Mật khẩu Windows chỉ chặn màn hình đăng nhập, còn ổ SSD tháo ra vẫn có thể gắn sang máy khác để sao chép tệp. Mã hoá ổ đĩa biến toàn bộ dữ liệu trên ổ thành khối ký tự vô nghĩa nếu thiếu khoá giải mã, tức là thứ kẻ gian nhặt được chỉ còn là phần cứng. Tôi tổng hợp từ tài liệu Microsoft cách BitLocker giữ khoá và khi nào nên thêm PIN khởi động, tức mã số gõ trước khi Windows chạy. Bài cũng giải thích vì sao Windows thôi mặc định dùng mã hoá phần cứng của SSD và việc cần làm khi mất laptop.
Kẻ gian tháo SSD đọc được gì khi chưa mã hoá ổ đĩa
Theo Microsoft, dữ liệu trên laptop thất lạc hoặc bị lấy cắp có thể bị truy cập trái phép bằng công cụ tấn công phần mềm, hoặc bằng cách chuyển ổ cứng sang một thiết bị khác. Mật khẩu đăng nhập hay Windows Hello chỉ có hiệu lực khi Windows trên chính laptop đó khởi động. Nếu chưa mã hoá ổ đĩa, SSD gắn vào hộp đựng ổ USB rồi cắm sang máy khác sẽ hiện ra như một ổ dữ liệu bình thường. Người cầm ổ chỉ cần quyền quản trị trên máy của họ để mở thư mục Documents và Desktop.
Khi đã mã hoá ổ đĩa bằng BitLocker, Microsoft cho biết dữ liệu trên phân vùng được mã hoá bằng thuật toán AES ở chế độ XTS hoặc CBC, độ dài khoá 128 hoặc 256 bit. Khoá giải mã được TPM giữ và chỉ nhả ra khi chuỗi khởi động khớp với số đo đã ghi, gồm firmware, Secure Boot và trình nạp Windows. Theo trang hỏi đáp BitLocker, chuyển ổ sang máy mới làm kiểm tra toàn vẹn thất bại, nên kẻ gian chỉ thấy một phân vùng đòi khoá khôi phục.
Có một ngoại lệ tôi thấy nhiều người bỏ qua. Theo trang tổng quan BitLocker, laptop chỉ dùng tài khoản cục bộ vẫn ở trạng thái chưa được bảo vệ dù đã mã hoá ổ đĩa. Lý do là khoá dạng mở (clear key) chỉ bị gỡ sau khi khoá khôi phục được sao lưu lên tài khoản Microsoft, Entra ID hoặc Active Directory. Tôi luôn mở Command Prompt bằng quyền quản trị, gõ manage-bde -status và xác minh dòng Protection Status ghi Protection On trước khi yên tâm.
Chỉ dùng TPM hay thêm PIN khởi động khác nhau ở đâu
Mặc định, BitLocker và Device Encryption mở khoá theo kiểu chỉ TPM: bật máy là vào thẳng màn hình đăng nhập, không phải gõ thêm gì. Microsoft thừa nhận cách này tiện hơn nhưng kém an toàn hơn các tuỳ chọn cần thêm một yếu tố xác thực. Tài liệu BitLocker countermeasures của hãng còn viết rằng ở một số hệ thống, vượt qua chế độ chỉ TPM có thể phải mở vỏ máy và hàn mạch, nhưng làm được với chi phí hợp lý. PIN khởi động khắc phục điểm này, và chip TPM giới hạn số lần đoán PIN theo bảng dưới.
