บิตล็อกเกอร์
ภาพหน้าจอของโปรแกรม BitLocker Drive Encryption
ชื่ออื่นๆ	การเข้ารหัสอุปกรณ์
นักพัฒนา	ไมโครซอฟต์
ปล่อย	30 พฤศจิกายน 2549 ( 30 พฤศจิกายน 2549 )
ระบบปฏิบัติการ	ระบบปฏิบัติการ Windows Vistaและเวอร์ชันที่ใหม่กว่า
พิมพ์	ซอฟต์แวร์เข้ารหัสดิสก์
เว็บไซต์	เรียนรู้.microsoft .com /en-us /windows /security /operating-system-security /data-protection /bitlocker /

BitLockerเป็น คุณสมบัติ การเข้ารหัสแบบเต็มไดรฟ์ที่รวมอยู่ในMicrosoft Windowsเวอร์ชันต่างๆ ตั้งแต่Windows Vista เป็นต้นไป ออกแบบมาเพื่อปกป้องข้อมูลโดยการเข้ารหัสทั้งไดรฟ์โดยค่าเริ่มต้นจะใช้ อัลกอริทึม Advanced Encryption Standard (AES) ใน โหมด Cipher Block Chaining (CBC) หรือโหมด " xor–encrypt–xor (XEX) -based tweaked codebook mode with ciphertext stealing " (XTS) ^{[ 1 ]}ด้วยคีย์ 128 บิตหรือ 256 บิต[ ^{2 ] [ 3 ] CBC}ไม่ได้ใช้กับดิสก์ทั้งหมด แต่ใช้กับแต่ละเซกเตอร์^{[ 3 ]}

BitLocker มีต้นกำเนิดมาจาก สถาปัตยกรรม Next-Generation Secure Computing Base ของ Microsoft ในปี 2547 โดยมีชื่อรหัสชั่วคราวว่า "Cornerstone" ^{[ 4 ] [ 5 ]}และได้รับการออกแบบมาเพื่อปกป้องข้อมูลบนอุปกรณ์ โดยเฉพาะอย่างยิ่งในกรณีที่อุปกรณ์สูญหายหรือถูกขโมย คุณสมบัติอีกอย่างหนึ่งชื่อ "Code Integrity Rooting" ได้รับการออกแบบมาเพื่อตรวจสอบความสมบูรณ์ของไฟล์บูตและไฟล์ระบบของ Microsoft Windows ^{[ 4 ]}เมื่อใช้ร่วมกับTrusted Platform Module (TPM) ที่เข้ากันได้ BitLocker สามารถตรวจสอบความสมบูรณ์ของไฟล์บูตและไฟล์ระบบก่อนที่จะถอดรหัสไดรฟ์ที่ได้รับการป้องกัน การตรวจสอบที่ไม่สำเร็จจะห้ามการเข้าถึงระบบที่ได้รับการป้องกัน^{[ 6 ] [ 7 ]} BitLocker เคยถูกเรียกว่า Secure Startup ชั่วคราวก่อนที่ Windows Vista จะวางจำหน่ายสู่การผลิต^{[ 6 ]}

BitLocker สามารถใช้งานได้บนแพลตฟอร์มต่างๆ ดังนี้:

• Windows VistaและWindows 7รุ่นEnterpriseและUltimate
• Windows 8และ8.1รุ่น Pro และ Enterprise ^{[ 8 ] [ 2 ]}
• Windows Embedded Standard 7 และ Windows Thin PC
• Windows Server 2008 ^{[ 9 ]}และรุ่นต่อมา^{[ 10 ] [ 8 ]}
• Windows 10รุ่น Pro, Enterprise และ Education ^{[ 11 ]}
• Windows 11รุ่น Pro, Enterprise และ Education ^{[ 12 ]}

