用BitLocker加密隨身碟

在過去Windows作業系統的使用者，如果想要保護電腦中的資料，只能借助第三方加密軟體或是EFS（Encrypting File System，加密檔案系統），不過各種第三方加密軟體使用的技術都不相同，使用者必須在不同的電腦上安裝同樣的軟體，而Windows內建的EFS也僅能加密單一檔案或資料夾，無法全面性地保護整臺磁碟機，使用上有諸多限制。

到了Windows Vista，微軟在作業系統中加入了內建的磁碟加密工具「BitLocker」，它能保護系統磁碟（通常為C槽）中所有的檔案或資料夾，而不像EFS必須分開加密並保存金鑰或密碼，如果再搭配AD中的群組原則，可以大幅提升系統磁碟的資料安全性，同時減少檔案加密時間。

以Vista SP1來說，BitLocker加密的範圍已經可以包含全部的本機磁碟，而不是受限於安裝Windows作業系統的系統磁碟。然而，由於外接式磁碟或USB隨身碟攜帶方便，幾乎已經成為暫時存放或遷移資料時不可或缺的重要儲存設備，不過由於體積小、重量輕，這類型的裝置遺失率也特別高，而其中儲存的重要資料價值，更是遠在設備本身之上，所以如何管理隨身碟一直是企業相當重視的環節，BitLocker的加密功能卻並沒有將這類型的儲存裝置納入保護範圍內。

一直到了Windows 7，微軟再度改進加密資料的BitLocker功能，延伸至上述的抽取式儲存設備，讓企業在全面禁用或開啟USB隨身碟的管理方式外，能有較為彈性的選擇，同時又能保障資料安全。

企業版及旗艦版的專屬功能

這項新的磁碟加密功能稱為「BitLocker To Go」，目前僅內建在企業版與旗艦版的Windows 7中，不過其他版本的Windows（Vista或XP）仍然可以讀取被BitLocker To Go加密過的磁碟。

BitLocker To Go可加密所有使用FAT（包含FAT32、exFAT等）或NTFS格式的抽取式儲存設備，同時作業方式也和BitLocker互相獨立，換句話說，使用這項功能時，並不需要先使用BitLocker加密其他本機磁碟，電腦也不需要內建TPM安全晶片。

BitLocker To Go的特殊加密機制

當使用者刪除磁碟機中的檔案時，這些資料並不是真的消失，而只是把資料和讀取裝置之間的連結移除而已，因此有些看起來是閒置的空間，事實上卻包含了機密資料，所以一般而言，加密軟體的處理流程是先讀取資料（包含未使用空間），然後將這些資料加密，最後再把加密過的資料寫入磁碟。但是當磁碟空間使用率不到20％時，讀取可用空間並加密的行為，就會顯得相當耗時。

BitLocker採取的作法則是僅加密已使用空間的檔案，再自行創造一些無意義的資料來填補未使用空間，以避免系統浪費時間在加密已刪除的資料上，微軟宣稱，這樣的機制讓BitLocker加密閒置空間資料的速度，比加密一般資料快2倍。

加密後不影響檔案傳輸效能

根據我們的實測，在Intel Core i7處理器搭配3GB記憶體的個人電腦上，使用BitLocker加密容量為2GB的隨身碟（內含755MB的檔案），約需費時16分鐘30秒。相較於知名的企業級加密軟體PGP，加密過程約需耗時5小時20分，BitLocker To Go的加密速度顯然較快。至於免費軟體TrueCrypt，雖然加密同樣容量的隨身碟（不含資料）僅需6分鐘20秒，不過當隨身碟內存有檔案時，必須先利用本機磁碟手動建立一個新的加密磁區，再將隨身碟上的所有檔案搬移到加密磁區中，之後才能完成檔案加密，過程相當麻煩。

即使BitLocker To Go的加密速度仍有進步空間，但經過加密的隨身碟能保持和未加密相同的讀取效能。我們將大小為755MB的檔案複製到未加密的隨身碟中，歷時31.3秒，平均每秒傳輸速度為24.11MB；如果複製到由BitLocker To Go加密過的同一個USB隨身碟，則是費時31.4秒，平均每秒可傳送24.05MB的資料，兩者之間幾乎沒有差別。

