BitLocker を有効にしたまま BIOS を更新してはいけない

ってこんなの当たり前か。Vista そのものにあまり慣れておらず、なにも考えずに BIOS 更新をして、はまってしまった。

BitLocker による暗号化を有効にしたまま BIOS 更新をするとどうなるか。次回の OS 起動時に BitLocker によるロックがかかってしまい、回復パスワードがないと起動しなくなる。そしてこのままだと起動するたびに回復パスワードが必要になってしまう。これを直すには、一旦 BitLocker による暗号化を解除(復号)して、再度暗号化をやり直す必要がある。起動時にロックがかかるのは、TPM による整合性チェックの仕組みによるもの。

では正しい手順はどうかというと、
(1) BitLocker を一時的に無効にする (暗号化の解除ではない)
(2) BIOS を更新する
(3) BitLocker を有効にする

ということで、最初に BitLocker を無効にした状態で BIOS を更新すれば、ロックされることはない。ただし、BitLocker を無効にしたままの状態は、暗号化はされているものの、TPM による保護は機能していないため、データは安全ではない。BIOS 更新後に BitLocker を再びオンにすることを忘れてはいけない。

ちなみに、BitLocker の暗号化には 1分/GB 程度、復号にはさらに時間がかかるので、容量の大きいボリュームの暗号化をやり直すのにはかなりの時間がかかってイライラします。

(参考)
Shigeya Tanabe's blog : BIOS 更新時は BitLocker をオフに
BitLocker 有効化後 BCD を変更すると回復 password を求められる
Windows Vista ヘルプ : BitLocker ドライブ暗号化の BIOS を更新する
Windows Vista ヘルプ : BitLocker ドライブ暗号化の無効化とボリュームの暗号化解除の違い