ในขั้นต้น อินเทอร์เฟซกราฟิก BitLocker ใน Windows Vista สามารถเข้ารหัสเฉพาะไดรฟ์ระบบปฏิบัติการ เท่านั้น ^{[ 13 ]}ตั้งแต่ Windows Vista ที่มี Service Pack 1 และ Windows Server 2008 เป็นต้นไป สามารถเข้ารหัสไดรฟ์อื่นที่ไม่ใช่ไดรฟ์ระบบปฏิบัติการได้โดยใช้เครื่องมือกราฟิก อย่างไรก็ตาม บางแง่มุมของ BitLocker (เช่น การเปิดหรือปิดการล็อกอัตโนมัติ) จะต้องจัดการผ่านเครื่องมือบรรทัดคำสั่งที่เรียกmanage-bde.wsfว่า^{[ 14 ]}

BitLocker เวอร์ชันที่รวมอยู่ใน Windows 7 และ Windows Server 2008 Release 2 เพิ่มความสามารถในการเข้ารหัสไดรฟ์แบบถอดได้ ในWindows XPหรือ Windows Vista การเข้าถึงไดรฟ์เหล่านี้แบบอ่านอย่างเดียวสามารถทำได้ผ่านโปรแกรมที่เรียกว่า BitLocker To Go Reader หากใช้ระบบไฟล์FAT16 , FAT32หรือexFAT ^{[ 15 ]}นอกจากนี้ เครื่องมือบรรทัดคำสั่งใหม่ที่เรียกว่า ได้เข้ามาแทนที่ เครื่องมือmanage-bdeเก่า^{[ 16 ]}manage-bde.wsf

ตั้งแต่ Windows Server 2012 และ Windows 8 เป็นต้นมา Microsoft ได้เสริม BitLocker ด้วยข้อกำหนด Microsoft Encrypted Hard Drive ซึ่งอนุญาตให้ถ่ายโอนการดำเนินการเข้ารหัสของ BitLocker ไปยังฮาร์ดแวร์ของอุปกรณ์จัดเก็บข้อมูล เช่น ไดร ฟ์ที่เข้ารหัสด้วยตนเอง^{[ 17 ] [ 18 ]}นอกจากนี้ BitLocker ยังสามารถจัดการได้ผ่านWindows PowerShell [ ^{19 ] สุดท้าย} Windows 8 ได้แนะนำWindows To Goในรุ่น Enterprise ซึ่ง BitLocker สามารถปกป้องได้^{[ 20 ]}

Windows Mobile 6.5 , Windows RTและรุ่นหลักของ Windows 8.1 มีการเข้ารหัสอุปกรณ์ซึ่งเป็นเวอร์ชัน BitLocker ที่มีคุณสมบัติจำกัดที่เข้ารหัสทั้งระบบ^{[ 21 ] [ 22 ] [ 23 ]}การเข้าสู่ระบบด้วยบัญชี Microsoftที่มีสิทธิ์ผู้ดูแลระบบจะเริ่มกระบวนการเข้ารหัสโดยอัตโนมัติ คีย์การกู้คืนจะถูกเก็บไว้ในบัญชี Microsoft หรือActive Directory (Active Directory ต้องใช้ Windows รุ่น Pro) ทำให้สามารถเรียกคืนได้จากคอมพิวเตอร์เครื่องใดก็ได้ แม้ว่าการเข้ารหัสอุปกรณ์จะมีให้ใน Windows 8.1 ทุกรุ่น แต่แตกต่างจาก BitLocker การเข้ารหัสอุปกรณ์ต้องใช้อุปกรณ์ที่ตรงตาม ข้อกำหนด InstantGo (เดิมชื่อConnected Standby ) ^{[ 23 ]}ซึ่งต้องใช้ไดรฟ์โซลิดสเตทและชิป TPM 2.0 ^{[ 21 ] [ 24 ]}

ตั้งแต่ Windows 10 เวอร์ชัน 1703 เป็นต้นไป ข้อกำหนดสำหรับการเข้ารหัสอุปกรณ์ได้เปลี่ยนแปลงไป โดยกำหนดให้ต้องใช้โมดูล TPM 1.2 หรือ 2.0 ที่รองรับ PCR 7, UEFI Secure Bootและอุปกรณ์ต้องตรงตามข้อกำหนด Modern Standby หรือการตรวจสอบ HSTI ^{[ 25 ]}

