備份加密咗先最驚：金鑰唔見成份備份就開唔返，教你安全保管密碼同還原金鑰

引言：加密為咗防賊，點解最後驚嘅反而係自己

好多人做備份加密嘅出發點好簡單：隻外置硬碟跌咗、俾人偷咗，都唔想入面啲相、文件、公司資料俾人睇到。呢個諗法完全正確。加密解決嘅問題，正正就係「備份碟落入別人手上，別人讀唔到資料」。但同一把鎖有兩個方向：無加密，跌碟等於洩漏；有加密但密碼或者金鑰唔見，加密備份喺實務上等於自己鎖死，等於冇備份。

最常見嘅出事場景，唔係做加密嗰日，而係幾個月甚至幾年之後：換機、重裝系統、更新韌體、換主板，部機突然要求輸入一串 48 位數字嘅 BitLocker 還原金鑰，你先發現自己根本唔知呢把金鑰存咗喺邊。嗰一刻先嚟搵，已經太遲。呢篇嘅目的，就係喺你仲開得到、仲記得、仲搵得到嘅時候，教你將金鑰保管做到位。先講明範圍：3-2-1 備份通論見《3-2-1 備份方案》，還原測試見《備份還原測試》，送修之前點備份見《送修之前點備份》。呢篇專注做一件事：加密備份嘅金鑰，點樣保管先至又安全又攞得返。

價錢口徑先講明：一律檢測後報價，呢篇唔寫任何具體金額、成功率或者保證。以下做法要以你所用工具嘅官方說明同實際情況為準。

先分清楚三樣嘢：備份密碼、加密金鑰、還原金鑰

好多人將三樣嘢混埋一齊講，結果出事嗰陣連自己搵緊邊樣都唔知。第一樣係備份密碼：即係你為某個備份檔案或者備份軟件設定嘅密碼，開備份嗰陣要用。第二樣係加密金鑰：即係加密系統背後真正用嚟鎖住資料嘅金鑰，有啲工具會將佢包成一個檔案或者一串字元，要你另外存起。第三樣係 BitLocker 還原金鑰：Windows BitLocker 用嘅 48 位數字，綁定某一隻受保護嘅磁碟，專門喺系統認唔到正常解鎖方法嗰陣用嚟救命。三者用途唔同、存放位置唔同，唔見咗邊樣，後果同補救方法都唔同。

點解要分得咁清？因為「搵返金鑰」嘅路徑，完全取決於你搵緊邊樣。備份軟件嘅密碼，可能要去返該軟件嘅帳戶或者密碼管理器搵；BitLocker 還原金鑰，可能要去 Microsoft 帳戶、公司管理系統或者紙本搵；加密金鑰檔案，可能要去當初存起佢嘅 USB 或者另一隻碟搵。如果你自己都講唔清楚唔見咗邊樣，問人幫手嗰陣，對方都好難幫你對症下藥。做加密嗰陣，第一步唔係撳「啟用」，而係寫低三樣嘢：呢個備份用邊種加密、開鎖要用邊樣嘢、嗰樣嘢而家存咗喺邊。

點解密碼唔見就等於鎖死：呢個係設計本意，唔係故障

好多人第一次聽到「金鑰唔見就救唔返」會覺得難以接受：明明係自己嘅資料，點解連廠商都開唔返？答案係，強加密嘅數學保證，正正就係「無金鑰就無人讀到」，包括用家自己、廠商同維修師傅。如果廠商留咗一條萬能路俾自己開鎖，偷碟嘅人亦可以用同一條路。要求廠商幫你開返，等於要求一個後門，後門一旦存在，加密本身就失去意義。所以金鑰遺失等於資料失去，唔係軟件故障，亦唔係邊個唔肯幫你。

