Mã hóa ổ cứng là một trong những cách dễ dàng và nhanh nhất tăng cường bảo mật. Windows 10 có chương trình mã hóa ổ tích hợp sẵn. BitLocker là công cụ mã hóa toàn bộ ổ (full drive encryption) dành cho người dùng Windows 10 Pro, Enterprise, và Education.
Mã hóa ổ nghe có vẻ đáng sợ. Nếu bạn mất mật khẩu, ổ vẫn bị khóa --- mãi mãi. Tuy nhiên, bảo mật nó mang lại gần như không thể vượt qua.
Đây là cách bạn mã hóa ổ cứng dùng BitLocker trên Windows 10.
BitLocker là gì?
BitLocker là công cụ mã hóa toàn khối (full volume encryption) có trong Windows 10 Pro, Enterprise, và Education. Bạn có thể dùng BitLocker mã hóa một khối ổ (drive volume). (Khối ổ có thể nghĩa là một phần ổ, không phải toàn bộ ổ.)
BitLocker cung cấp mã hóa mạnh cho người dùng Windows 10 thông thường. Mặc định, BitLocker dùng mã hóa AES 128-bit (cũng viết AES-128). Về mặt mã hóa, đó là mạnh. Hiện tại, không có phương pháp nào biết để brute-force (thử vét cạn) khóa mã hóa AES 128-bit. Một nhóm nghiên cứu đã đưa ra một tấn công tiềm năng trên thuật toán AES, nhưng nó sẽ mất hàng triệu năm để bẻ khóa. Đó là lý do mọi người gọi AES là "mã hóa cấp quân sự" (military grade encryption).
Vì vậy, BitLocker dùng AES-128 là an toàn. Tuy nhiên, bạn cũng có thể dùng BitLocker với khóa 256-bit lớn hơn, làm cho khóa ổ về cơ bản không thể mở khóa. Tôi sẽ chỉ cách chuyển BitLocker sang AES-256 ngay sau.
BitLocker có ba phương thức mã hóa khác nhau:
- Chế độ xác thực người dùng (User authentication mode). Chế độ xác thực người dùng "tiêu chuẩn" mã hóa ổ, yêu cầu xác thực trước khi mở khóa. Xác thực ở dạng PIN hoặc mật khẩu.
- Chế độ hoạt động minh bạch (Transparent operation mode). Chế độ hơi nâng cao này dùng chip Trusted Platform Module (TPM). Chip TPM kiểm tra file hệ thống của bạn có bị sửa đổi kể từ khi mã hóa ổ dùng BitLocker. Nếu file hệ thống bị can thiệp, chip TPM sẽ không giải phóng khóa. Kết quả, bạn không thể nhập mật khẩu để giải mã ổ. Chế độ hoạt động minh bạch tạo lớp bảo mật thứ hai lên mã hóa ổ.
- Chế độ USB Key (USB Key mode). Chế độ USB Key dùng thiết bị USB vật lý boot vào ổ đã mã hóa.
Cách kiểm tra hệ thống có module TPM không
Không chắc hệ thống có module TPM? Nhấn Windows Key + R, rồi nhập tpm.msc. Nếu thấy thông tin về TPM trên hệ thống, bạn có module TPM cài đặt. Nếu gặp thông báo "Compatible TPM cannot be found" (Không tìm thấy TPM tương thích) (như tôi!), hệ thống không có module TPM.
Đây không phải vấn đề nếu bạn không có. Bạn vẫn có thể dùng BitLocker không cần module TPM. Xem phần sau để hiểu cách.
Cách kiểm tra BitLocker đã bật chưa
Trước khi tiến đến hướng dẫn mã hóa ổ BitLocker, kiểm tra xem BitLocker đã bật trên hệ thống chưa.
Gõ gpedit vào thanh tìm kiếm Menu Start và chọn Best Match. Group Policy Editor (Trình chỉnh sửa Chính sách nhóm) sẽ mở. (Group Policy là gì và cách dùng nó?)
Đến Computer Configuration > Administrative Templates > Windows Components > BitLocker Drive Encryption > Operating System Drives (Cấu hình máy tính > Mẫu quản trị > Thành phần Windows > Mã hóa ổ BitLocker > Ổ hệ điều hành).
Chọn Require additional authentication at startup (Yêu cầu xác thực thêm khi khởi động), theo sau là Enabled (Đã bật).
Nếu hệ thống không có module TPM tương thích, tích hộp Allow BitLocker without a compatible TPM (Cho phép BitLocker không cần TPM tương thích).
Cách dùng BitLocker mã hóa ổ cứng trên Windows 10
Trước hết, gõ bitlocker vào thanh tìm kiếm Menu Start, rồi chọn Best Match.
Chọn ổ bạn muốn BitLocker mã hóa, sau đó chọn Turn BitLocker On (Bật BitLocker).
