计算机启动时 BIOS 启动密码 VS Bitlocker PIN？

Question

考虑使用 Bitlocker 加密驱动器的设置。

我需要保护已经 Bitlocker 加密的驱动器免受冷启动/DMA 攻击。我假设我有两个选择：

1. 为计算机启动时创建启动密码（在 BIOS/UEFI 中配置）
2. 为 Bitlocker 创建 PIN

该启动密码（在 BIOS/UEFI 中配置）是否具有与 Bitlocker 的针对冷启动/DMA 的 PIN 相同的安全级别？

Answer 1

（这个答案绝不是完整的，但应该会给你一些思考的东西。）

启动密码本身并不能提供任何数据保护。我可以拧开侧面板，断开驱动器并读取所有文件。它所做的只是阻止我启动该特定主板。

如果密码还用于在硬件/固件级别加密磁盘，那就更好了如果 BIOS 正确实现它某些 BIOS 总是对所有磁盘使用相同的硬编码密码（您的密码仅用于授权使用硬编码密码进行解密），这仅提供了一种安全的假象。这种方案从根本上是有缺陷的，因为每个人都可以通过知道固定的硬编码密码来解密磁盘。一旦您知道了密码，我们就回到了原点。

最后，您必须相信硬件加密是可靠的。从历史上看，这在许多磁盘中都是一个问题，例如由于使用可预测的 RNG。如果没有昂贵的硬件和大量的时间投入，您无法真正亲自测试这一点。

Bitlocker 和 VeraCrypt 等解决方案提供了专家验证的可靠全盘加密实现。这会对性能产生轻微影响，您可能需要使用其他方法来确保引导加载程序的完整性，例如 UEFI 安全启动。Bitlocker 还可能决定使用驱动器的内置加密而不是软件加密，这同样取决于驱动器加密实现的质量。如果您想避免这种情况，则需要配置适当的组策略。