ข้อกำหนดการเข้ารหัสอุปกรณ์ได้รับการผ่อนปรนใน Windows 11 24H2 โดยไม่จำเป็นต้องปฏิบัติตาม Modern Standby, HSTI และ Secure Boot อีกต่อไป และได้ลบรายการบล็อกอินเทอร์เฟซ DMA ออก^{[ 26 ]}และการเข้ารหัสอุปกรณ์จะถูกเปิดใช้งานโดยค่าเริ่มต้นโดยการติดตั้ง Windows 11 24H2 แบบใหม่ ซึ่งเรียกว่าการเข้ารหัสอุปกรณ์อัตโนมัติ^{[ 27 ]}

ในเดือนกันยายน พ.ศ. 2562 มีการเผยแพร่การอัปเดตใหม่ (KB4516071 ^{[ 28 ]} ) ซึ่งเปลี่ยนการตั้งค่าเริ่มต้นสำหรับ BitLocker เมื่อเข้ารหัสไดรฟ์ที่เข้ารหัสด้วยตนเอง ตอนนี้ค่าเริ่มต้นคือการใช้การเข้ารหัสซอฟต์แวร์สำหรับไดรฟ์ที่เข้ารหัสใหม่ เนื่องจากข้อบกพร่องในการเข้ารหัสฮาร์ดแวร์และความกังวลด้านความปลอดภัยที่เกี่ยวข้องกับปัญหาเหล่านั้น^{[ 29 ]}

กลไกการตรวจสอบสิทธิ์สามแบบสามารถใช้เป็นส่วนประกอบพื้นฐานในการใช้งานการเข้ารหัส BitLocker ได้: ^{[ 30 ]}

• โหมดการทำงานแบบโปร่งใส : โหมดนี้ใช้ความสามารถของฮาร์ดแวร์ TPM 1.2 เพื่อมอบประสบการณ์การใช้งานที่โปร่งใสแก่ผู้ใช้ กล่าวคือ ผู้ใช้เปิดเครื่องและล็อกอินเข้าสู่ Windows ตามปกติ คีย์ที่ใช้สำหรับการเข้ารหัสดิสก์จะถูกผนึก (เข้ารหัส) โดยชิป TPM และจะถูกปล่อยให้กับโค้ดตัวโหลดระบบปฏิบัติการก็ต่อเมื่อไฟล์บูตเริ่มต้นปรากฏว่าไม่มีการแก้ไข ส่วนประกอบก่อนระบบปฏิบัติการของ BitLocker บรรลุเป้าหมายนี้โดยการใช้การวัดรากความเชื่อถือแบบคงที่ (Static Root of Trust Measurement) ซึ่งเป็นวิธีการที่กำหนดโดยTrusted Computing Group (TCG) โหมดนี้มีความเสี่ยงต่อการโจมตีแบบบูตเย็น (cold boot attack ) เนื่องจากอนุญาตให้ผู้โจมตีสามารถ บูตเครื่องที่ปิดอยู่ได้นอกจากนี้ยังมีความเสี่ยงต่อการโจมตีแบบดักฟัง (sniffing attack) เนื่องจากคีย์การเข้ารหัสไดรฟ์จะถูกส่งในรูปแบบข้อความธรรมดาจาก TPM ไปยัง CPU ระหว่างการบูตที่สำเร็จ
• โหมดการตรวจสอบสิทธิ์ผู้ใช้ : โหมดนี้กำหนดให้ผู้ใช้ต้องให้ข้อมูลการตรวจสอบสิทธิ์แก่สภาพแวดล้อมก่อนบูตในรูปแบบของPINหรือรหัส ผ่านก่อนบูต
• โหมด USB Key : ผู้ใช้ต้องเสียบอุปกรณ์ USB ที่มีคีย์เริ่มต้นเข้ากับคอมพิวเตอร์เพื่อให้สามารถบูตระบบปฏิบัติการที่ได้รับการป้องกันได้ โปรดทราบว่าโหมดนี้ต้องการให้ BIOS บนเครื่องที่ได้รับการป้องกันรองรับการอ่านอุปกรณ์ USB ในสภาพแวดล้อมก่อนระบบปฏิบัติการ BitLocker ไม่รองรับสมาร์ทการ์ดสำหรับการตรวจสอบสิทธิ์ก่อนบูต^{[ 31 ]}

