Наскільки безпечний BitLocker без TPM, використовуючи SED?

Я намагаюся знайти джерело для деякої основної інформації про BitLocker. Скажімо, у мене є самокодируючий привід (SED), як у Samsung EVO, але немає TPM. Я вмикаю BitLocker. Є два варіанти:

1. Лише пароль
2. Пароль і ключ на USB-накопичувачі

Мої, здавалося б, досить основні питання:

1. За допомогою параметра "Лише пароль" є ключовим хешем пароля чи він зберігається десь у середовищі аутентифікації перед завантаженням? Якщо він зберігається, чи зашифрований він паролем?

2. Як захищений ключ та ключ на USB-накопичувачі? Чи зашифрований він паролем?

3. Як захищений ключ під час роботи машини? Що стосується SED, то для роботи потрібен лише диск, але коли ви спите, машина забуває його, і комп'ютер повинен постачати його по-англійськи. Чи Windows ще раз запропонує вам пароль / USB-диск або він зберігає ключ десь в оперативній пам’яті?

Дійсно не зрозуміло, як захищений ключ, якщо у вас немає TPM. Чи справді безпечний пароль? Що робити, якщо ключ USB викрадений разом із ПК?

1. (Пропускаючи це питання наразі.)
2. Файл зовнішнього ключа (* .bek) на USB-накопичувачі не захищений. Він не вимагає пароля. Файл * .bek розблоковує ключ, який фактично використовувався для шифрування. Таким чином, ви можете видалити цей файл із зовнішнім ключем зі списку протекторів накопичувача та створити новий файл зовнішнього ключа, якщо він коли-небудь втрачений. (Повторне шифрування не потрібно.) Пароль - це додатковий захист / ключ диска для розблокування диска. Ви можете використовувати пароль для розблокування диска або USB-накопичувача. Вам обох не потрібно.
3. Операційна система не буде запитувати ключ знову після того, як він прокинувся з режиму очікування. Для пробудження зі сплячки потрібен USB-накопичувач або пароль. (Вибачте, опустивши будь-які претензії щодо того, де насправді збережено ключ; не можна знайти потрібне джерело для перевірки.)

Бічна примітка: Шифрування USB-накопичувача (утримуючи зовнішню клавішу StartUp * .bek) не працюватиме для зашифрованих системою накопичувачів, оскільки USB-накопичувач повинен бути доступним під час завантаження. Він буде працювати для несистемних зашифрованих дисків. Потім ви спочатку розблокуєте USB-накопичувач із паролем, потім клацніть, щоб розблокувати зашифрований диск та натисніть [Ключ завантаження з USB-станції]. Таким чином ви створили двоетапне розблокування, яке вимагає пароля та файлу ключа (прочитайте USB-накопичувач). RecoveryPassword (числа) обходить це все до речі.