Cách thiết lập phân vùng bảo mật mã hóa BitLocker trên ổ cứng di động

BitLocker To Go là tính năng có sẵn trên Windows bản Pro, Enterprise và Education giúp mã hóa ổ cứng di động và USB bằng mật khẩu. Sau khi bật, ai nhặt được ổ của bạn cũng không đọc được dữ liệu nếu không có mật khẩu hoặc khóa khôi phục. Quy trình gồm: chọn phân vùng cần mã hóa, đặt mật khẩu mạnh, lưu khóa khôi phục ở nơi an toàn, chọn chế độ mã hóa phù hợp rồi chờ hoàn tất. Bài này hướng dẫn chi tiết, kể cả cách tách riêng một phân vùng bảo mật trên ổ dùng chung.

Vì sao ổ di động cần mã hóa riêng

Ổ cứng di động và USB là thiết bị dễ thất lạc nhất trong văn phòng: để quên trong phòng họp, rơi trên taxi, bị lấy trong ba lô. Không giống laptop, chúng không có màn hình khóa hay mật khẩu đăng nhập. Ai cắm vào máy là đọc được mọi thứ. Nếu ổ chứa hợp đồng, bảng lương, dữ liệu khách hàng hay ảnh giấy tờ tùy thân, thất lạc ổ đồng nghĩa với rò rỉ dữ liệu.

Mã hóa biến dữ liệu thành dạng không đọc được nếu thiếu khóa. BitLocker sử dụng thuật toán AES, chuẩn mã hóa được dùng rộng rãi trên thế giới, với độ dài khóa 128 hoặc 256 bit.

Chuẩn bị trước khi bật BitLocker

• Phiên bản Windows: cần bản Pro, Enterprise hoặc Education để tạo ổ mã hóa. Bản Home không bật được BitLocker To Go, nhưng vẫn mở được ổ đã mã hóa từ máy khác.
• Sao lưu dữ liệu: quá trình mã hóa thường an toàn, nhưng mất điện hay rút ổ giữa chừng có thể gây lỗi. Sao lưu trước luôn là thói quen tốt.
• Quét virus: mã hóa ổ đã nhiễm mã độc chỉ giữ mã độc trong đó. Hãy quét trước.
• Định dạng ổ: BitLocker hỗ trợ NTFS, FAT32 và exFAT.

Các bước bật BitLocker To Go

1. Cắm ổ cứng di động, mở File Explorer.
2. Nhấp chuột phải vào ổ (trên Windows 11 có thể cần chọn Show more options), chọn Turn on BitLocker. Hoặc vào Control Panel > BitLocker Drive Encryption, tìm ổ trong mục Removable data drives.
3. Chọn Use a password to unlock the drive, nhập mật khẩu. Nên dùng cụm từ dài, kết hợp chữ, số và ký hiệu, không dùng lại mật khẩu ở nơi khác.
4. Lưu khóa khôi phục: chọn lưu vào tài khoản Microsoft, lưu ra tệp hoặc in ra giấy. Không lưu tệp khóa khôi phục trên chính ổ đang mã hóa.
5. Chọn phạm vi mã hóa: Encrypt used disk space only nhanh hơn, phù hợp với ổ mới hoặc vừa format; Encrypt entire drive an toàn hơn với ổ đã dùng lâu, vì mã hóa cả vùng chứa dữ liệu đã xóa nhưng còn sót.
6. Chọn chế độ mã hóa: Compatible mode (AES-CBC) nếu ổ sẽ dùng trên máy Windows đời cũ; New encryption mode (XTS-AES) nếu chỉ dùng với Windows 10 trở lên.
7. Nhấn Start encrypting và chờ hoàn tất. Thời gian phụ thuộc dung lượng và tốc độ ổ. Đừng rút ổ trong lúc này.

Tạo một phân vùng bảo mật riêng

Nhiều người muốn ổ cứng di động có hai vùng: một vùng thường để chép phim, tài liệu không quan trọng, dùng được trên TV hay máy Mac; và một vùng mã hóa chứa dữ liệu nhạy cảm. Cách làm:

1. Sao lưu toàn bộ dữ liệu trên ổ.
2. Mở Disk Management (nhấp chuột phải vào Start, chọn Disk Management).
3. Xác định đúng ổ di động qua dung lượng. Nhấp chuột phải vào phân vùng hiện có, chọn Shrink Volume để thu nhỏ, tạo vùng trống.
4. Nhấp chuột phải vào vùng trống, chọn New Simple Volume, gán ký tự ổ và định dạng.
5. Bật BitLocker cho phân vùng mới theo các bước ở trên.

Với một số ổ, Windows có thể không cho thu nhỏ phân vùng do vị trí dữ liệu. Khi đó, cách gọn nhất là xóa phân vùng cũ và tạo lại hai phân vùng từ đầu sau khi đã sao lưu.

Mở ổ đã mã hóa trên máy khác

Tùy chọn Automatically unlock on this PC tiện cho máy cá nhân, nhưng đừng bật trên máy dùng chung hoặc máy công cộng.

Lỗi thường gặp và cách xử lý

• Quên mật khẩu: dùng khóa khôi phục 48 chữ số. Nếu mất cả hai, dữ liệu không thể khôi phục; đó là cái giá của mã hóa mạnh.
• Không thấy tùy chọn Turn on BitLocker: kiểm tra phiên bản Windows, hoặc chính sách nhóm của công ty có thể đang tắt tính năng.
• Mã hóa dừng giữa chừng: cắm lại ổ trên cùng máy, BitLocker thường tự tiếp tục.
• Ổ báo chỉ đọc sau khi cắm vào máy công ty: có thể chính sách yêu cầu chỉ ghi vào ổ mã hóa bằng cấu hình riêng của công ty.

Kết hợp mã hóa với thói quen an toàn khác

Mã hóa bảo vệ dữ liệu khi ổ thất lạc, nhưng không chống mã độc. Vẫn cần quét ổ trước khi mở trên máy lạ và nên dùng chế độ chỉ đọc khi mang ổ tới máy công cộng. Ổ mã hóa cũng là thành phần tốt trong kế hoạch sao lưu, đặc biệt với bản sao lưu ngoại tuyến theo nguyên tắc 3-2-1. Với doanh nghiệp, việc bắt buộc mã hóa mọi thiết bị lưu trữ rời là một phần của chiến lược rộng hơn; các nguyên tắc chung về khóa, thuật toán và quản lý khóa được trình bày trong bài nguyên tắc cốt lõi khi mã hóa dữ liệu.