一块两T的移动硬盘，装着客户三年的资料
我用的是西部数据 My Passport 2T，2019 年买的，平时装客户的设计源文件和合同扫描件，白天插办公台式机，晚上带回家插笔记本。前年出差在高铁上丢过一个 64G 的 U 盘，里面是投标文件，虽然两天后找回来了，但那两天我基本没合眼。从那以后，移动硬盘加密这件事就一直挂在我心上。
Windows 自带的 BitLocker 是免费的，专业版以上都有。我拖到去年才真正动手，原因很简单：怕。网上关于 BitLocker 的帖子，一半在说密钥丢了数据全没，一半在说解密要一天。我这种半吊子水平，确实得先做点功课。这篇写的就是我从加密到解密、前后折腾一个多月的经历，三个坑，一个比一个吓人。
加密之前，恢复密钥先存三份
BitLocker 的逻辑是：你设一个密码，同时生成一个 48 位数字的恢复密钥。密码忘了，或者把盘拿到一台没记过的机器上，就用这个恢复密钥解。48 位分 8 组，每组 6 位，看着像一串电话号码。
我的做法是三份。第一份跟着微软账户走，加密时会弹窗提示“保存到 Microsoft 账户”，我点了；第二份打印出来，A4 纸，折好塞在钱包夹层；第三份手抄在笔记本上，放在家里书桌抽屉。听起来夸张，但这东西的代价太高，宁可多存一份。打印的时候记得把“密钥 ID”也一起打出来，那八位数字后面要用。
加密前还有一步，把盘里的东西先备份到别的地方。BitLocker 加密过程本身不删数据，但万一中途出问题，你至少还有一份底。我把 1.8T 的东西拷到另一块 2T 硬盘上，花了三个半小时，USB 3.0 接口，平均 140 兆每秒，机械盘跑到这个速度算不错了。
顺便说，这块盘我分了两个区，D 盘 1.5T 放资料，E 盘 500G 放临时文件。BitLocker 是按分区加密的，两个区得分别设置，密码可以不一样。我图省事用了同一个密码，现在想想不太好，万一泄露就是两个区一起完。
加密工具我前后试了三个。VeraCrypt 免费、跨平台，Mac 和 Linux 都能挂载，缺点是在 Windows 上要装驱动，公司电脑的杀毒软件拦了两次，IT 也不让装。西数这块盘官网送了个加密软件，界面很简陋，密码忘了连恢复密钥都没有，一旦锁死只能格式化，我不敢用。BitLocker 的好处是系统自带，换哪台 Windows 都能开，不用额外装东西，这也是我最后选它的主要原因。
密码我设了十六位，大小写加数字加一个符号，写在一张纸上贴在书柜内侧，只有我自己知道在哪。两个分区用一个密码确实是偷懒，后来我把 E 盘那个改掉了，改成完全不同的一串。改的时候要在控制面板里选中分区，点更改密码，输入旧密码再输两遍新的，整个过程不到一分钟，但前提是盘要先解锁。
选加密方式那一晚，我查了半个小时
BitLocker 会让你选加密方式，新设备默认是 XTS-AES 128 位，还有一个“兼容模式”的选项。我一开始想选 256 位，觉得数字大更安全。后来翻了微软的说明，256 位在机械硬盘上会明显拖慢读写，而 128 位对普通资料已经足够。我这块是机械盘，到头来还是选了默认的 XTS-AES 128。
还有一个选择是“仅加密已用空间”和“加密整个驱动器”。前者快，几分钟就能完成，但盘里以前删掉的数据可能还留着，用恢复软件能捞出来；后者会把整块盘每一个扇区都写一遍，2T 的盘要跑好几个小时。我这块盘以前存过客户的合同，虽然删了，但我不想冒险，选了整个驱动器。也就是这一选，才有了后面六个多小时的等待。
现在回头看，如果盘是新的、空的，选仅加密已用空间完全没问题，几分钟的事。老盘、装过敏感资料的盘，还是老老实实全盘加密。
速度这块我实测过。同一台机器、同一个 USB 3.0 口，加密前后用 CrystalDiskMark 跑顺序读，都是一百三十多兆每秒，差别小到可以忽略。机械盘本来瓶颈就在盘片和接口上，轮不到加密算法。真要说影响，是在加密进行的那几个小时里，你往盘里写东西会明显变慢，加密一结束就恢复正常。
