雅寶社區 · 頂客論壇 (AHPAL.COM)

💻 3C 科技教學

Windows 的「BitLocker」怎麼用：TPM 與密碼的實際差異

發表時間：2026 年 11 月 10 日 | 更新日期：2026 年 11 月 10 日 | 編輯：雅寶社區編輯團隊

裝置加密

常見復原金鑰備份位置

Windows 家用版

通常不提供完整管理介面

符合條件時可使用

Microsoft 帳戶

Windows 專業版

Microsoft 帳戶、AD、檔案、USB、列印

Windows 企業版／教育版

有，且支援更多集中管理

AD、Entra ID、Intune、MBAM 等

另外，BitLocker 不只可以加密系統磁碟機，也可以加密固定式資料磁碟機；若是 USB 隨身碟或外接硬碟，則可使用 BitLocker To Go。系統磁碟機的加密通常會牽涉開機驗證，也就是本文重點的 TPM、PIN 與密碼；資料磁碟機則可以設定自動解鎖、密碼或智慧卡等方式。不同磁碟機類型的可用選項不完全相同，設定時要看精靈提供的選項。

還有一個實務重點：BitLocker 的加密模式分為「新加密模式」與「相容模式」。新加密模式採用 XTS-AES，適合固定式磁碟機；相容模式則用於需要與舊版 Windows 讀取的可移除式磁碟機。對一般使用者來說，系統磁碟機選新加密模式即可；如果是 BitLocker To Go 隨身碟，才需要考慮相容性。加密範圍則有「僅加密已使用空間」與「加密整個磁碟機」兩種，前者較快，但如果磁碟以前曾存放敏感資料，完整加密會比較安心。

二、TPM 是什麼？為什麼 BitLocker 常搭配 TPM

TPM 全名是 Trusted Platform Module，中文常翻成「信賴平台模組」。它是一個安全晶片，也可能是主機板韌體模擬出來的 fTPM 或 PTT。TPM 的主要工作有兩個：第一，安全地保存金鑰與敏感資料；第二，在開機過程中度量與記錄系統元件的狀態。對 BitLocker 來說，TPM 就像一把「綁在機器上的鑰匙」：金鑰可以密封在 TPM 中，只有在開機環境符合預期時才放行。

當你選擇「TPM 自動解鎖」時，BitLocker 會把解鎖金鑰交給 TPM 保管，並設定一組平台設定暫存器條件，也就是所謂的 PCR。開機時，UEFI、Secure Boot、開機管理程式等元件會被度量；如果度量結果與當初封存時一致，TPM 就會釋放金鑰，BitLocker 便自動解鎖。整個過程通常不需要使用者輸入任何東西，所以使用體驗非常接近「沒有 BitLocker」，但硬碟實際上已經被加密。

這也解釋了為什麼更新 BIOS、變更 Secure Boot 設定、調整開機順序、清除 TPM 或更換主機板後，電腦有時會突然跳出 BitLocker 復原畫面。不是 BitLocker 壞了，而是 TPM 發現開機環境與原本記錄的不一樣，基於安全理由拒絕自動解鎖，要求你輸入 48 位數的復原金鑰。這是 TPM 的保護機制，也是為什麼「備份復原金鑰」比什麼都重要。

TPM 的角色：硬體信任根與開機測量

TPM 的價值在於它提供了一個硬體層級的信任根。金鑰不需要以明文形式長時間放在磁碟上，攻擊者即使拿到硬碟，也不能直接把 TPM 裡的金鑰複製走。TPM 也會限制金鑰的使用條件，例如必須符合特定 PCR 值、必須在同一平台、必須通過某種驗證。這種「金鑰不離開安全邊界」的設計，讓 BitLocker 的 TPM 模式比單純把金鑰放在磁碟上更難攻擊。

不過，TPM 不是萬靈丹。TPM 保護的是金鑰與開機測量，不保護「已經解鎖後的系統」。如果攻擊者能讓系統正常開機並解鎖，TPM 就不會再擋在中間。因此，TPM 模式通常會搭配 Windows 帳戶密碼、Windows Hello、Secure Boot 與其他端點防護一起使用。TPM 單獨使用時，安全性仍然不錯，但威脅模型要理解清楚：它主要防的是「硬碟被拆走」與「開機鏈被竄改」，不是防「整台機器被拿走後直接開機」。

