Trả lời nhanh: BitLocker mã hóa toàn bộ ổ đĩa để người nhặt được máy không đọc được dữ liệu, kể cả khi tháo ổ ra cắm sang máy khác. Có trên Windows 11 Pro trở lên. Bẫy lớn nhất là mất khóa khôi phục, khi đó không ai cứu được dữ liệu, kể cả Microsoft.
Máy công ty mất là mất luôn dữ liệu trong đó nếu ổ không được mã hóa. Bài này nói cách bật và cách không tự khóa mình ra ngoài.
- Mã hóa cả ổ, tháo ổ cắm sang máy khác cũng không đọc được.
- Có trên bản Pro trở lên, bản Home chỉ có bản rút gọn.
- Bẫy lớn nhất là mất khóa khôi phục, không ai cứu được.
- Lưu khóa vào tài khoản Microsoft hoặc vào hệ thống công ty.
- Không thay thế cho sao lưu, đây là hai việc khác nhau.
Nó bảo vệ khỏi cái gì
BitLocker mã hóa toàn bộ nội dung ổ đĩa. Không có khóa thì dữ liệu chỉ là chuỗi vô nghĩa.
Bảo vệ được:
- Mất máy hoặc bị trộm. Người nhặt được không đọc được gì, kể cả khi tháo ổ ra cắm sang máy khác.
- Thanh lý máy cũ. Ổ đã mã hóa mà bạn xóa khóa đi thì dữ liệu coi như không tồn tại.
- Máy gửi đi sửa chữa. Kỹ thuật viên không xem được dữ liệu của bạn.
Không bảo vệ được:
- Máy đang bật và đã đăng nhập. Lúc đó ổ đã được mở khóa, mọi thứ đọc bình thường. Khóa màn hình khi rời chỗ vẫn là việc phải làm.
- Mã độc chạy trên máy bạn. Nó chạy với quyền của bạn nên đọc được dữ liệu đã giải mã.
- Mất dữ liệu do ổ hỏng hoặc xóa nhầm. Đó là việc của sao lưu.
Điểm cuối quan trọng: mã hóa và sao lưu là hai việc khác nhau, và bạn cần cả hai. Rất nhiều người bật mã hóa rồi yên tâm mà không sao lưu.
Bản nào có và điều kiện phần cứng
BitLocker đầy đủ có trên Windows 11 Pro, Enterprise và Education. Cho phép mã hóa ổ hệ thống, ổ dữ liệu và ổ cắm ngoài, với nhiều tùy chọn cấu hình.
Bản Home có một phiên bản rút gọn gọi là mã hóa thiết bị. Nó tự bật trên máy đủ điều kiện phần cứng, mã hóa ổ hệ thống, nhưng không cho cấu hình và không quản lý tập trung được.
Điều kiện phần cứng: cần chip bảo mật phần cứng, có trên gần như mọi máy đời mới. Không có thì vẫn bật được nhưng phải nhập mật khẩu mỗi lần khởi động, bất tiện hơn nhiều.
Kiểm máy đã mã hóa chưa: mở Cài đặt, Quyền riêng tư và bảo mật, mã hóa thiết bị. Hoặc mở File Explorer xem biểu tượng ổ đĩa có hình ổ khóa không.
Nhiều laptop mua sẵn đã bật mã hóa từ trước mà người dùng không biết. Đó là chuyện tốt, nhưng bạn phải biết khóa khôi phục nằm ở đâu.
Khóa khôi phục: phần quan trọng nhất bài này
Khóa khôi phục là chuỗi số dài dùng để mở ổ khi cách mở thông thường không dùng được.
Khi nào Windows đòi nó:
- Sau khi thay bo mạch chủ hoặc cập nhật phần mềm hệ thống của máy.
- Sau khi đổi cấu hình khởi động trong BIOS.
- Khi tháo ổ sang máy khác.
- Đôi khi sau một bản cập nhật hệ thống lớn.
