笔记本电脑落在 Grab 车上、地铁座位上或小贩中心的桌子上，就等于丢了。而一台没有加密的笔记本更糟糕：任何人只要把硬盘拆下来，就能读取你的报税文件、保存的密码、家庭照片和工作文件。如果你想用 BitLocker 或 FileVault 加密笔记本电脑，好消息是 Windows 和 macOS 都已自带全盘加密功能，无需额外付费。本文介绍如何开启加密、如何保管恢复密钥，以及哪些常见错误会让人把自己锁在数据之外。
这里讲的是保护存储在设备上的数据。它与聊天应用中的端到端加密不同，后者保护的是消息在手机之间传输时的安全。
全盘加密到底保护什么
全盘加密会把笔记本存储硬盘上的所有内容打乱。登录时，系统会解锁硬盘并即时解密数据，所以日常使用中你几乎感觉不到任何变化。笔记本关机后，没有你的密码或恢复密钥，硬盘上的内容就无法读取。
在以下情况下，它能保护你：
- 笔记本在关机或锁屏睡眠状态下丢失或被盗。
- 有人拆下固态硬盘（SSD），接到另一台电脑上。
- 你把笔记本送修或卖掉，担心残留数据外泄。
在以下情况下，它无法保护你：
- 笔记本处于解锁状态，有人直接坐下来使用。
- 你登录期间有恶意软件在运行。
- 你的账户密码太弱，或写在便利贴上。
因此，加密最好搭配强登录密码、较短的自动锁屏时间以及定期的软件更新一起使用。
BitLocker、FileVault 与 Windows 设备加密的对比
Windows 和 macOS 的做法略有不同，而 Windows 本身还会因版本不同分为两种。下面是一个快速对比。
| 功能 | BitLocker（Windows 专业版及以上） | 设备加密（许多 Windows 家庭版笔记本） | FileVault（macOS） |
|---|---|---|---|
| 在哪里找到 | 控制面板或设置中的「BitLocker 驱动器加密」 | 设置 > 隐私和安全性 > 设备加密 | 系统设置 > 隐私与安全性 > FileVault |
| 使用条件 | 大多数新款电脑配备的 TPM 芯片，以及专业版、企业版或教育版 | 受支持的硬件，并使用 Microsoft 账户登录 | 任何较新的 Mac |
| 恢复密钥保存方式 | Microsoft 账户、文件、打印件或工作账户 | 通常自动保存到你的 Microsoft 账户 | iCloud 账户，或自行抄写的恢复密钥 |
| 能否加密外置硬盘 | 可以，使用 BitLocker To Go | 不可以 | 可以，通过「访达」（Finder）或「磁盘工具」 |
功能名称和菜单路径会随版本变化，如果菜单不在文中描述的位置，可以在设置应用里搜索「加密」（encryption）。
如何在 Windows 上开启 BitLocker 或设备加密
首先确认你的系统版本。打开设置，进入「系统」，再点「关于」，查看版本信息。许多预装 Windows 家庭版的笔记本支持设备加密，其中一些在你用 Microsoft 账户登录后就已经悄悄开启了。
设备加密（家庭版）：
- 如果你使用的是本地账户，请改用 Microsoft 账户登录。
- 打开设置，进入「隐私和安全性」，再点「设备加密」。
- 如果处于关闭状态，就把它打开。如果找不到这个选项，可能是你的硬件不支持。
- 在另一台设备上登录你的 Microsoft 账户，找到恢复密钥页面，确认恢复密钥已经备份。
BitLocker（专业版及以上）：
- 在开始菜单中搜索「管理 BitLocker」（Manage BitLocker）。
- 在系统盘（通常是 C 盘）旁选择「启用 BitLocker」（Turn on BitLocker）。
