Microsoft tự động mã hóa thiết bị Windows mới của bạn và lưu Khóa mã hóa thiết bị Windows 11/10 lên OneDrive khi bạn đăng nhập bằng tài khoản Microsoft. Bài viết này nói về lý do Microsoft làm như vậy. Chúng ta cũng sẽ xem cách xóa khóa mã hóa này và tạo khóa riêng, mà không cần chia sẻ với Microsoft.
Khóa mã hóa thiết bị Windows 11/10
Nếu bạn mua máy tính Windows 11/10 mới và đăng nhập bằng tài khoản Microsoft, thiết bị sẽ được Windows mã hóa và khóa mã hóa sẽ tự động được lưu lên OneDrive. Điều này không có gì mới thực sự và đã có từ Windows 8, nhưng gần đây đã có một số câu hỏi liên quan đến bảo mật của nó.
Để tính năng này hoạt động, phần cứng của bạn phải hỗ trợ connected standby (đóng ngõ kết nối) đáp ứng yêu cầu của Windows Hardware Certification Kit (HCK) cho TPM và SecureBoot trên hệ thống ConnectedStandby. Nếu thiết bị hỗ trợ tính năng này, bạn sẽ thấy cài đặt tại Settings > System > About. Tại đây bạn có thể bật/tắt Device Encryption (Mã hóa thiết bị).
Mã hóa ổ đĩa hoặc thiết bị trong Windows 11/10 là một tính năng rất tốt được bật mặc định trên Windows 10. Tính năng này làm gì? Nó mã hóa thiết bị của bạn và sau đó lưu khóa mã hóa lên OneDrive, trong tài khoản Microsoft của bạn.
TechNet cho biết: Mã hóa thiết bị được bật tự động để thiết bị luôn được bảo vệ. Danh sách sau tóm tắt cách thức thực hiện:
- Khi cài đặt sạch (clean install) Windows 8.1/10 hoàn tất, máy tính được chuẩn bị cho lần sử dụng đầu tiên. Là một phần của quá trình chuẩn bị này, mã hóa thiết bị được khởi tạo trên ổ đĩa hệ điều hành và các ổ dữ liệu cố định trên máy tính với một khóa rõ ràng (clear key).
- Nếu thiết bị không tham gia miền (domain-joined), cần một Tài khoản Microsoft được cấp đặc quyền quản trị trên thiết bị. Khi quản trị viên dùng tài khoản Microsoft để đăng nhập, khóa rõ ràng bị xóa, khóa khôi phục (recovery key) được tải lên tài khoản Microsoft trực tuyến và bộ bảo vệ TPM được tạo. Nếu thiết bị yêu cầu khóa khôi phục, người dùng sẽ được hướng dẫn dùng thiết bị thay thế và truy cập URL khôi phục để lấy khóa khôi phục bằng thông tin đăng nhập tài khoản Microsoft.
- Nếu người dùng đăng nhập bằng tài khoản miền (domain account), khóa rõ ràng không bị xóa cho đến khi người dùng thêm thiết bị vào miền và khóa khôi phục được sao lưu thành công vào Active Directory Domain Services.
Vì vậy, điều này khác với BitLocker, nơi bạn phải tự bật BitLocker và làm theo quy trình, trong khi tất cả những thứ trên xảy ra tự động mà không cần sự biết hay can thiệp của người dùng máy tính. Khi bạn bật BitLocker, bạn bị buộc phải sao lưu khóa khôi phục, nhưng bạn có ba tùy chọn: Lưu vào tài khoản Microsoft, lưu vào USB, hoặc in ra.
