คู่มือปฏิบัติ BitLocker — เริ่มการเข้ารหัสไดรฟ์จากการจัดการกุญแจกู้คืน

«รีเซ็ตพีซีแล้ว บูตครั้งถัดไปเจอหน้าจอสีน้ำเงินที่ไม่เคยเห็น ถูกขอคีย์ 48 หลัก» «แค่<อัปเดต BIOS ก็เข้าหน้าใส่กุญแจกู้คืน ── ไม่มีใครมอบคีย์แบบนั้นให้» «ดูการตั้งค่าบนพีซีใหม่ แล้วพบว่า «การเข้ารหัสอุปกรณ์» เปิดเอง ดูเหมือนจะทำให้แอปธุรกิจช้า จะปิดเลยได้ไหม» ── ประมาณปีที่ผ่านมา คำปรึกษาชนิดนี้จากลูกค้าเพิ่มขึ้นจนเห็นได้ชัด

เหตุชัดเจน ตั้งแต่ Windows 11 เวอร์ชัน 24H2 เป็นต้นไป พีซีที่ติดตั้งใหม่จะให้ «การเข้ารหัสอุปกรณ์» (การเปิด BitLocker อัตโนมัติ) ทำงานตามค่าเริ่มต้น ข้อกำหนดฮาร์ดแวร์ก็ผ่อนลง กลุ่มพีซีที่เข้าข่ายจึงกว้างขึ้นมาก กล่าวคือ BitLocker ไม่ใช่สิ่งที่ «องค์กรใหญ่ตั้งใจนำเข้า» อีกต่อไป แต่เป็นสิ่งที่ «เข้ามาเงียบ ๆ บนพีซีของธุรกิจขนาดกลางและเล็กด้วย» ในสถานการณ์นี้ สายใยชีวิตเส้นเดียวคือ กุญแจกู้คืน และสถานะที่อันตรายที่สุดคือการเข้ารหัสเดินหน้าในขณะที่กุญแจนั้นไม่อยู่ในความดูแลของใคร

บทความนี้มุ่งเจ้าหน้าที่สารสนเทศและผู้บริหารของธุรกิจขนาดกลางและเล็ก และนักพัฒนาที่รับผิดชอบแอปธุรกิจกับพีซีอุปกรณ์ โดยจัด BitLocker ไม่ใช่เป็น «สิ่งที่ต้องปิด» แต่เป็น «สิ่งที่ต้องใช้ให้เป็น» ยึดแหล่งปฐมภูมิเช่น Microsoft Learn ณ สิงหาคม 2026 ครอบความต่างตามรุ่น กลไกขั้นต่ำของความสัมพันธ์ระหว่าง TPM กับกุญแจ ตารางตัดสินที่เก็บกุญแจกู้คืน การเปิดและการดำเนินงานในองค์กร การรับมืออุบัติเหตุ และความสัมพันธ์กับการกำจัด