| Độ dài PIN | Thời gian thử hết ở 4.415 lần/năm (năm) | Số tổ hợp chữ số | Ghi chú |
|---|---|---|---|
| 4 chữ số | 2,3 | 10.000 | Tối thiểu khi đặt chính sách, Microsoft ghi hơn 2 năm |
| 6 chữ số | 226 | 1.000.000 | Mức tối thiểu khi không cấu hình chính sách |
| 8 chữ số | 22.650 | 100.000.000 | PIN dài tối đa 20 chữ số |
Con số 4.415 lần mỗi năm lấy từ ví dụ của Microsoft, trong đó TPM 2.0 được cấu hình cho đoán 32 lần liền rồi chỉ thêm 1 lần mỗi 2 giờ; tôi chia số tổ hợp cho mức này để ra cột thời gian. PIN khởi động được nhập ngay sau logo hãng, trước khi Windows nạp. Thiếu PIN khởi động, TPM không nhả khoá nên khoá mã hoá không được đưa vào RAM, qua đó giảm rủi ro tấn công DMA và tấn công dư ảnh bộ nhớ. Microsoft còn nêu PIN khởi động giảm được kiểu bắt khoá trên đường bus của ổ tự mã hoá lúc khởi động.
PIN khởi động thuộc nhóm tuỳ chọn của BitLocker trên Windows Pro, Enterprise và Education, bật qua chính sách Require additional authentication at startup. Chính sách Allow enhanced PINs for startup cho PIN chứa cả chữ, ký hiệu và dấu cách, dù không phải laptop nào cũng nhận các ký tự này trước khởi động. Device Encryption trên Windows Home được thiết kế để tự kích hoạt, gần như không cần cấu hình. Khác biệt phiên bản và cách tìm mã khi bị hỏi, tôi đã viết ở bài Khóa khôi phục BitLocker - Tìm lại mã khi laptop đòi sau cập nhật BIOS.
Vì sao Windows bỏ mặc định mã hoá phần cứng của ổ SSD
Nhiều SSD có khả năng tự mã hoá, Microsoft gọi loại đạt chuẩn của Windows là ổ cứng mã hoá (encrypted hard drive), yêu cầu tuân thủ các giao thức TCG và IEEE 1667. Với mã hoá phần cứng, phép tính AES chạy trong bộ điều khiển SSD và khoá dữ liệu do ổ tự sinh, không rời khỏi ổ. Hãng mô tả ổ loại này chạy ở tốc độ đầy đủ, giảm tải CPU và điện năng. Bản chất của cách này là toàn bộ độ an toàn phụ thuộc firmware của hãng SSD.
| Kiểu mã hoá | Nơi xử lý AES | Trạng thái trên Windows hiện nay | Lưu ý |
|---|---|---|---|
| BitLocker phần mềm | Nhân CPU | Mặc định khi chưa đặt chính sách | Hao hiệu năng thường ở mức một chữ số phần trăm |
| Ổ SSD tự mã hoá | Bộ điều khiển SSD | Chỉ dùng khi quản trị viên cho phép bằng chính sách | Khuyến cáo ADV180028 về lỗ hổng ở một số ổ |
| BitLocker tăng tốc phần cứng | Engine mã hoá riêng trong SoC | Windows 11 25H2, 24H2 từ bản cập nhật tháng 9 | Cần chip hỗ trợ, ví dụ Intel Total Storage Encryption |
Ngày 6/11/2018, Microsoft phát hành khuyến cáo ADV180028 sau các báo cáo về lỗ hổng trong mã hoá phần cứng của một số ổ tự mã hoá. Thời điểm đó BitLocker mặc định dùng phần cứng nếu ổ hỗ trợ, nên hãng khuyên cân nhắc chuyển sang mã hoá phần mềm. Bản cập nhật Windows 10 ngày 24/9/2019 (KB4516071) đổi mặc định: ổ mới mã hoá dùng phần mềm, ổ cũ giữ nguyên kiểu đang dùng. Tài liệu cấu hình BitLocker hiện ghi rõ nếu không đặt chính sách, BitLocker dùng mã hoá phần mềm bất kể ổ có hỗ trợ mã hoá phần cứng hay không.
Laptop từng kích hoạt BitLocker trước năm 2019 trên SSD tự mã hoá vẫn có thể đang chạy mã hoá phần cứng. Tôi kiểm bằng manage-bde -status, dòng Encryption Method ghi Hardware Encryption nghĩa là ổ đang phụ thuộc firmware SSD. Muốn chuyển, Microsoft hướng dẫn đặt chính sách bắt buộc mã hoá phần mềm, tắt hẳn BitLocker để giải mã rồi bật lại, vì chỉ đổi chính sách thì không mã hoá lại dữ liệu cũ. Quá trình này không yêu cầu định dạng ổ hay cài lại ứng dụng, nhưng tôi vẫn sao lưu trước khi giải mã.
