Advertentie
Microsoft heeft erkend dat het inschakelen van BitLocker-versleuteling op systemen met snelle NVMe-ssd’s tot een merkbare prestatieimpact kan leiden, vooral bij I/O-intensieve activiteiten zoals gaming en videobewerking. BitLocker was oorspronkelijk een optionele beveiligingsfunctie, maar sinds Windows 11 24H2 wordt het op nieuwe systemen standaard geactiveerd bij een schone installatie.
Volgens Microsoft zat de overhead van BitLocker historisch gezien meestal binnen enkele procentpunten, maar moderne NVMe-drives halen zulke hoge Input/Output-prestaties dat de extra cryptografische bewerking door de CPU daardoor meer opvalt. BitLocker versleutelt gegevens in realtime via AES-XTS, wat hogere CPU-gebruikscijfers oplevert wanneer de opslag intensief wordt aangesproken.
Microsoft benadrukt dat BitLocker een waardevolle beveiligingslaag biedt voor gevallen waarin een apparaat verloren of gestolen wordt, omdat het volledige schijven beschermt tegen ongeautoriseerde toegang. Met het oog op de balans tussen beveiliging en prestaties heeft het bedrijf een nieuwe functie geïntroduceerd: hardware-accelerated BitLocker.
Hardware-versnelling moet CPU-gebruik en overhead verminderen
De nieuwe hardware-acceleratieversie, die onderdeel is van updates voor Windows 11 24H2 en de latere 25H2-release, maakt gebruik van dedicated cryptografische engines in moderne System-on-Chip (SoC)- of CPU-platformen. Hierdoor worden bulkcrytografische bewerkingen, zoals de AES/XTS-encryptie, uitgevoerd op speciale hardware in plaats van op de hoofd-CPU. Dit leidt tot lagere CPU-belasting en kan ook de batterijduur verbeteren.
Bovendien ondersteunt deze aanpak hardware-protected keys: de BitLocker-encryptiesleutels kunnen, mits ondersteund door de hardware, direct in een beveiligde siliconen-omgeving worden gemaakt en gebruikt, wat de blootstelling van sleutels aan het gewone geheugen verder beperkt - een extra beveiligingslaag bovenop TPM-bescherming.
In tests geeft Microsoft aan dat hardware-accelerated BitLocker de CPU-belasting met circa 70 procent kan verminderen in vergelijking met de traditionele softwarematige aanpak, en dat de opslagprestaties aanzienlijk kunnen verbeteren, vooral bij willekeurige I/O-operaties. Dit betekent dat de impact van BitLocker op systeemprestaties op veel systemen nauwelijks nog merkbaar zal zijn zodra compatibele hardware aanwezig is.
Automatische activatie op ondersteunde systemen
Wanneer een pc met een compatibel SoC en NVMe-schijf BitLocker inschakelt - ongeacht of dit via automatische apparaatversleuteling, handmatige inschakeling of beleidsregels gebeurt - zal hardware-accelerated BitLocker standaard worden gebruikt. Aanvullende configuraties werken echter alleen als de hardware de juiste algoritmen en sleutelgroottes ondersteunt; aangepaste instellingen of bepaalde enterprise-beleidsscenario’s kunnen fallback naar softwareversleuteling betekenen.
Om te verifiëren welke BitLocker-modus een systeem gebruikt, kan de opdrachtregeltool manage-bde -status worden gebruikt; als de encryptiemethode als 'Hardware accelerated' wordt vermeld, maakt het systeem gebruik van de nieuwe hardwareversnelling.
Conclusie
BitLocker kan onder zware I/O-belasting nog steeds CPU-cycli vergen, maar met de introductie van hardware-accelerated BitLocker belooft Microsoft de prestatiekosten sterk te reduceren op systemen met nieuwe SoC-ondersteuning. Daarmee worden de prestaties van versleutelde systemen dichter bij die van onversleutelde systemen gebracht, terwijl de beveiliging wordt versterkt.