ระบบรองรับการผสมผสานกลไกการตรวจสอบสิทธิ์ข้างต้นดังต่อไปนี้ โดยทั้งหมดมี คีย์กู้คืน แบบเอสโครว์ ให้เลือกใช้ :

• TPM เท่านั้น^{[ 32 ]}
• TPM + PIN ^{[ 33 ]}
• TPM + PIN + USB Key ^{[ 34 ]}
• TPM + USB Key ^{[ 35 ]}
• คีย์ USB ^{[ 36 ]}
• รหัสผ่านเท่านั้น^{[ 37 ]}

BitLocker เป็น ระบบการเข้ารหัส วอลุ่มเชิงตรรกะ (วอลุ่มครอบคลุมส่วนหนึ่งของฮาร์ดดิสก์ไดรฟ์ทั้งไดรฟ์ หรือมากกว่าหนึ่งไดรฟ์) เมื่อเปิดใช้งาน TPM และ BitLocker สามารถรับประกันความสมบูรณ์ของเส้นทางการบูตที่เชื่อถือได้ (เช่น BIOS และเซกเตอร์บูต) เพื่อป้องกันการโจมตีทางกายภาพแบบออฟไลน์ส่วนใหญ่และมัลแวร์เซกเตอร์บูต^{[ 38 ]}

เพื่อให้ BitLocker สามารถเข้ารหัสไดรฟ์ที่เก็บระบบปฏิบัติการได้จำเป็นต้องมีไดรฟ์ที่ฟอร์แมตด้วยNTFS อย่างน้อยสองไดรฟ์ ได้แก่ ไดรฟ์สำหรับระบบปฏิบัติการ (โดยปกติคือ C:) และไดรฟ์ที่มีขนาดอย่างน้อย 100 MB ซึ่งจะไม่ถูกเข้ารหัสและ ใช้สำหรับบูตระบบปฏิบัติการ^{[ 38 ]} (อย่างไรก็ตาม ในกรณีของ Windows Vista และWindows Server 2008ขนาดขั้นต่ำของไดรฟ์คือ 1.5 GB และต้องมีตัวอักษรไดรฟ์ ) ^{[ 39 ]}แตกต่างจาก Windows เวอร์ชันก่อนหน้า เครื่องมือบรรทัดคำสั่ง "diskpart" ของ Vista มีความสามารถในการย่อขนาดของไดรฟ์ NTFS เพื่อให้สามารถสร้างไดรฟ์นี้จากพื้นที่ที่จัดสรรไว้แล้วได้ นอกจากนี้ยังมีเครื่องมือที่เรียกว่า BitLocker Drive Preparation Tool จาก Microsoft ที่อนุญาตให้ย่อขนาดไดรฟ์ที่มีอยู่บน Windows Vista เพื่อสร้างพื้นที่ว่างสำหรับไดรฟ์บูตใหม่และถ่ายโอนไฟล์บูต ที่จำเป็นไปยังไดรฟ์นั้น ^{[ 40 ]}

เมื่อสร้างพาร์ติชั่นบูตสำรองแล้ว จะต้องเริ่มต้นโมดูล TPM (สมมติว่ามีการใช้คุณสมบัตินี้) หลังจากนั้น จึง กำหนด ค่ากลไกการป้องกันคีย์การเข้ารหัสดิสก์ที่จำเป็น เช่น TPM, PIN หรือ คีย์ USB ^{[ 41 ]} จากนั้น วอลุ่มจะถูกเข้ารหัสเป็นงานเบื้องหลัง ซึ่งอาจใช้เวลานานพอสมควรกับดิสก์ขนาดใหญ่ เนื่องจากต้องอ่าน เข้ารหัส และเขียนกลับลงดิสก์ทุกเซกเตอร์เชิงตรรกะ^{[ 41 ]}คีย์จะได้รับการป้องกันก็ต่อเมื่อวอลุ่มทั้งหมดได้รับการเข้ารหัสแล้วเท่านั้น จึงจะถือว่าวอลุ่มนั้นปลอดภัย^{[ 42 ]} BitLocker ใช้ไดรเวอร์อุปกรณ์ระดับต่ำในการเข้ารหัสและถอดรหัสการทำงานของไฟล์ทั้งหมด ทำให้การโต้ตอบกับวอลุ่มที่เข้ารหัสโปร่งใสสำหรับแอปพลิเคชันที่ทำงานบนแพลตฟอร์ม^{[ 41 ]}

