Mã hóa ổ đĩa BitLocker (BitLocker Drive Encryption) là tính năng mã hóa toàn bộ ổ đĩa có sẵn trong Windows 10, Windows 8, Windows 7, Windows Vista và Windows Server 2008, được thiết kế để bảo vệ dữ liệu bằng cách cung cấp mã hóa cho toàn bộ volume. Mặc định, nó sử dụng thuật toán mã hóa AES ở chế độ CBC với khóa 128-bit, kết hợp với Elephant diffuser để tăng cường bảo mật mã hóa ổ đĩa mà AES không cung cấp.
Microsoft BitLocker
BitLocker ngăn chặn kẻ trộm khởi động hệ điều hành khác hoặc chạy công cụ hack phần mềm để phá vỡ bảo vệ tệp và hệ thống Windows hoặc xem ngoại tuyến (offline viewing) các tệp lưu trữ trên ổ đĩa được bảo vệ. Tính năng lý tưởng sử dụng Trusted Platform Module (TPM 1.2) để bảo vệ dữ liệu người dùng và đảm bảo PC chạy Windows không bị can thiệp khi hệ thống ngoại tuyến.
BitLocker cung cấp bảo vệ dữ liệu nâng cao cho cả nhân viên di động và văn phòng doanh nghiệp nếu hệ thống bị mất hoặc bị đánh cắp, và xóa dữ liệu an toàn khi đến lúc thanh lý tài sản đó.
Khác với Hệ thống tệp mã hóa (Encrypting File System - EFS), cho phép mã hóa từng tệp riêng lẻ, BitLocker mã hóa toàn bộ ổ hệ thống, bao gồm các tệp hệ thống Windows cần thiết cho khởi động và đăng nhập. Bạn có thể đăng nhập và làm việc với tệp bình thường, nhưng BitLocker giúp chặn hacker truy cập các tệp hệ thống chúng dựa vào để phát hiện mật khẩu hoặc truy cập ổ cứng bằng cách tháo ổ ra và gắn vào máy khác.
BitLocker chỉ giúp bảo vệ tệp lưu trữ trên ổ đĩa nơi Windows được cài đặt.
Để truy cập BitLocker, mở Control Panel > Security > BitLocker Drive Encryption.
Trước khi bật BitLocker Drive Encryption, bạn cần đảm bảo ổ cứng máy tính có:
- Ít nhất hai volume (phân vùng). Nếu tạo volume mới sau khi đã cài Windows, bạn phải cài lại Windows trước khi bật BitLocker. Một volume cho ổ hệ điều hành (thường là ổ C) mà BitLocker sẽ mã hóa, và một cho active volume, phải giữ nguyên không mã hóa để khởi động máy. Kích thước active volume tối thiểu 1.5 GB. Cả hai phân vùng phải định dạng NTFS.
- Cấu hình TPM khả dụng trong cấu hình phần cứng cụ thể là bắt buộc. Nếu cấu hình của bạn không cho phép tính năng này, bạn sẽ thấy thông báo như sau:
Chuẩn bị máy tính cho BitLocker Drive Encryption
Để mã hóa ổ đĩa và xác minh tính toàn vẹn khởi động, BitLocker yêu cầu ít nhất hai phân vùng. Hai phân vùng này tạo thành cấu hình split-load (tải chia tách). Cấu hình split-load tách phân vùng hệ điều hành chính khỏi phân vùng hệ thống active từ nơi máy tính khởi động.
BitLocker Drive Preparation Tool tự động hóa quy trình để máy tính sẵn sàng cho BitLocker. Tạo volume thứ hai mà BitLocker yêu cầu:
- Di chuyển (migrate) tệp khởi động (boot files) sang volume mới
- Làm cho volume trở thành active volume
Khi công cụ hoàn tất, bạn phải khởi động lại máy để thay đổi system volume sang volume mới tạo. Sau khi khởi động lại, ổ đĩa sẽ được cấu hình đúng cho BitLocker. Bạn cũng có thể phải khởi tạo Trusted Platform Module (TPM) trước khi bật BitLocker.
Khôi phục dữ liệu BitLocker từ volume ổ đĩa hỏng
BitLocker Repair Tool hỗ trợ quản trị viên khôi phục dữ liệu từ volume ổ đĩa hỏng/hư hỏng được mã hóa bằng BitLocker.
Công cụ này giúp truy cập dữ liệu được mã hóa bằng BitLocker nếu ổ cứng bị hỏng vật lý. Nó cố gắng tái tạo dữ liệu quan trọng từ ổ và cứu hồi bất kỳ dữ liệu nào có thể khôi phục.
Để giải mã dữ liệu, cần mật khẩu khôi phục (recovery password) hoặc khóa khôi phục (recovery key). Trong một số trường hợp, bản sao lưu gói khóa (key package) cũng cần thiết.
Sử dụng công cụ dòng lệnh này nếu các điều kiện sau đúng:
- Một volume đã được mã hóa bằng BitLocker Drive Encryption.
- Windows không khởi động, hoặc bạn không thể khởi động BitLocker recovery console.
- Bạn không có bản sao dữ liệu chứa trong volume được mã hóa.
Cũng đọc thêm:
- BitLocker To Go trong Windows
- Microsoft BitLocker Administration and Monitoring trong Windows
- Khôi phục tệp & dữ liệu từ ổ đĩa BitLocker không thể truy cập
- Mã hóa USB Flash Drives với BitLocker To Go
- Sử dụng BitLocker Drive Preparation Tool qua Command Prompt trong Windows
- Lỗi "Your Recovery Key Couldn't Be Saved To This Location" cho BitLocker.