BitLocker alternatives for desktop

Отчет XDA-Developers в этом месяце описал сценарий, который регулярно встречается у пользователей Windows 11: ОС незаметно зашифровала внутренний диск во время установки, обновление прошивки UEFI активировало проверки целостности BitLocker, и машина загрузилась прямо на экран ввода ключа восстановления. Проблема в том, что ключ восстановления хранится в учетной записи Microsoft, которая была использована при установке. Любой, кто использовал локальную учетную запись или потерял доступ к той учетной записи, не может его получить. Это BitLocker работает так, как задумано на современном оборудовании, но это объясняет, почему запросы на поиск альтернатив BitLocker выросли в течение года. Мы протестировали семь альтернатив BitLocker на Windows, macOS и Linux, чтобы найти шифрование дисков и папок, которое оставляет ключи в руках пользователя и не привязывает восстановление к облачному входу.

Быстрое сравнение

Приложение Лучше всего для Бесплатный план Начальная цена Выдающаяся особенность
VeraCrypt Полное шифрование диска и контейнеризация на любой настольной ОС Да Бесплатно (с открытым исходным кодом) Скрытая операционная система внутри тайного тома
Cryptomator Шифрование файлов внутри облачных папок Да Бесплатно на рабочем столе, мобильная версия около 15 дол./год Шифрование отдельных файлов, хорошо работает с Dropbox и OneDrive
FileVault Полное шифрование диска macOS без дополнительного ПО Да Бесплатно с macOS Привязка к Secure Enclave на Apple silicon
LUKS с cryptsetup Полное шифрование диска Linux во время установки Да Бесплатно (с открытым исходным кодом) Уровень ядра dm-crypt с 8 слотами ключей на том
AxCrypt Одно нажатие для шифрования файлов и папок на Windows и Mac Да (ограниченно) Premium около 45 дол./год Шифрование одним нажатием из File Explorer или Finder
7-Zip Архивирование набора файлов с AES-256 Да Бесплатно (с открытым исходным кодом) Шифрует имена файлов и их содержимое
Rohos Disk Encryption Зашифрованные контейнеры на USB и портативных дисках Да (до 8 ГБ) Около 35 дол. однократно Запускает зашифрованный том с USB без прав администратора

Почему люди отходят от BitLocker

Случай XDA – не исключение. С конца 2024 года свежие установки Windows 11 Home и Pro на современном оборудовании незаметно включают шифрование устройства во время установки, и пользователи замечают это только в первый раз, когда что-то меняется на уровне прошивки. На r/Windows11 и в собственных форумах сообщества Microsoft регулярно всплывают пять проблем.

Незаметная регистрация. Пользователи, которые устанавливают Windows без отключения шифрования устройства, получают зашифрованный диск, который они никогда явно не запрашивали, и ключ восстановления незаметно загружается в учетную запись, которая была использована первой.

Ключи восстановления привязаны к учетной записи Microsoft. BitLocker отправляет ключ в учетную запись, использованную при установке. Установка с локальной учетной записью полностью пропускает этап отправки, поэтому пользователи, которые не написали ключ и позже сменили учетные записи, застревают.

Зависимость от TPM и Secure Boot. Обновление UEFI, сброс BIOS или замена материнской платы изменяют измерение целостности и форсируют запрос восстановления при следующей загрузке.

Только Windows и закрытый исходный код. BitLocker никогда не поможет на Mac или Linux рабочей станции, и код никогда не был открыт для независимой проверки.

Пробелы в Home edition. Полная поверхность управления BitLocker (manage-bde, Group Policy, PIN-at-boot) ограничена на Home, что поставляется на большинстве розничных ноутбуков.

Это дает четыре требования к хорошей альтернативе: ключи, контролируемые пользователем, кроссплатформенный охват, проверенный код и восстановление, которое не зависит от облачного входа.

Альтернативы

VeraCrypt - Лучше всего для полного шифрования диска и контейнеризации на любой настольной ОС

VeraCrypt – прямой преемник TrueCrypt, поддерживаемый IDRIX с 2013 года. Он работает на Windows, macOS и Linux и делает два вещи, которые BitLocker не может: создает зашифрованные файлы контейнеров, которые монтируются как виртуальные диски, и может скрыть целую операционную систему внутри тайного тома для правдоподобного отрицания. Происхождение ключей использует PBKDF2 с количеством итераций, достаточным для замедления атак грубой силы на современное оборудование.

Где он отстает: Интерфейс все еще выглядит так, как это было десять лет назад, и монтирование – это ручной шаг каждой сессии, если пользователь не сохраняет избранное. Шифрование системного диска на Windows может конфликтовать с Secure Boot на некоторых прошивках UEFI и требует workaround CSM.

Цены:

Миграция с BitLocker: Сначала расшифруйте том BitLocker (Control Panel, BitLocker Drive Encryption, Turn off), затем переошифруйте на месте с VeraCrypt. Выделите два-четыре часа на 500 ГБ в зависимости от диска.