ระบบเข้ารหัสไฟล์ (EFS) อาจใช้ร่วมกับ BitLocker เพื่อให้การป้องกันเมื่อระบบปฏิบัติการทำงาน การป้องกันไฟล์จากกระบวนการและผู้ใช้ภายในระบบปฏิบัติการสามารถทำได้โดยใช้ซอฟต์แวร์เข้ารหัสที่ทำงานภายใน Windows เช่น EFS เท่านั้น ดังนั้น BitLocker และ EFS จึงให้การป้องกันการโจมตีประเภทต่างๆ^{[ 43 ]}

ในสภาพแวดล้อม Active Directory นั้น BitLocker รองรับการจัดเก็บคีย์แบบเอสโครว์ไปยัง Active Directory ซึ่งเป็นทางเลือกเสริม แต่การอัปเดตสคีมาอาจจำเป็นเพื่อให้ฟังก์ชันนี้ทำงานได้ (เช่น หากบริการ Active Directory ถูกโฮสต์บน Windows เวอร์ชันก่อน Windows Server 2008)

BitLocker และระบบเข้ารหัสแบบเต็มดิสก์อื่นๆ อาจถูกโจมตีโดยตัวจัดการบูตที่ไม่พึงประสงค์เมื่อบูตโหลดเดอร์ที่เป็นอันตรายจับความลับได้แล้ว มันสามารถถอดรหัส Volume Master Key (VMK) ซึ่งจะทำให้สามารถเข้าถึงการถอดรหัสหรือแก้ไขข้อมูลใดๆ บนฮาร์ดดิสก์ที่เข้ารหัสได้ BitLocker สามารถลดภัยคุกคามนี้ได้โดยการกำหนดค่า TPM เพื่อปกป้องเส้นทางบูตที่เชื่อถือได้ รวมถึงBIOSและเซกเตอร์บูต (โปรดทราบว่าการเปลี่ยนแปลงที่ไม่เป็นอันตรายบางอย่างในเส้นทางบูตอาจทำให้ การตรวจ สอบรีจิสเตอร์การกำหนดค่าแพลตฟอร์มล้มเหลว และทำให้เกิดคำเตือนที่ผิดพลาด) ^{[ 38 ]}

โหมดการทำงานแบบโปร่งใสและโหมดการตรวจสอบสิทธิ์ผู้ใช้ของ BitLocker ใช้ฮาร์ดแวร์ TPM เพื่อตรวจจับว่ามีการเปลี่ยนแปลงที่ไม่ได้รับอนุญาตในสภาพแวดล้อมก่อนบูตหรือไม่ ซึ่งรวมถึงBIOSและMBRหากตรวจพบการเปลี่ยนแปลงที่ไม่ได้รับอนุญาต BitLocker จะขอคีย์กู้คืนบนอุปกรณ์ USB รหัสลับการเข้ารหัสนี้ใช้ในการถอดรหัส Volume Master Key (VMK) และอนุญาตให้ กระบวนการ บูตดำเนินต่อไปได้^{[ 44 ]}อย่างไรก็ตาม TPM เพียงอย่างเดียวไม่เพียงพอ:

