Windows 11/10でBitLocker起動PINの最小文字数を設定する方法

BitLockerのPINは当初、4〜20文字の範囲で設定することが許容されていました。しかし現在では、TPM 2.0を活用する他のWindows機能との整合性を高めるため、BitLocker PINの最小文字数が6文字に引き上げられました。

組織での移行を支援するため、Windows 11/10ではBitLocker PINの長さはデフォルトで6文字に設定されていますが、4文字まで短縮することも可能です。PINの最小文字数を6桁未満に設定した場合、WindowsはPIN変更の際に、TPM 2.0のロックアウト期間をデフォルト値よりも長いものへ更新しようとします。更新に成功した場合、WindowsはTPM自体をリセットしない限り、ロックアウト期間をデフォルト値に戻しません。

BitLocker起動PINの文字数を増やすことで、攻撃者が総当たり攻撃を成功させるまでに必要な試行回数を増加させることができます。その場合、各試行の間のロックアウト時間を短縮することで、正規ユーザーが失敗後にすぐ再試行できるようになりつつ、同等の保護レベルを維持することが可能になります。

BitLocker起動PINの最小文字数を指定する手順

まず、ローカルグループポリシーエディターを開き、左側のペインで以下の場所へ移動します。

コンピューターの構成 > 管理用テンプレート > Windows コンポーネント > BitLocker ドライブ暗号化 > オペレーティング システムのドライブ

オペレーティング システムのドライブの右側ペインに表示される「スタートアップ用の最小PIN長を構成する（Configure minimum PIN length for startup）」ポリシーをダブルクリックして編集画面を開きます。

このポリシー設定では、トラステッド プラットフォーム モジュール（TPM）スタートアップPINの最小文字数を構成できます。このポリシー設定は、BitLockerを有効化する際に適用されます。スタートアップPINは最小4桁、最大20桁の長さで設定する必要があります。

このポリシー設定を有効にした場合、スタートアップPINの設定時に必須となる最小桁数を要求できます。

このポリシー設定を無効にした場合、または未構成のままにした場合は、ユーザーは6〜20桁の範囲で任意の長さのスタートアップPINを設定できます。

なお、PINの最小文字数を6桁未満に設定した場合、WindowsはPIN変更時にTPM 2.0のロックアウト期間をデフォルトより長く更新しようとします。成功した場合、TPMをリセットしない限り、ロックアウト期間はデフォルト値に戻されません。

続いて、以下のいずれかの方法で設定を行います。

デフォルトの最小文字数を使用する場合

「未構成」または「無効」のラジオボタンを選択し、「OK」をクリックします。

最小文字数を独自に指定する場合

「有効」のラジオボタンを選択し、「最小文字数（Minimum characters）」フィールドに希望する4〜20の範囲内の数値を入力して、「OK」をクリックします。

設定が完了したら、グループポリシーエディターを閉じてシステムを再起動し、変更を反映させましょう。

以上が、Windows 11/10でBitLocker起動PINの最小文字数を構成する手順です。セキュリティ要件に応じて適切なPIN長を設定し、デバイスの保護強度を高めてください。