1. สรุปก่อนเลย

• BitLocker คือฟังก์ชันของ Windows ที่เข้ารหัสไดรฟ์ทั้งลูก ป้องกันการรั่วของข้อมูลจากการสูญหาย การขโมย หรือการกำจัดที่ไม่เหมาะสม แม้ต่อการโจมตีที่ถอดดิสก์ไปต่อกับพีซีอื่น ถ้าเข้ารหัสอยู่ก็อ่านข้อมูลไม่ได้¹
• BitLocker เต็มรูปแบบเปิดได้เฉพาะ Pro, Enterprise, Pro Education และ Education คู่แบบย่อคือ «การเข้ารหัสอุปกรณ์» ใช้ได้ทุกรุ่นรวม Home¹
• ตั้งแต่ Windows 11 24H2 ข้อกำหนดของการเข้ารหัสอุปกรณ์อัตโนมัติถูกผ่อน ข้อกำหนด HSTI/Modern Standby และ «ไม่มีอินเทอร์เฟซ DMA ที่ไม่ได้รับอนุญาต» ถูกยกเลิก ดังนั้นเมื่อ OOBE (การตั้งค่าเริ่มต้น) หลังติดตั้งใหม่เสร็จ พีซีจำนวนมากที่ตรง TPM + UEFI Secure Boot จะถูกเริ่มต้นการเข้ารหัสตามค่าเริ่มต้น²
• «เริ่ม» การเข้ารหัสกับ «เปิด» การป้องกัน คนละเรื่อง การป้องกันจะไม่ถูกเปิด (armed) จนกว่าการสำรองกุญแจกู้คืนไปยังบัญชี Microsoft, Entra ID หรือ AD DS (เมื่อกำหนดนโยบายกู้คืนแล้ว) จะสำเร็จ พีซีที่ใช้แค่บัญชีท้องถิ่น ไม่มีที่สำรอง จึงยังไม่ถูกป้องกันแม้ถูกเข้ารหัส¹²
• ที่เก็บกุญแจกู้คืน (รหัสผ่านกู้คืน 48 หลัก) มีจริงสี่ทาง: Entra ID, AD DS, บัญชี Microsoft หรือสำเนาพิมพ์/ไฟล์ กระแสค่าเริ่มต้นคือ Entra ID ถ้าอุปกรณ์เข้าร่วม Entra ID, AD DS ถ้าเข้าร่วมโดเมน AD และถ้าไม่ใช่ทั้งคู่คือบัญชี Microsoft ของผู้ดูแล¹³
• ถูกขอกุญแจกู้คืนไม่ได้แปลว่าผิดปกติอย่างเดียว อัปเดตเฟิร์มแวร์ เปลี่ยนการตั้งค่า Secure Boot ล้าง TPM เปลี่ยนเมนบอร์ด ย้ายไดรฟ์ไปเครื่องอื่น ── การเปลี่ยนสภาพแวดล้อมการบูตใด ๆ เป็นตัวกระตุ้นได้ หลักก่อนงานที่วางแผนคือหยุดการป้องกันชั่วคราวก่อน³
• วิธีเข้ารหัสค่าเริ่มต้นคือ XTS-AES 128 บิต การเปลี่ยนวิธีทีหลังต้องถอดรหัสแล้วเข้ารหัสใหม่ จึงคุ้มที่จะตัดสินให้จบตั้งแต่ต้น สำหรับไดรฟ์ใหม่ «เข้ารหัสเฉพาะพื้นที่ที่ใช้แล้ว» ตัดเวลาเข้ารหัสครั้งแรกได้มาก⁴⁵
• ถ้าพีซีขอกุญแจกู้คืนแล้วส่งไม่ได้ ข้อมูลต้องตัดใจ แม้ฝ่ายสนับสนุน Microsoft ก็ดึงกุญแจที่หายไม่ได้ นั่นคือเหตุที่แกนของบทความนี้ไม่ใช่ «จะเข้ารหัสหรือไม่» แต่เป็น «เก็บกุญแจกู้คืนที่ไหน และใครดึงได้»⁶

แผนที่ความรู้ของบทความนี้

BitLocker เข้ารหัสไดรฟ์ทั้งลูกเพื่อป้องกันการรั่วของข้อมูลจากการสูญหายหรือการขโมย และการปกป้องกุญแจเข้ารหัสโดยปกติใช้ TPM ตั้งแต่ Windows 11 24H2 เป็นต้นไป «การเข้ารหัสอุปกรณ์» ทำให้พีซีจำนวนมากถูกเริ่มต้นการเข้ารหัสอัตโนมัติ ดังนั้นแกนของงานจริงจึงเป็นการจัดการว่ากุญแจกู้คืนซึ่งเป็นสายใยชีวิต จะถูกเก็บที่ Entra ID, AD DS หรือบัญชี Microsoft ที่ใด และใครดึงได้