• ในเดือนกุมภาพันธ์ พ.ศ. 2551 กลุ่มนักวิจัยด้านความปลอดภัยได้เผยแพร่รายละเอียดของการโจมตีที่เรียกว่า " cold boot attack " ซึ่งทำให้ระบบการเข้ารหัสแบบเต็มดิสก์ เช่น BitLocker สามารถถูกบุกรุกได้โดยการบูตเครื่องจากสื่อแบบถอดได้ เช่น ไดรฟ์ USB เข้าสู่ระบบปฏิบัติการอื่น จากนั้นจึงดัมพ์เนื้อหาของหน่วยความจำก่อนบูต^{[ 45 ]}การโจมตีนี้อาศัยข้อเท็จจริงที่ว่าDRAM สามารถเก็บข้อมูลได้นานถึงหลายนาที (หรือนานกว่านั้นหากระบายความร้อน) หลังจากที่ถอดปลั๊กไฟออกอุปกรณ์ Bress/Menzที่อธิบายไว้ในสิทธิบัตรของสหรัฐอเมริกาหมายเลข 9,514,789 สามารถทำการโจมตีประเภทนี้ได้^{[ 46 ]}กลไกการเข้ารหัสแบบเต็มดิสก์ที่คล้ายกันของผู้จำหน่ายรายอื่นและระบบปฏิบัติการอื่น ๆ รวมถึงLinuxและMac OS Xก็มีความเสี่ยงต่อการโจมตีแบบเดียวกัน ผู้เขียนแนะนำให้ปิดเครื่องคอมพิวเตอร์เมื่อไม่ได้อยู่ในการควบคุมทางกายภาพของเจ้าของ (แทนที่จะปล่อยไว้ในโหมดสลีป ) และกำหนดค่าซอฟต์แวร์การเข้ารหัสให้ต้องใช้รหัสผ่านในการบูตเครื่อง^{[ 45 ]}
• เมื่อวันที่ 10 พฤศจิกายน 2015 ไมโครซอฟต์ได้ออกการอัปเดตความปลอดภัยเพื่อบรรเทาช่องโหว่ด้านความปลอดภัยใน BitLocker ที่อนุญาตให้ข้ามการตรวจสอบสิทธิ์ได้โดยใช้ ศูนย์กระจายคีย์ Kerberos ที่เป็นอันตราย หากผู้โจมตีสามารถเข้าถึงเครื่องได้ เครื่องนั้นเป็นส่วนหนึ่งของโดเมน และไม่มีการป้องกันด้วย PIN หรือแฟลชไดรฟ์ USB ^{[ 47 ]}
• BitLocker ยังไม่รองรับคุณสมบัติความปลอดภัยของ TPM 2.0 อย่างถูกต้อง ซึ่งอาจนำไปสู่การข้ามการป้องกันความเป็นส่วนตัวได้อย่างสมบูรณ์เมื่อมีการส่งคีย์ผ่านSerial Peripheral Interfaceในเมนบอร์ด^{[ 48 ]}

การโจมตีทั้งหมดนี้ต้องอาศัยการเข้าถึงระบบทางกายภาพ และจะถูกยับยั้งได้ด้วยตัวป้องกันรอง เช่น แฟลชไดรฟ์ USB หรือรหัส PIN

แม้ว่าอัลกอริทึมการเข้ารหัส AES ที่ใช้ใน BitLocker จะเป็นสาธารณะแต่การนำไปใช้ใน BitLocker รวมถึงส่วนประกอบอื่นๆ ของซอฟต์แวร์นั้นเป็นกรรมสิทธิ์อย่างไรก็ตาม รหัสนี้เปิดให้พันธมิตรและองค์กรของ Microsoft ตรวจสอบได้ภายใต้ข้อตกลงการไม่เปิดเผยข้อมูล^{[ 49 ] [ 50 ]}

