Как сделать скрытый BitLocker-контейнер для временных файлов на Windows

Если вам нужно место для временных файлов, которые не должны лежать открыто на рабочем столе, в загрузках или в облаке, рабочий вариант на Windows — создать зашифрованный VHDX-контейнер, включить для него BitLocker и отсоединять его после работы. В обиходе это часто называют “скрытым томом BitLocker”, но технически BitLocker не создаёт скрытые тома в стиле VeraCrypt. Он шифрует диск, раздел или виртуальный диск. Поэтому правильная схема такая: виртуальный диск + BitLocker + отсутствие буквы диска + отсоединение файла VHDX, когда он не нужен.

Сразу уточню: BitLocker не даёт настоящего скрытого тома с правдоподобным отрицанием. Если кто-то проверит Disk Management или найдёт файл VHDX, он увидит, что зашифрованный контейнер существует. Для временных рабочих файлов этого обычно достаточно. Если нужна именно скрытая структура, где сам факт второго тома скрыт, BitLocker для этого не подходит.

Что вы получите в итоге

После настройки у вас будет файл вроде C:\Users\ИмяПользователя\BitLockerCache\temp.vhdx. Пока он отсоединён, это просто один файл на диске. Когда вы его подключаете, Windows предлагает ввести пароль BitLocker. После разблокировки появляется диск, например T:, куда можно складывать временные файлы: черновики, промежуточные экспорты, архивы, сканы, рабочие папки проекта.

После завершения работы вы закрываете файлы, убираете букву диска и отсоединяете VHDX. В проводнике диск исчезает. Остается только зашифрованный файл-контейнер. Для временных данных это удобно: не нужно каждый раз создавать отдельную папку с ручным шифрованием, а риск забыть файл открытым становится меньше.

Что выбрать: BitLocker VHDX, флешку или настоящий скрытый том

Что подготовить перед созданием контейнера

• Windows Pro, Enterprise или Education. В домашней редакции полноценный BitLocker обычно недоступен.
• Права администратора на компьютере.
• Место на диске. Для динамического VHDX размер задаётся как максимум, а физически файл растёт по мере записи.
• Пароль от контейнера и recovery key. Recovery key нельзя хранить внутри самого контейнера.
• Понимание, где не стоит размещать файл: не в OneDrive, Dropbox, “Загрузках”, на рабочем столе и не в обычной папке с понятным названием.

Размер контейнера подбирайте под задачу. Для документов часто хватает 5–10 ГБ. Для промежуточных видео, архивов или рабочих копий проектов лучше ставить 20–50 ГБ. Простое правило: возьмите максимальный объём временных файлов за один рабочий цикл и добавьте 20–30% запаса. Динамический VHDX не займёт весь объём сразу, но если место закончится, программы начнут падать или сохранение перестанет работать.

Шаг 1. Создайте папку для контейнера

Не кладите файл VHDX на рабочий стол. Лучше использовать скрытую служебную папку в профиле пользователя, например:

C:\Users\ИмяПользователя\BitLockerCache

Создайте её через проводник или PowerShell:

New-Item -ItemType Directory -Path "C:\Users\ИмяПользователя\BitLockerCache" -Force

Можно включить атрибут скрытой папки:

attrib +h "C:\Users\ИмяПользователя\BitLockerCache"

Но не обманывайтесь: скрытый атрибут — это не защита. Он только убирает папку из обычного просмотра. Основная защита здесь — BitLocker.

Шаг 2. Создайте виртуальный диск VHDX

Откройте управление дисками:

diskmgmt.msc

Дальше действуйте так:

1. В меню выберите Действие → Создать виртуальный жёсткий диск.
2. Укажите путь к файлу, например C:\Users\ИмяПользователя\BitLockerCache\temp.vhdx.
3. Выберите формат VHDX, а не VHD. VHDX надёжнее и лучше работает с большими дисками.
4. Выберите динамически расширяющийся диск, если не хотите сразу занимать весь объём.
5. Задайте максимальный размер, например 20 ГБ или 50 ГБ.
6. Подключите созданный VHDX через Действие → Присоединить виртуальный жёсткий диск.
7. Инициализируйте диск в GPT.
8. Создайте простой том, отформатируйте его в NTFS и временно назначьте букву, например T:.

