为什么要给 BitLocker 加 PIN
纯 TPM 保护在整机失窃场景下并不牢固：攻击者可以把硬盘拆到另一台机器上，或用冷启动类手法读取内存中已经解封的密钥。加上启动 PIN 后，解密需要用户掌握的知识因素，等于把双因素保护前移到系统启动阶段，它属于认证体系的一部分，而不是单纯的磁盘加密选项。
基本信息
| 加固项 | 磁盘加密封装 |
|---|---|
| 适用平台 | Windows（TPM 1.2 与 2.0） |
| 核查命令 | manage-bde -status、manage-bde -protectors -get |
| 目标状态 | 关键终端使用 TPM+PIN |
| 前置条件 | 恢复密钥已托管且可读取 |
| 风险等级 | 中 |
典型使用场景
- 移动终端：设备丢失概率高，需要额外的启动保护
- 高安全固定终端：防止离线读取磁盘内容
- 合规核查：加密是否与用户掌握的知识因素组合
- 硬件变更：更换主板或升级固件前需要挂起保护
- 事故复盘：确认设备脱管后磁盘是否可被直接读取
核查与变更准备
核查与变更准备
# 查看卷状态与保护器类型
manage-bde -status C:
manage-bde -protectors -get C:
# PowerShell 视图辅助核对
Get-BitLockerVolume | Select-Object MountPoint, VolumeStatus, KeyProtector
# 变更硬件前挂起保护一个重启周期，避免反复进入恢复模式
manage-bde -protectors -disable C: -rebootcount 1保护器类型对比
| 保护器类型 | 含义 | 安全强度 |
|---|---|---|
| 仅 TPM | 依赖芯片，启动自动解密 | 整机失窃场景较弱 |
| TPM+PIN | 启动时需输入用户 PIN | 明显提升，推荐用于关键终端 |
| TPM+启动密钥 | 需要携带 USB 密钥文件 | 适合固定工位，介质丢失是新的风险 |
| 仅密码 | 依赖口令解密 | 强度取决于口令质量 |
加 PIN 后忘记 PIN 只能靠恢复密钥，恢复密钥的托管方式（目录服务、云平台或离线保管）必须先到位。
切换保护器之前先导出恢复密钥并实际读取验证一次，这是唯一的后悔药。
固件升级或主板更换会改变 TPM 状态并触发恢复模式，变更硬件前先挂起保护。