BitLocker или VeraCrypt: системное и независимое шифрование дисков

BitLocker входит в некоторые редакции Windows и тесно связан с системой: он шифрует разделы целиком и умеет хранить ключ в модуле TPM на материнской плате. VeraCrypt — независимая программа с открытым исходным кодом, которая работает на Windows, Linux и macOS и не привязана к конкретной сборке системы.

Эта разница определяет всё остальное. BitLocker выигрывает удобством и интеграцией, VeraCrypt — переносимостью и прозрачностью модели: код можно изучать, а формат томов не зависит от одного производителя ОС.

При включённом TPM BitLocker открывает системный диск автоматически при загрузке доверенной конфигурации, и пользователь вводит только пароль входа в систему. Это снимает лишнюю нагрузку и хорошо подходит для ноутбуков, которые могут потеряться.

VeraCrypt требует вводить пароль перед загрузкой шифрованной системы или монтировать контейнер вручную. Это менее удобно, зато ключ не хранится в оборудовании компьютера. Для внешних дисков оба решения работают, но диск под BitLocker To Go читается на других системах хуже, чем том VeraCrypt, для которого нужна лишь установленная программа.

Оба инструмента используют проверенные алгоритмы блочного шифрования, и в обычной ситуации стойкость определяется не шифром, а паролем и способом хранения ключа. Слабый пароль или ключ восстановления, оставленный на том же компьютере, сводят защиту на нет в любом из вариантов.

VeraCrypt дополнительно предлагает скрытые тома и скрытую операционную систему для случаев, когда важно отрицать само существование данных. BitLocker таких функций не даёт. Зато защита загрузки через TPM затрудняет атаки с подменой загрузчика, что для BitLocker является сильной стороной при корректной настройке.

У BitLocker есть привязка к редакции Windows и к экосистеме учётной записи: ключ восстановления нередко сохраняется в аккаунте, и об этом стоит знать заранее. При смене материнской платы или обновлении прошивки может потребоваться ввод ключа восстановления.

У VeraCrypt ограничения другие: нет поддержки TPM в привычном виде, шифрование системного диска чувствительно к смене загрузчика и крупным обновлениям системы, а забытый пароль означает безвозвратную потерю данных. Разработчики не могут «сбросить» доступ.

Если нужен ноутбук с прозрачной защитой на случай кражи, в системе есть поддержка BitLocker и TPM, — этот вариант обычно проще и надёжнее в эксплуатации. Обязательно сохраните ключ восстановления в надёжном месте вне компьютера.

Если вы работаете на разных системах, храните зашифрованные контейнеры на внешних носителях или хотите скрытые тома, лучше подходит VeraCrypt. Для смешанных сценариев допустимо использовать оба: BitLocker для системного диска, VeraCrypt для переносимых архивов. Главное — проверить восстановление до того, как оно понадобится.

Главный риск любого дискового шифрования не взлом, а потеря собственного доступа. Поэтому перед включением защиты продумайте, как вы вернёте данные, если что-то пойдёт не так: сломается материнская плата, обновится прошивка, будет забыт пароль или повредится заголовок тома.

Для BitLocker это означает сохранение ключа восстановления в надёжном месте, желательно в распечатанном виде и в защищённом хранилище, а не на самом зашифрованном диске. Для VeraCrypt рекомендуют создать резервную копию заголовка тома и хранить её отдельно, а также записать используемые параметры, если менялись стандартные.

Перед тем как переносить на зашифрованный диск единственные копии важных файлов, проведите пробное восстановление: подключите диск к другому компьютеру, введите ключ и убедитесь, что данные читаются. Также полезно знать, что шифрование не заменяет резервную копию: оно защищает от постороннего доступа, но не от удаления, поломки накопителя или вымогательского вируса, который работает после того, как вы сами открыли диск паролем.

Отдельно о производительности и энергопотреблении. На современных процессорах с аппаратным ускорением шифрования оба инструмента почти незаметны при обычной работе, а вот на старых машинах и при интенсивной работе с диском разница проявляется. Проверьте это на своём оборудовании перед тем, как шифровать рабочий диск целиком, и заранее оцените, сколько времени займёт первичное шифрование: на большом накопителе процесс может идти часами, и лучше не прерывать его.