TPM 自動解鎖的便利與風險

TPM 自動解鎖最大的優點就是方便。對一般筆電使用者來說，開機不用多輸入一組密碼，也不怕忘記 BitLocker 密碼；系統更新、日常開關機都不受影響。對企業大量部署來說，TPM 也能降低使用者操作負擔，並透過復原金鑰集中管理來處理例外狀況。

但便利的另一面就是風險。假設筆電整台被偷，TPM 會因為硬體環境沒變而自動解鎖，系統會一路開到 Windows 登入畫面。此時 BitLocker 已經解除，剩下的防線只有 Windows 帳戶密碼與其他登入機制。如果 Windows 帳戶沒有密碼、密碼太弱，或攻擊者利用其他方式繞過登入，資料就有外洩風險。因此，使用 TPM 自動解鎖時，Windows 帳戶一定要有強密碼，最好搭配 Windows Hello，並開啟螢幕鎖定與自動登出。

還有一個實務風險是 TPM 故障或平台變更。TPM 本身損壞、主機板更換、韌體更新失敗，都可能導致自動解鎖失效。這時候唯一的出路就是復原金鑰。如果沒有備份，資料就真的救不回來。所以 TPM 模式並不是「設定完就沒事」，而是「設定完更要確認復原金鑰有備份」。

三、BitLocker 的解鎖方式總整理：TPM、PIN、密碼、USB 金鑰

BitLocker 的系統磁碟機可以設定多種保護器，常見的分別是 TPM、TPM+PIN、密碼、USB 啟動金鑰，以及復原金鑰。這些保護器可以並存，例如同時有 TPM+PIN 與復原金鑰；也可以日後新增或移除。以下先用地表方式整理，再逐一說明實際差異。

解鎖方式

需要條件

使用體驗

主要優點

主要限制

TPM 單獨解鎖

TPM 正常、開機環境未變

幾乎無感，開機直接到 Windows

方便、防硬碟拆走、可偵測開機鏈變更

整機被偷時會自動解鎖到登入畫面

TPM+PIN

TPM 與使用者設定的 PIN

開機需輸入 PIN

多一層知識因素，兼顧硬體綁定

PIN 可能忘記或被肩窺，需注意鎖定機制

BitLocker 密碼

使用者設定的開機密碼

開機需輸入密碼

不依賴 TPM，密碼可較長較複雜

輸入較麻煩，可能被側錄或肩窺

USB 啟動金鑰

一支專用 USB 隨身碟

開機需插入 USB

適合高敏感環境，金鑰可實體保管

USB 遺失或損壞就麻煩，攜帶不便

復原金鑰

48 位數復原金鑰

僅在復原畫面使用

最後救援手段，任何保護器失效時可用

不是日常解鎖方式，外洩會危及安全

TPM 單獨解鎖：最無感，但要補強 Windows 登入

TPM 單獨解鎖是最常見的預設選項，尤其是品牌筆電與企業環境。使用者開機時不會看到 BitLocker 畫面，系統直接進入 Windows 登入畫面。這種模式很適合「怕使用者嫌麻煩」的情境，也能確保硬碟被拆下後無法讀取。不過，如前所述，整機被偷時 TPM 會自動放行，因此 Windows 帳戶安全必須補強。建議至少設定強密碼、開啟 Windows Hello、設定螢幕逾時鎖定，並且不要在電腦旁邊留下寫有密碼的紙條。

TPM+PIN：便利與安全之間的折衷

TPM+PIN 模式要求開機時先輸入一組 PIN，TPM 才會釋放金鑰。這裡的 PIN 不是 Windows Hello PIN，也不是提款卡密碼，而是 BitLocker 專用的開機前驗證碼。預設通常是 6 位數字，也可以啟用「增強式 PIN」，允許英文字母與符號，長度也較有彈性。PIN 的優點是比長密碼好輸入，且搭配 TPM 後，連續輸入錯誤通常會觸發 TPM 的反覆嘗試保護，讓暴力破解更困難。

