BitLocker密码更改

Question

我的团队最近在Windows 7主机上使用微软的BitLocker加密一些硬盘。2TB驱动器的初始加密需要几个小时才能完成。这一切都很好，很好。

然而，我关心的是，在更改密码时，这个过程是即时的。这对我来说毫无意义，因为我假设BitLocker使用我提供的密码(或一些散列导数)来执行加密。如果是这样的话，那么驱动器应该需要完全解密，然后再加密(几个小时的过程，对吗？)

那么BitLocker实际上是如何加密数据的呢？它是否使用隐藏在Windows代码深处的秘密值来执行加密？如果是这样的话，我的密码仅仅是检查Windows是否允许解密吗？如果是这样的话，我真正从BitLocker得到了什么保护，因为存储的加密密钥是可解密的加密密钥.

Answer 1

BitLocker使用了一种叫做代理键的东西。磁盘上的数据用随机密钥(代理密钥)加密，然后用从您的密码(报头密钥)派生的第二个密钥加密该密钥。加密的代理密钥随后存储在卷标头中。

输入密码时，系统从它派生头密钥，然后使用它解密代理密钥，而代理密钥又用于解密数据。更改密码只需使用新的头键重新加密卷头，而不是整个磁盘。

Answer 2

我只想对原来的答案再详细说明一下。实际上有两个“代孕”密钥。有一个名为FVEK (全卷加密密钥)的密钥，它实际上用于对磁盘上的数据进行加密，然后是一个MVK (主卷密钥)，用于对报头中的FVEK进行加密。然后，MVK被用于访问卷的密钥加密，如密码派生密钥、恢复密钥、恢复密码、TPM密码或USB密钥。如果最后一级密钥中的一个被破坏，并且攻击者在使用该密钥时已经访问了磁盘，那么是的，整个结构将受到破坏。

另一方面，如果密码被泄露，但您保留了对磁盘的控制权(而且没有人提前备份您的头)，那么只需更改密码就可以重新加密MVK，而用旧密码加密的MVK就会被删除。