Windows 10でBitLockerの暗号化方式と暗号強度を変更する方法

Windows 10では、オペレーティングシステムドライブや固定データドライブに対してデフォルトで「XTS-AES 128ビット」が使用され、リムーバブルデータドライブには「AES-CBC 128ビット」がデフォルトで適用されます。この記事では、BitLockerで使用する暗号化方式(XTS-AESまたはAES-CBC)と暗号強度(128ビットまたは256ビット)の既定値を設定する方法を解説します。

Windows 10では、新しいディスク暗号化モード(XTS-AES)が導入されました。このモードは追加の整合性サポートを提供しますが、旧バージョンのWindowsとの互換性はありません。代わりに、旧バージョンのWindowsと互換性のある互換モード(AES-CBC)を選択することも可能です。古いバージョンのWindowsで使用する予定のリムーバブルドライブを暗号化する場合は、AES-CBCを使用しましょう。なお、上記のどちらのBitLockerドライブ暗号化モードでも、128ビットまたは256ビットの暗号強度を選択できます。

BitLockerの暗号化方式と暗号強度を変更する手順

ここで設定した既定のBitLocker暗号化方式と暗号強度は、ドライブのBitLockerを有効にするときにのみ適用されます。設定を変更しても、すでにBitLockerで暗号化済みのドライブには影響しません。変更を反映させるには、対象ドライブのBitLockerを一度無効にしてから、再度有効にする必要があります。

注意: 暗号化方式と暗号強度を選択するには、管理者としてサインインしている必要があります。

まず、ローカルグループポリシーエディターを開き、左側のウィンドウで次の場所へ移動します。

コンピューターの構成 > 管理用テンプレート > Windows コンポーネント > BitLocker ドライブ暗号化

右側のペインにある「ドライブの暗号化方法と暗号強度を選ぶ (Windows 10 (バージョン 1511) 以降)」ポリシーをダブルクリックして編集します。

このポリシー設定では、BitLockerドライブ暗号化で使用されるアルゴリズムと暗号強度を構成できます。この設定は、BitLockerを有効にした時点で適用されます。ドライブがすでに暗号化されている場合、または暗号化が進行中の場合は、暗号化方式を変更しても効果はありません。

このポリシー設定を有効にすると、固定データドライブ・オペレーティングシステムドライブ・リムーバブルデータドライブのそれぞれについて、暗号化アルゴリズムとキーの暗号強度を個別に構成できます。固定データドライブおよびOSドライブにはXTS-AESアルゴリズムの使用を推奨します。リムーバブルドライブについては、Windows 10(バージョン1511)以降が動作していない他のデバイスで使用する場合は、AES-CBC 128ビットまたはAES-CBC 256ビットを使用してください。

このポリシー設定を無効にした場合、または未構成の場合、BitLockerは「ドライブの暗号化方法と暗号強度を選ぶ(Windows Vista、Windows Server 2008、Windows 7)」および「ドライブの暗号化方法と暗号強度を選ぶ」の各ポリシー設定(この順序)で指定されたものがあれば、それと同じビット強度(128ビットまたは256ビット)のAESを使用します。いずれのポリシーも設定されていない場合は、既定の暗号化方式であるXTS-AES 128ビット、またはセットアップスクリプトで指定された暗号化方式が使用されます。

上記のスクリーンショットを参考に、目的に応じて以下のいずれかを設定します。

既定のBitLocker暗号化方式と暗号強度を使用する場合

• [未構成]または[無効]のラジオボタンを選択し、[OK]をクリックします。これでグループポリシーエディターを終了できます。

BitLockerの暗号化方式と暗号強度を自分で選択する場合

• [有効]のラジオボタンを選択し、オペレーティングシステムドライブ、固定データドライブ、リムーバブルデータドライブそれぞれに適用したい暗号化方式を選んで、[OK]をクリックします。

設定後はグループポリシーエディターを終了して問題ありません。新しい設定は、次回ドライブのBitLockerを有効にしたときに反映されます。

なお、BitLockerドライブ暗号化機能は、Windows 10 Pro、Windows 10 Enterprise、Windows 10 Educationエディションでのみ利用可能です。