TPM+PIN 很適合筆電、桌機與需要隨身攜帶的裝置。它保留 TPM 的硬體綁定與開機測量，又多了一層「你必須知道 PIN」的驗證。對金融、醫療、法務或攜帶高敏感資料的人來說，這通常是比 TPM 單獨解鎖更平衡的選擇。缺點是每次開機或從休眠喚醒時可能需要輸入，且 PIN 太短仍有被肩窺的風險；建議不要使用 123456、生日或車牌號碼這類容易猜到的組合。

密碼解鎖：不依賴 TPM 的知識因素

BitLocker 密碼是另一種開機前驗證方式，適合沒有 TPM、TPM 不穩定，或希望把解鎖條件放在「知識」而不是「硬體」的情境。密碼可以包含英文字母、數字與符號，長度通常比 PIN 更有彈性，因此可以設定較強的密語。對於經常更換主機板、測試平台或舊電腦來說，密碼模式不必綁定 TPM，移轉時比較不會動不動就跳復原畫面。

但密碼模式的缺點也很明顯：每次開機都要輸入一長串密碼，使用體驗不如 TPM 無感；如果密碼寫在便條紙上貼在螢幕旁，安全性反而下降；在公共場合輸入時，也可能被旁人看到。更重要的是，密碼模式若沒有搭配 TPM 的開機測量，對「開機链被竄改」的偵測能力較弱。因此，密碼模式不是「比 TPM 更安全」的同義詞，而是另一種取捨：你用便利性換取不依賴硬體的知識驗證。

另外要提醒，某些 Windows 版本或群組原則設定可能會隱藏密碼選項，或限制可用的啟動驗證方式。如果你在 BitLocker 精靈中看不到「輸入密碼」選項，不代表功能不存在，而是可能被系統原則或版本限制住了。這種情況需要由系統管理員確認原則，或改用 PowerShell、manage-bde 等工具新增保護器；家用版則通常不提供完整 BitLocker 管理，較不適合這種進階設定。

USB 啟動金鑰與復原金鑰：特殊用途，不是日常首選

USB 啟動金鑰是把解鎖金鑰存放在一支 USB 隨身碟中，開機時必須插入該隨身碟才能解鎖。這種方式適合高敏感環境，因為金鑰是實體分離的， attacker 即使知道密碼或偷走電腦，沒有 USB 也無法開機。不過，USB 遺失、損壞、忘記攜帶都會造成麻煩，而且 USB 本身也可能被複製。對多數個人使用者來說，USB 啟動金鑰的便利性太低，通常只在特定企業或實驗室情境使用。

復原金鑰則是「最後手段」，不是日常解鎖方式。它是一組 48 位數字，通常分成 8 組、每組 6 位。當 TPM 自動解鎖失敗、PIN 忘記、密碼輸入錯誤太多次、主機板更換或韌體更新導致復原畫面時，就需要輸入復原金鑰。復原金鑰的保存方式比解鎖方式更重要，因為它是你失去主要驗證條件後唯一的救援路徑。

四、TPM 與密碼的實際差異：從威脅模型看

談安全性不能只說「哪個比較安全」，而要問「防的是什麼」。TPM 與密碼的差異，必須放在具體威脅模型下比較，才會有意義。以下用幾個常見情境說明。

情境一：硬碟被拆走或送修

如果攻擊者只拿到硬碟，沒有拿到整台電腦，TPM 模式的優勢非常明顯。硬碟接到另一台電腦後，因為 TPM 不同、PCR 值不同，BitLocker 不會自動解鎖，會要求復原金鑰。攻擊者沒有復原金鑰，就無法讀取資料。密碼模式則取決於密碼強度：如果密碼夠長夠複雜，攻擊者也很難猜到；但如果密碼很短或使用常見字詞，就可能被離線暴力破解工具嘗試。換句話說，TPM 把難題變成「硬體不同」，密碼則把難題變成「密碼夠不夠強」。

這也是為什麼企業喜歡 TPM：它不需要使用者記一組額外的開機密碼，就能有效防範硬碟被拆走。對個人使用者來說，如果你經常送修電腦或硬碟，TPM 模式會讓你更安心。但前提是復原金鑰要備份好，否則送修回來換了主機板，連你自己都進不去。

