Windows 11でBitLockerのUSBスタートアップキーを自作する方法を徹底解説

実は、Windows 11では市販のほぼすべてのUSBメモリを「スタートアップキー」として活用できます。比較的新しいPCでBitLockerを有効にすると、WindowsはTPM(トラステッド・プラットフォーム・モジュール)を利用して、PCを起動するたびにシステムドライブを自動的にロック解除します。

BitLocker有効化済みのPCにUSBスタートアップキーを組み合わせれば、セキュリティを一段引き上げながら利便性も維持できます。これは事実上、BitLocker暗号化に二要素認証を追加するのと同じ効果をもたらします。以降、PCはUSBスタートアップキーが挿入されていない限り起動せず、ドライブの復号もWindowsの起動も行われません。

ここで押さえておきたいのは、「USBスタートアップキー」と「USBセキュリティキー」の違いです。Yubico社のYubiKey 5シリーズのようなUSBセキュリティキーは、FIDO2(Fast Online Identification)認証に対応しており、MicrosoftのWindows Helloも同様の認証方式を採用しています。

一方、USBスタートアップキーは、キーが挿入されていない限り、BitLockerで暗号化されたドライブからWindowsを起動できないようにする仕組みです。セキュリティキーとまったく同じ保護レベルではありませんが、パスワードだけの運用より確実に安全です。

本記事では、Windows 11でこのスタートアップキーをゼロから作成する手順を解説します。

自分だけのUSBスタートアップキーを作成する

BitLockerはWindows 7で初めて搭載された、Windows 11に標準搭載のフルディスク暗号化ツールです。このBitLockerを利用すれば、Windows 11でUSBスタートアップキーを作成できます。

ただし重要な注意点として、この方法が使えるのはWindows 11 ProfessionalおよびEnterpriseエディションのみです。Windows HomeにはBitLockerが搭載されておらず、代わりに「デバイス暗号化」という別のセキュリティ機能が採用されています。

以下、Windows 11 ProでBitLockerを使ってUSBスタートアップキーをゼロから作成する手順です。

1. エクスプローラーを開き、システムドライブ(Windowsがインストールされているドライブ)を右クリックして「BitLockerの有効化」をクリックします。筆者の場合はC:ドライブです。

2. BitLockerの処理が完了したら、「ローカルグループポリシーエディター」を開きます。次のパスへ移動してください。
コンピューターの構成 > 管理用テンプレート > Windowsコンポーネント > BitLockerドライブ暗号化 > オペレーティングシステムのドライブ

3. 「起動時の追加認証を要求する」というポリシーを探してダブルクリックし、設定画面を開きます。

4. 新しいウィンドウが開くので、設定を「有効」に変更し、「TPMスタートアップキーの構成」のドロップダウンメニューから「TPMスタートアップキーを要求する」を選択します。「適用」をクリックして変更を反映させ、「OK」でウィンドウを閉じます。最後にローカルグループポリシーエディターを閉じてください。

5. 最後のステップは、コマンドプロンプトを管理者として実行することです。以下のコマンドをコピー&ペーストし、Enterキーを押して実行しましょう。

manage-bde -protectors -add C: -TPMAndStartupKey E:

manage-bde -protectorsは、BitLocker暗号化キーの保護方法を管理するコマンドです。このコマンドにより、E:(筆者のUSBドライブのドライブ文字)がTPMAndStartupKeyとして登録され、C:(システムドライブ)のロック解除に必要な要素となります。ご自身の環境に合わせて、システムドライブとUSBドライブの正しいドライブ文字を必ず指定してください。

これで作業は完了です! 以降、PCはUSBメモリを挿していないと起動しなくなります。ぜひ実際に試してみてください。USBスタートアップキーなしでPCを起動しようとすると、次のような画面が表示されます。

専用アプリを使う代替手段

自分でUSBスタートアップキーを作成するのは少し難しそうだと感じたら、Windows 11で任意のUSBメモリを使ってPCをロックできるサードパーティ製アプリを利用するのも一つの手です。ここでは代表的な3つをご紹介します。

1. USB Raptor

USB Raptorは無料のプログラムで、ダウンロードしてインストールすれば、どんなUSBフラッシュドライブでもスタートアップキー化し、PCを自由にロック・ロック解除できます。USB RaptorがPC上で動作している限り、あなたのUSBスタートアップキーなしに誰もPCを操作できません。

USB RaptorでPCがロックされると、茶色いスクリーンセーバーが表示され、現在時刻と、パスワード入力・USBスタートアップキー・ネットワーク経由のロック解除といった有効な解除方法が確認できます。ただし、この無料アプリの弱点は、正しく機能させるためにUSB Raptorを常時起動・有効化しておく必要がある点です。

2. Predator

Predatorは、USBメモリを使って離席中のPCをロック・ロック解除できる、人気のある低価格な選択肢です。Predatorで独自のUSBスタートアップキーを作成すると、許可なくPCを使用しようとしたユーザーは「Access Denied(アクセス拒否)」のエラーメッセージに阻まれ、デバイスへアクセスできなくなります。

3. Rohos Logon Key

Rohos Logon Keyは、二要素認証によってWindows 11とmacOSの両方のログオンを保護できるUSBキー作成ツールです。技術的には「フリーウェア」と分類されますが、15日間の試用期間を過ぎて使い続けたい場合は、最大59.00ドルのライセンス購入が必要になります。

あなたはPCの起動時にUSBスタートアップキーでロックをかけていますか? 利用している・いないの理由を、ぜひコメント欄で教えてください!