Windows11 24H2中默认启用BitLocker加密的取证影响

Windows11 24H2版本的更新引入了微软对磁盘加密方法的改变，这一转变将对数字取证产生长期影响。在此版本中，安装Windows时，如果在设置过程中使用了Microsoft帐户(MSA)，大多数现代硬件都会自动启用BitLocker加密。加密会在后台悄无声息地启动，甚至会覆盖家庭版和台式电脑等消费类设备，而这些设备在过去都无法使用全磁盘加密的默认设置。

⚠️注：当现有Windows11用户通过Windows Update安装24H2版本时,这一新策略不会自动应用。

这项政策虽然看似新颖，但它实际上是早期名为“BitLocker设备加密”的功能的逻辑延续，该功能可追溯到Windows 8.1、Windows RT和Windows10 Home。设备加密是BitLocker的受限版本，旨在特定硬件和账户条件下自动保护系统启动卷：

• 设备符合“连接待机”或“现代待机”规格（通常为SSD或eMMC存储）。
• 设备具有不可拆卸（焊接）RAM，以减少冷启动攻击。
• 设备包含TPM2.0模块。
• 至少有一个管理员帐户是使用Microsoft帐户（而不是本地帐户）登录的。

这些要求在平板电脑、许多商用笔记本电脑和高端超极本上很常见。一旦这些条件得到满足，用户使用MSA登录后，启动卷的加密就会在后台悄然开始。大多数用户都不知道他们的分区已被加密，而磁盘活动的增加或电池电量损耗则表明了这一点。

Windows11 24H2通过更积极地执行在线