香港用戶必學：BitLocker與VeraCrypt全碟加密實戰指南，保護硬碟資料免洩露

針對香港用戶，深入比較Windows BitLocker與開源VeraCrypt的全碟加密功能，提供從安裝設定、密鑰管理到應對執法機構要求的實用教學，確保筆電或外置硬碟遺失時資料仍安全。

香港用戶必學：BitLocker與VeraCrypt全碟加密實戰指南，保護硬碟資料免洩露

在數碼時代，個人與商業資料的安全至關重要。香港作為國際金融中心，用戶經常處理敏感資訊，例如銀行記錄、商業合約或個人身份文件。一旦筆記型電腦或外置硬碟遺失或被盜，未加密的資料極易落入不法之徒手中，導致金錢損失或私隱外洩。全碟加密（Full-Disk Encryption, FDE）是防範此類風險的關鍵技術，能將整個儲存裝置的資料轉化為密文，沒有正確密鑰便無法讀取。本文將深入比較兩大主流工具——微軟內建的BitLocker與開源軟件VeraCrypt，並提供適合香港用戶的實戰指南，涵蓋安裝設定、密鑰管理、效能影響，以及應對執法機構要求的策略，助你在日益複雜的網絡環境中保護資料安全。


為什麼香港用戶需要全碟加密？

香港的網絡安全威脅日益嚴峻。根據香港電腦保安事故協調中心（HKCERT）2024年報告，涉及資料外洩的保安事故較去年上升18%，其中不少源於裝置遺失或未經授權存取。此外，香港的《個人資料（私隱）條例》要求資料使用者採取切實可行的步驟保障個人資料安全，違者可能面臨罰款及聲譽損失。對於經常往返內地或海外公幹的用戶，邊境檢查時裝置可能被要求解鎖或扣押，全碟加密能提供一層額外保護，防止敏感資料被任意瀏覽。

全碟加密不僅適用於企業，個人用戶也應養成習慣。例如，外置硬碟常儲存備份或私人相片，若遺失在公共交通工具上，後果可大可小。BitLocker與VeraCrypt均能有效應對這些情境，但兩者在功能、兼容性及安全哲學上各有千秋，下文將詳細比較。

BitLocker與VeraCrypt功能對比

BitLocker是微軟Windows專業版及企業版內建的全碟加密功能，自Windows Vista起引入，並在Windows 11中持續強化。它與TPM（信賴平台模組）晶片緊密整合，可實現無感解鎖，並支援PIN碼或USB啟動金鑰增強安全。VeraCrypt則是基於已停止開發的TrueCrypt分支，為開源跨平台軟件，支援Windows、macOS及Linux，提供隱藏加密區（Hidden Volume）等進階功能，並通過獨立審計驗證其加密強度。

下表整理兩者的關鍵差異：

安全性哲學差異

BitLocker的信任模型依賴微軟及TPM硬體安全，若TPM被破解或微軟被強制提供金鑰，資料可能曝光。2023年有安全研究人員展示利用TPM漏洞繞過BitLocker的攻擊手法，雖然微軟已修補，但凸顯封閉系統的風險。VeraCrypt則採取「無信任」設計，所有加密機制由使用者完全控制，開源特性讓全球專家持續審查程式碼，降低後門疑慮。對香港用戶而言，若擔心政府或第三方強制存取，VeraCrypt的隱藏加密區功能更具優勢。

BitLocker實戰設定與管理

系統碟加密步驟（Windows 11專業版）

1. 檢查TPM狀態：按下Win + R，輸入tpm.msc，確認TPM版本為2.0且已啟用。若電腦無TPM，可透過群組原則允許USB啟動金鑰。
2. 開啟BitLocker：前往「控制台」>「系統及安全性」>「BitLocker磁碟機加密」，點選「開啟BitLocker」。
3. 選擇解鎖方式：建議使用「PIN碼」或「USB快閃磁碟機」搭配TPM，避免單靠TPM自動解鎖的風險。
4. 備份恢復金鑰：務必將48位數恢復金鑰儲存至安全位置，例如列印紙本、存於另一個加密USB，或上傳至Microsoft帳戶（後者需權衡便利性與隱私）。
5. 選擇加密模式：新裝置選「新加密模式（XTS-AES）」，舊裝置相容性選「相容模式（AES-CBC）」。
6. 開始加密：系統將在背景加密，期間可正常使用電腦。加密時間視磁碟大小而定，SSD通常較快。

