如何故障診斷硬碟加密問題

目錄：

1. 什麼是硬碟加密？
2. 硬體加密與軟體加密的比較
3. 什麼是 TPM？
4. 全磁片加密 （FDE）
5. 什麼是 BitLocker？
6. 進階格式 512e （4 K） FDE 硬碟的加密
7. 加密軟體無法識別硬碟
8. 開機前問題
9. 新增協力廠商加密軟體後，系統將無法開機。
10. 加密和作業系統重新安裝
11. 密碼或加密金鑰遺失

1.什麼是硬碟加密？

硬碟加密是一種程式，其中磁片上的資料或整個磁片磁碟機的資料會使用數學演算法轉換為無法讀取的程式碼，因此未經授權的使用者無法存取。使用者必須提供密碼、指紋或智慧卡才能存取加密的磁片磁碟機。加密可以透過軟體或硬體機制執行。在用戶端環境中，我們大多數時候都會處理軟體加密問題。加密可以是檔案層級，或是整個硬碟。

回到頁首

2.硬體加密與軟體加密的比較

軟體與硬體加密的主要區別在於，無法使用軟體加密機制加密主開機記錄 （MBR）。Dell 用戶端電腦使用 Wave Trusted Drive Manager 作為 Dell Data Protection 或 Dell ControlPoint Security Manager 套件的一部分，並具有用於軟體加密的 TPM 晶片。企業客戶可以使用 Dell Data Protection Encryption 和 DDPE 加速器模組，該模組用於主機板上的插槽，使用筆記本電腦迷你卡或桌上型電腦的 PCIe 卡。硬體加密更安全，因為它會將磁片磁碟機與 CPU 和作業系統隔開，進而更容易受到攻擊。

回到頁首

3.什麼是 TPM？

可信賴平臺模組 （TPM） 是主機板上的密碼編譯微處理器，可儲存和驗證磁片磁碟機的加密金鑰，進而將磁片磁碟機連接至電腦。這表示如果加密磁片磁碟機是從電腦中遭到竊，並放置在另一部電腦中，則無法存取磁片磁碟機。TPM 晶片可作為磁片磁碟機中的「閘道」。加密配置中使用 TPM 晶片的主要缺點是，如果主機板需要更換，使用者可能無法再存取該磁片磁碟機。但是，Wave Trusted Drive Manager 也會將加密金鑰保留在硬碟上，藉此減輕此問題。（這類似于更換主機板時未遺失的 RAID 陣列。陣列資訊會保存在磁片磁碟機等量和 RAID 控制器 EPROM 中。

更多資訊：如何疑難排解和修正 TPM 和 BitLocker 的常見問題

回到頁首

4.全磁片加密 （FDE）

全磁片加密僅代表整個磁片磁碟機 （每個磁區） 都可以加密，而非檔案、資料夾或檔案電腦。由於電腦遭竊或遺失的機率提高，FDE 硬碟正逐漸成為筆記本電腦的標準。「全磁片加密」一詞最初是由 Seagate 所創造，但現在卻是可完整加密的所有硬碟的業界術語。FDE 硬碟安全性功能一律會開啟並當作一般硬碟使用，直到安全性原則實施為止。

常見的問題是，Wave Trusted Drive Manager 加密軟體是否可用於非 FDE 硬碟來保護整個磁片。答案是，沒有 Wave Trusted Drive Manager 需要 FDE 磁片磁碟機。軟體加密機制 （例如 Windows BitLocker） 可用來使用 TPM 晶片或 USB 磁片磁碟機在非 FDE 磁片磁碟機上加密磁片區，而非硬碟的作業系統啟動程式 （開機磁區）。

若要取得 Wave Trusted Drive Manager 完全加密硬碟的內容，會使用開機前驗證，以便存取包含作業系統和使用者資料的磁區。在使用 DDPA 的用戶端電腦上，開機前驗證設定是由 DDPA\DCPSM 內的 Wave 軟體處理。