Скачать: VeraCrypt

Суть: VeraCrypt – рекомендация по умолчанию для всех, кто хочет защиту уровня BitLocker без условного хранилища учетной записи Microsoft на любой настольной ОС. Пропустите только если современный GUI – твердое требование.

Cryptomator - Лучше всего для шифрования файлов внутри облачных папок

Cryptomator шифрует отдельные файлы внутри хранилища, а затем сохраняет хранилище как обычную папку на диске. Эта папка может жить внутри Dropbox, OneDrive, iCloud Drive или любого инструмента облачной синхронизации без изменения того, как синхронизация работает. Только зашифрованные объекты когда-либо покидают машину, и имена файлов зашифровываются наряду с содержимым.

Где он отстает: Он шифрует файлы, не диски. Любой, кто имеет физический доступ к смонтированному хранилищу, может прочитать его содержимое, поэтому локальной машине все еще нужно его собственное шифрование сверху для полной защиты диска.

Цены:

Миграция с BitLocker: Нет прямого импорта. Пользователи создают новое хранилище внутри папки облака и вручную перемещают файлы.

Скачать: Cryptomator

Суть: Объедините Cryptomator с полным инструментом диска для всех, кто синхронизирует конфиденциальные файлы с потребительским облачным хранилищем.

FileVault - Лучше всего для полного шифрования диска macOS без дополнительного ПО

FileVault – встроенное шифрование диска XTS-AES-128 от Apple. На Apple silicon он привязывает ключ тома к Secure Enclave, поэтому разблокировка привязана к оборудованию, которое пользователи не могут вытащить. Ключи восстановления можно напечатать, держать локально, отправить в iCloud или разделить с MDM организации.

Где он отстает: Работает только на macOS. Поток установки по умолчанию подталкивает пользователей к условному хранилищу восстановления iCloud, что воссоздает проблему BitLocker с облачным ключом для всех, кто хочет чистый локальный ключ. Отключение этого означает выбор опции печатного ключа при включении.

Цены:

Миграция с BitLocker: Нет прямого пути. Пользователи расшифровывают диск Windows, копируют файлы и включают FileVault на стороне Mac.

Скачать: Руководство поддержки Apple

Суть: Для пользователей только Mac FileVault охватывает ту же область, что и BitLocker, с тем же компромиссом вокруг условного хранилища восстановления облака. Выберите опцию печатного ключа при установке и это перестанет быть проблемой.

LUKS с cryptsetup - Лучше всего для полного шифрования диска Linux во время установки

LUKS (Linux Unified Key Setup) находится поверх подсистемы dm-crypt ядра и является стандартным полным шифрованием диска на Ubuntu, Fedora, Debian и любом крупном дистрибутиве. Установка происходит во время инсталляции или позже с cryptsetup luksFormat. До восьми слотов ключей на том позволяют пользователям держать несколько парольных фраз или файлов ключей параллельно.

Где он отстает: Инструментарий командной строки выглядит пугающим для всех, кто новичок в Linux, и восстановление от поврежденного заголовка LUKS работает только, если пользователь сохранил файл резервной копии заголовка. Установщики дистрибутивов скрывают большую часть этого, но основное предположение – пользователь, который удобно чувствует себя в терминале.

Цены:

Миграция с BitLocker: Не прямая миграция. Пользователи переводят данные с диска BitLocker, устанавливают Linux с отмеченной опцией “encrypt disk” и копируют файлы обратно.

Скачать: Ubuntu Desktop installer или опция шифрования в любом крупном установщике Linux

Суть: Для рабочих станций Linux LUKS – это ответ. Нет причин искать дальше.

AxCrypt - Лучше всего для одного нажатия на шифрование файлов и папок на Windows и Mac

AxCrypt – шведский набор для шифрования, который добавляет действия шифрования и расшифровки по щелчку правой кнопкой мыши внутри Windows Explorer и macOS Finder. Он использует AES-256 в премиум-уровне и интегрируется с сервером управления ключами на основе пароля для обмена зашифрованными файлами с другими пользователями AxCrypt.

Где он отстает: Уровень Premium требуется для AES-256; бесплатная версия снижается до AES-128 и ограничивает, сколько файлов можно зашифровать за сеанс. Сервер ключей – облачная зависимость, которую пользователи не могут размещать самостоятельно.

Цены:

Миграция с BitLocker: Миграция не требуется. Пользователи отключают BitLocker в папках, которые они хотят, чтобы AxCrypt обрабатывал, и переошифровывают их через клиент AxCrypt.

Скачать: AxCrypt

Суть: Выберите AxCrypt для отдельных файлов и папок на Windows и Mac. Ищите где-то еще для полного шифрования диска.

7-Zip - Лучше всего для архивирования набора файлов с AES-256

7-Zip – инструмент архива, который поставляется с шифрованием AES-256 внутри архивов .7z и .zip. Опция шифрования имен файлов скрывает структуру каталогов архива, чего простое шифрование .zip не делает.