外置硬碟加密（BitLocker To Go）

插入USB或外置硬碟，右鍵點選磁碟機代號，選擇「開啟BitLocker」。設定密碼解鎖，並備份恢復金鑰。加密後，在Windows電腦插入時會提示輸入密碼；若在macOS或Linux需使用第三方軟件（如M3 BitLocker Loader）唯讀存取。

管理與疑難排解

• 暫停保護：進行BIOS更新或系統變更前，可暫停BitLocker，事後自動恢復。
• 恢復金鑰遺失：若未備份且無法存取Microsoft帳戶，資料將永久無法解鎖，凸顯備份重要性。
• 強制解密：在命令提示字元使用manage-bde -off C:可關閉加密。

VeraCrypt實戰設定與管理

系統碟加密步驟（Windows）

1. 下載安裝：從VeraCrypt官網下載安裝程式，驗證數位簽章。
2. 建立加密區：啟動VeraCrypt，點選「建立加密區」>「加密系統分割區或整個系統磁碟機」>「一般」。
3. 選擇加密演算法：預設AES夠快且安全，亦可選Serpent(Twofish(AES))等多重加密，但效能略降。
4. 設定密碼：使用高強度密碼（建議20字元以上，混合大小寫、數字及符號）。
5. 產生隨機資料：移動滑鼠隨機化加密金鑰，增加破解難度。
6. 建立救援光碟：務必燒錄或掛載ISO檔，用於開機疑難排解。
7. 預測試：重新開機後輸入密碼，確認能成功解鎖。通過測試後正式加密。

建立隱藏加密區（Hidden Volume）

隱藏加密區是VeraCrypt的獨特功能，可在外層加密區內再建立一個隱形磁區，即使被迫交出密碼，也無法證明隱藏區存在。

1. 先建立外層加密區（檔案型或分割區），設定一組「誘餌密碼」。
2. 在外層加密區內選擇「建立隱藏加密區」，設定另一組高強度密碼。
3. 使用隱藏密碼掛載時，會進入隱藏區；使用外層密碼則看到誘餌資料。

此功能特別適合高風險用戶，但需謹慎管理，避免意外覆蓋隱藏區資料。

外置硬碟加密與可攜式模式

VeraCrypt可將加密區建立在USB或外置硬碟的檔案容器或整個分割區。若需在無安裝VeraCrypt的電腦讀取，可使用「可攜式磁碟設定」建立一個唯讀的VeraCrypt執行檔於USB中，插入後執行即可掛載加密區。

密鑰管理與備份策略

無論使用BitLocker或VeraCrypt，密鑰管理是成敗關鍵。以下建議適用於香港用戶：

• 分散備份：恢復金鑰或救援光碟應儲存在多個安全地點，例如家中保險箱、可信賴的家庭成員處，或加密雲端儲存（但需注意雲端服務商所在地的司法管轄權）。
• 避免單一依賴：BitLocker用戶若將恢復金鑰僅存於Microsoft帳戶，一旦帳戶被盜或微軟因法律要求交出，資料即曝險。建議同時列印紙本。
• 密碼強度：使用密碼管理器產生並儲存高強度密碼，切勿重複使用其他服務的密碼。
• 定期測試：每半年嘗試用恢復金鑰或救援光碟解鎖一次，確保備份有效。
• 硬體變更：更換主機板或TPM晶片前，務必先暫停BitLocker或解密，否則可能無法開機。

應對執法機構要求的策略

香港及部分國家執法機構有權要求嫌疑人解鎖裝置或提供密碼。根據香港法律，如《截取通訊及監察條例》或《警隊條例》，在特定情況下可強制要求解密。用戶應了解自身權利與風險：

• BitLocker的風險：若恢復金鑰上傳至Microsoft帳戶，微軟可能收到法院命令而交出金鑰。2023年微軟透明度報告顯示，全球執法機構對用戶資料的請求持續增加。
• VeraCrypt的優勢：隱藏加密區提供「合理推諉」（Plausible Deniability），即使被迫解鎖外層加密區，也無法證明隱藏區存在。開源特性確保無後門，開發者無法配合解密。
• 法律諮詢：若你從事業務涉及敏感資料，建議諮詢法律專業人士，了解在香港及常往返地區的強制解密法律。
• 旅行建議：跨境時，可考慮將敏感資料存於雲端並在過關前刪除本機副本，或使用隱藏加密區存放非必要敏感資料。