Букву диска лучше выбрать нейтральную и не ту, которую вы постоянно используете. Например, T: или V:. После включения BitLocker эту букву можно убрать.

Шаг 3. Включите BitLocker для нового диска

Откройте “Этот компьютер”, найдите новый диск T: и нажмите Включить BitLocker. Дальше:

1. Выберите разблокировку паролем.
2. Задайте длинный уникальный пароль. Для такого контейнера лучше не использовать пароль от учётной записи Windows.
3. Сохраните recovery key вне контейнера: в менеджере паролей, на отдельной флешке или в распечатанном виде.
4. Если система предлагает метод шифрования, для нового пустого тома обычно подходит XTS-AES 256.
5. Для нового диска можно выбрать шифрование только использованного места — так быстрее. Но если вы сразу начнёте складывать туда чувствительные файлы, дождитесь завершения шифрования.

Не храните recovery key рядом с контейнером. Если файл VHDX украдут вместе с запиской “пароль от BitLocker”, защита фактически исчезнет.

Шаг 4. Уберите букву диска и отсоедините VHDX

После включения BitLocker диск уже не должен постоянно висеть в системе. Сначала закройте все файлы на T:, затем уберите букву:

1. Откройте diskmgmt.msc.
2. Найдите том внутри VHDX.
3. Нажмите правой кнопкой → Изменить букву диска или путь к диску.
4. Удалите букву T:.
5. После этого отсоедините сам VHDX: правая кнопка по диску VHDX → Отсоединить виртуальный жёсткий диск.

Через PowerShell это можно сделать так:

Remove-PartitionAccessPath -AccessPath "T:\"
Dismount-VHD -Path "C:\Users\ИмяПользователя\BitLockerCache\temp.vhdx"

После этого в проводнике диск T: исчезнет. Останется только файл temp.vhdx в папке контейнера.

Шаг 5. Как пользоваться контейнером каждый день

1. Дважды щёлкните по файлу temp.vhdx.
2. Введите пароль BitLocker.
3. Если буква диска не появилась сама, назначьте её снова через управление дисками.
4. Сохраняйте временные файлы только на этот диск.
5. После работы закройте программы, которые держат файлы открытыми.
6. Уберите букву диска и отсоедините VHDX.
7. Если данные больше не нужны, удалите файл VHDX и при необходимости создайте новый контейнер.

Для временных файлов удобнее иметь один контейнер на несколько дней или один контейнер на проект. Если работа чувствительная и данные после завершения не нужны, логичнее удалять контейнер целиком и создавать новый. Так меньше шансов накопить лишние версии, черновики и забытые копии.

Где BitLocker-контейнер не спасает

Зашифрованный VHDX защищает файлы внутри себя. Но он не отменяет поведение программ. Если вы открыли документ из контейнера в редакторе, часть следов может остаться вне него: автосохранение, недавние файлы, кэш превью, временные файлы программы, журналы, облачная синхронизация.

Особенно внимательно проверьте:

• Office и Google Drive/OneDrive: автосохранение может уводить копии в облако.
• Браузеры: загрузки, история, кэш и cookie остаются вне VHDX.
• Графические и видео-редакторы: они часто пишут кэш в профиль пользователя.
• Архиваторы: временные файлы могут создаваться в папке пользователя.
• Просмотрщики PDF и изображений: могут сохранять недавние документы и миниатюры.

Если файл сначала лежал на рабочем столе, потом вы перетащили его в BitLocker-контейнер, следы старой копии могли остаться. Для временных чувствительных файлов лучше сразу создавать и сохранять их внутри T:, а не переносить готовые копии.

Как сделать схему удобнее для временных файлов

Для временной работы я бы настроил процесс так:

• Держать контейнер в скры