрования на диске создаётся служебный раздел, содержащий загрузчик Windows. Ключ расшифровки хранится в TPM-модуле материнской платы и привязан к состоянию платформы: при изменении аппаратной конфигурации (например, замене жёсткого диска или отключении TPM) система запросит ввод 48-значного кода восстановления.

Для предзагрузочной проверки подлинности BitLocker может использовать PIN-код, USB-устройство с ключом или только TPM. Режим TPM-only обеспечивает наименьшую защиту, поскольку при физическом доступе к диску и его переносе на другой компьютер данные могут быть подвергнуты атакам. Режим TPM+PIN считается наиболее безопасным.

¶Требования к оборудованию

Для работы BitLocker в Windows 11 требуются:

• TPM-модуль версии 2.0;
• UEFI-прошивка вместо устаревшего BIOS;
• Раздел формата NTFS для системного тома;
• Достаточное свободное место на диске для служебных файлов.

В редакциях Pro и выше при отсутствии TPM можно принудительно включить BitLocker через редактор реестра, указав параметр AllowEnhancedSecureBootPolicy и отключив проверку TPM, однако такая конфигурация снижает уровень защиты.

¶Управление BitLocker

Управление шифрованием осуществляется несколькими способами:

• Панель управления — оснастка «Управление BitLocker» позволяет включать, отключать шифрование, создавать коды восстановления, менять методы разблокировки.
• Параметры Windows 11 — раздел «Безопасность устройства» содержит базовые настройки шифрования.
• Командная строка — утилита manage-bde предоставляет полный контроль: manage-bde -status, manage-bde -on C: -used, manage-bde -protectors -add C: -TPMAndPIN.
• PowerShell — cmdlet-команды модуля BitLocker (Enable-BitLocker, Disable-BitLocker, Get-BitLockerVolume).
• Средства развёртывания (ADK) — для массового развертывания в корпоративной среде с централизованным хранением ключей в Active Directory.

¶Съёмные носители: BitLocker To Go

Для флеш-накопителей и внешних дисков используется BitLocker To Go. Включение выполняется через контекстное меню проводника. Пользователь задаёт пароль или использует смарт-карту. В корпоративной среде можно применять групповые политики, принудительно требующие шифрования съёмных носителей.

¶Ограничения и особенности

BitLocker не защищает данные при работающей и разблокированной системе — шифрование прозрачно для запущенных процессов. Технология не является защитой от вредоносного ПО и атак «холодной» памяти при физическом доступе к работающему оборудованию. Кроме того, BitLocker не поддерживает динамические диски и некоторые файловые системы.

В Windows 11 24H2 Microsoft изменила поведение по умолчанию: на устройствах с поддержкой Modern Standby шифрование включается автоматически без возможности отключения в Home-редакции.

¶Источники

• Документация Microsoft Learn: BitLocker overview
• Техническая документация Windows 11 (Microsoft)
• Справка Windows: управление BitLocker