Шифрование диска BitLocker работает следующим образом: 2

1. При активации BitLocker с помощью генератора псевдослучайных чисел создаётся главная битовая последовательность — ключ шифрования тома (FVEK). 24 Им шифруется содержимое каждого сектора. 2
2. FVEK шифруется при помощи ключа VMK (volume master key). 24 Ключ FVEK (зашифрованный ключом VMK) хранится на диске среди метаданных тома. 2 При этом он никогда не должен попадать на диск в расшифрованном виде. 2
3. Сам VMK тоже шифруется. 24 Способ его шифрования выбирает пользователь. 2 По умолчанию ключ VMK шифруется с помощью ключа SRK (storage root key), который хранится на криптографической смарт-карте или токене. 2
4. При запуске с зашифрованного загрузочного диска система опрашивает все возможные хранилища ключей — проверяет наличие TPM, проверяет USB-порты или, если необходимо, запрашивает пользователя. 2 Обнаружение хранилища ключа позволяет Windows расшифровать ключ VMK, которым расшифровывается ключ FVEK, уже которым расшифровываются данные на диске. 2

Каждый сектор тома шифруется отдельно, при этом часть ключа шифрования определяется номером этого сектора. 2 В результате два сектора, содержащие одинаковые незашифрованные данные, будут в зашифрованном виде выглядеть по-разному, что сильно затруднит процесс определения ключей шифрования путём записи и расшифровки заранее известных данных. 2

Помимо FVEK, VMK и SRK, в BitLocker используется ещё один тип ключей, создаваемый «на всякий случай» — это ключи восстановления. 2 Для аварийных случаев (пользователь потерял токен, забыл его PIN-код и т.д.) BitLocker на последнем шаге предлагает создать ключ восстановления. 2