幾個具體例子可以令呢個道理更實在。BitLocker 嘅設計係：無復原資訊嘅磁碟，設計上就係無法復原；唯一受支援嘅出路係還原其他備份或者清除重裝，即係原碟資料失去。備份軟件嘅加密亦一樣：官方最佳實踐明言，遺失或者忘記密碼，除非用咗企業級金鑰託管機制，否則無法從該加密備份復原資料；密碼提示只係幫你記起密碼嘅提示，唔係後門。有啲加密備份工具更明言，加密口令遺失係「無變通方法」，所有用該口令加密嘅備份都無法復原，未加密嘅備份先至仲可以復原。呢啲唔係個別廠商特別嚴格，而係強加密共通嘅設計。

有三個例外要講清楚，唔好一概而論。第一，企業集中託管：如果部機由公司管理，金鑰可能已經自動備份到公司嘅管理系統（例如 Entra ID、Active Directory 或者 Intune），公司 IT 有機會查得返。個人裝置如果無登入 Microsoft 或者 Apple 帳戶做託管，就無呢條路。第二，VeraCrypt 同 LUKS 呢類自管工具：卷宗入面有備份標頭，標頭損壞嗰陣可以用備份標頭修復；LUKS 亦可以備份標頭。但標頭備份本身要當金鑰咁保護——標頭備份連同當時有效嘅密碼，即使之後改咗密碼，仍然可以解密資料；反過來，標頭備份外洩亦等於金鑰外洩。第三，弱密碼有機會俾人用密碼攻擊試出，但呢個唔係可靠嘅自救方法，更加唔應該寫成保證。至於網上聲稱可以產生或者破解 BitLocker 金鑰嘅工具，多個來源一致指出 48 位還原金鑰係啟用嗰陣產生，無法事後重新產生或者推算，聲稱破解嘅工具極可能係惡意軟件或者騙局，千祈唔好信，更加唔好俾錢。

仲有一個誤解要澄清：加密保嘅係機密性，唔係完整性或者可用性。加密備份檔案本身仍然可以俾人刪除、覆寫或者損壞；加密唔會令備份變成刪唔到、改唔到。所以「加密咗就萬無一失」係錯嘅，加密之後，備份本身嘅多份存放同定期驗證，仍然一樣都唔可以少。版本控制同離線存放點解重要，見《備份版本控制》。

即刻檢查：你嘅金鑰而家存咗喺邊

如果你而家已經有用加密備份，唔好等出事嗰日先檢查，今日就用十分鐘做一次金鑰盤點。逐隻備份碟、逐個備份帳戶問四個問題：第一，呢個備份用邊種加密？第二，開鎖要用邊樣嘢——密碼、還原金鑰定係金鑰檔案？第三，嗰樣嘢而家存咗喺邊——Microsoft 帳戶、USB、紙本、密碼管理器，定係公司管理系統？第四，如果而家即刻要開鎖，你攞唔攞得到？答唔到第四條，前面三條等於白問。

BitLocker 用家可以咁樣查：去 Microsoft 帳戶嘅還原金鑰頁面，睇下有冇對應嘅金鑰；對照嗰陣要用還原畫面顯示嘅 Key ID 頭 8 個字元去對，唔好憑印象估邊把啱——一個帳戶入面有幾把金鑰好常見，開錯把係開唔到嘅。另外要翻埋舊 USB、舊紙本，同埋問下公司 IT：公司機嘅金鑰可能已經託管咗喺公司系統，唔好自己亂改或者亂刪。仲有一點好多人忽略：換主板、改 BIOS 設定、加減硬件，都可能觸發 BitLocker 要求輸入還原金鑰；送修之前，一定要先預備好金鑰，唔好等到現場先搵。交機之前要問清楚邊啲範圍，見《維修店服務範圍點審計》。

檢查嗰陣，順便做埋呢個動作：將每隻備份碟同佢嘅金鑰對返號。如果你有幾隻備份碟，用中性標籤（例如 OFFLINE-A、OFFLINE-B）標好，再將「邊隻碟對邊把金鑰」嘅對照表連同金鑰一齊存放；否則金鑰喺手都唔知開邊隻碟。標籤唔好寫明入面係咩資料，中性標籤已經夠，寫得太詳細反而係另一種洩漏。

