‏BitLocker رو خاموش نکن، معلقش کن

تو این مقاله از Petri اومده که خاموش کردن BitLocker تو ویندوز ۱۱ کار سختی نیست، ولی معمولاً جواب درستی برای یه آپدیت فریمور یا عیب‌یابی کوتاه‌مدت نیست. نویسنده، برایان پوزی، می‌گه به‌جاش باید محافظت رو معلق (suspend) کرد، مگه اینکه واقعاً بخوای رمزگذاری رو از روی دیسک برداری.

فرق این دوتا بنیادیه. خاموش کردن یعنی کل دیسک رمزگشایی می‌شه، که بسته به حجم دیسک، مقدار داده و سرعت سیستم می‌تونه دقیقه‌ها یا ساعت‌ها طول بکشه. ولی suspend اصلاً دیسک رو رمزگشایی نمی‌کنه؛ فقط بعضی بررسی‌های امنیتی رو موقتاً متوقف می‌کنه و کلید رمزگذاری رو به شکل یه clear key (کلید بدون رمز که روی همون دیسک ذخیره می‌شه) در دسترس می‌ذاره.

به گفتهٔ نویسنده، قبل از هر کاری که سخت‌افزار، مادربرد، فریمور BIOS/UEFI یا تنظیمات Secure Boot رو عوض می‌کنه بهتره BitLocker رو معلق کنی. اگه این کارو نکنی، این تغییرها امضای سخت‌افزاری‌ای رو که TPM (چیپ امنیتی که کلیدها بهش گره خوردن) روش حساب می‌کنه عوض می‌کنن و ویندوز قفل می‌شه و دیگه نمی‌تونی وارد شی.

اگه واقعاً لازمه خاموشش کنی، مسیر گرافیکیش اینه: Settings، بعد Windows Security، بعد Device Security و آخرش Turn Off BitLocker؛ کنترل پنل هم همین کارو می‌کنه. برای چند دستگاه با هم، PowerShell با دسترسی ادمین به‌صرفه‌تره:

Disable-BitLocker -MountPoint "C:"
Get-BitLockerVolume

دستور دوم وضعیت محافظت و درصد پیشرفت رمزگشایی رو نشون می‌ده. تو خط فرمان هم manage-bde -off C: همین کارو می‌کنه.

نویسنده تأکید می‌کنه خطر اصلی رمزگشایی دائمیه: اگه یه لپ‌تاپ بدون رمزگذاری گم بشه، هر کسی می‌تونه SSD رو دربیاره و به‌عنوان دیسک دوم به یه سیستم دیگه وصل کنه و محتواش رو بخونه. پسورد ویندوز و Windows Hello جلوی این کارو نمی‌گیرن، چون فقط جلوی لاگین رو می‌گیرن. همین می‌تونه به مشکل انطباق (compliance) و مردود شدن تو ممیزی ختم بشه.

نکات کلیدی:

• خاموش کردن BitLocker دیسک رو کامل رمزگشایی می‌کنه؛ suspend فقط محافظت رو موقتاً کنار می‌ذاره
• قبل از آپدیت BIOS/UEFI، تغییر سخت‌افزار یا Secure Boot، suspend توصیه می‌شه تا TPM قفلت نکنه
• روش‌های خاموش کردن: Settings، کنترل پنل، Disable-BitLocker -MountPoint "C:" و manage-bde -off C:
• خاموش کردن داده‌ای رو پاک نمی‌کنه، ولی کلید ریکاوری قبلی بعد از فعال‌سازی دوباره احتمالاً کار نمی‌کنه
• ویندوز ۱۱ Home خود BitLocker رو نداره، ولی Device Encryption با همون فناوری پایه رو داره