flowchart LR
    accTitle: แผนที่ความรู้คู่มือปฏิบัติ BitLocker
    accDescr: แผนภาพที่แสดงความสัมพันธ์ระหว่าง BitLocker, TPM, การเข้ารหัสอุปกรณ์, กุญแจกู้คืน, โหมดกู้คืนและตัวกระตุ้น (การอัปเดตเฟิร์มแวร์・การเปลี่ยน Secure Boot・การเปลี่ยนฮาร์ดแวร์) ที่เก็บ (Entra ID・AD DS・บัญชี Microsoft・สำเนาพิมพ์ด้วยมือ) เงื่อนไขรุ่น คลียร์คีย์กับสถานะเข้ารหัสที่ไม่ถูกป้องกัน และการดำเนินงานตอนซ่อมกับกำจัด
    bitlocker["BitLocker"]
    recovery_key["กุญแจกู้คืน (รหัสผ่านกู้คืน)"]
    tpm["TPM"]
    xts_aes["XTS-AES"]
    device_loss_data_leak["การรั่วของข้อมูลจากการสูญหายหรือการขโมย"]
    device_encryption["การเข้ารหัสอุปกรณ์"]
    uefi_secure_boot["UEFI Secure Boot"]
    entra_id["Microsoft Entra ID"]
    active_directory["Active Directory (AD DS)"]
    microsoft_account["บัญชี Microsoft"]
    recovery_mode["โหมดกู้คืนของ BitLocker"]
    firmware_update["การอัปเดตเฟิร์มแวร์"]
    group_policy["Group Policy"]
    intune["Microsoft Intune"]
    bitlocker_pin["PIN ตอนบูต (TPM+PIN)"]
    startup_key["สตาร์ตอัปคีย์"]
    bitlocker_suspend["การหยุดการป้องกันชั่วคราว (suspend)"]
    key_backup_policy["นโยบายที่บังคับสำรองข้อมูลกู้คืน"]
    recovery_key_loss["การสูญเสียข้อมูลเพราะไม่มีกุญแจกู้คืน"]
    manage_bde["manage-bde"]
    pro_edition["รุ่น Windows ตระกูล Pro/Enterprise"]
    home_edition["รุ่น Windows Home"]
    clear_key["คลียร์คีย์"]
    local_account["บัญชีท้องถิ่น"]
    unprotected_encryption["สถานะเข้ารหัสที่ไม่ถูกป้องกัน"]
    hardware_replacement["การเปลี่ยนฮาร์ดแวร์"]
    printed_copy["สำเนาพิมพ์・ไฟล์"]
    used_space_only["เข้ารหัสเฉพาะพื้นที่ที่ใช้แล้ว"]
    repair_maintenance["งานซ่อม・บำรุง"]
    recovery_key_exposure["การรั่วของกุญแจกู้คืน"]
    key_rotation["การออกรหัสผ่านกู้คืนใหม่ (การหมุนเวียน)"]
    pc_disposal["การกำจัดพีซี"]
    data_erasure["ขั้นตอนลบข้อมูล"]
    encryption_overhead["ผลกระทบต่อสมรรถนะจากการเข้ารหัส"]
    msinfo32["msinfo32 (ข้อมูลระบบ)"]
    password_protector["วิธีรหัสผ่าน"]
    personal_account_storage["การเก็บกุญแจกู้คืนในบัญชีส่วนตัวของผู้รับผิดชอบ"]
    recovery_key_id["รหัสกุญแจกู้คืน"]
    cipher_choice["การเลือกวิธีเข้ารหัส"]
    unattended_pc["พีซีอุปกรณ์ที่ไม่มีคนเฝ้า"]
    encrypted_master_image["การทำสำเนาอิมเมจที่เปิดการป้องกันแล้ว"]
    clone_deployment["การนำออกแบบโคลน"]
    dpapi["DPAPI"]
    app_secrets["ความลับของแอป"]
    bitlocker -.->|"ใช้"| tpm
    bitlocker -->|"ใช้"| xts_aes
    bitlocker -->|"ป้องกัน"| device_loss_data_leak
    device_encryption -->|"ทำอัตโนมัติ"| bitlocker
    device_encryption -->|"ต้องมี"| tpm
    device_encryption -->|"ต้องมี"| uefi_secure_boot
    recovery_key -.->|"ถูกเก็บใน"| entra_id
    recovery_key -.->|"ถูกเก็บใน"| active_directory
    recovery_key -.->|"ถูกเก็บใน"| microsoft_account
    recovery_mode -->|"ต้องมี"| recovery_key
    firmware_update -.->|"อาจก่อให้เกิด"| recovery_mode
    bitlocker -->|"กำหนดค่าด้วย"| group_policy
    bitlocker -->|"กำหนดค่าด้วย"| intune
    bitlocker -.->|"ใช้"| bitlocker_pin
    bitlocker -.->|"ใช้"| startup_key
    bitlocker_suspend -.->|"ป้องกัน"| recovery_mode
    key_backup_policy -->|"ป้องกัน"| recovery_key_loss
    key_backup_policy -->|"กำหนดค่าด้วย"| group_policy
    recovery_mode -.->|"อาจก่อให้เกิด"| recovery_key_loss
    bitlocker -->|"ตรวจยืนยันด้วย"| manage_bde
    bitlocker -.->|"ต้องมี"| pro_edition
    home_edition -.->|"ใช้"| device_encryption
    device_encryption -->|"ใช้"| clear_key
    local_account -.->|"อาจก่อให้เกิด"| unprotected_encryption
    unprotected_encryption -.->|"อาจก่อให้เกิด"| device_loss_data_leak
    uefi_secure_boot -.->|"อาจก่อให้เกิด"| recovery_mode
    tpm -.->|"อาจก่อให้เกิด"| recovery_mode
    hardware_replacement -.->|"อาจก่อให้เกิด"| recovery_mode
    recovery_key -.->|"ถูกเก็บใน"| printed_copy
    bitlocker -.->|"ใช้"| used_space_only
    repair_maintenance -.->|"อาจก่อให้เกิด"| recovery_key_exposure
    key_rotation -->|"บรรเทา"| recovery_key_exposure
    pc_disposal -->|"ต้องมี"| data_erasure
    data_erasure -->|"ป้องกัน"| device_loss_data_leak
    bitlocker -.->|"อาจก่อให้เกิด"| encryption_overhead
    bitlocker_suspend -->|"ควรทำก่อน"| firmware_update
    key_backup_policy -->|"ควรทำก่อน"| bitlocker
    key_rotation -->|"แนวทางที่แนะนำสำหรับ"| recovery_key_exposure
    key_rotation -.->|"ต้องมี"| key_backup_policy
    device_encryption -->|"ตรวจยืนยันด้วย"| msinfo32
    password_protector -->|"ไม่แนะนำให้ใช้กับ"| bitlocker
    personal_account_storage -.->|"อาจก่อให้เกิด"| recovery_key_loss
    recovery_key -->|"ตรวจยืนยันด้วย"| recovery_key_id
    recovery_key -->|"ตรวจยืนยันด้วย"| manage_bde
    cipher_choice -->|"ควรทำก่อน"| bitlocker
    bitlocker_pin -->|"ใช้ร่วมไม่ได้"| unattended_pc
    encrypted_master_image -->|"ไม่แนะนำให้ใช้กับ"| clone_deployment
    dpapi -->|"แนวทางที่แนะนำสำหรับ"| app_secrets

