デバイス暗号化を有効にした状態でWindows 11を起動するにはどうすればいいでしょうか？例えばUbuntuでは、ログインするまでログイン画面は表示されません。

Question 1

しかし、SSD 全体が暗号化されている場合 (少なくとも私が実現したいのは)、Windows ログイン画面にどうやってアクセスできるのかわかりません。ディスク上の内容を復号化するためのキーなしで OS を読み取ることができるのでしょうか。

それするキーを持っています。BitLocker 暗号化キーはログインパスワードに基づくものではなく、Ubuntu の LUKS パスフレーズと非常によく似ており、完全に独立しています。

本質的には、WindowsのBitLockerはUbuntuのLUKSとほぼ同じように機能します。パーティションごとに機能するため（ディスク全体ではなく）、OSパーティション全体が暗号化されますが、OSの一部は暗号化されません。ない¹で暗号化され、別のパーティションに保存されるため、「ディスク」パスフレーズの入力が求められます。または、TPM を使用してパスフレーズを自動的に取得します。

「デバイス暗号化」が有効な場合、ディスクパスフレーズは TPM を使用して暗号化 (「封印」) され、ディスクの BitLocker メタデータ内に保存されます。システムが起動すると、Windows ブートローダーがパスフレーズを封印解除 (つまり、TPM に復号化を要求) し、暗号化された C:\ ボリュームのロックを解除できます。前にOS をロードしています。

OS ログインプロンプトが表示されるまでには、すべてがすでにロック解除されています。

(Linux でもを使用すると同じことを実現できますsystemd-cryptenroll。は、TPM を使用して LUKS キーを封印し、それを LUKS2 ヘッダー内に「トークン」として保存します。この場合、暗号化されていない Linux カーネル + initrd がパスフレーズを要求したり、TPM と通信したりします。)

BitLocker のフルバージョン (Windows の「Pro」以上のエディション) では、TPM なしで通常のパスフレーズを使用することもサポートされています。(これは具体的には「デバイスの暗号化」とは見なされませんが、内部的には同じ BitLocker です。) TPM なしでそのように BitLocker を設定すると、Ubuntu の場合と同じように、OS の起動を開始する前に、Windows ブートローダーからパスフレーズプロンプトが表示されます。

¹「フルディスク暗号化」は実際にはほとんどの場合パーティションごとに行われ、実際にはディスク全体ではありません。通常、メインの C:\ または Linux の「/」パーティションは暗号化されますが、「EFI システムパーティション」は暗号化されません。

Windows ブートローダー (BitLocker を処理) と Linux カーネル + initrd (LUKS を処理) の両方を、暗号化されていない EFI システムパーティションに保存する必要があります。(同様に、BIOS システムでは、暗号化されていない /boot、または /boot の Windows 版である「Microsoft システムパーティション」が存在します。)

このセットアップ全体の重要な部分の一つは、「TPMで密封された」キーが復号化の条件ブートローダーは暗号化されていないにもかかわらず、TPM によって開封が拒否されるため、TPM に添付されているブートローダーは改ざんから保護されます。パスワードベースの暗号化では、通常、このような保護はありません。

Windows ディスクには通常、読み取り専用のミニ OS を含む「Rescue」パーティションがあります。これも暗号化されていません (ただし、セキュアブートによって保護されています)。同じディスクにカスタムデータパーティションがある場合、それらは暗号化されている場合とされていない場合があります。暗号化されている場合、パスフレーズは C: 内のどこかに保存されます。

Answer