Một nhà nghiên cứu nói:
Ngay khi khóa khôi phục rời khỏi máy tính của bạn, bạn không còn cách nào biết số phận của nó. Một hacker có thể đã xâm nhập tài khoản Microsoft của bạn và sao chép khóa khôi phục trước khi bạn kịp xóa nó. Hoặc chính Microsoft bị hack, hoặc thuê nhân viên gian dối có quyền truy cập dữ liệu người dùng. Hoặc cơ quan thực thi pháp luật/gián điệp có thể gửi yêu cầu đến Microsoft xin tất cả dữ liệu trong tài khoản của bạn, bắt buộc Microsoft phải giao nộp khóa khôi phục, mà họ có thể làm ngay cả khi việc đầu tiên bạn làm sau khi thiết lập máy tính là xóa nó.
Phản hồi từ Microsoft:
Khi thiết bị vào chế độ khôi phục và người dùng không có quyền truy cập khóa khôi phục, dữ liệu trên ổ đĩa sẽ trở nên vĩnh viễn không thể truy cập. Dựa trên khả năng xảy ra của kết quả này và khảo sát rộng rãi phản hồi khách hàng, chúng tôi chọn tự động sao lưu khóa khôi phục của người dùng. Khóa khôi phục yêu cầu truy cập vật lý vào thiết bị của người dùng và không hữu ích nếu không có nó.
Vì vậy, Microsoft quyết định tự động sao lưu khóa mã hóa lên máy chủ của họ để đảm bảo người dùng không mất dữ liệu nếu thiết bị vào chế độ Khôi phục mà họ không có khóa khôi phục.
Bạn thấy đó, để khai thác tính năng này, kẻ tấn công phải có khả năng truy cập được cả khóa mã hóa được sao lưu và truy cập vật lý vào thiết bị máy tính của bạn. Vì điều này trông như một khả năng rất hiếm, tôi nghĩ không cần quá lo lắng. Chỉ cần đảm bảo bạn bảo vệ hoàn toàn tài khoản Microsoft của mình, và để cài đặt mã hóa thiết bị ở mặc định.
Tuy nhiên, nếu bạn muốn xóa khóa mã hóa này khỏi máy chủ của Microsoft, đây là cách làm.
Cách xóa khóa mã hóa
Không có cách nào ngăn thiết bị Windows mới tải khóa khôi phục lên lần đầu bạn đăng nhập tài khoản Microsoft, nhưng bạn có thể xóa khóa đã tải lên.
Nếu bạn không muốn Microsoft lưu khóa mã hóa lên đám mây, bạn phải truy cập trang OneDrive này và xóa khóa. Sau đó bạn phải tắt tính năng Mã hóa ổ đĩa (Disk encryption). Chú ý: nếu bạn làm vậy, bạn sẽ không thể sử dụng tính năng bảo vệ dữ liệu tích hợp này nếu máy tính bị mất hoặc bị đánh cắp.
Khi bạn xóa khóa khôi phục khỏi tài khoản trên trang web này, nó bị xóa ngay lập tức, và các bản sao lưu trên ổ đĩa dự phòng cũng bị xóa ngay sau đó.
Mật khẩu khóa khôi phục bị xóa ngay lập tức khỏi hồ sơ trực tuyến của khách hàng. Khi các ổ đĩa dùng cho dự phòng và sao lưu được đồng bộ hóa với dữ liệu mới nhất, các khóa bị xóa, Microsoft khẳng định.
Cách tạo khóa mã hóa riêng của bạn
Người dùng Windows 10 Pro và Enterprise có thể tạo khóa mã hóa mới không bao giờ được gửi đến Microsoft. Để làm vậy, bạn phải trước hết tắt BitLocker để giải mã ổ đĩa, sau đó bật lại BitLocker.
Khi làm điều này, bạn sẽ được hỏi nơi bạn muốn sao lưu Khóa khôi phục Mã hóa ổ đĩa BitLocker. Khóa này sẽ không được chia sẻ với Microsoft, nhưng hãy chắc chắn giữ nó an toàn, vì nếu mất nó, bạn có thể mất quyền truy cập vào tất cả dữ liệu đã mã hóa.