Người dùng không làm gì sai mà vẫn có thể gặp màn hình đòi khóa. Đó là cơ chế hoạt động đúng.
Mất khóa là mất dữ liệu vĩnh viễn. Không có cửa sau. Microsoft không mở được, không có công cụ nào phá được. Đây không phải lời cảnh báo cho có.
Ba nơi lưu khóa, nên có ít nhất hai:
- Tài khoản Microsoft. Với máy cá nhân, đây là cách tiện nhất. Lấy lại bằng cách đăng nhập vào trang thiết bị của tài khoản.
- Hệ thống quản lý của công ty. Với máy công ty, khóa lưu tập trung vào Entra ID hoặc vào máy chủ miền. Đây là cách đúng cho doanh nghiệp.
- In ra giấy, cất ở nơi có khóa. Nghe cổ điển nhưng là phương án dự phòng cuối cùng không phụ thuộc vào điện và mạng.
Đừng lưu khóa vào tệp nằm trên chính ổ được mã hóa. Nghe hiển nhiên nhưng vẫn có người làm.
Bật cho một máy
Sáu bước.
- Sao lưu dữ liệu quan trọng trước. Quá trình mã hóa lần đầu có rủi ro nhỏ nếu mất điện giữa chừng.
- Mở Panel điều khiển, mục BitLocker, chọn bật cho ổ hệ thống.
- Chọn nơi lưu khóa khôi phục. Chọn ít nhất hai nơi.
- Chọn phạm vi mã hóa. Máy mới thì chọn chỉ mã hóa phần đã dùng cho nhanh. Máy đã dùng lâu và từng chứa dữ liệu nhạy cảm thì chọn mã hóa toàn ổ.
- Chạy kiểm tra hệ thống rồi khởi động lại.
- Chờ mã hóa xong. Chạy nền, mất từ vài chục phút tới vài giờ tùy dung lượng. Vẫn dùng máy được trong lúc đó, nhưng đừng tắt đột ngột.
Sau khi xong: kiểm lại khóa khôi phục đã lưu đúng chỗ và bạn mở được nó. Đừng chỉ tin rằng nó đã lưu.
Triển khai cho doanh nghiệp
Năm việc, làm theo thứ tự.
- Dựng nơi lưu khóa tập trung trước khi bật máy nào. Đây là việc số một. Bật mã hóa hàng loạt mà không có nơi lưu khóa tập trung là tạo ra một quả bom hẹn giờ.
- Đặt chính sách qua chính sách nhóm hoặc Intune, khai rõ thuật toán, phạm vi mã hóa và bắt buộc sao lưu khóa trước khi mã hóa.
- Thử trên vài máy trước, gồm cả việc thử khôi phục bằng khóa để chắc quy trình chạy được.
- Viết hướng dẫn cho người dùng: màn hình xanh đòi dãy số là gì, phải gọi ai, và tuyệt đối không được gõ bừa.
- Đưa việc lấy khóa vào quy trình hỗ trợ, để nhân viên hỗ trợ tra được khóa trong vài phút chứ không phải đi tìm.
Về máy nhân viên nghỉ việc: khóa lưu tập trung nghĩa là công ty vẫn mở được máy sau khi thu hồi, kể cả khi tài khoản người đó đã bị xóa. Không có nó thì máy thành cục sắt.
Bật và kiểm tra bằng lệnh
manage-bde -status # xem tat ca o dia
manage-bde -on C: -RecoveryPassword -SkipHardwareTest # bat va tao khoa khoi phuc
manage-bde -protectors -get C: # IN RA KHOA 48 SO, luu ngay
manage-bde -protectors -adbackup C: -id {ID} # day khoa len may chu mien
manage-bde -status C: | findstr "Percentage" # theo doi tien do ma hoaKiểm máy có đủ điều kiện không trước khi bật: chạy msinfo32, tìm dòng Device Encryption Support. Ghi Meets prerequisites là đủ điều kiện. Kiểm chip bảo mật bằng tpm.msc, phần trạng thái phải ghi sẵn sàng sử dụng.
