La clave maestra de volumen (VMK) se protege con «protectores» como TPM, PIN, contraseñas o claves de inicio en USB y solo se libera si el entorno de arranque pasa las comprobaciones de integridad.