Windows 10のBitLockerでドライブを暗号化する方法を徹底解説

ハードドライブの暗号化は、セキュリティを強化するための最も手軽かつ効果的な方法のひとつです。Windows 10には標準でドライブ暗号化機能が搭載されており、Pro、Enterprise、Educationエディションのユーザーは「BitLocker」というフルディスク暗号化ツールを利用できます。

ドライブ暗号化と聞くと少し身構えてしまうかもしれません。パスワードを忘れてしまうと、ドライブは永遠にロックされたままになってしまうからです。それでも、BitLockerがもたらすセキュリティはほぼ比類のないものがあります。

この記事では、Windows 10でBitLockerを使ってハードドライブを暗号化する具体的な手順を詳しく解説します。

BitLockerとは?

BitLockerは、Windows 10 Pro、Enterprise、Educationに含まれるフルボリューム暗号化ツールです。BitLockerを使えば、ドライブボリューム(ドライブ全体ではなく、ドライブの一部を指す場合もあります)を暗号化できます。

BitLockerは、一般のWindows 10ユーザーにも強力な暗号化を提供します。デフォルトでは128ビットAES暗号化(AES-128)が使用されます。これは非常に強力な暗号方式で、現時点では128ビットAES暗号鍵を総当たり攻撃で破る既知の手法は存在しません。研究チームがAES暗号アルゴリズムへの潜在的な攻撃手法を発表したことはありますが、鍵の解読には数百万年かかるとされています。だからこそAESは「軍事レベルの暗号化」と呼ばれているのです。

AES-128を使用するBitLockerは十分安全ですが、より長い256ビット鍵を使うことも可能で、そうすればドライブの鍵は実質的に解読不可能になります。後ほど、BitLockerをAES-256に切り替える方法もご紹介します。

BitLockerには3つの暗号化モードがあります。

• ユーザー認証モード:いわゆる「標準」モードです。ドライブを暗号化し、ロック解除前に認証を求めます。認証にはPINまたはパスワードを使用します。
• 透過的操作モード:やや高度なモードで、TPM(Trusted Platform Module)チップを使用します。TPMチップは、BitLockerでドライブを暗号化した後にシステムファイルが改ざんされていないかを確認します。改ざんが検出されると、TPMチップは鍵を解放せず、パスワードを入力してもドライブを復号できなくなります。このモードは、ドライブ暗号化の上にもう一段階のセキュリティ層を追加します。
• USBキーモード:物理的なUSBデバイスを使用して、暗号化されたドライブを起動するモードです。

システムにTPMモジュールがあるか確認する方法

自分のシステムにTPMモジュールがあるかわからない場合は、Windowsキー + Rを押してtpm.mscと入力してください。TPMに関する情報が表示されれば、TPMモジュールが搭載されています。「互換性のあるTPMが見つかりません」というメッセージが表示される場合は、TPMモジュールがありません。

TPMモジュールがなくても問題ありません。TPMなしでもBitLockerを使用できます。詳細は次のセクションをご覧ください。

BitLockerが有効になっているか確認する方法

BitLockerによるドライブ暗号化の手順に進む前に、システムでBitLockerが有効になっているかどうかを確認しておきましょう。

スタートメニューの検索バーにgpeditと入力し、一致する項目を選択してグループポリシーエディターを開きます。

コンピューターの構成 > 管理用テンプレート > Windowsコンポーネント > BitLockerドライブ暗号化 > オペレーティングシステムのドライブへ移動します。

スタートアップ時に追加の認証を要求するを選択し、有効に設定します。

互換性のあるTPMモジュールがシステムにない場合は、互換性のあるTPMがない状態でBitLockerを許可するにチェックを入れます。

Windows 10でBitLockerドライブ暗号化を使う方法

まず、スタートメニューの検索バーにbitlockerと入力し、一致する項目を選択します。

BitLockerで暗号化したいドライブを選択し、BitLockerを有効にするをクリックします。

次に、このドライブのロック解除方法を選択してくださいという画面が表示されます。選択肢は以下の2つです。

1. パスワードを使用する
2. スマートカードを使用する

ここでは最初のオプションであるパスワードを使用してドライブのロックを解除するを選択しましょう。

BitLockerのパスワードを選ぶ

ここが重要なポイントです。覚えやすく、かつ十分に強固なパスワードを選びましょう。BitLockerウィザードのアドバイスにあるように、パスワードには大文字・小文字の英字、数字、スペース、記号を含めるのが理想的です。強力なパスワードの作り方に不安がある場合は、関連ガイドを参考にするとよいでしょう。

適切なパスワードを作成したら、入力してもう一度同じパスワードを入力して確認します。

次のページでは、BitLocker回復キーの作成方法を選択します。BitLocker回復キーはドライブごとに固有のもので、万が一の際に備える唯一のバックアップ手段となります。選択肢は4つありますが、ここではファイルへの保存を選択し、覚えやすい保存場所を指定してください。保存したら「次へ」をクリックします。

暗号化する範囲と暗号化モードの選択

続いて、ドライブのどの範囲を暗号化するかを選択します。

すでに使用中のドライブを暗号化する場合は、削除済みだがまだドライブ上に残っているデータを含め、すべてのデータを確実に暗号化できるよう、ウィザードはドライブ全体の暗号化を強く推奨しています。一方、新しいドライブや新規PCを暗号化する場合は、「現在使用中の部分だけを暗号化すれば十分」です。以降に追加される新しいデータは、BitLockerが自動的に暗号化してくれるためです。

最後に、暗号化モードを選択します。Windows 10バージョン1511で導入された新しいディスク暗号化モードが「XTS-AES」です。XTS-AESは追加の整合性サポートを提供しますが、旧バージョンのWindowsとは互換性がありません。BitLockerで暗号化したドライブをそのまま同じシステムで使い続けるなら、新しいXTS-AESモードを安全に選べます。

逆に、暗号化したドライブを別のマシンに接続して使う予定がある場合は、互換モードを選択してください。

BitLockerでドライブを暗号化する

いよいよ最終ページです。暗号化の開始をクリックし、処理が完了するのを待ちましょう。暗号化にかかる時間はデータ量によって異なり、ある程度時間がかかることがあります。

システムを再起動したり、暗号化されたドライブにアクセスしようとしたりすると、BitLockerがドライブのパスワードを求めてきます。

BitLockerでAES-256を使用する方法

BitLockerは、128ビットAESではなく、はるかに強力な256ビットAES暗号化を使用するよう設定できます。128ビットAESでも総当たり攻撃には膨大な時間が必要ですが、256ビットに切り替えればさらに堅牢な保護を実現できます。

AES-128ではなくAES-256を使う主な理由は、将来の量子コンピューティングの台頭に備えるためです。量子コンピューターは、現在のハードウェアよりもはるかに容易に現行の暗号標準を突破できる可能性があると言われています。

グループポリシーエディターを開き、コンピューターの構成 > 管理用テンプレート > Windowsコンポーネント > BitLockerドライブ暗号化へ移動します。

ドライブ暗号化方法と暗号強度の選択を選択し、有効にします。次に、ドロップダウンボックスでXTS-AES 256ビットを選択します。適用をクリックすれば設定完了です。

WindowsのBitLockerパスワードをバックアップする

これで、Windows 10のドライブをBitLockerで暗号化する方法がわかりました。BitLockerはWindows 10に統合された優れた暗号化ツールであり、サードパーティ製の暗号化ツールをわざわざ導入する必要はありません。

ただし、Windows 10 HomeユーザーはBitLockerを利用できない点に注意が必要です。Homeエディション向けのディスク暗号化の代替手段についても、ぜひチェックしてみてください。