你有隱私的資料在電腦中不想被知道嗎?在沒有TPM的電腦啟用BitLocker

(轉載自李世平)

在不支援TPM晶片的系統中啟用BitLocker過程較複雜,本文將介紹如何利用工具或手動調整系統設定,以滿足開啟這項功能所需的條件。

內建在Windows Vista旗艦版、企業版,以及Windows Server2008中的BitLocker,是一項可以保護磁碟中重要資料的安全性防護功能。它能加密整個磁碟分割區,包括使用者資料、系統檔案、休眠檔案、分頁檔案及暫存檔,也會利用檢查和監控檔案機制,保持Windows 開機檔案的完整性,並在這些資料遭到竄改時自動鎖定系統。

想要利用BitLocker 加密磁碟機中的資料有幾個必要條件:首先,電腦必須具備可信賴平臺模組(TPM)1.2 ,並在BIOS 中啟用相關功能;其次就是確認磁碟區已依照BitLocker 的建置條件正確設定。

不過除了少數較高階的商用電腦外,TPM晶片在一般桌上型電腦中較少見,導致這些使用者無法利用W i n d o w sVista內建的加密機制,來保護磁碟中的重要資料。幸好我們仍能調整群組原則,再配合隨身碟或網路磁碟,強制開啟這項功能。

可利用工具自動設定磁碟機
在啟用BitLocker 之前,我們必須先建立BitLocker 所需的系統環境,其中包含金鑰儲存單元和磁碟機分割格式。雖然設定磁碟機的步驟相當複雜,不過我們可以利用微軟的BitLocker Drive Preparation Tool(BitLocker磁碟機準備工具)來完成這些工作。這個工具原本可以在Windows Update 中的Windows Vista Ultimate Extra 中找到,不過目前旗艦版的使用者也必須和企業版用戶同樣自行下載。

這個工具在系統只有單一磁區的情況下,會自動壓縮磁碟區,並用壓縮後剩餘的空間來建立第二個磁碟分割,然後進行所有必要的設定變更,像是指定容量大小、變更磁碟機代號,以及格式化為NTFS 等,最後再將啟動檔案移至磁碟中的正確位置。

然而,在使用BitLocker 磁碟機準備工具時,有時會發生「找不到目標的系統磁碟機」,或是「無法在這個版本的Windows中使用」等錯誤訊息,這時就必須手動設定磁碟機。

我們可以使用Windows 內建的「磁碟管理」(位於控制臺下,系統管理工具中的電腦管理選項), 來手動建立BitLocker 磁區。首先,我們必須在電腦中先建立一個大小為1.5GB 的主要磁碟分割,這部分可以使用原本電腦中尚未使用的磁碟單元,或是將磁碟壓縮以產生新的分割空間。接下來,再將這個未配置的空間,新增簡單磁碟區,並設為主要磁碟分割,並格式化為NTFS 。這個磁碟分割的作用為儲存BitLocker加密所需的資料,所以必須指定磁碟機代號為「S」,同時也不能用來存放其他檔案。

強制啟用BitLocker
雖然在BitLocker的系統需求說明中,註明必須要使用支援TPM 1.2的電腦,才能開啟這項功能,不過事實上,即使沒有這項裝置,我們仍然可以搭配網路磁碟機或U S B 隨身碟來啟用BitLocker,步驟如下:

1. 變更群組原則設定,以解除TPM限制
在預設的情況下, BitLocker 磁碟加密功能是關閉的,所以我們首先需要利用「本機群組原則編輯器」,來變更BitLocker 磁碟加密功能的設定。只要在開始功能表的「執行」中, 輸入「gpedit.msc」就可以開啟群組原則編輯器,之後再到「電腦設定」的「系統管理範本」項,變更「Windows元件」中的「BitLocker 磁碟機加密」設定,並在點選「控制臺設定:啟用進階啟動選項」後,將其設定改成「已啟用」。接下來再將「設定加密方法」更改為「已啟用」,並選擇「具有 Diffuser 的AES128位元加密方式」,即可在電腦不支援TPM的情況下,啟動BitLocker。

2. 將金鑰儲存在USB隨身碟中
完成上述設定後,就可以在控制臺中利用BitLocker 加密系統磁碟,但在加密過程中,由於電腦並未裝置TPM 安全晶片,所以只能選擇「每次啟動時都要求提供啟動USB 金鑰」,再指定想要使用的隨身碟。之後我們可以選擇將密碼儲存在USB磁碟機、資料夾中或列印出來,不過值得注意的是,密碼只能儲存在卸除式磁碟或網路磁碟的資料夾,而不能放在本機磁碟分割中。

如果選擇將密碼儲存在USB磁碟機,金鑰會以TXT 格式儲存在卸除式磁碟中,之後系統會自動重新開機,在這個過程中,儲存密碼的隨身碟必須插在USB 埠上,以便BitLocker 加密機制能在開機時驗證密碼是否有效。一旦驗證完成,開機後系統就會開始加密磁碟,加密的時間隨磁碟大小和硬體效能而有不同,以我們使用的系統為例(使用 Core i7處理器、3GB DDR3記憶體,以及20GB硬碟建置的虛擬機器),約需40分鐘。

另外,在開始加密之前,也可以選擇不要執行BitLocker系統檢查,這時電腦不需要重新開機,就會立刻開始執行磁碟加密作業,不過這樣一來,在每次開機要進入作業系統或BIOS設定畫面時,都會出現必須輸入金鑰的畫面,所以最好將儲存在隨身碟中的密碼列印出來,或是準備其他電腦來讀取相關資料,以便手動輸入,而這時隨身碟或網路磁碟機可以不用和被加密的電腦連接,只要密碼輸入正確,就能登入系統。

值得注意的是, 如果想要使用BitLocker 加密其他磁碟,必須先加密系統磁碟(一般為C碟),而加密其他非系統磁碟時,電腦則不需要重新開機。