如何开发Windows类Bitlocker应用实现全系统磁盘读写自动加解密

首先明确：用户态Hook系统调用的方案完全无法满足全系统磁盘加解密需求，该方案只能拦截注入范围内的进程调用，无法覆盖内核态发起的IO操作，稳定性和兼容性极差，不建议尝试。
全系统级别的磁盘读写自动加解密必须基于Windows内核层过滤驱动实现，分两类技术路线：

• 块设备过滤驱动：和BitLocker实现逻辑一致，在磁盘扇区级做加解密，和上层文件系统无关，兼容性最好，性能损耗最低，适合全磁盘加密场景
• 文件系统微过滤驱动：在文件IO层面做加解密，加密粒度为单个文件，适合仅加密指定目录/指定格式文件的场景，开发难度比块级驱动低

• 微软官方驱动开发框架：使用WDK（Windows Driver Kit）自带的Storage Miniport框架开发块级过滤驱动，或File System Minifilter框架开发文件级加密驱动，框架已经封装了存储栈交互的基础逻辑，无需从零实现驱动的IO调度逻辑
• 开源块级磁盘加密实现：BullDisk、DiskCryptor均为开源的Windows全磁盘加密项目，包含完整的驱动代码和用户态管理工具，可直接参考核心加解密逻辑或基于其做二次开发
• 加密算法实现：优先调用Windows内核原生的BCrypt系列加密API，支持AES-XTS等磁盘加密标准算法，符合驱动签名的安全要求，无需额外引入第三方依赖

• 64位Windows默认禁止加载未签名的内核驱动，测试阶段可开启系统测试签名模式，正式发布需要获取微软WHQL签名或使用EV代码签名证书
• 加解密逻辑必须适配异步IO处理，不得阻塞存储栈的IO请求，否则会引发系统卡顿甚至蓝屏故障
• 必须做掉电兼容处理，建议新增写入日志的冗余逻辑，避免异常掉电导致加密元数据损坏、整盘数据无法恢复的问题

内容的提问来源于stack exchange，提问作者Ciprian Florin