Windows 如何使用 TPM 进行 BitLocker 加密而不被攻击者所利用？

Question

Windows 如何使用 TPM 进行 BitLocker 加密而不被攻击者所利用？

由此常问问题，我了解 BitLocker 使用以下密钥来加密硬盘：

• 全卷加密密钥（用于加密原始数据；由卷主密钥加密并存储在磁盘上）
• 卷主密钥（由密钥保护器加密并存储在磁盘上）
• 密钥保护器（TPM 或数字密码）

以下输出manage-bde（带有隐藏数据）表明系统同时使用 TPM 和数字密码（恢复密码) 作为关键保护者：

    C:\WINDOWS\system32>manage-bde -protectors -get C:
    BitLocker Drive Encryption: Configuration Tool version 10.0.16299
    Copyright (C) 2013 Microsoft Corporation. All rights reserved.

    Volume C: [Windows]
    All Key Protectors

    Numerical Password:
      ID: {XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}
      Password:
        XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX-XXXXXX

    TPM:
      ID: {XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}
      PCR Validation Profile:
        0, 2, 4, 11

在这种情况下，使用什么密钥保护器来加密卷主密钥？

另外，如何防止攻击者像 Windows 那样使用 TPM，或者从磁盘读取恢复密码（后者保护器必须以明文形式存在）？