Mức hao tốc độ SSD và pin khi chọn XTS-AES 128 hay 256
Trang hỏi đáp BitLocker cho biết mã hoá phần mềm thường tạo chi phí hiệu năng nhỏ, hay ở mức một chữ số phần trăm, tính trên thông lượng của thao tác lưu trữ. Mức đó không đáng kể khi duyệt web hay soạn văn bản. Theo trải nghiệm của tôi, chênh lệch dễ thấy hơn với SSD PCIe 4.0 hoặc 5.0 khi chép tệp lớn. Ổ càng nhanh thì CPU càng phải xử lý nhiều khối AES mỗi giây, khác với mã hoá phần cứng vốn đẩy việc này xuống bộ điều khiển SSD.
Về độ dài khoá, Microsoft khuyến nghị XTS-AES cho mọi ổ, khoá 256 bit cho ổ và CPU mạnh, 128 bit cho cấu hình yếu hơn. Không đặt chính sách thì BitLocker và Device Encryption đều dùng mặc định XTS-AES 128 bit. Với laptop mới mã hoá ổ đĩa lần đầu, tôi chọn chỉ mã hoá phần dung lượng đã dùng. Microsoft cho biết cách này có thể rút thời gian mã hoá hơn 99%, dù không phải phương án an toàn tuyệt đối.
Hướng giảm hao hiệu năng mới nằm ở phần cứng. Từ Windows 11 25H2 và 24H2 có bản cập nhật tháng 9, BitLocker tận dụng engine mã hoá riêng trong SoC như Intel Total Storage Encryption. Phép tính khối lớn được chuyển khỏi nhân CPU để tăng hiệu năng và kéo dài thời lượng pin, khoá còn được phần cứng bọc lại nên ít lộ ra bộ nhớ. Bối cảnh Microsoft công bố thay đổi này cho ổ NVMe tốc độ cao có trong bài Microsoft dùng phần cứng để tăng tốc độ cho BitLocker.
Chế độ Sleep, Hibernate và cổng Thunderbolt khi laptop rời khỏi tay
Mã hoá ổ đĩa chỉ phát huy khi khoá chưa nằm sẵn trong RAM. Theo Microsoft, khi laptop vào Sleep, chương trình và tài liệu đang mở vẫn được giữ trong bộ nhớ, lúc thức dậy không cần nhập lại PIN hay khoá USB. Trang hỏi đáp BitLocker viết rằng ở Sleep, laptop dễ bị tấn công truy cập bộ nhớ trực tiếp vì dữ liệu chưa được bảo vệ vẫn nằm trong RAM, nên khuyên tắt Sleep để tăng an toàn.
Hibernate thì khác: ổ được khoá lại, mở máy phải nhập PIN khởi động nếu đã bật xác thực nhiều yếu tố. Microsoft lưu ý thiết lập này không tác động tới chế độ chỉ TPM, vì khi đó laptop vẫn tự mở khoá lúc thoát Hibernate. Với kẻ tấn công có kỹ năng và giữ máy lâu, hãng khuyên dùng TPM kèm PIN gồm cả chữ lẫn số, tắt Standby, tắt hẳn hoặc cho ngủ đông trước khi laptop rời tay chủ. Microsoft cũng khuyên đặt mật khẩu BIOS để thêm một lớp phòng thủ. Tôi ưu tiên làm đúng các bước đó mỗi lần để laptop lại phòng khách sạn.
Cổng Thunderbolt cho thiết bị ngoài quyền truy cập bộ nhớ trực tiếp. Chính sách Disable new DMA devices when this computer is locked chặn DMA trên cổng PCI cắm nóng cho tới khi chủ máy đăng nhập, và chỉ có hiệu lực trên laptop đã mã hoá ổ đĩa bằng BitLocker hoặc Device Encryption. Chính sách này không tương thích với Kernel DMA Protection, nên Microsoft khuyên tắt nó trên laptop có Kernel DMA Protection vì cơ chế này bảo vệ chặt hơn. Tôi xem dòng Kernel DMA Protection trong System Information (msinfo32) trước khi quyết định.