安全保管法：兩份獨立存放，金鑰同備份分開

保管金鑰嘅核心原則只有一句：金鑰絕對唔好放喺佢解鎖嗰隻碟入面。呢個唔係建議，而係鐵律。BitLocker 預設亦唔容許將還原金鑰存喺可移除磁碟上面；有來源更進一步建議，連「同一個抽屜」都唔好。道理好簡單：碟同金鑰一齊唔見，加密等於無加密；碟壞咗而金鑰檔案又只係存喺嗰隻碟入面，金鑰亦跟住無埋。

實務做法係至少兩份獨立存放：一份放密碼管理器，一份放紙本。密碼管理器嗰份方便日常使用，紙本嗰份係當密碼管理器出事、帳戶入唔到、手機唔見嗰陣嘅後備。紙本要連同重要文件一齊存放，要防水防潮，最好用密封信封或者密封袋裝住；屋企環境潮濕，紙本受潮、褪色、搬屋遺失，都係真實失效模式，唔好以為印咗出嚟就一勞永逸。紙本放邊，視乎你嘅情況：屋企安全地方、受信任家人手上嘅密封信封，或者銀行保管箱，重點係「第二個人喺你唔喺度嗰陣都攞得到」，同時「賊偷到備份碟嗰陣攞唔到」。

分開存放要分到幾開？最少要做到三層分離：第一，金鑰唔好同備份放喺同一部機；第二，金鑰唔好同備份用同一個帳戶——例如備份放喺某雲端帳戶，金鑰就唔好只係用電郵寄去同一個帳戶；第三，金鑰本身嘅三樣嘢——備份密碼、雲端帳戶密碼、密碼管理器主密碼——唔好用同一組密碼。如果三者綁死喺同一處，手機或者電腦一失，就兩樣一齊攞唔返。仲有，備份密碼唔好用手提電腦登入密碼：一個密碼外洩，就同時開到電腦同備份；每隻備份碟最好用唔同密碼，咁就算其中一隻出事，都唔會連累其他。

密碼本身要夠強先至有意義。備份軟件官方建議嘅最低門檻係至少 8 個字元、大小寫加數字加標點混合、唔用生日、寵物名、登入名呢類個人資料，而且要同舊密碼明顯唔同。但要講清楚：8 個字元只係最低門檻，唔係「8 個字元就夠安全」；較長嘅一句 passphrase 會穩妥得多。密碼管理器可以幫你產生同記住長密碼，呢個正正就係佢嘅價值——唔使靠腦記一堆長密碼。

金鑰都要 3-2-1：三份、兩種媒介、一份異地

好多人識講備份要 3-2-1，但好少人諗到，金鑰本身都需要同一套規則。以下嘅 3-2-1 係本篇按上面做法整理嘅建議框架，唔係某一廠商嘅官方標準。金鑰嘅 3-2-1 可以咁理解：至少三份金鑰記錄（例如密碼管理器一份、紙本一份、公司託管或者受託人密封副本一份），用至少兩種媒介（數碼加紙本），其中一份放異地（唔好同備份碟放喺同一個地方）。咁樣即使其中一份出事——密碼管理器帳戶入唔到、紙本受潮、受託人一時聯絡唔到——都仲有其他路。

香港家庭同小企做異地嗰陣，要諗返實際環境：地方細，未必有條件長期放第二部裝置喺另一地址，雲端異地備份可能更實際，但同時要講月費、速度同私隱取捨，呢篇唔寫具體價錢，以官方定價為準。紙本異地可以好簡單：一個密封信封交俾受信任嘅家人，或者放喺銀行保管箱，重點唔係個地方有幾高級，而係「備份碟出事嗰陣，呢份嘢唔會跟住一齊出事」。定期覆核亦好重要：每隔一段時間問一次——金鑰仲喺度嗎？帳戶仲入到嗎？紙本仲讀到嗎？密碼管理器嘅主密碼仲記得嗎？呢啲問題平時問好過出事嗰陣問。

