Activation et désactivation de BitLocker avec TPM dans Windows

Présentation

Cet article explique comment activer et désactiver le chiffrement de lecteur BitLocker Windows à l’aide d’un module TPM (Trusted Platform Module) sur les ordinateurs Dell exécutant Windows 10 ou Windows 11. Il couvre l’activation du module TPM dans le BIOS, la configuration BitLocker, la vérification de l’état, la suspension et le déchiffrement. Cet article ne couvre pas les configurations USB en tant que module TPM, les modifications de stratégie de groupe au niveau du domaine et les déploiements BitLocker gérés par le réseau.

Référence rapide

Utilisez le tableau ci-dessous pour faire correspondre rapidement une question ou une intention d’utilisateur à la section appropriée.

Concepts et définitions clés

Chiffrement de BitLocker Drive

Fonctionnalité de chiffrement de volume complète intégrée à Windows qui protège les données en chiffrant des volumes de disque entiers. Lorsqu’il est activé, BitLocker chiffre les données au repos, empêchant ainsi tout accès non autorisé en cas de retrait d’un lecteur ou de vol de l’ordinateur.

Module TPM (Trusted Platform Module)

Une puce de sécurité matérielle dédiée située sur la carte mère qui stocke les clés cryptographiques. BitLocker utilise le module TPM pour sceller les clés de chiffrement, garantissant ainsi que le lecteur ne peut être déchiffré que sur l’ordinateur d’origine avec la même configuration matérielle. Deux versions existent :

• TPM 1.2 : requis pour les systèmes en mode de démarrage traditionnel (non UEFI).
• TPM 2.0 : pris en charge en mode de démarrage UEFI. Configuration requise pour Windows 11. Certains modèles (Latitude 5175, Latitude 7275, par exemple) disposent uniquement du module TPM 2.0.

Clé de récupération

Clé numérique à 48 chiffres générée lors de la configuration de BitLocker. Il s’agit du seul moyen d’accéder à un lecteur chiffré par BitLocker si le module TPM ne peut pas être vérifié (par exemple, après des modifications matérielles). La perte de la clé de récupération rend les données chiffrées définitivement inaccessibles : le système d’exploitation doit être réinstallé.

États BitLocker

• Activé (chiffré) : le lecteur est entièrement chiffré et protégé.
• Chiffrement : le chiffrement BitLocker est en cours d’exécution.
• Suspendu : BitLocker est temporairement suspendu ; le lecteur est accessible sans le module TPM. Nécessaire avant certaines tâches de maintenance.
• Désactivé (déchiffré) : BitLocker est désactivé et le lecteur est déchiffré.

Conditions préalables et compatibilité

Compatibilité entre la version du module TPM et le mode de démarrage

Section 1 : activation du module TPM dans le BIOS

1. Mettez l’ordinateur sous tension.
2. Pendant l’autotest de démarrage, appuyez sur la touche F2 pour accéder à l’écran du BIOS.
3. Accédez à la section Security.
4. Dans Security, localisez l’option TPM.
5. Sélectionnez la section TPM 2.0 ou TPM 1.2 dans le panneau de gauche.
6. Cochez la case TPM pour mettre le module TPM sous tension.
7. Sélectionnez Activate ou Enable en regard du module TPM (si l’option est présente).
8. Cliquez sur Save Changes and Exit pour enregistrer les modifications et quitter le BIOS. L’ordinateur redémarre.

Section 2 : activation de BitLocker sous Windows

Étape 1 : ouvrir la console de gestion BitLocker

Procédez de l’une des manières suivantes :

Méthode A : recherche dans le menu Démarrer (recommandée)

1. 1. Cliquez sur le bouton du menu Démarrer Windows.
   2. Dans la zone de recherche, saisissez : Gérer BitLocker (Windows 10) ou Chiffrement de l’appareil (Windows 11).
   3. Appuyez sur Entrée ou cliquez sur l’icône du résultat.

Méthode B : panneau de configuration

1. 1. Cliquez sur le menu Démarrer de Windows → Panneau de configuration.
   2. Cliquez sur Système et sécurité.
   3. Cliquez sur n’importe quelle option sous Chiffrement de lecteur BitLocker.