情境二：整台電腦被偷

整台筆電被偷時，TPM 單獨解鎖的風險最高。因為硬體環境沒變，TPM 會正常釋放金鑰，系統直接開到 Windows 登入畫面。攻擊者雖然還需要突破 Windows 登入，但至少已經跨過 BitLocker 這道牆。如果 Windows 帳戶沒有密碼、使用簡單密碼，或系統有其他登入漏洞，資料就可能被取得。

TPM+PIN 或密碼模式在這種情境下多了一層保護。攻擊者必須先知道 PIN 或密碼，才能讓 BitLocker 解鎖；沒有正確驗證，連 Windows 登入畫面都看不到。當然，這不是絕對安全：如果攻擊者使用側錄、肩窺、暴力猜測或硬體攻擊，仍有機會突破。但整體來說，整機被偷時，多一層開機前驗證會比完全依賴 TPM 自動解鎖更安心。

情境三：短暫接觸與 Evil Maid 攻擊

所謂 Evil Maid 攻擊，是指攻擊者短暫接觸你的電腦，竄改開機程式或植入攔截工具，等你下次開機時竊取密碼。TPM 的開機測量機制可以偵測開機鏈是否被改變；如果 bootloader、Secure Boot 或相關元件被動手腳，PCR 值會不同，TPM 就不會自動解鎖，而是要求復原金鑰。這是 TPM 很重要但常被忽略的價值。

密碼模式若沒有 TPM 測量，對這類攻擊的偵測能力較弱。攻擊者可能修改開機環境，讓你輸入 BitLocker 密碼時被攔截。當然，如果系統有 Secure Boot、UEFI 密碼與其他防護，風險會降低；但單就 BitLocker 的機制來看，TPM 的測量功能確實提供了額外的開機完整性檢查。這也是為什麼「TPM+PIN」常被視為比「純密碼」更完整的選擇：它同時有硬體測量與知識因素。

情境四：使用體驗與管理成本

TPM 單獨解鎖幾乎不影響日常使用，適合大多數不想被打擾的使用者。TPM+PIN 每次開機要多按幾下，但仍在可接受範圍。密碼模式則需要輸入較長的密碼，對經常開關機、攜帶外出的人來說比較麻煩。USB 啟動金鑰最不方便，通常只在特殊情境使用。

管理成本方面，TPM 模式需要處理 TPM 故障、韌體更新與主機板更換造成的復原問題；密碼模式則需要處理「忘記密碼」與「密碼外洩」的風險。企業環境通常會把復原金鑰集中備份到 AD、Entra ID 或 Intune，並制定標準流程；個人使用者則至少要把復原金鑰放在兩處安全的地方，例如密碼管理器與離線紙本。無論選哪一種，沒有備份復原金鑰，就等於把資料安全建立在「不會出事」的假設上。

所以 TPM 與密碼哪個比較安全？

如果問題是「防硬碟被拆走」，TPM 通常更方便且可靠；如果問題是「防整台電腦被偷後直接開機」，TPM+PIN 或密碼會比 TPM 單獨解鎖多一層保障；如果問題是「防開機鏈被竄改」，TPM 的測量功能有明顯價值。也就是說，沒有單一答案，只有適不適合你的威脅模型。

對大多數個人筆電使用者，我會建議：優先使用 TPM+PIN，若覺得每次輸入太麻煩，至少使用 TPM 單獨解鎖，但務必確認 Windows 帳戶有強密碼與螢幕鎖定。對高敏感資料，使用 TPM+PIN，必要時再加上 USB 啟動金鑰。對沒有 TPM 的舊電腦，使用 BitLocker 密碼搭配 USB 啟動金鑰。對企業，則依組織政策使用 TPM+PIN 或 TPM，並把復原金鑰集中管理。

五、如何啟用 BitLocker：TPM 與密碼兩種路徑的實際操作

以下以 Windows 專業版為例，說明一般系統磁碟機的啟用流程。實際畫面會因 Windows 版本、品牌與裝置條件略有不同，但大方向相同。開始前請先確認你擁有系統管理員權限，並且電腦已插電；筆電請勿在加密過程中斷電或強制關機。