有一点书上不太提：如果控制面板里死活找不到 BitLocker 的入口，先看系统版本。Win10 家庭版没有这个功能，得升级到专业版，或者用命令行 manage-bde，但家庭版连命令行也会报错。公司那台机器是专业版，家里笔记本是家庭版，所以我在家里只能读不能加密，这一点买电脑的时候没人告诉我。
密钥在微软账户里找了四十分钟，差点没找到
事情是这样的。加密完第二周，我在家里笔记本上插这块盘，输密码时手滑，连错三次，系统弹出一行字：“尝试次数过多，请使用恢复密钥。”我当时心想没事，密钥在微软账户里。
打开 account.microsoft.com/devices/recoverykey，登录，页面空白。我当时头皮一麻。换了个浏览器再登，还是没有。后来才想起来，公司配的这台台式机登录的是公司账号，家里笔记本登录的是我 2012 年注册的私人账号，两个账号的密码我还都不一样。加密是在公司机器上做的，密钥自然存在公司账号名下。
问题是我记不清公司账号的密码了。试了三次，触发了安全验证，要收短信，而那个手机号是我上一家公司的工作号，早就注销了。那一刻我是真的慌，盘里是客户三年的东西，丢了我赔不起。
怎么找到的？我翻出那台旧笔记本，浏览器里还留着自动登录的会话，打开账户页面，密钥列表里躺着三条记录。我拿加密完成时截图存下的“密钥 ID”前八位去对，对上了其中一条，输进去，盘开了。那一瞬间手心全是汗。
这一趟下来四十分钟。从那以后我把三个账号的恢复密钥全部导出来，存进一个加密的压缩包，放在两块不同的硬盘上，还给老婆留了一份。听着麻烦，但你真遇到一次就知道，这四十分钟比什么都难熬。
导密钥其实有正规办法，不用靠截图。管理员身份打开 PowerShell，输 manage-bde -protectors -get D:，密码保护器和数字密码保护器都会列出来，48 位数字分成八组显示得清清楚楚。我后来把这个输出重定向成文本，连同加密完成时那张截图一起塞进加密压缩包，压缩包密码又是另一串，存在两块不同的硬盘上。
微软账户那个页面在国内有时候打不开，加载半天白屏，我第一次找密钥就是卡在这。还有更麻烦的情况：密钥跟着公司账号走，人一旦离职，账号被停用，密钥页就再也进不去了。我们部门后来有个同事调岗，交接时特意把所有加密盘的密钥导出交给了接手的人，这个做法我觉得挺对，别嫌流程麻烦。
加密到一半断电，我以为这块盘废了
加密那天的过程也值得说。1.8T 的数据，BitLocker 用了六小时四十分钟，从下午两点跑到晚上快九点。控制面板里那个进度条走得极慢，前百分之十用了四十分钟，后面稍微快一点，但也只是从乌龟变成蜗牛。
中间出了个岔子。我用的是一台没装电池的台式机，办公室那天下午跳了一次闸，机器直接黑屏。我当时脑子一片空白，心想完了，数据全没了，客户的文件也没备份到最新。来电以后开机，插上硬盘，控制面板里显示“加密已暂停”，下面有个“继续加密”的按钮，我点了，它从断点接着跑，数据都在，虚惊一场。
但这里有个前提，我那块盘是 USB 3.0 直连，没有经过扩展坞，也没有经过 USB Hub。如果是 Hub 供电不稳，中途掉盘，情况可能就不一样了。所以我的建议很土：加密的时候插在机箱后面的接口上，别用前置面板，别用 Hub，笔记本一定插着电源，把睡眠和休眠都关掉，屏幕保护也关掉。
还有个小坑，加密期间不要往盘里拷东西，也不要打开里面的文件。我有一次手贱点开一个视频，进度条直接卡住不动了十几分钟，虽然没坏，但吓得我再也不敢碰。
正式加密前我跑了一次 chkdsk D: /f，四十分钟，修了两个索引错误。这一步别省，盘上带着逻辑错误去加密，很可能中途报错停下，那时候加密了一半，进退两难。命令提示符要用管理员身份打开，跑的时候别拔盘，屏幕上会一行行刷百分比。
接口也值得说。我第一次图省事，把盘插在显示器侧面自带的 USB 口上，那个口是 USB 2.0，实测速度只有三十几兆，加密预估时间直接跳到二十多个小时。换到机箱后面的蓝色接口，速度立刻上了一百二。前置面板的口我也试过，能认盘，但偶尔会掉一下，这种口不适合长时间跑加密。
解密比重加密还慢，这是我没料到的