回到頁首

5.什麼是 BitLocker？

BitLocker 是 Windows 7 提供的全磁片加密功能，僅適用于 Ultimate 和 Enterprise 版本。您可以使用 BitLocker To Go 協助保護儲存在可移除資料磁片磁碟機 （例如外接式硬碟或 USB 快閃磁片磁碟機） 上的所有檔案。

與 Trusted Drive Manager 不同的是，這些磁片磁碟機不需要是 FDE 磁片磁碟機，但 BitLocker 只能加密磁片區，而非開機磁片區。使用 BitLocker 加密的磁片磁碟機可透過開機前使用密碼或具 TPM 的智慧卡解除封鎖。若要讓 BitLocker 透過開機前機制存取，BIOS 必須在開機時讀取 USB 磁片磁碟機，而且必須有兩個分割區，且電腦磁片磁碟機分割區至少要有 100 MB，並設為使用中的分割區。作業系統分割區已加密，且電腦磁碟分割保持未加密，以便電腦啟動。

BitLocker 的使用不需要 TPM，但強烈建議您為開機前提供更好的安全性。Windows 更新不需要停用 BitLocker，但其他更新可能需要停用。與其他加密應用程式一樣，建議復原金鑰 （PIN） 儲存在抽取式媒體或其他安全位置。如果使用者沒有復原 PIN，就無法解鎖磁片磁碟機。如果電腦無法開機進入 BitLocker Recovery Console，或硬碟故障，可下載 BitLocker 修復工具 並解壓縮至可開機金鑰或 CD，以從磁片磁碟機復原資料。您必須有 PIN 才能存取資料。

如果使用者使用 Active Directory 及其系統管理員設定 BitLocker 在網域上，可能會將插腳儲存在 Active Directory 中，以便向其 IT 部門檢查。

更多資訊：如何疑難排解和修正 TPM 和 BitLocker 的常見問題

回到頁首

6.進階格式 512e （4 K） FDE 硬碟的加密。

512e （4 K） 或進階格式硬碟，僅表示磁片磁碟機的個別磁區已從 512 位元組變更為 4,096 位元組。第一代的進階硬碟採用 8-512 位元組磁區，並將其結合為單一 4,096 位元組磁區，即可達成上述目標。在 Dell 電腦中，512e （模擬） 一詞來自于使用硬碟韌體內的轉換機制，模擬預期為 512 位元組磁區之舊元件和軟體的 4,096 磁區外觀。所有讀取\寫入進階格式的 512e 硬碟均以 512 位元組為增量完成，但在讀取週期中，整個 4,096 會載入至記憶體。因此必須對齊 512e 硬碟。如果未執行磁片磁碟機對齊，磁片磁碟機的效能可能會受到嚴重影響。目前與 Dell 電腦一起購買的硬碟已對齊。

若要偵測您的電腦是否有進階格式 （512e） 磁片磁碟機，請下載進階格式硬碟偵測工具。 

舊版作業系統必須對齊分割區，建議使用新的作業系統，以確保不同磁區大小的 HDD 之間能有適當的硬碟效能和映射製作。

磁片磁碟機對齊可使用多個工具完成，這些工具可從 SATA 磁片磁碟機區段下的 Dell 支援網站驅動程式 與電腦下載 。

回到頁首

7.加密軟體無法識別硬碟。

若為 Wave 可信賴磁片磁碟機管理器，磁片磁碟機必須為 Full Drive Encryption （FDE） 磁片磁碟機，且 SATA 作業必須設定為 ATA\AHCI\IRRT，而非 RAID On\RAID。協力廠商加密程式的情況可能如此。