事前檢查：TPM、Secure Boot、復原金鑰

第一步，先確認 TPM 狀態。按 Win+R，輸入 tpm.msc，查看「TPM 已就緒，可以使用」以及規格版本。Windows 11 通常要求 TPM 2.0；如果顯示 TPM 不存在或已停用，可能需要進 BIOS/UEFI 開啟 fTPM、PTT 或 Discrete TPM。第二步，確認 Secure Boot 已開啟。你可以在「系統資訊」中查看安全開機狀態，或進 UEFI 設定確認。第三步，先想好復原金鑰要備份到哪裡：Microsoft 帳戶、另一台電腦的檔案、USB、密碼管理器或列印出來。建議至少備份兩份，且不要只放在同一台要加密的電腦上。

另外，若是公司電腦，請先確認 IT 政策是否允許你自己啟用 BitLocker。有些組織會透過群組原則或 Intune 自動加密，並要求復原金鑰備份到指定位置；自行操作可能會與政策衝突。若是個人電腦，則建議先備份重要資料，雖然 BitLocker 正常運作不會刪除資料，但任何磁碟加密操作都應該有備份習慣。

方法一：使用 TPM 自動解鎖（含 TPM+PIN）

從控制台進入「系統及安全性」→「BitLocker 磁碟機加密」，找到系統磁碟機，點選「開啟 BitLocker」。精靈會先檢查裝置條件，然後詢問你要如何解鎖磁碟機。若你的裝置有 TPM，通常會看到「使用 TPM 自動解鎖」或類似選項；若你想加上 PIN，則選擇「使用 TPM 與 PIN」或進入「其他選項」設定。接著，系統會要求你備份復原金鑰，你可以選擇儲存到 Microsoft 帳戶、存成檔案、印出或存到 USB。強烈建議至少選兩種方式，且確認備份成功後再繼續。

下一步是選擇加密範圍。若是新電腦或磁碟機從未存放敏感資料，可選「僅加密已使用空間」以節省時間；若磁碟曾使用一段時間，或你希望完整保護，則選「加密整個磁碟機」。再來選擇加密模式，系統磁碟機通常選「新加密模式」即可。確認無誤後按下「開始加密」，系統會進行前置檢查，可能需要重新啟動。重開機後，若你選擇 TPM 自動解鎖，應該不會看到 BitLocker 畫面；若選擇 TPM+PIN，則會出現輸入 PIN 的畫面。加密完成後，控制台會顯示「已開啟」，你也可以用 manage-bde -status C: 檢查保護器狀態。

如果你日後想新增或移除 PIN，可以透過控制台或命令列操作。以系統管理員身分開啟命令提示字元，使用 manage-bde -protectors -add C: -tpmandpin 可新增 TPM+PIN 保護器，系統會提示你輸入 PIN；使用 manage-bde -protectors -get C: 可以查看目前有哪些保護器。實際參數與可用選項會因 Windows 版本而異，操作前建議先備份復原金鑰，並避免在生產環境直接照抄指令。

方法二：使用密碼解鎖

若你選擇密碼解鎖，流程與 TPM 類似，差別在於「選擇如何解鎖磁碟機」時要選「輸入密碼」。有些系統會把密碼選項放在「其他選項」中；如果你完全看不到，可能是版本或群組原則限制。設定密碼時，請使用至少 8 個字元以上的強密語，最好包含大小寫字母、數字與符號，並避免使用生日、電話、公司名稱或常見單字。BitLocker 密碼是開機前密碼，不是 Windows 登入密碼，請不要設定成同一組，以免一處外洩就全部失守。

設定完成後，同樣要備份復原金鑰，選擇加密範圍與模式，然後開始加密。重開機時，系統會先出現 BitLocker 密碼輸入畫面，輸入正確密碼後才會進入 Windows。若你經常需要遠端重開機，密碼模式可能會造成困擾，因為遠端主機無法在你面前輸入密碼；這種情況通常會改用 TPM 自動解鎖，或搭配遠端管理方案。對桌機與經常固定在辦公室使用的電腦來說，密碼模式的影響較小；對經常攜帶外出的筆電來說，TPM+PIN 通常更實用。