小企仲要處理多一個問題：一個人知密碼嘅單點故障。如果全公司得老闆或者一位同事知備份密碼，佢離職、放假、病假、忘記，就等於全公司鎖死。來源支持嘅企業做法係集中託管，或者由受信任嘅第二人持有密封嘅紙本副本。具體邊個持有、點樣交接，屬於管理建議，呢篇寫明係建議，唔係法規或者行業規定；但無論點樣安排，交接程序一定要寫低，唔好只係口頭講好。離職交接嗰陣，金鑰交接應該同其他重要帳戶交接一齊做，唔好漏咗。

工具分界：唔同平台，加密方法唔同，唔好當成一樣

唔同平台嘅加密工具，做法同限制都唔同，唔好以為所有電腦都用同一種加密。Windows 外置碟可以用 BitLocker To Go，喺另一部 Windows 電腦可以用密碼或者智能卡解鎖，拔出即自動鎖定；但要留意版本分界：依官方文件，手動 BitLocker 只限專業版、企業版同教育版，家用版只有合資格硬件嘅裝置加密，VeraCrypt 係家用版常見嘅替代方案，唔好寫「所有 Windows 都有 BitLocker」。macOS 外置碟可以用磁碟工具程式格式化為 APFS（Encrypted）加密格式；如果要喺 Windows 讀取，ExFAT 本身無內置加密，就要另外加密敏感檔案。Linux 可以用 LUKS；要跨 Windows、Mac、Linux 共用，VeraCrypt 較通用。呢啲只係對應關係，唔係評測排名，揀邊種要睇你嘅平台同實際需要。

雲端備份加密要分清兩層：雲服務本身嘅加密，同你自己喺上傳之前做嘅加密，係兩回事。如果你想雲服務商都睇唔到內容，就要喺本機先加密檔案或者資料夾再上傳；上傳之後，要喺授權裝置上面確認加密副本開得到，先至好刪除原本。呢個次序唔可以倒轉：加密副本未經驗證開鎖，就唔好刪原檔。仲有一點：硬件加密碟（本身有密碼鍵盤嗰種）嘅安全取決於控制器同韌體，買嗰陣要查 FIPS 140-3 驗證證書；而且硬件碟本身損壞、控制器失效嗰陣，資料路徑同軟件加密並唔相同，唔可以混為一談。

加密前必做驗證清單：未驗證，就唔好依賴

呢節係成篇最容易漏、亦最關鍵嘅一節。加密之前，逐項做完先至好正式依賴呢隻加密備份。第一，先確認金鑰已經存好，而且唔喺被加密嗰隻碟上面，先至好當呢隻備份係可靠。金鑰遺失等於資料失去，呢個鐵律要喺加密嗰日就做到，唔係之後先補。第二，用第二個情境做一次開鎖測試（建議做法）：喺另一部電腦或者另一個帳戶登入狀態下，用紙本或者密碼管理器入面嘅金鑰開一次加密備份，讀到檔案先算數。只喺同一部已經自動解鎖嘅電腦上面「睇到檔案」唔算驗證，因為自動解鎖會掩蓋「金鑰其實無存好」呢個問題。第三，刪原本之前，先確認加密副本開得到，呢個原則適用於外置碟同雲端備份。第四，備份標頭或者救援資料要另外存一份：VeraCrypt 非系統卷宗要做外部標頭備份，系統加密要保留救援碟，LUKS 要做標頭備份並當金鑰咁保護；標頭損壞而無備份，縱使密碼正確都可能開唔到。第五，記錄低加密方式同密碼提示嘅限度：提示只係幫你記起密碼，唔係復原方法，設咗提示唔等於有後備開鎖方法。第六，定期覆核：金鑰仲喺度嗎？帳戶仲入到嗎？紙本仲讀到嗎？測試金鑰唔係加密當日做一次就夠，每個輪換週期都要做。

如果你發現自己已經有一隻加密備份，但從來無做過上面任何一項，唔好驚，亦唔好即刻刪嘢。正確次序係：趁而家仲開得到，先將金鑰按上面方法存好兩份，再做一次第二情境開鎖測試，確認無問題，先至當呢隻備份係可靠。呢個補救動作本身就係一次驗證，值得花時間做。