后来公司换了数据管理方案，要求所有移动存储统一用另一套工具，我得把这盘解掉。我以为解密就是把加密反过来，应该差不多快。结果从晚上八点开始，跑到第二天凌晨三点多，七个小时出头，比加密还慢一个多小时。
更折磨人的是进度条。它走到百分之九十九，停了将近五十分钟。我一度以为卡死了，差点按了取消。后来查了才知道，那一段在做校验和收尾，硬盘灯一直闪，就是不动进度。所以看到九十九别慌，让它跑完，去泡杯茶，别盯着看。
解密期间同样不能拔盘。我中途手贱去点了“暂停”，再点“继续”，结果它从头校验了一遍，白等了二十多分钟。这个暂停按钮看着贴心，实际上是个陷阱，能不碰就不碰。
七个小时是什么概念？我一晚上没睡好，隔一个小时起来看一眼进度。第二天上班顶着黑眼圈，同事问我干嘛去了，我说给硬盘松绑。
解密那晚我一直开着任务管理器看。CPU 占用在百分之二十到三十之间跳，磁盘活动时间满格，内存几乎不动。风扇声音比平时大一点，笔记本放在桌上能感觉到底部温热，属于正常范围。整个过程不能休眠，所以我把电源计划改成了从不睡眠，屏幕倒是可以关。
一定要插着电源。我试过用电池跑，跑到一半系统提示电量不足，自动降频，进度肉眼可见地慢下来，后面那一个小时几乎没怎么动。半夜两点多我起来看了一眼，进度从百分之六十八到七十一，心里那个急。后来插上电源，速度才回来。这件事之后我给所有需要长时间跑的任务都定了规矩：先插电，再关屏保。
换一台电脑，第一件事就是输密码
加密之后的日常，最直接的变化是：这块盘插到任何一台没记过密码的机器上，都会先弹一个框，让你输密码，输对了才看得到盘符。第一次遇到会愣一下，后来就习惯了。
这个框有几个细节。密码区分大小写，我设的密码里有个大写字母，头几次全输成小写，一直提示错误，我还以为密码记错了。连续输错会累计次数，次数多了就要求恢复密钥，所以别乱试，先想清楚大小写和键盘布局。
框旁边有个“在这台电脑上自动解锁”的勾。公用电脑千万别勾，自己的笔记本可以勾上，以后插上就进，省得每次输。我给家里的笔记本勾了，公司的台式机没勾，因为那台机器偶尔有同事借用。
兼容性也得提。Win10 专业版、企业版、教育版都能直接读，Win10 家庭版只能读不能加密，Win7 要装一个 BitLocker To Go 读取器，XP 就别想了。Mac 上原生读不了，得装第三方工具，我用过一次，速度很慢，后来干脆不在 Mac 上用这块盘。至于电视、车载音响、打印机这些只认 FAT32 的设备，加密盘插上去基本没反应，这个要有心理准备。
还有个细节容易被忽略：加密之后盘符可能会变。我这块盘在台式机上原来是 D，插到另一台机器上变成了 E，几个同步软件里存的路径全部失效，得手动改。多分区的盘更麻烦，两个区分别加密，解锁的时候是两个密码框，输完一个再输一个，第一次遇到会以为只解开了一半，其实后面那个框在等你。
手机上也别抱太大希望。安卓 OTG 插上去，系统能识别成一个存储设备，但 BitLocker 的加密它解不开，会提示需要格式化，千万别点。我试过一次，幸好手快拔了，不然 1.8T 资料就没了。电视和车载音响同理，能认出盘但读不了内容，这不是盘坏了，是它们不认识这种加密格式。
关闭加密的正确顺序，别嫌我啰嗦
关闭 BitLocker 不是点一下就完事。控制面板、系统和安全、BitLocker 驱动器加密，找到对应的盘，点“关闭 BitLocker”。这时候系统开始解密，进度条一点点走，你要做的就是等，等到提示“解密完成”，再安全弹出。
很多人（包括我第一次）以为点了关闭就可以拔盘，结果拔了以后盘变成只读，或者直接提示需要恢复密钥。因为解密是在后台一点点写的，你拔掉就等于中断，运气好能续上，运气不好就得重新来一遍七个小时。
命令行也行，而且更直观。管理员权限打开 PowerShell，输入 manage-bde -status D: 看状态，确认是不是“完全解密”。要关的话是 manage-bde -off D:，然后用 -status 一直看到百分比走完。这个命令我用了不下十次，比点鼠标踏实。
