分区开启 BitLocker 后还能正常用第三方备份工具备份和还原吗？

[lifansama]

分区开启 BitLocker 后还能正常用第三方备份工具备份和还原吗？ 比如上古神器 Ghost ，傲梅的备份助手，或者基于 Diskgenius 的易数一键还原

[docx]

@424778940 #4 在 PE 里先解锁再备份，这样的备份档是不是就没有加密了？下次还原的时候也要先解锁分区吧？

[jekyll]

@7zlid yubikey 对我来说就像一个黑箱，完全不知道它怎么运作的，有种无法掌控的感觉，怕它坏了束手无策

[rev1si0n]

@424778940 想起来我昨天也遇到了类似问题，vmware 弹窗说 vmdk 操作失败什么什么，不是一定出现，但是每次大量写磁盘一定会出现，我用的是 bitlocker ，然后我现在把 bitlocker 全部关掉了，我再试试有没有问题。

[424778940]

@docx bitlocker 是针对文件系统加密的 文件本身不是加密的 所以你解锁之后本质上是挂载了一个解密之后的逻辑卷 所以备份出来的文件跟没加密的是一样的

[424778940]

@7RTDKSAK
我相信你是直到 vmware workstation 是可以新建一个虚拟机不适用虚拟磁盘而是直接使用物理磁盘的
我说的问题是 是你用了 veracrypt 之后 再去启动一个使用了物理磁盘的虚拟机 就会出错 如果你启动的是使用正常虚拟磁盘的虚拟机就没事
这个需求听起来小众 但我觉得也还好 我平时有个 usb ssd 装 linux 在公司用 回来在家里从 vm 里启动

[424778940]

@rev1si0n 你那个跟我说的应该没什么关系

[424778940]

@7RTDKSAK bitlocker 加密分很多种形式
最基本的根基是数字密码 就是那个超级长的数字 不管什么形式加密都会生成
然后就是如果你电脑开启了 tpm, 那么密钥是储存在 tpm 芯片里面的, 开机输入的密码其实是 tpm 的 pin, 引导程序本身不加密
不支持 tpm 要该策略才能用 bitlocker, 具体加密行为没有去研究
但不管何种情况 用数字密码都是可以离线挂载加密分区的

[424778940]

@7RTDKSAK esp 本身不需要"重建" bcdboot 确实可以自动生成 但 esp 里也没什么东西说白了
微软的系统 esp 里有个 bootmgr.efi 是引导程序本体 然后是 bcd 不带后缀是数据库 还有就是一堆杂七杂八的语言文件和其他 efi 工具比如内存扫描 剩下的也许有可能有证书用来验证签名
不用 bcdboot 也可以自己手动搞定 去任何正常的同款系统里的 windows/boot 下找 efi 文件夹丢进去 然后改一下 bcd 就行了
写引导本身不依赖于必须读取系统分区内容 只是如果你写错了没法用而已

[424778940]

@clorischan 并不正确 分区的 uuid 和分区本身内容无关 他是 gpt 分区表里给分区的一种属性 只要分区表可以读取就能拿到

[7RTDKSAK]

@424778940
听起来像是 vc 独占了所有物理分区?(大概是这意思)
然后 vmware 就不能读写了?

[docx]

@424778940 #24 好的，谢谢解答。那么这样对备份档的保护工作也需要做好。

另外请教：如果未开启 BitLocker 时对分区备份，再开启 BitLocker ，进入 PE 对该分区解锁并还原备份，是否会影响分区状态？甚至数据丢失？
个人理解是不会有影响，因为 BitLocker 的密钥、分区启用状态是存在 TPM 芯片里，不受备份还原影响。不确定是否理解正确，数据宝贵也不敢乱尝试。

[424778940]

@docx 就像我说的 解锁 bitlocker 本质上是挂载了逻辑卷 所以你如果备份是按照文件备份的 那没有什么问题 因为按照文件来备份是要跟文件系统交互 也就是你挂载的解密后的逻辑卷的文件系统 只要是正常挂载 就还属于在 bitlocker 范畴内操作 所以也没什么问题
但如果你的工具是基于扇区备份的 那肯定不行 因为扇区备份跳过了文件系统 也并不关心数据到底是什么东西 是加密的逻辑卷快 还是都是 0 还是没加密的 他都不在乎也不知道区别 所以盲目还原肯定有问题
基于扇区备份的都是 raw image 只适用于数据恢复时候做镜像 或者盘很小 或者某些特殊系统 /机器对磁盘或者文件系统有非常严(qi)格(pa)且特殊的要求

密钥是存在 tpm 里的 但其他信息不是 其他信息都是在硬盘上的 启用状态本身没有什么意义 因为不管你这个 flag 怎么样 数据本身加密或者没有加密不会改变 除非你用 bitlocker 永久加密或者解密 他也是要先加密 /解密全部数据然后再去写这个 flag 的

当然 我上面说的也不是特别准确的 bitlocker 工作流程 实际上这个东西内部还是很复杂的 但作为用户没有必要了解这么细致
实际上 bitlocker 还有分一些什么 master volume key 还有其他一大堆 key 剩下就是什么 protector 用什么方式加密的 master key 然后这个东西要存在哪 还有就那种 pause bitlocker 的时候发生了什么之类的 这类我觉得普通用户不要去纠结太多

总结下来就是 你用 bitlocker 正常加密解密挂载 不管是 tpm 还是密钥还是用数字密码 不管是从图形界面 还是 manage-bde 还是 powershell 相关命令 这些都是在[正常] 使用的范畴内 只要你是正常使用 那用基于文件的备份软件就不存在任何问题 跟你是不是在 winpe 下或者挂在另一个电脑上也没有关系

[docx]

@424778940 好的，非常感谢您码这么多字指导，帮助很大，我打算正常解密之后再用 ghost 操作，应该可行，改天实操