ตามแหล่งข้อมูลของ Microsoft ^{[ 51 ]} BitLocker ไม่มีแบ็กดอร์ ที่สร้างขึ้นโดยเจตนา ดังนั้นจึงไม่มีวิธีใดที่ Microsoft จัดหาให้เพื่อให้หน่วยงานบังคับใช้กฎหมายสามารถเข้าถึงข้อมูลในไดรฟ์ของผู้ใช้ได้อย่างแน่นอน ในปี 2549 กระทรวงมหาดไทยของสหราชอาณาจักรแสดงความกังวลเกี่ยวกับการขาดแบ็กดอร์และพยายามเจรจากับ Microsoft เพื่อให้มีการเพิ่มแบ็กดอร์^{[ 52 ]} Niels Fergusonนักพัฒนาและนักเข้ารหัสลับของ Microsoft ปฏิเสธคำขอแบ็กดอร์และกล่าวว่า "ไม่มีทาง" ^{[ 53 ]} วิศวกรของ Microsoft กล่าวว่าเจ้าหน้าที่ สำนักงานสอบสวนกลางของสหรัฐอเมริกาได้กดดันพวกเขาในการประชุมหลายครั้งให้เพิ่มแบ็กดอร์ แม้ว่าจะไม่มีคำขอเป็นลายลักษณ์อักษรอย่างเป็นทางการก็ตาม ในที่สุดวิศวกรของ Microsoft ก็แนะนำว่าเจ้าหน้าที่ควรค้นหาสำเนาของคีย์การเข้ารหัสที่โปรแกรม BitLocker แนะนำให้ผู้ใช้สร้าง^{[ 54 ]}

ตำแหน่งของ Niels Ferguson ที่ว่า "ประตูหลังไม่เป็นที่ยอมรับ" ^{[ 53 ]}สอดคล้องกับหลักการของ Kerckhoffsซึ่งกล่าวโดยAuguste Kerckhoffs นักเข้ารหัสลับที่เกิดในเนเธอร์แลนด์ ในศตวรรษที่ 19 หลักการนี้ระบุว่าระบบการเข้ารหัสควรมีความปลอดภัย แม้ว่าทุกอย่างเกี่ยวกับระบบ ยกเว้นกุญแจการเข้ารหัส จะเป็นความรู้สาธารณะก็ตาม

ตั้งแต่ปี 2014 วิธีการและโครงสร้างข้อมูลของ BitLocker เป็นที่รู้จักในวงกว้างเนื่องจากวิศวกรรมย้อนกลับ โปรแกรม Linux dislockerสามารถอ่านและเขียนไดรฟ์ที่ได้รับการป้องกันด้วย BitLocker ได้หากมีคีย์ ตั้งแต่ปี 2020 สามารถทำได้ด้วยcryptsetupเช่น กัน ^{[ 55 ] [ 56 ]}

ตั้งแต่ Windows 8 และ Windows Server 2012 เป็นต้นไป Microsoft ได้ลบ Elephant Diffuser ออกจากระบบ BitLocker ^{[ 57 ]}งานวิจัยของ Dan Rosendorf แสดงให้เห็นว่าการลบ Elephant Diffuser นั้นมี "ผลกระทบเชิงลบอย่างไม่อาจปฏิเสธได้" ต่อความปลอดภัยของการเข้ารหัส BitLocker ต่อการโจมตีแบบเจาะจง^{[ 58 ]}ต่อมา Microsoft อ้างถึงข้อกังวลด้านประสิทธิภาพและการไม่ปฏิบัติตามมาตรฐานการประมวลผลข้อมูลของรัฐบาลกลาง (FIPS) เพื่อเป็นเหตุผลในการลบ diffuser ออก^{[ 59 ]}อย่างไรก็ตาม ตั้งแต่ Windows 10 เวอร์ชัน 1511 เป็นต้นไป Microsoft ได้เพิ่ม อัลกอริทึมการเข้ารหัส XTS-AES ที่สอดคล้องกับ FIPS ใหม่ลง ใน BitLocker ^{[ 1 ]}