Bây giờ bạn phải Chọn cách bạn muốn mở khóa ổ này. Ở đây có hai tùy chọn.
- Dùng mật khẩu (password).
- Dùng thẻ thông minh (smart card).
Chọn tùy chọn đầu tiên Use a password to unlock the drive (Dùng mật khẩu mở khóa ổ).
Chọn mật khẩu BitLocker
Đây là phần vui: chọn mật khẩu đủ mạnh mà bạn cũng nhớ được. Như hướng dẫn BitLocker hữu ích gợi ý, mật khẩu nên chứa chữ hoa/thường, số, khoảng trắng, và ký hiệu. Cần giúp đỡ? Xem chính xác cách tạo mật khẩu mạnh bạn sẽ không bao giờ quên.
Khi tạo mật khẩu phù hợp, nhập nó, rồi gõ lại để xác nhận.
Trang tiếp theo chứa tùy chọn tạo khóa khôi phục BitLocker (BitLocker recovery key). Khóa khôi phục BitLocker là duy nhất cho ổ của bạn và là cách duy nhất bạn có thể tạo bản sao lưu an toàn. Có bốn tùy chọn chọn. Hiện tại, chọn Save to File (Lưu vào file), rồi chọn vị trí lưu dễ nhớ. Khi lưu xong, nhấn Next.
Mã hóa bao nhiêu ổ và dùng chế độ mã hóa nào
Tại thời điểm này, bạn chọn bao nhiêu ổ để mã hóa.
Pháp sư BitLocker mạnh mẽ khuyên mã hóa toàn bộ ổ nếu bạn đang dùng nó để chắc chắn mã hóa tất cả dữ liệu khả dụng, bao gồm cả đã xóa nhưng chưa xóa hẳn khỏi ổ. Trong khi nếu bạn mã hóa ổ mới hoặc PC mới, "bạn chỉ cần mã hóa phần ổ hiện đang dùng" vì BitLocker sẽ tự động mã hóa dữ liệu mới khi bạn thêm.
Cuối cùng, chọn chế độ mã hóa. Windows 10 phiên bản 1511 giới thiệu chế độ mã hóa ổ mới, gọi là XTS-AES. XTS-AES cung cấp hỗ trợ tính toàn vẹn thêm. Tuy nhiên, nó không tương thích với phiên bản Windows cũ. Nếu ổ bạn mã hóa với BitLocker sẽ ở lại hệ thống, bạn có thể an toàn chọn chế độ XTS-AES mới.
Nếu không (nếu bạn sẽ cắm ổ vào máy riêng), chọn Compatible mode (Chế độ tương thích).
Mã hóa ổ cứng với BitLocker
Bạn đã đến trang cuối: đến lúc mã hóa ổ dùng BitLocker. Chọn Start encrypting (Bắt đầu mã hóa) và đợi quá trình hoàn tất. Quá trình mã hóa có thể mất thời gian, tùy thuộc vào lượng dữ liệu.
Khi bạn reboot hệ thống hoặc cố truy cập ổ đã mã hóa, BitLocker sẽ nhắc bạn nhập mật khẩu ổ.
Dùng AES-256 với BitLocker
Bạn có thể làm BitLocker dùng mã hóa AES 256-bit mạnh hơn, thay vì AES 128-bit. Dù mã hóa AES 128-bit sẽ mất mãi mãi để brute-force, bạn luôn có thể làm nó mất mãi mãi và thêm một ngày dùng sức mạnh bổ sung.
Lý do chính dùng AES-256 thay vì AES-128 là bảo vệ chống lại sự trỗi dậy của quantum computing (máy tính lượng tử) trong tương lai. Quantum computing sẽ bẻ các tiêu chuẩn mã hóa hiện tại dễ dàng hơn phần cứng hiện tại.
Mở Group Policy Editor, sau đó đến Computer Configuration > Administrative Templates > Windows Components > BitLocker Drive Encryption (Cấu hình máy tính > Mẫu quản trị > Thành phần Windows > Mã hóa ổ BitLocker).
Chọn Choose drive encryption method and cipher strength (Chọn phương pháp mã hóa ổ và độ mạnh cipher). Chọn Enabled, sau đó dùng hộp thả xuống chọn XTS-AES 256-bit. Nhấn Apply (Áp dụng), và xong.
Sao lưu mật khẩu BitLocker Windows
Bây giờ bạn biết cách mã hóa ổ Windows 10 dùng BitLocker. BitLocker là công cụ mã hóa tuyệt vời tích hợp trong Windows 10. Bạn không cần loay hoay công cụ mã hóa thứ ba.
Tuy nhiên, điều đó không tốt cho người dùng Windows 10 Home. Xem các lựa chọn mã hóa ổ thay thế cho người dùng Windows 10 Home.