如果你沒有 TPM，BitLocker 可能會要求使用密碼或 USB 啟動金鑰。此時密碼模式就是主要選項。請注意，沒有 TPM 的系統無法使用 TPM 自動解鎖，也比較難偵測開機鏈變更；因此更要確保 Secure Boot、UEFI 密碼與實體安全。若主機板太舊、不支援 TPM 2.0，且你不需要完整 BitLocker，也可以考慮改用其他加密工具，但這超出本文範圍。

六、復原金鑰：比解鎖方式更重要的事

很多人花時間研究 TPM 與密碼，卻忽略真正會讓他「資料救不回來」的其實是復原金鑰。BitLocker 的設計是：當主要驗證方式失效時，復原金鑰是最後一道門。這道門如果沒有備份，你就只能格式化重灌。以下幾個觀念一定要建立。

復原金鑰去哪裡找？

如果你在啟用 BitLocker 時選擇備份到 Microsoft 帳戶，可以到 https://aka.ms/myrecoverykey 登入查詢。請注意，要使用當初備份金鑰的那個 Microsoft 帳戶；如果你有多個帳戶，可能要多試幾個。若電腦加入公司網域，復原金鑰可能備份在 Active Directory；若使用 Entra ID 或 Intune，則可能在相關管理入口。若是你自己存成檔案，請回想當時存在哪個資料夾、哪支 USB 或哪個密碼管理器。若你是印出來，請找找看有沒有放在安全的地方。

建議平時就做一次「復原金鑰演練」：確認自己知道去哪裡找金鑰、能實際登入查看、且備份沒有損壞。不要等到電腦跳出復原畫面才第一次找金鑰，那時候壓力會很大。企業環境則應該把復原金鑰查詢流程寫成文件，讓使用者知道遇到復原畫面時該聯絡誰。

什麼情況會跳出復原畫面？

常見觸發情境包括：BIOS/UEFI 韌體更新、Secure Boot 設定變更、開機順序改變、TPM 被清除、主機板更換、硬碟移到另一台電腦、TPM 自我測試失敗、系統開機檔案變更等。這些情況不一定代表遭駭，很多只是正常的硬體或韌體異動。但 BitLocker 無法分辨「管理員更新 BIOS」與「攻擊者竄改開機鏈」，所以一律要求復原金鑰。這也是為什麼在進行韌體更新或硬體改裝前，最好先「暫停 BitLocker 保護」，更新完成後再恢復保護。

暫停 BitLocker 保護的意思是暫時不要求開機驗證，但資料仍然保持加密。暫停期間如果電腦遺失，保護力會下降，因此只適合短期維護。做法可以在控制台選擇「暫停保護」，或用 manage-bde -protectors -disable C:；完成後記得恢復保護。若你不確定操作，至少先確認復原金鑰已備份，再進行韌體更新。

備份策略與企業管理

個人使用者的備份策略可以很簡單：復原金鑰至少放在兩個地方，一個是密碼管理器或加密檔案，另一個是離線紙本或另一台安全裝置。不要把復原金鑰存在要加密的同一顆硬碟裡，也不要把金鑰貼在電腦上。若你與家人共用電腦，請讓至少一位可信任的家人知道金鑰放在哪裡，但不要隨便公開。企業則應使用 AD、Entra ID、Intune 或 MBAM 集中備份，並限制可查詢金鑰的人員權限，避免內部濫用。

還有一個常見錯誤：把復原金鑰存在手機相簿裡，但手機沒有鎖屏密碼，或雲端相簿同步給其他人。復原金鑰等同於你硬碟的萬能鑰匙，外洩就失去 BitLocker 的意義。請用密碼管理器、加密壓縮檔或實體保險箱保存，並定期確認還找得到。