Điều kiện và giới hạn theo bản Windows
| Bản | Có gì | Ghi chú |
|---|---|---|
| Windows 11 Home | Chỉ có mã hóa thiết bị tự động | Không tự chọn thuật toán, không quản lý được bằng chính sách nhóm |
| Windows 11 Pro | Đầy đủ BitLocker | Quản lý được bằng chính sách nhóm, mã hóa được cả ổ rời |
| Windows 11 Enterprise và Education | Đầy đủ, cộng quản lý tập trung | Hợp với dàn máy lớn |
Thay đổi quan trọng ở phiên bản 24H2: Microsoft bỏ hai điều kiện phần cứng cũ, nên nhiều máy hơn tự bật mã hóa ngay sau khi cài xong, gồm cả máy lắp ráp. Nếu bạn không chủ động bật mà máy vẫn báo đã mã hóa thì đó là lý do.
Bốn bẫy phải biết trước khi bật cho cả công ty
- Cập nhật phần mềm bo mạch chủ khi ổ đang mã hóa. Máy sẽ đòi khóa khôi phục sau khi cập nhật. Cách đúng: tạm dừng bảo vệ trước bằng
manage-bde -protectors -disable C: -RebootCount 2, cập nhật, rồi máy tự bật lại sau hai lần khởi động. - Máy đôi hệ điều hành. Hệ điều hành khác không đọc được ổ đã mã hóa. Nếu cần chia sẻ dữ liệu giữa hai hệ, để riêng một phân vùng không mã hóa.
- Ổ rời đã mã hóa cắm sang máy khác. Máy đó phải nhập mật khẩu hoặc khóa khôi phục. Máy chạy hệ điều hành khác thì không mở được. Cân nhắc trước khi mã hóa ổ dùng để trao đổi dữ liệu với đối tác.
- Sao lưu không thay thế được và ngược lại. Ổ hỏng vật lý thì dữ liệu đã mã hóa cũng mất như thường. Mã hóa chống người khác đọc, sao lưu chống mất dữ liệu, phải có cả hai.
Triển khai cho doanh nghiệp, thứ tự đúng
- Bật chính sách bắt buộc sao lưu khóa trước khi cho phép mã hóa. Chính sách nhóm tại Computer Configuration, Administrative Templates, Windows Components, BitLocker Drive Encryption, mục chọn cách khôi phục ổ hệ điều hành. Thiếu bước này là máy mã hóa xong mà khóa không được lưu về đâu.
- Đưa máy vào Entra ID hoặc máy chủ miền trước khi bật mã hóa, để khóa tự lưu về tổ chức.
- Thử trên năm máy trước. Xác nhận khóa xuất hiện trong hệ thống quản lý, rồi mới phát cho cả dàn.
- Lập quy trình lấy khóa và cho nhân viên biết gọi ai khi máy hiện màn hình đòi khóa. Không có quy trình này là mỗi ca mất nửa ngày.
Câu hỏi thường gặp
Mã hóa có làm máy chậm không
Với máy đời mới có hỗ trợ mã hóa ở tầng phần cứng thì khác biệt không cảm nhận được. Với máy rất cũ hoặc ổ cứng cơ thì có chậm đi chút ít.
Mất khóa khôi phục có cách nào lấy lại dữ liệu không
Không. Không có cửa sau, Microsoft cũng không mở được. Đây là lý do phải lưu khóa ở ít nhất hai nơi trước khi bật mã hóa.
Windows 11 Home có BitLocker không
Có một phiên bản rút gọn gọi là mã hóa thiết bị, tự bật trên máy đủ điều kiện phần cứng. Nhưng không cấu hình được và không quản lý tập trung được.
Mã hóa rồi có cần sao lưu nữa không
Có. Đây là hai việc hoàn toàn khác nhau. Mã hóa chống người khác đọc dữ liệu, sao lưu chống mất dữ liệu. Ổ mã hóa mà hỏng thì vẫn mất hết.
