Windows 11专业版的核心安全机制是BitLocker驱动器加密与安全启动（Secure Boot），前者通过TPM+AES加密保护静态数据，后者通过UEFI签名验证保障启动链完整性，二者协同实现“启动可信→密钥释放→数据解密”纵深防御。
如果您正在使用Windows 11专业版，并希望深入理解其内置的核心安全机制，则必须掌握BitLocker驱动器加密与安全启动（Secure Boot）两项关键功能。它们分别从数据静态保护和系统启动链完整性两个维度构筑防线。以下是针对这两项功能的详细说明：
一、BitLocker驱动器加密工作原理与启用条件
BitLocker通过AES加密算法对整个卷进行透明加解密，依赖TPM芯片存储密钥并验证启动组件完整性，确保未经授权的物理访问无法读取磁盘数据。启用前需确认系统满足三项硬性条件：运行Windows 11专业版、企业版或教育版；主板搭载TPM 2.0芯片且已在UEFI固件中启用；系统分区为NTFS格式并已部署Windows恢复环境（WinRE）。
1、按下Win + R键打开“运行”窗口，输入tpm.msc并回车，查看TPM管理控制台中的状态是否显示“该TPM已就绪”及版本号为2.0。
2、右键“此电脑”选择“属性”，在“设备规格”下方确认“安全启动状态”为“开启”。若显示“关闭”，需重启进入UEFI设置启用Secure Boot。
3、以管理员身份运行PowerShell，执行命令manage-bde -status，检查输出中是否存在“Conversion Status: Fully Decrypted”及“Protection Status: Protection Off”字样，确认目标驱动器当前未加密且处于可操作状态。
二、通过控制面板配置BitLocker加密策略
该路径提供最完整的策略选项集，支持对系统盘与数据盘分别设定加密范围、模式及解锁方式，适用于需精细控制安全等级的场景。
1、按下Win + S组合键，在搜索框中输入“控制面板”并打开。
2、将右上角“查看方式”设为大图标，点击“BitLocker驱动器加密”。
3、在驱动器列表中定位C盘，点击其右侧“启用BitLocker”按钮；若提示“需要先启用TPM”，请返回UEFI设置完成初始化。
4、勾选“使用密码解锁驱动器”，输入至少8位含大小写字母、数字及符号的强密码并二次确认。
5、必须选择一项恢复密钥保存方式：勾选“保存到Microsoft账户”并完成账户登录验证，或点击“保存到文件”将48位恢复密钥存至U盘根目录。
6、在加密范围页，系统盘必须选择加密整个驱动器以覆盖休眠文件与页面文件中的敏感残留数据。
7、加密模式选择“新加密模式”，该模式采用XTS-AES-128算法，专为现代SSD优化且兼容TPM 2.0密钥绑定流程。
8、勾选“运行BitLocker系统检查”，点击“开始加密”，系统将自动重启进入预操作系统环境完成底层加密。
三、安全启动（Secure Boot）验证与故障排查
Secure Boot是UEFI固件内建的安全机制，通过数字签名验证每个启动阶段的代码（包括Boot Manager、OS Loader及早期驱动），阻止未签名恶意固件或引导程序加载。其有效性直接决定BitLocker能否进入“自动解锁”状态。
1、按Win + R键打开“运行”，输入msinfo32并回车，在“系统摘要”中查找“安全启动状态”字段，确认值为开启。
2、若显示“关闭”，需立即重启并在开机时反复按F2/F10/DEL键（依主板品牌而定）进入UEFI设置界面。
3、在“Security”或“Boot”选项卡中找到Secure Boot选项，将其设为Enabled；同时确认“OS Type”设为Windows UEFI Mode而非Legacy BIOS Mode。
4、部分OEM设备需额外启用“Platform Key（PK）”和“Key Exchange Key（KEK）”，可在UEFI高级安全子菜单中查找并导入微软官方密钥包。
5、保存设置并退出，系统重启后再次运行msinfo32验证状态变更是否生效。
四、BitLocker与安全启动协同防护机制
当BitLocker与Secure Boot同时启用时，系统构建起纵深防御链：Secure Boot确保启动过程未被篡改，TPM仅在验证通过后释放BitLocker密钥，从而实现“启动可信→密钥释放→数据解密”的闭环。任一环节失效都将触发BitLocker恢复模式，要求用户输入48位恢复密钥才能继续启动。
1、在系统启动过程中观察屏幕左下角是否出现TPM初始化进度条，该现象表明TPM正参与启动验证流程。
2、若启动时突然弹出BitLocker恢复界面，立即检查此前是否执行过固件更新、更换硬盘或禁用Secure Boot等操作。
3、在恢复界面中，选择“跳过此驱动器”仅临时绕过加密检查，但该操作将导致系统盘数据完全不可访问，必须输入完整48位密钥（含空格分隔）方可继续。
4、密钥输入框支持粘贴操作，建议提前将保存在Microsoft账户中的密钥复制到安全文本编辑器备用。
五、禁用BitLocker与安全启动的风险提示
禁用任一功能均会显著削弱系统防护能力，且操作不可逆地破坏现有安全上下文。例如禁用Secure Boot后，TPM将拒绝向BitLocker提供密钥服务，导致已加密驱动器永久锁定；而关闭BitLocker则使全盘数据暴露于物理窃取风险之下。
1、在控制面板的BitLocker管理界面中，对已加密驱动器点击“关闭BitLocker”，系统将强制执行全盘解密，此过程不可中断且耗时极长。
2、在UEFI设置中关闭Secure Boot前，必须先在Windows中暂停BitLocker保护：以管理员身份运行PowerShell，执行manage-bde -protectors -disable C:命令。
3、解密完成后，重新进入UEFI设置关闭Secure Boot，此时系统启动将不再校验签名，所有第三方引导程序均可自由加载。
4、若后续需重新启用双重保护，必须先在UEFI中开启Secure Boot，再执行manage-bde -protectors -enable C:恢复TPM绑定，最后重新启动加密流程。
