Windows 10でBitLockerの暗号化方式と暗号強度を変更する手順

Windows 10では、オペレーティングシステムドライブや固定データドライブに対してデフォルトでXTS-AES 128ビットが使用され、リムーバブルデータドライブにはAES-CBC 128ビットが使用されます。本記事では、Windows 10のBitLockerで使用される既定の暗号化方式(XTS-AESまたはAES-CBC)と暗号強度(128ビットまたは256ビット)を設定する方法を詳しく解説します。

Windows 10では、新しいディスク暗号化モード(XTS-AES)が導入されました。このモードは追加の整合性サポートを提供しますが、旧バージョンのWindowsとの互換性はありません。旧バージョンのWindowsと互換性のあるディスク暗号化互換モード(AES-CBC)を選択することも可能です。旧バージョンのWindowsで使用する予定のリムーバブルドライブを暗号化する場合は、AES-CBCを使用することをおすすめします。なお、上記のどちらのBitLockerドライブ暗号化モードでも、128ビットまたは256ビットの暗号強度をサポートしています。

BitLockerの暗号化方式と暗号強度を変更する方法

既定として設定したBitLockerの暗号化方式と暗号強度は、ドライブのBitLockerを有効にする際にのみ適用されます。設定を変更しても、すでにBitLockerで暗号化済みのドライブには反映されません。反映させるには、該当ドライブのBitLockerを一度オフにしてから、再度オンにする必要があります。

注意: ドライブの暗号化方式と暗号強度を選択するには、管理者アカウントでサインインしている必要があります。

まず、ローカルグループポリシーエディターを開き、左側のウィンドウで以下の場所へ移動します。

コンピューターの構成 > 管理用テンプレート > Windowsコンポーネント > BitLockerドライブ暗号化

右側のウィンドウにある「ドライブの暗号化方法と暗号強度を選ぶ(Windows 10(バージョン1511)以降)」ポリシーをダブルクリックして編集画面を開きます。

このポリシー設定では、BitLockerドライブ暗号化で使用されるアルゴリズムと暗号強度を構成できます。このポリシー設定は、BitLockerを有効にした時点で適用されます。ドライブがすでに暗号化されている場合や暗号化が進行中の場合は、暗号化方式を変更しても効果はありません。

このポリシー設定を有効にすると、固定データドライブ、オペレーティングシステムドライブ、リムーバブルデータドライブそれぞれに対して、個別に暗号化アルゴリズムとキーの暗号強度を構成できます。固定ドライブおよびオペレーティングシステムドライブにはXTS-AESアルゴリズムの使用が推奨されます。リムーバブルドライブについては、Windows 10(バージョン1511)以外のデバイスで使用する可能性がある場合は、AES-CBC 128ビットまたはAES-CBC 256ビットを使用してください。

このポリシー設定を無効にした場合、または未構成の場合、BitLockerは「ドライブの暗号化方法と暗号強度を選ぶ(Windows Vista、Windows Server 2008、Windows 7)」および「ドライブの暗号化方法と暗号強度を選ぶ」の各ポリシー設定(この順序)と同じビット強度(128ビットまたは256ビット)のAESを使用します(設定されている場合)。いずれのポリシーも設定されていない場合は、既定の暗号化方式であるXTS-AES 128ビット、またはセットアップスクリプトで指定された暗号化方式が使用されます。

上のスクリーンショットを参考に、目的に応じて以下のいずれかの操作を行ってください。

既定のBitLockerドライブ暗号化方式と暗号強度を使用する場合

• 「未構成」または「無効」のラジオボタンを選択し、「OK」をクリックします。これでグループポリシーエディターを終了できます。

BitLockerドライブ暗号化方式と暗号強度を選択する場合

• 「有効」のラジオボタンを選択し、オペレーティングシステムドライブ、固定データドライブ、リムーバブルデータドライブそれぞれに適用したい暗号化方式を選択して、「OK」をクリックします。

以上で設定は完了です。グループポリシーエディターを終了してください。

なお、BitLockerドライブ暗号化機能は、Windows 10 Pro、Windows 10 Enterprise、Windows 10 Educationの各エディションでのみ利用可能です。Homeエディションでは使用できないため、あらかじめご確認ください。