我的基础架构使用 BitLocker 加密驱动器，带有 TPM，但没有启动 PIN。恢复密钥存储在 AD 中。我的一些用户担心没有启动 PIN 会不安全，就像旧的 WinMagic 设置一样，在启动操作系统之前需要启动 PIN。
在我们的设计中明确指出，最重要的是对硬盘进行加密，以防计算机被盗或丢失。
我能告诉我那些关心的用户什么呢？让他们明白启动 PIN 实际上并没有引入任何额外的安全性。
答案1
为什么不向他们解释 BitLocker 与 TPM 结合的透明模式操作以及不需要启动 PIN。
如果这对用户来说是一个很大的问题，您还可以实施 TPM + PIN。
答案2
您需要向用户明确说明的是，您不是在设计额外的安全性，而是在通过加密设计数据保护。如果您之前有一个启动密码，那么用户的观点是正确的，因为您的设计已经失去了您之前拥有的身份验证因素。
答案3
只有在计算机开机并登录（解锁）时丢失计算机时才会出现问题。TPM 的设计使得用于破坏 Windows 的任何攻击媒介都会使报告给 PCR 寄存器的数据无效并导致驱动器锁定。