與廠商確認是否有任何 BIOS 設定需求。

檢查磁片磁碟機是否正在使用作業系統映射，特別是 Windows XP。在加密之前，請確定已將所有更新套用至映射。

如果使用協力廠商加密軟體，請與廠商確認軟體可與電腦中的硬體搭配使用，以及整合可延伸韌體介面 （UEFI） BIOS。

回到頁首

8.開機前問題。

• 如果使用者遇到開機前驗證問題，請檢查他們使用的驗證機制：密碼、指紋辨識器或智慧卡
• 對於密碼，請務必使用正確的密碼，並檢查鎖定和 Num Lock 是否正確設定。
• 如果使用指紋，請務必使用正確的手指，且不會乙太快的速度滑動。三個不正確撥動應該會觸發密碼提示。
• 如果是智慧卡，請檢查是否正確使用卡片、正確插入，並檢查是否有任何損壞。如果可能，請試用另一張卡片。
• 如果是網域，請確定他們尚未切換至本機登入。它們必須使用與加密建立時相同的認證。
• 如果使用者表示開機前驗證在重新開機時無法運作，請檢查 BIOS 以確保密碼略過未啟用。此功能在早期的 BIOS 版本中無法運作，但已修復。請確定客戶使用最新的 BIOS。
• 如果使用者已遺失密碼或已不再使用，Dell 將無法還原 Trusted Drive Manager 加密的密碼。若為協力廠商應用程式，請參閱該廠商以取得支援。

回到頁首

9.新增協力廠商加密軟體後，系統將無法開機。

開啟電腦電源，然後在開機程式期間按下 F12 鍵，以進入 BIOS 開機選單。在開機程式期間，可能需要重複按下按鍵，讓 BIOS 在正確的時間辨識金鑰。使用向上和向下鍵選 < 取功能表上的診斷 > 程式，然後按下 Enter 鍵。

執行增強型開機前系統評估 （ePSA） 以確保磁片磁碟機未處於故障狀態，且未報告任何錯誤。如果您有進階格式 （512e） 磁片磁碟機，請確定磁片磁碟機已正確對齊，再執行加密。

請與協力廠商廠商確認復原選項。大多數公司都有復原公用程式，使用者可以載入到可開機金鑰或 CD。此外，若此電腦型號的此特定軟體有任何問題，請檢查廠商網站是否有電腦平臺問題。

回到頁首

10 加密和作業系統重新安裝

如果作業系統在加密的硬碟上損毀且需要重新安裝，則有可能因為硬碟處於鎖定狀態，Windows 安裝磁片可能無法辨識該磁片磁碟機。若為 Wave Trusted Drive Manager 加密的磁片磁碟機，必須先解除鎖定磁片磁碟機，才能重新安裝作業系統。

請參閱 Wave 網站上的支援檔，其中說明如何在重新安裝此處之前解除鎖定 磁盤磁碟機。

如果是協力廠商加密軟體，請先與廠商確認是否執行正確的程式，再嘗試重新安裝。

回到頁首

11 密碼或加密金鑰遺失

如果使用者遺失開機前密碼、加密金鑰或使用者離開公司，大部分的加密應用程式廠商都會提供故障復原機制。由於業界標準資料原則，復原機制必須由客戶啟動。這可將密碼金鑰儲存至可移除的儲存裝置或網路位置。如果實作完整磁片加密，且使用者遺失密碼\金鑰，Dell 就無法協助他們復原磁碟磁碟機的密碼\金鑰。在此例項中，使用者需要更換硬碟。此問題不在保固範圍範圍內，因為加密依設計運作，可保護資料免于入侵。更換磁片磁碟機的費用將由使用者承擔。Wave 可協助解決使用者名稱問題。使用者必須擁有其密碼，以支援 Wave，以協助忘記的使用者名稱。如果使用者忘記、遺失或沒有密碼，很抱抱，Wave 無法提供協助。

如果上述步驟無法解決問題，請聯絡Dell 技術支援以取得協助。

回到頁首

建議的文章

以下是一些與本主題相關的建議文章，您可能會感興趣。

• Dell Full Disk Encryption 系統需求
• 在 M.2 固態硬碟上設定硬碟密碼的 BIOS 選項
• Dell 電腦上的自動 Windows 裝置加密或 BitLocker