Méthode C : explorateur de fichiers (cliquez avec le bouton droit de la souris sur le lecteur)

1. 1. Ouvrez l’Explorateur de fichiers et cliquez sur Ce PC.
   2. Cliquez avec le bouton droit de la souris sur le lecteur C:\ (Windows).
   3. Cliquez sur Activer BitLocker. (Cette étape n’affiche pas l’écran BitLocker initial.)

Étape 2 : exécuter l’Assistant de configuration BitLocker

1. Dans l’écran de gestion de BitLocker, cliquez sur Activer BitLocker. BitLocker effectue une brève initialisation.
2. Enregistrer la clé de récupération : choisissez l’une des options suivantes :

• • Enregistrer dans votre compte Microsoft
  • Enregistrer sur un disque flash USB
  • Enregistrer dans un fichier (sur un autre lecteur)
  • Imprimer la clé de récupération

3. Une fois la clé enregistrée, cliquez sur Suivant.
4. Sélectionnez une option de chiffrement :

• • Chiffrer uniquement l’espace disque utilisé : plus rapide ; recommandé pour les nouveaux ordinateurs. Chiffre les données à mesure que l’espace est utilisé ; l’espace libre reste non chiffré.
  • Chiffrer tout le lecteur : option plus lente ; chiffrement de tout l’espace, quelle que soit l’utilisation. Recommandé pour les lecteurs déjà utilisés.

5. Cliquez sur Next.
6. Sélectionnez le mode de chiffrement si vous y êtes invité :

• • Nouveau mode de chiffrement (XTS-AES) : recommandé pour les lecteurs fixes sous Windows 11/10.
  • Mode compatible : à utiliser pour les lecteurs amovibles partagés avec des versions antérieures de Windows.

7. Cliquez sur Next.
8. Assurez-vous que la case à cocher Exécuter le système BitLocker est sélectionnée, puis cliquez sur Continuer.
9. Redémarrez l’ordinateur pour démarrer le chiffrement.

Section 3 : vérification de l’état de BitLocker

Méthode A : console de gestion BitLocker

1. 1. Ouvrez la console de gestion BitLocker en utilisant l’une des méthodes décrites à l’étape 1 de la section 2.
   2. Lisez l’état signalé dans la console :

• • • Chiffrement en cours : le chiffrement BitLocker est en cours.
    • BitLocker activé (icône de verrouillage) : le lecteur est entièrement chiffré et protégé.
    • BitLocker désactivé : le lecteur est déchiffré et non protégé.
    • Suspendu : BitLocker est en suspendu ; la protection est temporairement désactivée.

Méthode B : ligne de commande

Pour l’automatisation, la rédaction de scripts ou l’administration IT.

1. 1. Ouvrez une invite de commandes avec privilèges élevés : dans la zone de recherche, saisissez cmd, puis cliquez avec le bouton droit de la souris sur Invite de commandes > Exécuter en tant qu’administrateur.
   2. Dans l’invite de commandes, saisissez manage-bde -status, puis appuyez sur Entrée.
   3. Affichez le résultat : l’état de la conversion, l’état de la protection, les protections de la clé et l’état de verrouillage sont affichés pour chaque volume.

Champs de sortie de la clé

Section 4 : suspension de BitLocker

La suspension de BitLocker est un état temporaire : elle ne déchiffre pas le lecteur. Utilisez-la pour les mises à jour du BIOS, les modifications du firmware ou les modifications matérielles.

1. Démarrez Windows.
2. Ouvrez la console de gestion BitLocker (voir section 2, étape 1).
3. Cliquez sur Suspendre la protection pour le lecteur cible.
4. Consultez l’invite d’avertissement et cliquez sur Oui pour confirmer.
5. Une fois la tâche de maintenance terminée, retournez dans Gérer BitLocker et cliquez sur Reprendre la protection pour réactiver BitLocker.

Section 5 : désactivation (mise hors tension) de BitLocker

La désactivation de BitLocker déchiffre complètement le lecteur. Il s’agit d’une action permanente qui supprime tout le chiffrement. Aucune donnée n’est supprimée, mais le lecteur n’est plus protégé.

1. Démarrez Windows.
2. Ouvrez la console de gestion BitLocker (voir section 2, étape 1).
3. Cliquez sur Désactiver BitLocker pour le lecteur cible.
4. Confirmez la décision dans l’invite.
5. Laissez l’ordinateur effectuer le déchiffrement. Ne forcez pas la mise hors tension pendant le déchiffrement.

Dépannage