ตั้งแต่ Windows 10 เวอร์ชัน 1803 เป็นต้นไป Microsoft ได้เพิ่มฟีเจอร์ใหม่ที่เรียกว่า "การป้องกันการเข้าถึงหน่วยความจำโดยตรงของเคอร์เนล (DMA)" ลงใน BitLocker เพื่อป้องกันการโจมตี DMAผ่านพอร์ตThunderbolt 3 ^{[ 60 ] [ 61 ]} "การป้องกันการเข้าถึงหน่วยความจำโดยตรงของเคอร์เนล (DMA)" จะป้องกันการโจมตีผ่าน Thunderbolt เท่านั้น การเข้าถึงหน่วยความจำโดยตรงยังสามารถทำได้ผ่านPCI Expressในการโจมตีประเภทนี้ ผู้โจมตีจะเชื่อมต่ออุปกรณ์ PCI Express ที่เป็นอันตราย^{[ 62 ]}ซึ่งสามารถเขียนลงในหน่วยความจำโดยตรงและข้ามการเข้าสู่ระบบของ Windows ได้ เพื่อป้องกันการโจมตีประเภทนี้ Microsoft ได้แนะนำ "การรักษาความปลอดภัยแบบใช้เวอร์ชวลไลเซชัน" ^{[ 63 ] [ 64 ]}

ในเดือนตุลาคม พ.ศ. 2560 มีรายงานว่าช่องโหว่ทำให้สามารถอนุมานคีย์ส่วนตัวจากคีย์สาธารณะได้ ซึ่งอาจทำให้ผู้โจมตีสามารถข้ามการเข้ารหัส BitLocker ได้เมื่อใช้ชิป TPM ที่ได้รับผลกระทบ^{[ 65 ]}ช่องโหว่นี้คือช่องโหว่ Return of Coppersmith's Attack (ROCA)ซึ่งอยู่ในไลบรารีโค้ดที่พัฒนาโดยInfineonและมีการใช้งานอย่างแพร่หลายในผลิตภัณฑ์รักษาความปลอดภัย เช่นสมาร์ทการ์ดและ TPM

Microsoft ได้ปล่อยเฟิร์มแวร์เวอร์ชันอัปเดตสำหรับชิป Infineon TPM ที่แก้ไขข้อบกพร่องผ่าน Windows Update ^{[ 66 ]}

ในเดือนพฤษภาคม พ.ศ. 2569 นักวิจัยด้านความปลอดภัยที่ใช้นามแฝงว่า "Chaotic Eclipse" ได้เปิดเผยวิธีการหลีกเลี่ยง BitLocker ซึ่งเขาตั้งชื่อว่า YellowKey ช่องโหว่นี้ได้รับการยอมรับอย่างเป็นทางการแล้วในชื่อ CVE-2026-45585 ซึ่งส่งผลกระทบเฉพาะWindows 11 , Windows Server 2022และWindows Server 2025 เท่านั้น ส่วน Windows 10รุ่นเก่าจะไม่ได้รับผลกระทบ^{[ 67 ] [ 68 ] [ 69 ]}

ไมโครซอฟต์ได้ออกมาตรการบรรเทาภัยคุกคามนี้เมื่อวันที่ 22 พฤษภาคม^{[ 70 ]}และสัญญาว่าจะแก้ไขในการอัปเดตเดือนมิถุนายน 2026 ^{[ 71 ]}แต่ไม่พอใจกับการเปิดเผยช่องโหว่นี้ บริษัทขู่ว่าจะดำเนินคดีทางกฎหมายกับ Chaotic Eclipse สำหรับการเปิดเผยช่องโหว่โดยไม่ได้รับความเห็นชอบ ลบคลังเก็บ ข้อมูล GitHub ของเขา ที่แสดงให้เห็นถึงช่องโหว่ และระงับบัญชี GitHub ของเขา^{[ 72 ] [ 73 ] [ 74 ]}

• คุณสมบัติใหม่ใน Windows Vista
• รายชื่อส่วนประกอบของ Microsoft Windows
• เทคโนโลยี I/O ของ Windows Vista
• ฐานการประมวลผลที่ปลอดภัยแห่งอนาคต
• ไฟล์วอลท์

เว็บไซต์ Wikibooks มีหนังสือเกี่ยวกับหัวข้อ: คู่มือคำสั่งของ Windows

• ภาพรวมทางเทคนิคของการเข้ารหัสไดรฟ์ BitLocker
• บล็อกของทีมความสมบูรณ์ของระบบ