15、全面解析BitLocker全卷加密技术

全面解析BitLocker全卷加密技术

1. 测量启动（Measured Boot）部署要点

测量启动可与传统BIOS或UEFI配合使用，虽然过程相似，但略有不同。若要部署测量启动，需完成以下操作：
- 启用TPM（可信平台模块）。
- 拥有客户端唯一的证明身份密钥（AIK），且服务器将其与客户端关联。
- 在客户端启用启动测量。
- 安装反恶意软件作为启动驱动。
- 安装客户端组件以执行证明。

2. 理解BitLocker全卷加密

全卷加密（FVE）是指对磁盘上的物理或虚拟分区（卷）进行加密。FVE程序已存在一段时间，例如2004年发布的开源FVE程序TrueCrypt，它适用于Windows、Linux和Mac OS X等多种操作系统，其他流行操作系统也有相应的FVE程序。有时，全卷加密这个术语会与全磁盘加密（FDE）互换使用，但严格来说，后者意味着磁盘上的所有分区都被加密，FDE解决方案自20世纪90年代就已出现。

微软的FVE技术名为BitLocker，于2006年随Windows Vista首次发布。此后，它被包含在所有Windows客户端和服务器版本中，但并非所有版本都支持。BitLocker仅在Windows Vista和Windows 7的高端SKU（企业版和旗舰版）以及Windows 8的专业版和企业版中可用。

在Windows 8和Windows Server 2012中，BitLocker得到了改进，增加了以下新功能：
- BitLocker预配置 ：在安装过程中调用设置之前，Windows 8和Windows Ser