- 选择恢复密钥的保存位置。至少选两个地方（见下文）。
- 选择只加密已用空间还是加密整个驱动器。对于已经用了一段时间的笔记本，加密整个驱动器更安全，因为已删除的文件可能仍可被恢复。
- 让它运行完毕。期间可以继续工作，但请保持笔记本接通电源。
如果你的笔记本由公司管理，加密可能由 IT 部门控制。不要自行更改，请向他们询问恢复密钥存放在哪里。
如何在 Mac 上开启 FileVault
- 打开「系统设置」，进入「隐私与安全性」。
- 向下滚动到 FileVault，点击「打开」。
- 选择忘记密码时的解锁方式：允许用 iCloud 账户解锁磁盘，或创建一个恢复密钥并抄写下来。
- 如有提示请重新启动。加密会在你工作时在后台继续进行。
在搭载 Apple 芯片的新款 Mac 上，内置存储在硬件层面已经加密，但开启 FileVault 后，解锁时必须输入你的密码。正是这一点保护了被盗的 Mac。
如需加密外置硬盘，可以在「访达」中右键点击该硬盘并选择加密选项，或在「磁盘工具」中用加密格式将其抹掉。请先备份硬盘上的所有内容。
妥善保管恢复密钥
恢复密钥是最重要的东西。如果 Windows 更新、硬件维修或忘记密码触发了恢复模式，密钥是唯一的进入方式。没有它，连制造商也无法恢复你的文件。
好习惯：
- 至少在不同地方保存两份副本。例如，一份存在 Microsoft 或 Apple 账户中，另一份打印出来放在家里。
- 把打印件放在合适的地方，例如和护照、保单等重要文件放在一起，而不是放在电脑包里。
- 使用密码管理器，如果你本来就在用的话。许多密码管理器有安全备注栏，很适合存放恢复密钥。
- 清楚标注设备名称和日期，尤其是家里有好几台笔记本的时候。
- 绝不要把唯一的副本存在笔记本本身。这就像把钥匙锁在车里一样。
在依赖加密之前，先确认你真的能找到密钥。登录 Microsoft 账户的恢复密钥页面，或核对抄写的密钥是否与系统显示的一致。
让人把自己锁在外面的常见错误
大多数惨痛经历都来自以下几种错误：
- 更换主板或修改 BIOS 设置前没有先暂停 BitLocker。维修店通常知道这一点，但在交出笔记本之前，请告诉他们已开启加密。
- 在家庭版笔记本上使用本地账户，而设备加密早已悄悄启用，导致密钥从未备份到你能找到的地方。
- 忘记 Mac 登录密码，而当初选择的是恢复密钥方式，抄写的纸又弄丢了。
- 重置手机或删除了保存密钥的 Microsoft 或 Apple 账户。
- 在用电池供电时反复在加密途中关机。
如果真的出现恢复界面，通常会显示一个密钥 ID。请将该 ID 与你保存的密钥对应，确保输入的是正确的那一个。
出售、维修或升级之前
加密也让处理旧电脑更省心。出售或转送笔记本时，请在系统设置中执行完全重置。在已加密的硬盘上，重置会丢弃加密密钥，使旧数据实际上无法读取。
送修笔记本前，请备份文件、记下恢复密钥，并考虑维修人员是否真的需要你的登录信息。如果你打算买新电脑，我们的购买前了解笔记本电脑配置指南会说明哪些功能最重要；如果电脑是给可能会弄丢东西的孩子用的，也值得读一读如何选择学生笔记本。
加密会让笔记本变慢吗？
在配备固态硬盘和硬件加密支持的新款笔记本上，性能影响一般小到大多数人察觉不到。使用慢速机械硬盘的旧电脑在首次加密期间可能会稍显迟缓，而首次加密所需时间取决于硬盘容量，可能需要一段时间。如果你的笔记本本来就慢，可以参考我们的如何让慢吞吞的笔记本提速，但加密很少是罪魁祸首。
现在花十分钟设置好，日后丢了笔记本，损失的只是一台设备，而不是你的身份信息或工作成果。