千祈唔好做嘅事：講清後果，唔係只寫唔好

第一，金鑰影相存手機或者上雲：手機一失、雲端帳戶一俾人入侵，金鑰就跟住去。第二，金鑰同備份放埋一齊：碟同金鑰一齊唔見，加密等於無加密。第三，金鑰寫喺碟面貼紙：最方便自己，亦最方便賊。第四，信聲稱可以破解金鑰嘅服務：好大機會係騙局，仲可能要你俾錢或者安裝惡意軟件。第五，加密咗就當萬無一失：加密唔保備份唔會俾人刪除、覆寫或者損壞，多份存放同定期驗證一樣都唔可以少。第六，密碼管理器主密碼無任何後備：主密碼本身都要有安全嘅後備安排，否則主密碼一唔見，成個密碼庫連同備份金鑰一齊鎖死，呢個死循環要喺一開始就諗好點解。

最後要提醒：呢篇教你嘅係保管方法，唔係教你點樣同任何人拗金鑰問題。公司機嘅金鑰，一定要先問公司 IT；個人備份嘅金鑰，一定要自己負責存好。加密嘅取捨好清晰：保管得好，賊偷到碟都開唔到；保管唔好，自己都開唔返。呢個取捨無中間路，接受咗佢，先至會認真做保管。

常見問題

Q1：BitLocker 還原金鑰唔見咗，仲有冇方法攞返？
A：要逐處翻查：Microsoft 帳戶嘅還原金鑰頁面（用 Key ID 頭 8 個字元對號入座）、舊 USB、紙本、公司 IT 嘅託管系統。如果全部都無，設計上就係無法解密，唯一受支援嘅出路係還原其他備份或者清除重裝。千祈唔好信聲稱可以計返條金鑰嘅服務。

Q2：點解 Microsoft 帳戶入面有幾個還原金鑰，邊個先啱？
A：每隻受保護嘅磁碟、每次重新加密，都可能產生唔同嘅金鑰，所以一個帳戶入面有多把好正常。要用還原畫面顯示嘅 Key ID 頭 8 個字元去對，唔好憑印象估。平時做好碟同金鑰嘅對照表，出事嗰陣就唔使逐把試。

Q3：公司電腦嘅 BitLocker 金鑰應該問邊個？
A：問公司 IT 或者管理員。公司機嘅金鑰可能已經自動託管喺公司管理系統，個人唔好自己亂改、亂刪 TPM 設定或者金鑰，否則可能令公司都查唔返。送修之前，亦要先同 IT 講好金鑰安排。

Q4：密碼管理器本身要密碼，咁主密碼又點保管先唔會死循環？
A：主密碼要用另一種媒介做後備：例如寫喺紙本密封存放喺安全地方，或者用受信任嘅第二人持有密封副本。重點係主密碼嘅後備唔可以只係鎖喺同一個密碼庫入面，否則主密碼一唔見就成個庫都鎖死。呢個安排要喺一開始就諗好，唔好等到要用嗰陣先諗。

Q5：紙本金鑰應該放屋企定銀行保管箱？屋企人點先攞到？
A：兩者都可以，重點係「備份碟出事嗰陣，紙本唔會跟住一齊出事」同「你唔喺度嗰陣，受信任嘅人攞得到」。屋企安全地方要防水防潮；銀行保管箱就勝在異地同穩妥，但要諗埋屋企人點樣喺需要嗰陣攞到。無論放邊，都要話俾受信任嘅人知有呢份嘢存在，同埋點樣攞，否則等於無放。

搵 CentralComputer 幫手

已經有加密備份，但從來無驗證過金鑰攞唔攞得到？或者就嚟換機、送修，驚到時突然要還原金鑰？歡迎搵我哋檢測評估，我哋會逐項講明檢查結果同建議做法，收費一律檢測後報價，唔會未睇過部機就開價。

電話：+(852) 2115 9219　|　WhatsApp：+(852) 6558 6806
地址：香港九龍觀塘開源道 55 號開聯工業中心 A 座 712 室
營業時間：星期一至六 10:00–19:00