七、常見問題與故障排除

找不到 TPM 或 TPM 已停用怎麼辦？

先進 BIOS/UEFI 檢查是否有 fTPM、PTT、AMD PSP、Discrete TPM 等選項，並確認已啟用。有些品牌筆電會在 BIOS 更新後重設 TPM 設定，導致 BitLocker 進入復原模式；這時需要輸入復原金鑰，再重新設定 TPM。若 tpm.msc 顯示 TPM 已停用，可能是 Windows 中的 TPM 服務被關閉，或硬體本身有問題。若是公司電腦，請先聯絡 IT，不要自行清除 TPM，因為清除 TPM 會讓原本的 BitLocker 保護器失效，必須使用復原金鑰解鎖。

家用版沒有 BitLocker 選項？

Windows 家用版通常不提供完整 BitLocker 管理介面，而是提供「裝置加密」。你可以在「設定」→「隱私權與安全性」→「裝置加密」查看是否已啟用。裝置加密需要符合硬體與帳戶條件，不是每台家用版電腦都能手動開啟。如果你需要 TPM+PIN、密碼、USB 啟動金鑰等進階選項，通常需要升級到專業版以上。升級前請先確認硬體支援與授權方式，並備份重要資料。

忘記 PIN 或密碼怎麼辦？

如果還記得復原金鑰，可以在 BitLocker 復原畫面輸入 48 位數金鑰，進入系統後再移除舊保護器、重新設定 PIN 或密碼。如果連復原金鑰也沒有，就無法解密，只能格式化或重灌。這就是為什麼本文一直強調復原金鑰備份。若 PIN 輸入錯誤太多次導致 TPM 鎖定，通常需要等待一段時間或重開機，實際行為依 TPM 與韌體而定；不要連續亂猜，以免延長鎖定時間。

更換硬碟或主機板前要做什麼？

更換主機板前，請先確認復原金鑰已備份，並考慮暫時暫停 BitLocker 保護。更換完成後，TPM 與 PCR 值可能改變，系統會要求復原金鑰；解鎖後再重新啟用保護。若只是更換硬碟，原本的系統磁碟機移到新硬碟位置通常不影響 TPM，但若你更換的是主機板或整台電腦，TPM 綁定就會失效。企業環境應依照資產異動流程處理，避免使用者自行拆裝導致資料無法回復。

BitLocker 會影響效能嗎？

現代 CPU 通常支援 AES 硬體加速，BitLocker 對日常效能的影響多半不明顯，尤其是 SSD。加密與解密期間可能會有較高磁碟使用率，但完成後通常恢復正常。若你使用較舊的 CPU 或慢速硬碟，可能會感覺到一些差異。真正需要注意的是加密過程不要斷電，以及加密完成後確認系統運作正常。若效能異常，可以先檢查磁碟健康度、驅動程式與 Windows 更新，而不是直接關閉 BitLocker。

八、結論與建議：我該選 TPM 還是密碼？

回到最初的問題：Windows 的 BitLocker 怎麼用？TPM 與密碼的實際差異是什麼？簡單總結：TPM 是硬體信任根，能讓 BitLocker 自動解鎖，並偵測開機環境是否被改變；密碼則是知識因素，不依賴 TPM，但需要使用者每次輸入。TPM 單獨解鎖最方便，適合多數日常筆電，但整機被偷時會直接開到 Windows 登入畫面，因此必須補強 Windows 帳戶安全。TPM+PIN 是便利與安全的折衷，適合攜帶高敏感資料的人。密碼模式適合沒有 TPM 的舊電腦，或希望把解鎖條件放在知識而非硬體的情境。USB 啟動金鑰適合特殊高敏感環境，復原金鑰則永遠是最後救援手段。

如果你是一般個人使用者，我會建議優先考慮「TPM+PIN」；如果覺得每次輸入太麻煩，至少使用「TPM 自動解鎖」，但一定要設定強 Windows 密碼、開啟 Windows Hello、設定螢幕自動鎖定，並把復原金鑰備份到兩個安全位置。如果你使用的是沒有 TPM 的舊電腦，則使用 BitLocker 密碼搭配 USB 啟動金鑰，並確認 Secure Boot 與 UEFI 密碼已設定。企業環境應依組織政策選擇 TPM 或 TPM+PIN，並將復原金鑰集中備份到 AD、Entra ID 或 Intune，定期演練復原流程。

🏠 返回首頁