还有一种情况，盘已经打不开了，只想把数据救出来。那就别碰“格式化”，先找另一台机器用恢复密钥解锁，把东西拷出来再处理。格式化是最后一步，格式化完 BitLocker 的加密数据就真的没了，神仙也救不回来。
如果你只是想把盘借给别人用几天，其实不用关闭加密，把密码告诉对方就行，回来再改。关闭再加密，一来一回十几个小时，不值当。
解密完成后我特意测了一次速度。同一批文件从盘里拷到桌面，加密期间是七十多兆每秒，解密完成后回到一百三十兆左右，和加密前一模一样。所以别担心加密会让盘永久变慢，那个慢只是写入加密数据时的现象，不是硬件退化。
反过来，加密比解密快，这点我到现在也没完全想通，可能是解密时要额外校验。所以如果你解完又后悔想重新加密，做好比第一次更久的准备。还有，关闭加密的过程中盘是只读的，能看见文件但改不了，这时候别以为盘坏了，等进度走完就好。
几个我到现在也没完全搞明白的地方
TPM 这个东西，我查了半天资料还是半懂。台式机主板上有 TPM 2.0 的话，系统盘加密可以做到开机自动解锁，不用每次输密码。我的台式机主板是 2015 年的，没有 TPM，所以只能设密码。这个跟移动硬盘关系不大，移动硬盘走的是 BitLocker To Go，靠密码，不靠 TPM。
顺便说下 TPM 在 BIOS 里叫什么。英特尔的叫 PTT，AMD 的叫 fTPM，有的主板写成 Security Device 或者 Trusted Computing，位置不固定。我那台 2015 年的主板翻遍了也没有这一项，官网下了最新 BIOS 刷完还是没有，只能认命。公司这两年新配的机器默认就开着，所以同样的系统，能不能自动解锁，全看机器新旧。
另外提醒一句，加密后的盘在磁盘管理里会显示成 BitLocker 已加密，图标上多一把小锁。有人看着别扭，跑去磁盘管理里删分区重建，那就真的没救了。看见那把锁别动它，正常用就行，想取消就老老实实走关闭加密的流程。
恢复密钥 ID 前八位这个东西，我一开始不知道干嘛用。后来才明白，微软账户里可能存着好几条密钥，你得拿这个 ID 去对，对上了才是这块盘的。所以加密完成时那个页面，最好截图存下来，别只存密钥本身。
微软账户里的密钥列表也让我绕过一次。里面所有条目都叫 BitLocker 恢复密钥，后面跟一串日期，根本分不清哪条对应哪块盘。只能靠 ID 前八位一个个对。更坑的是同一块盘如果加密过两次，旧记录还留着，两条长得几乎一样，我就输错过一次，系统提示密钥不对，吓得我以为找错了账号。
还有一个我没弄明白的：同样一块盘，在同事的 Win11 机器上，解锁框的样式和我的 Win10 不一样，多了一个“更多选项”。功能上没差别，但我不知道是不是版本差异，还是他装了什么东西。有懂的朋友可以指点一下。
最后说个容易混的东西。右键属性、高级里那个加密内容以便保护数据，是 EFS，跟 BitLocker 完全是两码事。我有次手滑勾了它，文件拷到另一台机器上打不开，还没有恢复密钥可用，最后只能回到原机器把勾去掉，再复制出来。移动硬盘上别碰那个勾，要加密就整盘加密，别一半 EFS 一半 BitLocker，出了事谁都说不清。
后来我做了两件小事。一是把这块盘的密码存进密码管理器，手机上也能看；二是在盘壳背面贴了一小条标签，写着加密盘、密码见备忘录。同事看见笑我土，但真到了急着要用、脑子一片空白的时候，这一条标签能省下半小时。
现在这块盘还在用，每次插上输密码已经成了肌肉记忆。我给自己的规矩是：密钥至少三个地方，其中一个是纸；加密期间不碰盘、不断电、不插 Hub；关闭加密一定等到百分之百。这三条听着啰嗦，但每一条背后都是我真金白银熬出来的夜晚。
总的来说，BitLocker 这东西不难，难的是那 48 位数字和那几个小时的等待。只要你把密钥存好，剩下的都是耐心问题。我现在的心态是：宁可花七个小时解密，也不想再经历一次在高铁上翻遍背包找 U 盘。
写这些不是劝你别加密。加密是对的，只是它把忘记密码这件事的代价放大了一百倍。动手之前先想清楚密钥放哪、账号是哪个、手机号还在不在，再点下一步，别像我一样边点边想。
