投降即服务：微软为联邦政府解锁了 BitLocker

如果你认为使用微软的 BitLocker 加密可以让你的数据 100% 安全，那就想错了。去年，雷德蒙德 reportedly 向 FBI 提供了加密密钥，以解锁因欺诈起诉而被指控的 Windows 用户的笔记本电脑。

根据福布斯的报道，政府案件 [PDF] 声称在关岛的被告欺诈性地收取了疫情失业救济金，这是微软首次公开提供 BitLocker 密钥的已知实例。

BitLocker 是一种 Windows 安全系统，可以对存储设备上的数据进行加密。它支持两种模式：设备加密（Device Encryption），旨在简化安全性，以及 BitLocker 驱动器加密（BitLocker Drive Encryption），一种高级模式。

对于这两种模式，微软通常会在通过活跃的微软账户设置服务时，将 BitLocker 密钥备份到其服务器上。"如果你使用微软账户，BitLocker 恢复密钥通常会附加在上面，你可以在线访问恢复密钥，"该公司在其文档中解释道。

对于受管理的设备情况类似。"如果你使用的是由工作或学校管理的设备，BitLocker 恢复密钥通常会由你所在组织的 IT 部门备份和管理，"该公司表示。

微软提供了将密钥存储在其他地方的选项。客户可以选择"保存到 USB 闪存驱动器"、"保存到文件"或"打印恢复密钥"，而不是选择"保存到你的微软账户"。

但鼓励客户将密钥托付给微软，因为只要他们可以在线访问账户，就可以恢复密钥，这实际上使雷德蒙德成为他们的数字门卫。然而，在这种情况下，客户不再完全控制对其数据的访问。

苹果提供了一种类似的设备加密服务，称为 FileVault，并辅以其 iCloud 服务。iCloud 服务还提供了一种简单模式，称为"标准数据保护"和"iCloud 的高级数据保护"。

在标准数据保护下，苹果持有 iCloud 数据的加密密钥，但有一些例外（例如密码和钥匙串）。在高级数据保护下，该公司仅持有 iCloud 邮件、联系人和日历的密钥。

• 微软 365 故障持续近 10 小时，北美基础设施遭遇糟糕夜晚
• 微软转向云管理软件，可能会窥探你的资产
• AI 会议的论文受到 AI 幻觉的污染
• Cursor 使用代理编写浏览器，证明 AI 可以大规模编写劣质代码

苹果和微软与其他公司一样，遵守他们认为合法的政府信息要求。但他们无法提供他们不控制的密钥。

苹果在其针对执法的指南 [PDF] 中也提到这一点："苹果存储的所有 iCloud 内容数据在服务器位置额外加密。对于苹果可以解密的数据，苹果在其美国数据中心保留加密密钥。苹果不会接收或保留客户端到端加密数据的加密密钥。"

这与 BitLocker 的情况不同，如果客户在设置过程中允许，微软可能会访问客户端到端加密数据的加密密钥。

微软解释说，它不会向政府提供自己的加密密钥。但它并没有对其客户做出这样的承诺。

"我们不会向任何政府提供我们的加密密钥或破坏我们加密的能力，"该公司在其执法指导中表示。"在大多数情况下，我们的默认做法是安全地存储客户的加密密钥。即使是我们最大的企业客户通常也更希望我们保留他们的密钥，以防止意外丢失或盗窃。然而，在许多情况下，我们也提供消费者或企业保留自己密钥的选项，在这种情况下，微软不会保留副本。"

这是一个明确的信息，传达给活动组织和律师事务所，微软并不是为你们构建他们的产品。

根据微软最近的客户数据政府请求报告，涵盖 2024 年 7 月至 2024 年 12 月，该公司共收到来自全球执法机构的 128 个请求，其中 77 个来自美国当局。在此期间，仅有四个请求导致内容披露，分别是三个来自巴西和一个来自加拿大。

微软没有立即回应评论请求。该公司告诉福布斯，它每年收到大约 20 个 BitLocker 密钥的请求，如果客户没有将这些密钥托付给微软进行云存储，则无法提供这些密钥。

"微软在隐私和可恢复性之间做出了权衡，"电子前沿基金会的高级技术专家 Erica Portnoy 在给 The Register 的电子邮件中表示。"我猜这可能是因为他们更关注商业用例，在这种情况下，数据丢失比微软或政府获取该数据的后果要严重得多。但通过做出这样的选择，他们使其产品不太适合对隐私需求更高的个人和组织。这是一个明确的信息，传达给活动组织和律师事务所，微软并不是为你们构建他们的产品。" ®