我很快将为我们的移动员工购买一些运行 Windows 7 的笔记本电脑。由于我们业务的性质，我需要驱动器加密。Windows BitLocker 似乎是显而易见的选择，但看起来我需要购买 Windows 7 企业版或旗舰版才能获得它。任何人都可以就最佳行动方案提出建议：
a) 使用 BitLocker，咬紧牙关，付费升级到 Enterprise/Ultimate
b) 购买另一个更便宜的第 3 方驱动器加密产品（建议赞赏）
c) 使用免费的驱动器加密产品，例如 TrueCrypt
理想情况下，我还对使用驱动器加密软件的人的“真实世界”体验以及需要注意的任何陷阱感兴趣。
提前谢谢了...
更新
决定使用 TrueCrypt 的原因如下：
a) 产品有良好的往绩记录
b) 我没有管理大量笔记本电脑，因此与 Active Directory、管理控制台等集成并不是一个巨大的好处
c) 尽管 eks 确实对 Evil Maid (EM) 攻击提出了很好的观点，但我们的数据并不理想，不能将其视为主要因素
d) 成本（免费）是一大优势，但不是主要动力
我面临的下一个问题是映像（Acronis/Ghost/..）加密驱动器将无法工作，除非我执行逐个扇区的映像。这意味着一个 80Gb 的加密分区会创建一个 80Gb 的映像文件 :(
真加密：http ://www.truecrypt.org/
将完全加密移动、内部驱动器，您甚至可以即时加密整个系统分区，然后设置引导加载程序密码 - 为您在笔记本电脑上提供更多安全性。
及其开源 - 免费。
http://4sysops.com/archives/system-drive-encryption-truecrypt-5-vs-bitlocker/
Bitlocker 也不错，但由于预算问题，我建议使用 truecrypt。
有了现在可用于 TrueCrypt 的 Evil Maid (EM) 攻击工具，如果我有预算，我会选择 BitLocker，因为类似 EM 的攻击要复杂得多，而且正如 Oskar Duveborn 所说，它可以更好地与 AD 等集成。
我建议您阅读 Joanna Rutkowska 关于这两种产品的文章：
http://theinvisiblethings.blogspot.com/2009/10/evil-maid-goes-after-truecrypt.html
http://theinvisiblethings.blogspot.com/2009/01/why-do-i-miss-microsoft-bitlocker.html
但是，如果您确定您的同事会一直照顾好他们的笔记本电脑 - 带有安全盒和所有东西，您可以选择 TrueCrypt。
旁注
请记住，全盘加密不会保护您的数据免受 [操作系统] 内部的影响，例如，如果您的计算机在运行时被病毒破坏。
请记住，技术解决方案只是安全链的一部分（有关详细信息，请参见http://xkcd.com/538/）。
编辑 (01-20-2010)
有关 BitLocker 和 EM 攻击的其他详细信息：
请注意，仅当在启用 TPM 的计算机上使用时，BitLocker 才会比 TrueCrypt 更具弹性。
有多种方法可以击败 BitLocker+TPM（文章、论文），但没有可用的公共工具 AFAIK。因此，虽然 BitLocker 对机会性 EM 攻击更具弹性（为 BitLocker 重新开发欺骗性用户交互屏幕需要更多的时间，而不仅仅是在 USB 密钥上复制用于 trucrypt 的 EM 工具），但它并不是 100% 防弹的（没有解决方案是）。
虽然 TrueCrypt 适用于小型办公室/家庭办公室场景，但在大型企业中选择付费解决方案有很多理由：
我目前正在审查几个 3rd 方解决方案，McAfee Total Protection for Data（以前称为 SafeBoot）和Symantec Endpoint Encyrption。
我没有研究 BitLocker 的一个原因是我已经有几台机器在 Vista Business 上，我不想升级/重新配置它们。
我还研究了 PGP 解决方案，但它需要专用服务器或经过认证的虚拟服务器解决方案来管理软件，这对我的场景来说太复杂了。
忠告。我刚刚发现 TrueCrypt 许可证包含一个合法的“陷阱”，允许他们起诉该软件的任何用户，即使用户遵守了 100% 的许可条款。
http://lists.freedesktop.org/archives/distributions/2008-October/000276.html
Fedora 很早之前就通知了他们，并没有在当前版本中修复它，所以在我看来，这实际上是一个故意的陷阱。
truecrypt 没有任何问题；只要您按照那里网站上的步骤进行不同级别的加密。
至于 bitlocker，正如 Oskar 已经提到的那样，它将更容易管理 - 但如果由于成本原因您无法使用 bitlocker，您可以随时使用 truecrypt - 非常好。
PGP加密对我来说有一个很好的加密产品。你可以试试。它提供多重加密解决方案并支持所有版本的 windows 7。
为了回答您问题的第二部分，Microsoft 以各种方式声称 Workstation\Notebooks 的 CPU 开销为 5-6%，而带有 Bitlocker 的服务器的 CPU 开销为 10-15%。对 HDD 的性能影响取决于您的 CPU 的强大程度，对于当前大多数笔记本电脑/台式机 CPU 和驱动器系统，影响并不明显。我在有和没有 Bitlocker 的情况下都运行过类似的系统，这绝对是我的经验。
然而，这取决于平台 - 4 Sysops 的 Alexander Weiß 进行了一些性能比较，发现 Atom 驱动的上网本的顺序硬盘传输率降低了 29% 到 50%，这完全是由于低功耗上网本 CPU 的弱点. 如果你有一个非常快的 SSD，类似的减少可能会 - 更高的数据速率会给 CPU 带来更严重的负载。
只需从正在运行的机器上运行备份，您将拥有一个未加密的图像。如果我没记错的话，Acronis 应该可以做到。如果您还需要图像的安全性，您可以将其放入保险箱或加密的服务器磁盘上。我会使用未加密的数据备份，因为我喜欢故障安全备份。
如果需要快速恢复系统，您可能无法绕过加密驱动器的映像。
全盘加密可能不是您想要的。如果您登录到您的计算机，整个磁盘加密只是解密所有内容......当时。这意味着任何恶意软件都可以在您登录的那一刻访问所有内容。
更细粒度的反应式文件级加密可能会有所帮助。
披露：我在一家文件级加密公司工作，不会推荐特定的解决方案，但我建议寻找全盘的替代方案。