Vista系统BitLocker使用揭秘（上）

　　默认情况下，Vista中只能使用TPM模式的BitLocker，因此要使用U盘模式，我们必须配置组策略将其启用。好在支持BitLocker功能的Windows Vista版本都是具有组策略的。具体做法如下：　　

　　运行“gpedit.msc”打开组策略编辑器，从编辑器窗口左侧的控制台树形图中定位到“计算机配置”　“管理模板”　“Windows组件”　“BitLocker驱动器加密”。　　

　　在右侧的控制台窗口中找到并双击打开“控制面板设置：启用高级启动选项”这个策略，选择“已启用”。　　

　　单击“确定”保存设置，这样我们已经在本机启用了U盘模式的BitLocker。　　

　　启用BitLocker

　　在安装SP1之后的Vista企业版和旗舰版中，我们可以使用三种模式的BitLocker：　　

　　●纯TPM模式，要求系统中具有TPM芯片，这样用于解密的密钥以及用于验证引导文件完整性的相关文件都会保存在TPM芯片中。　　

　　●纯U盘模式，要求系统符合上文中提到的和USB设备有关的条件，这样用于解密的密钥会被保存在U盘中。　　

　　●混合模式，可以使用TPM+U盘，TPM+PIN，以及TPM+U盘+PIN的形式进一步增强系统安全。　

　　那么这些模式分别要怎样使用？让我们来看看。　　

　　纯U盘模式

　　因为目前具有TPM芯片的电脑还不是很多，因此我们首先介绍纯U盘模式的使用方法，毕竟这种方式才适合最多人使用。　　

　　打开控制面板，依次单击“安全”　“BitLocker驱动器加密”，我们可以看到BitLocker加密驱动器的界面。　　

　　这里已经列出了当前安装电脑的所有本地硬盘分区，对于想要加密的分区，单击对应的“启用BitLocker”链接，随后可以看到设置启动首选项的界面，在这里我们需要选择BitLocker的工作方式。因为没有TPM芯片，因此只能选择最后一个选项，这样以后每次启动系统的时候都必须提供保存了密钥的U盘，不过系统启动后就不再需要了。因此在这里直接单击“每一次启动时要求启动USB密钥”选项。

　

　　对特定分区启用BitLocker加密。 　　

　

　　选择要使用的BitLocker工作模式。 　　

　　将准备好的U盘连接到计算机，等程序界面上显示了这个U盘后，单击将其选中，然后单击“保存”按钮，这样用于解密被BitLocker加密的分区所需的密钥就会被保存在所选的U盘上。　　

　　随后可以看到保存恢复密码的界面，在这里我们需要决定恢复密码的处理方式。需要注意，在平时的使用过程中，并不需要提供恢复密码，我们只要提供之前一步操作中指定的U盘即可，而恢复密码是在U盘不可用（例如，丢失或者损坏）时使用的，因此建议将其妥善处理。例如，如果本机安装了打印机，可以将恢复密码打印在纸上，并将这张纸保存在安全的地方。同时因为非常重要，建议同时保留恢复密码的多个副本，例如多次打印，然后将打印的密码分别保存在不同的安全位置，或者保存在另外的U盘上（最好不要将恢复密码和启动密码保存在同一个U盘上）。　　

　　保管好恢复密码后单击“下一步”按钮，随后程序会对我们的操作进行一个概述。同时为了进一步确认本机可以正常使用BitLocker功能，请保持选中“运行BitLocker系统检查”选项，这样程序会在进行加密之前先对系统中的各项设置进行检查。如果确认无误，请单击“继续”按钮（注意：在整个过程中，最先使用的U盘一定不能拔下来，如果需要将恢复密码保存在其他U盘上，请将第二块U盘连接到计算机的其他USB接口上）。　　

　　

　　决定恢复密码的处理方式 　　

　　

　　加密过程进度对话框 　　

　　接下来需要重新启动系统，准备好之后单击“现在重启动”按钮。重启动完成，并成功登录后，桌面右下角会显示一个气泡图标，提示我们系统正在进行加密，单击这个气泡图标后可以看到显示加密进度的对话框。在这里我们可以暂停加密操作，并在稍后继续进行，但是无法停止或者撤销加密操作。

　　加密操作需要一定的时间，主要取决于系统盘的大小以及计算机的硬件速度。不过好在这个操作只需要进行一次。而且在日后的使用过程中，系统的运行速度并不会有太大的降低，因此可以放心使用。加密完成后单击“完成”按钮即可。经过上述操作，BitLocker功能已经被成功启用。但是还有几点问题需要注意：　　

　　●应用BitLocker加密后，当Windows Vista启动后，我们查看系统文件时将不会看到文件带有任何与“加密”有关的属性，这属于正常现象，因为BitLocker的加密是在系统底层，从文件系统上实现的，而在用户看来，启动了的系统里的系统文件并没有被加密。但如果换个角度来看，例如一台计算机上安装了两个系统，或者将装有系统的硬盘拆掉，连接到其他计算机上，在试图访问应用了BitLocker的系统所在的分区时，我们会收到拒绝访问的信息，而且拒绝的原因是目标分区没有被格式化。这都属于正常现象，而且也证明了BitLocker正在保护我们操作系统的安全（设想一下，连访问分区都无法实现，又如何进行脱机攻击？）。　　

　　●另外，保存了启动密钥的U盘，直接在Windows资源管理器下查看的时候，完全看不到其中保存的密钥文件。这也是为了安全。同时建议这个U盘只用于保存BitLocker的启动密钥，而不要用作其他用途。这主要是为了尽量避免U盘因为各种原因，例如病毒感染或者频繁写入损坏而造成系统无法访问。而且需要注意，密钥盘只是在启动系统的时候需要，只要系统启动完成，我们就可以将其拔出，并妥善保管起来。操作系统的正常运行过程中并不需要我们反复提供密钥盘。　　

　　●最后一点，在加密过程中，系统盘的可用磁盘空间将会急剧减少。这属于正常情况，因为这个过程中会产生大量临时文件。加密完成后这些文件会被自动删除，同时可用空间数量会恢复正常。在解密被加密的系统盘时也会遇到类似的情况。　　

　　在应用了U盘模式的BitLocker后，每次启动系统前都必须将保存了启动密钥的U盘连接到计算机，否则系统会提示需要BitLocker驱动器加密密钥。这就要求我们必须将保存了启动密钥的U盘连接到计算机后重启动，才能完成Windows的启动和加载过程。如果因为某些原因，例如保存了启动密钥的U盘损坏或者丢失，只要还保留有启用BitLocker时创建的恢复密码，那么可以在这个界面上按下回车键进行恢复（详细的恢复方法请参考下文）。