Где он отстает: Это не шифрование диска. Каждый цикл шифрования или расшифровки создает новый архив, поэтому 7-Zip не подходит для рабочих процессов, где файлы постоянно меняются.

Цены:

Миграция с BitLocker: Нет пути миграции. 7-Zip – это дополнительный инструмент, не заменитель.

Скачать: 7-Zip

Суть: Используйте 7-Zip, когда цель – передать зашифрованный пакет по электронной почте или USB, а не защитить живую рабочую папку.

Rohos Disk Encryption - Лучше всего для зашифрованных контейнеров на USB и портативных дисках

Rohos Disk Encryption создает контейнеры AES-256, которые монтируются как виртуальные диски, с портативным режимом, который работает с USB без прав администратора на хост-машине. Издатель, Tesline-Service SRL, поставляет инструмент с 2007 года.

Где он отстает: Закрытый исходный код, и бесплатная версия ограничивает размер контейнера 8 ГБ. Клиент Mac отстает от версии Windows в обновлениях функций.

Цены:

Миграция с BitLocker: Rohos может преобразовывать тома BitLocker To Go в контейнеры Rohos через мастер “Encrypt Removable Media”.

Скачать: Rohos Disk Encryption

Суть: Выберите Rohos для зашифрованных USB дисков, которые должны работать на машинах, где установка ПО не разрешена.

Как выбрать

Выберите VeraCrypt, если вы хотите самую сильную кроссплатформенную защиту и удобны с простым интерфейсом. Это рекомендация по умолчанию для всех, кто уходит от BitLocker по политике, контролю или кроссплатформенным причинам.

Выберите LUKS, если машина уже использует Linux или вот-вот будет. Это быстрее, лучше интегрировано и лучше задокументировано на Linux, чем любой сторонний вариант.

Выберите FileVault на Mac. Нет причин накладывать VeraCrypt сверху, если вам конкретно не нужны функции скрытого тома.

Выберите Cryptomator в качестве компаньона, когда конфиденциальные файлы синхронизируются на Dropbox, OneDrive, iCloud Drive или Google Drive. Это решает проблему, которую полные инструменты диска не касаются.

Выберите AxCrypt, если шифрование на уровне файлов по щелчку правой кнопкой мыши на Windows или Mac важнее, чем полная защита диска, и вы принимаете годовой сбор за уровень AES-256.

Выберите 7-Zip для одноразовых зашифрованных пакетов, которые должны путешествовать по электронной почте или USB. Это не слой живой защиты.

Выберите Rohos, если рабочий процесс основан на USB и целевые машины – заблокированные офисные ПК, где установка ПО не вариант.

Оставайтесь на BitLocker, если машина – устройство Windows 11 в корпоративной среде, где ИТ управляет ключами восстановления через Intune или Active Directory, и у вас есть письменный процесс восстановления. Эта конкретная установка избегает ловушки условного хранилища учетной записи, которую описал отчет XDA, потому что ключи живут где-то, где вы фактически можете их достичь.

FAQ

VeraCrypt лучше, чем BitLocker? Для владения ключом, кроссплатформенного охвата и проверяемости кода – да. BitLocker побеждает VeraCrypt на плотную интеграцию Windows и разблокировку на основе TPM без пароля. Выберите VeraCrypt, когда вы хотите, чтобы ключи принадлежали вам, а не учетной записи Microsoft.

Можно ли отключить BitLocker без потери моих файлов? Да. Откройте Control Panel, перейдите в BitLocker Drive Encryption и выберите “Turn off BitLocker” на диске. Расшифровка работает в фоновом режиме и оставляет файлы нетронутыми. На большом SSD процесс может занять несколько часов.

Какой лучший бесплатный альтернатива BitLocker? VeraCrypt – лучший бесплатный вариант на Windows, macOS и Linux. На Linux LUKS встроен и быстрее. На macOS FileVault уже установлен и бесплатно.

Работает ли BitLocker на Windows 11 Home? Windows 11 Home поставляется с “device encryption”, которая использует технологию BitLocker, но поверхность управления тонкая. Команда manage-bde и элементы управления Group Policy доступны только на Pro и Enterprise. Пользователи на Home, которые хотят детального контроля, обычно переходят на VeraCrypt.

Почему BitLocker продолжает запрашивать ключ восстановления после обновления BIOS? BitLocker привязывает свой ключ к TPM, и TPM измеряет прошивку. Обновление UEFI или BIOS изменяет измерение, поэтому BitLocker рассматривает цепь загрузки как скомпрометированную и требует ключ восстановления. Приостановка BitLocker в Control Panel перед обновлением и возобновление после него избегает запроса.

Что происходит, если я потеряю мой ключ восстановления BitLocker и свою учетную запись Microsoft? Данные исчезнут. Цель проектирования – что никто, включая Microsoft, не может прочитать диск без ключа. Напечатайте ключ восстановления или скопируйте его во второе автономное место перед тем, как вы будете полагаться на аккаунт для его удержания.