向下相容於Windows XP和Vista環境

不僅如此，BitLocker To Go的便利性也相當不錯。舉例來說，隨身碟加密後，除了一開始必須需入密碼來解開鎖定，其餘使用方式都和原本相同。相較於TrueCrypt必須先隨身碟中建立一個虛擬映像檔，之後再將需要加密的檔案移至映像檔中才能受到保護，BitLocker To Go的工作方式顯然更直覺、簡單。

當受到BitLocker To Go保護的隨身碟，連接至Windows 7環境的電腦時，使用者可以透過輸入密碼、插入智慧卡，或是自動解鎖等方式來存取隨身碟內的資料，不過只有當使用者先輸入正確的密碼後，才能勾選自動解鎖選項。至於在Windows XP（SP3）和Vista作業系統下，雖然無法選擇自動解鎖，但仍可以透過前兩種方式來存取隨身碟內的資料。

以Windows XP環境為例，當使用者將加密過的隨身碟插入USB埠，系統會要求輸入解鎖密碼，以便讀取隨身碟中的資料。但由於XP本身並不支援BitLocker To Go，因此解鎖後並不會出現一般的檔案總管視窗，取而代之的是一個稱為「BitLocker To Go讀取裝置（BitLocker To Go Reader）」的操作介面，此時隨身碟將呈現唯讀狀態，因此使用者必須將隨身碟內的指定檔案先複製到本機磁碟，才能修改或編輯檔案內容，同時也無法將檔案寫入受到BitLocker保護的隨身碟中。

當使用BitLocker加密時，系統會自動將「BitLocker To Go讀取裝置」程式寫入隨身碟，並設定為自動執行，所以在一般情況下，一旦XP或Vista判讀目前正在連接的隨身碟，已受到BitLocker To Go保護時，就會自動彈出這個程式，以便使用者存取檔案。然而，在我們測試的過程中，也曾出現隨身碟無法存取的錯誤訊息，這時使用者可以自行到微軟下載BitLocker To Go Reader這個操作介面。

此外，如果在更早的作業系統版本環境下，例如Windows XP SP2，插入已使用BitLocker To Go加密的隨身碟，系統將顯示為「未格式化」裝置，也無法存取其中的資料。

只要是Windows 7環境的電腦，都可以順利讀取經過BitLocker To Go加密的隨身碟，而安裝XP SP3或Vista作業系統的電腦，也能利用讀取程式來存取隨身磁內的檔案，而不需要另外安裝其他程式，相較於其他加密軟體必須在不同電腦上建立同樣的環境，BitLocker To Go可以在兼顧資料安全性的情況下，保有更高的檔案流通便利性。

修復金鑰可儲存在本機磁碟或AD

任何加密系統最讓人擔心的就是忘記密碼或解密程序，導致資料無法存取，針對這一點，BitLocker也提供多種解密方式。

在使用BitLocker加密時，使用者可以選擇以密碼、智慧卡或是TPM安全晶片來保護加密內容，解密時也必須使用相同機制，如果不幸忘記密碼，還可以利用修復金鑰來存取加密的資料。

修復金鑰是BitLocker在加密過程中，自動產生的一組序號，它包含48位純數字的修復金鑰，以及一組32位英／數混合的金鑰識別碼，其中前者可以用來解密，後者則是當系統內存放了多組修復金鑰時，使用者可以用它來判斷裝置與修復金鑰之間對應關係。

舉例來說，如果在解密時選擇「忘記密碼」，系統便會要求輸入修復金鑰，並提示金鑰識別碼的前8個字元，這時我們只要找到檔案名稱或內容具有這8個字元的純文字文件，就可以得知正確的修復金鑰。

一般來說，使用者會將修復金鑰儲存在本機磁碟以便隨時取用，不過在企業環境中，IT人員也可以選擇把金鑰備份到Active Directory Domain Services（AD DS）以免遺失。

值得注意的是，在啟用這項功能時，必須決定一旦備份失敗，是否要繼續啟用BitLocker，如果選取「需要BitLocker備份至AD DS」選項，則電腦必須連接到網域，同時BitLocker修復資訊也成功備份至AD DS，BitLocker才會開啟。這個選項在預設情況下會自行套用，以確保BitLocker修復金鑰可被存取並執行。