請注意，本節僅提供技術層面討論，不構成法律建議。

效能影響與實際測試

全碟加密對系統效能的影響已大幅降低，尤其在支援AES-NI指令集的現代處理器上。我們在搭載Intel Core i5-1135G7、16GB RAM及NVMe SSD的筆電上測試，結果如下：

結果顯示，BitLocker與VeraCrypt的AES單一加密對日常使用影響極微，多重加密則因額外運算需求而略降效能，但對大多數文書、上網工作仍可接受。外置硬碟（HDD）因本身速度瓶頸，加密後差異更小。

選擇建議：BitLocker還是VeraCrypt？

適合BitLocker的用戶

• 使用Windows專業版或企業版，且信賴微軟安全機制。
• 需要與企業IT政策整合，如Active Directory集中管理。
• 追求簡單設定，不想額外安裝軟件。
• 對TPM硬體安全有信心，且不擔心政府強制解密（或認為風險低）。

適合VeraCrypt的用戶

• 需要跨平台支援（Windows、macOS、Linux）。
• 重視開源透明度與獨立安全審計。
• 需要隱藏加密區功能，應對高風險環境。
• 不想依賴任何廠商，完全掌控加密金鑰。
• 使用Windows家用版，無法使用BitLocker。

兩者並非互斥，亦可混合使用：系統碟用BitLocker，外置儲存或極敏感資料用VeraCrypt隱藏區。

常見問題

全碟加密會大幅拖慢電腦速度嗎？

在支援AES-NI的現代處理器上，BitLocker與VeraCrypt的AES加密對效能的影響微乎其微，日常使用幾乎無感。若使用多重加密（如VeraCrypt的Serpent-Twofish-AES），開機及大型檔案讀寫可能慢約10-20%，但文書處理、上網等輕量工作影響不大。

忘記密碼或遺失恢復金鑰怎麼辦？

若沒有備份，加密資料將無法復原。BitLocker用戶若曾上傳恢復金鑰至Microsoft帳戶，可登入https://account.microsoft.com/devices/recoverykey 查詢。VeraCrypt則完全無後門，只能靠救援光碟或備份的密碼。因此，務必事先做好備份。

外置硬碟加密後，能在其他電腦讀取嗎？

BitLocker To Go加密的USB可在Windows電腦輸入密碼讀取；在macOS或Linux需第三方工具唯讀存取。VeraCrypt則提供可攜式模式，在USB內建立一個免安裝的執行檔，插入任何電腦（需有管理員權限）即可掛載加密區。

隱藏加密區真的無法被發現嗎？

VeraCrypt的隱藏加密區設計上無法從外觀區分，因為整個加密區看似隨機資料。但若敵手知道隱藏區存在，並使用暴力破解或冷啟動攻擊，仍有可能被破解。因此，高強度密碼與良好操作安全習慣至關重要。

執法機構能否強制我解密？

視乎司法管轄區法律。在香港，警方可根據《警隊條例》或《截取通訊及監察條例》向法院申請命令，要求嫌疑人提供解密金鑰或協助解密。拒絕配合可能構成刑事罪行。VeraCrypt的隱藏加密區可提供合理推諉，但最終仍需遵循法律建議。

參考資料

1. Microsoft, “BitLocker overview,” Windows Security documentation, 2024. https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/
2. VeraCrypt, “VeraCrypt Documentation,” Version 1.26.7, 2024. https://www.veracrypt.fr/en/Documentation.html
3. 香港電腦保安事故協調中心 (HKCERT), “香港保安觀察報告 2024,” 2024. https://www.hkcert.org/my_url/tc/publication/2401
4. 個人資料私隱專員公署, “《個人資料（私隱）條例》簡介,” 2023. https://www.pcpd.org.hk/tc_chi/data_privacy_law/ordinance_at_a_Glance/ordinance.html
5. A. Czeskis et al., “Deconstructing the Security of BitLocker’s TPM-based Protections,” USENIX Security Symposium, 2023. https://www.usenix.org/conference/usenixsecurity23/presentation/czeskis