BitLocker 安全验证工作原理

1 BitLocker是什么

BitLocker 是一种全盘加密（FDE）技术，最早在 Windows Vista 中引入，并在后续版本的 Windows 中得到了持续改进。BitLocker 使用高级加密标准（AES）来加密整个磁盘分区，确保只有授权用户才能访问存储在设备上的数据。BitLocker 主要用于保护数据免受物理盗窃或丢失设备的情况下被非法读取。
 

2 BitLocker的作用

全盘加密：BitLocker 能够加密整个磁盘分区，包括操作系统分区和数据分区。即使设备丢失或被盗，未经授权的人也无法读取加密的数据。

TPM 集成：BitLocker 与 TPM 芯片集成，提供硬件级别的安全性。TPM 芯片存储并管理加密密钥，确保只有经过验证的系统才能访问加密的数据。

虽然 BitLocker 集成了 TPM，但也可在不启用 TPM 的情况下运行。

3 BitLocker加密防护原理

BitLocker会在用户获取加密密钥之前进行 Secure Boot 和 Preboot authentication 两个步骤

• Secure Boot 用于防范篡改过的固件或 bootloader 等在系统中启动。
• Preboot authentication 则用于验证用户身份。

3.1 Secure Boot

Secure Boot  用于防范篡改过的固件或 bootloader 等在系统 Boot 中启动，防止经篡改过后的固件窃取密钥从而导致数据泄露。

这个过程通过利用 TPM 的 PCRs （Platform Control Registers）实现。PCRs 存储用于测量（measure）后得到的系统状态。首先预先存储好一组安全状态下的 BIOS、固件（未篡改）的系统 PCRs。比如，PCR0 存储 BIOS的测量结果，PCR1 存储 Bootloader的测量结果。当系统Boot时，TPM 通过测量系统 BIOS 状态，得到当前的一组 PCRs，并验证当前 BIOS 的完整性。如果与预存的 PCRs 相符合则代表当前为安全状态，则将控制权交给 BIOS 然后继续执行 Boot 过程，否则，认为系统处于非安全状态，阻止系统运行。

这个测量（measure）由密码散列函数得出。

3.2 Preboot Authentication身份验证

当使用 TPM 时可通过 PIn  或 password 方式进行验证

当不使用 TPM 时，可以通过接入 存储了 start up Key 的 USB drive 进行验证,start up Key 以文件的形式进行存储

当身份验证成功后，BitLocker 才会将加密密钥存储到系统内存中

4 总结

BitLocker 通过防止 Boot 过程导入被篡改的系统程序获取安全密钥以及对用户身份进行认证来完成系统安全防护。