如果需要一次解密大量經BitLocker加密的儲存裝置，IT人員只要利用資料復原代理（Data Recovery Agent，DRA）就能達到目的。在啟用DRA之前，必須先到本機群組原則設定項中，找到位於「公開金鑰原則」的「BitLocker磁碟機加密設定」，再從右鍵選單中點選「新增資料復原代理」，以啟用DRA精靈，並指定特定的使用者帳戶為BitLocker的復原代理，讓這個帳戶能透過公開的金鑰來解密加密磁區。所有被設定為復原代理的帳戶，都必須具備復原代理憑證，IT人員可以手動建立此憑證，或是直接從AD的使用者清單中挑選。

在Windows 7眾多專屬於企業應用的新功能裡，相較於DirectAccess、BranchCache等，BitLocker To Go對個人使用者的幫助顯然更為明顯，不過使用上仍有不便之處，例如該功能只能在企業版或旗艦版中啟用，再加上在非Windows 7的既有視窗環境下，加密後的隨身碟將被鎖定在唯讀狀態。如果能克服上述2項限制，這個功能應用起來對於機敏資料的保護將更有幫助。

如何使用BitLocker To Go

在控制臺啟動BitLocker To Go

使用者可以到控制臺的「BitLocker磁碟機加密」選項中開啟BitLocker To Go，如果想要解除加密狀態，也必須到控制臺才能執行解密。

用右鍵選單啟動BitLocker To Go

除了從控制臺啟用外，直接在檔案總管的卸除式磁碟圖示上按下滑鼠右鍵，就會出現「開啟BitLocker」選項，點選後就能直接開始加密。

支援密碼或智慧卡保護

加密過程中可以選擇使用密碼或智慧卡來鎖定或解除加密裝置。在IT人員未啟用強制套用強式密碼群組原則的 情況下，密碼需超過8個字元。

BitLocker加密圖示

經BitLocker加密過的外接式硬碟或USB隨身碟，Windows 7會以不同顏色的鎖和鑰匙圖示來反映目前的存取狀況，其中灰色代表加密的磁碟已經解鎖，黃色則是未解鎖。

用修復金鑰解鎖BitLocker To Go隨身碟

一般情況下， 使用者可以透過密碼或智慧卡來解除BitLocker，如果忘記密碼，也可以選擇使用修復金鑰來解除鎖定的磁碟機，系統將提示8位數的金鑰識別碼。

BitLocker To Go在XP環境的使用限制

在Windows XP 環境下，只能以唯讀的方式來存取經過BitLocker To Go加密的隨身碟資料，使用者可以直接將檔案「拖」出來， 或是點選檔案後再指定複製位置。這個BitLocker專屬的讀取程式，會在加密過程中一併安裝於被加密的卸除式磁碟，並於 連接電腦後自動執行。

BitLocker與EFS比較表

(看大圖)

常見的免費隨身碟加密軟體比較表

(看大圖)

搭配群組原則管理可提升安全性

BitLocker To Go這項新功能除了能用來加密資料外，IT管理人員也可以透過Windows Server 2008 R2及Windows 7新增的群組原則，來管理員工使用隨身碟的行為，目前共有6項可管理卸除式磁碟的BitLocker群組原則。

舉例來說，在群組原則的「BitLocker磁碟機加密」項目中，可以找到「拒絕未受BitLocker保護之卸除式磁碟機的寫入存取權」，一旦套用這條規則，外接式磁碟機都將被鎖定在唯讀狀態，直到該磁碟機以BitLocker To Go加密。

而在群組原則中，IT人員也可以利用抽取式磁碟的管理條件，直接將所有可攜式儲存設備強制設定成唯讀狀態，這時即使使用者輸入正確的BitLocker解鎖密碼，也無法將資料儲存至隨身碟或外接式硬碟。

此外，IT人員還能藉由「設定卸除式資料磁碟機的密碼使用方式」，來強制規定使用BitLocker To Go加密時，必須設定符合強式密碼原則的解鎖密碼。

針對早期版本（XP或Vista）的作業系統，我們也可以利用「允許從舊版Windows 存取受BitLocker保護的卸除式資料磁碟機」這項群組原則，來限制是否要讓非Windows 7的視窗作業系統讀取加密資料。

用群組原則管理BitLocker隨身碟

在Windows 7的群組原則中，共有6項與BitLocker To Go有關，IT人員可在此限制員工的隨身碟使用原則，例如必須啟用BitLocker加密才能儲存資料。