@wenhaoy 随便，目的是，如果别人把 bios 设置动了后，比如关了 vtd ，关了 iommu ，开了 opron……，要让 pcr 签名失效。（但不确定各家 bios 哪些地方做了 pcr 签名。但设了密码，那拆电池，一定失效。）

@HelloAmadeus 微软有文档介绍 Bitlocker 的正确使用方法。锁再结实，为了方便把钥匙放门框上，也没用呀。

对了，Windows 还有个内存保护开关，就是很多人吐槽开启了会影响 vmware 使用的那个。但是那个也一定要打开。 [tpm2.0] [bios 密码] [secureboot] [bios 里 vt-d 与 iommu] [Windows 里内存保护] 同时开启，才能保证安全性。

tpm 加密的安全性是有条件的。bios 必须设置密码，secureboot 必须打开，iommu 必须打开。如果 biso 设置有变更（比如清除密码），或者 pcie 硬件有变更（比如 pcie 设备的 oprom 可以藏代码），或者启动引导有变更（比如 patch 过的 Windowsloader ），tpm 的 pcr 签名都会改变，就不自动解密了。 比如我电脑加增加或者移除一个 u.2 的 ssd ，开机就要重新输入超长解密密钥，最后解决方法是，拔掉，开机后再动态插上去。

chrome 系都这样。换 firefox