BitLocker je proprietární technologie pro šifrování celých diskových oddílů (Full Disk Encryption – FDE), kterou vyvinula společnost Microsoft. Je integrována do profesionálních verzí systému Windows (Pro, Enterprise, Education).

Hlavním účelem BitLockeru je zabránit neoprávněnému přístupu k datům v případě, že je počítač ztracen, odcizen nebo neodborně vyřazen. Chrání data tím, že celý obsah disku transformuje do nečitelné podoby, kterou lze dešifrovat pouze pomocí správného klíče.

BitLocker používá šifrovací algoritmus AES (Advanced Encryption Standard) s délkou klíče 128 nebo 256 bitů.

Většina moderních instalací BitLockeru spoléhá na hardware zvaný TPM (Trusted Platform Module).

• TPM je specializovaný čip na základní desce, který bezpečně uchovává šifrovací klíče.
• Při startu počítače TPM zkontroluje, zda nebyl hardware nebo spouštěcí soubory systému změněny (např. útokem typu bootkit).
• Pokud je vše v pořádku, čip uvolní klíč a systém se automaticky dešifruje a spustí.

BitLocker lze nakonfigurovat několika způsoby podle požadované úrovně zabezpečení:

• Transparentní režim (Pouze TPM): Uživatel si ničeho nevšimne. Počítač nastartuje přímo k přihlašovací obrazovce Windows. Data jsou chráněna proti vyjmutí disku a čtení v jiném PC.
• Uživatelský PIN: Při každém startu PC musí uživatel zadat číselný PIN předtím, než se začne načítat Windows. Toto je nejbezpečnější metoda (dvoufaktorová ochrana: „mám hardware“ + „znám PIN“).
• USB klíč: Šifrovací klíč je uložen na flash disku, který musí být připojen k PC během startu.

Tato funkce umožňuje šifrovat přenosná média, jako jsou externí pevné disky a USB flash disky.

• Na rozdíl od systémového disku se zde k dešifrování používá heslo.
• Takto zašifrovaný disk lze číst i na jiných počítačích se systémem Windows po zadání správného hesla.

Při aktivaci BitLockeru je vygenerován 48místný klíč pro obnovení. Je to kriticky důležitý údaj pro případ, že:

• Dojde k poruše čipu TPM.
• Zapomenete PIN.
• Dojde k významné změně hardwaru (např. výměna základní desky).

Bez tohoto klíče jsou data na disku trvale a nenávratně ztracena. Microsoft umožňuje uložení tohoto klíče do uživatelského účtu Microsoft v cloudu.

Související pojmy: TPM, AES, Encryption, SSD, Bootkit, Windows Pro, UEFI.