Mất laptop đã mã hoá ổ đĩa cần xử lý những gì
Khi laptop đã mã hoá ổ đĩa thất lạc, dữ liệu trên SSD không lộ ngay, nhưng tài khoản email, đám mây và dữ liệu nhạy cảm trên trình duyệt vẫn có nguy cơ nếu máy đang ở Sleep hoặc còn phiên đăng nhập. Việc đầu tiên tôi làm là vào account.microsoft.com/devices, chọn thẻ Find My Device, xem vị trí rồi bấm Lock và Next. Theo trang Find and lock a lost Windows device, tính năng chỉ hoạt động nếu đã kích hoạt từ trước, laptop đăng nhập tài khoản Microsoft cá nhân có quyền quản trị và dịch vụ vị trí đang mở.
Sau khi khoá, Microsoft khuyên đặt lại mật khẩu tài khoản. Bước này quan trọng vì khoá khôi phục BitLocker của laptop cá nhân được tải lên tài khoản Microsoft, ai chiếm được tài khoản cũng lấy được khoá. Tôi đổi mật khẩu tài khoản Microsoft trước, rồi tới email và các dịch vụ từng lưu đăng nhập trên trình duyệt. Điều kiện bật, cách đọc vị trí và giới hạn của lệnh khoá từ xa có trong bài Cách tìm máy mất trên laptop Windows - Bật Find My Device và khóa từ xa.
Laptop công ty đăng nhập bằng Entra ID thì khoá khôi phục nằm ở Entra ID, nên tôi báo bộ phận IT để khoá thiết bị và thu hồi quyền truy cập. Nếu tìm lại được laptop sau nhiều ngày, tôi chưa đăng nhập ngay mà quan sát xem BitLocker có đòi khoá khôi phục bất thường không. Microsoft cho biết thay đổi cấu hình BIOS, UEFI hay tệp khởi động sẽ đẩy BitLocker vào chế độ khôi phục, nên laptop đòi khoá dù chủ không đụng gì là tín hiệu nên sao lưu dữ liệu và cài lại Windows sạch.
Câu hỏi thường gặp (FAQ)
Mã hoá ổ đĩa có làm laptop chậm đi nhiều không?
Theo Microsoft, chi phí hiệu năng thường ở mức một chữ số phần trăm so với thông lượng lưu trữ. Windows 11 25H2 hoặc 24H2 có bản cập nhật tháng 9 còn chuyển phép tính sang engine mã hoá riêng nếu chip hỗ trợ, giúp giữ thời lượng pin.
Quên PIN khởi động thì có mất dữ liệu không?
Không, miễn là còn khoá khôi phục. Microsoft cho biết TPM không tham gia các tình huống khôi phục, nên vẫn mở được ổ bằng khoá khôi phục dù quên PIN khởi động hay TPM hỏng. Khi không đặt chính sách, PIN dài từ 6 đến 20 chữ số; quản trị viên có thể hạ mức tối thiểu xuống 4 chữ số.
SSD tự mã hoá có cần bật BitLocker nữa không?
Tôi vẫn mã hoá ổ đĩa bằng BitLocker. Sau khuyến cáo ADV180028 năm 2018, Windows chuyển sang mặc định mã hoá phần mềm cho ổ mới mã hoá, kể cả ổ có hỗ trợ mã hoá phần cứng. Lớp phần mềm không phụ thuộc firmware SSD, nên độ an toàn không còn gắn với chất lượng mã hoá của hãng ổ.
Ổ đã mã hoá tháo sang máy khác có mở được không?
Ổ hệ điều hành đã mã hoá ổ đĩa bằng BitLocker gắn sang máy khác không được TPM của máy đó mở khoá, phải nhập khoá khôi phục mới đọc được. Ổ dữ liệu có thể mở trong mục BitLocker Drive Encryption của Control Panel bằng mật khẩu, thẻ thông minh hoặc khoá khôi phục, tuỳ cách đã thiết lập lúc mã hoá.
Để lại một bình luận