ในแผนภาพ เส้นทึบหมายถึงความสัมพันธ์ที่ถือเสมอ และเส้นประหมายถึงความสัมพันธ์ที่มีเงื่อนไข (เงื่อนไขอยู่ในการอธิบายของแต่ละความสัมพันธ์ในหน้าละเอียด) รายการความสัมพันธ์ทั้งหมด (รวม 48 รายการ พร้อมหลักฐานและระดับความเชื่อมั่น) และนิยามของแนวคิดหลักรวบรวมไว้ที่ หน้าละเอียดของแผนที่ความรู้ (เป็นภาษาญี่ปุ่น) ข้อมูล: JSON-LD / Turtle

2. BitLocker กับการเข้ารหัสอุปกรณ์ต่างกันอย่างไร — ตามรุ่นใช้อะไรได้

เริ่มจัดคำ «BitLocker» กับ «การเข้ารหัสอุปกรณ์» คือสองหน้าของเทคโนโลยีเข้ารหัสเดียวกัน

• BitLocker (เต็มรูปแบบ): เปิดทีละไดรฟ์ และเป็นรูปที่หันผู้ดูแล ── รวมวิธียืนยันตัวอย่าง TPM+PIN และสตาร์ตอัปคีย์ การควบคุมด้วย Group Policy/Intune และการจัดการด้วย manage-bde.exe หรือ PowerShell
• การเข้ารหัสอุปกรณ์ (Device Encryption): กลไกที่เปิด BitLocker อัตโนมัติ บนพีซีที่ตรงข้อกำหนด ในแอปการตั้งค่ามีสวิตช์ «การเข้ารหัสอุปกรณ์» และเข้ารหัสเฉพาะไดรฟ์ OS กับไดรฟ์ภายในแบบติดตั้งตาย (ไดรฟ์ภายนอก/USB อยู่นอกขอบ)¹

การรองรับตามรุ่นเป็นดังนี้¹

Windows 11 24H2 เปลี่ยนอะไร

การเข้ารหัสอุปกรณ์อัตโนมัติมีมาก่อน แต่เป้าหลักคือพีซีพกพารุ่นค่อนข้างใหม่ที่ตรงเงื่อนไขอย่าง «Modern Standby หรือเป็นไปตาม HSTI» และ «ไม่มีพอร์ตที่เข้าถึง DMA จากภายนอกได้» Windows 11 เวอร์ชัน 24H2 ยกเลิกสองข้อกำหนดนี้ เหลือเงื่อนไขแกนอย่าง «มี TPM (1.2 หรือ 2.0)» และ «UEFI Secure Boot เปิดอยู่» การที่ OEM ลงทะเบียนบัส DMA ที่ไม่อนุญาตในรีจิสทรี (AllowedBuses) ก็ไม่จำเป็นแล้ว และคีย์นี้เองถูกเพิกเฉยตั้งแต่ 24H2 เป็นต้นไป โปรดทราบว่าการผ่อนข้อกำหนดนี้ไม่ใช้กับรุ่น Windows IoT²

ผลคือ เมื่อ OOBE หลังติดตั้งใหม่ (รวมการรีเซ็ตหรือตั้งใหม่) เสร็จ แม้พีซีเดสก์ท็อปธรรมดาก็ถูกเริ่มต้นการเข้ารหัสตามค่าเริ่มต้น จุดสำคัญคือความต่างระหว่าง «เริ่มต้น» การเข้ารหัสกับ «เปิด» การป้องกัน

• ณ จุดที่ OOBE เสร็จ ไดรฟ์ถูกเข้ารหัสด้วย คลียร์คีย์ (กุญแจชั่วคราวที่ไม่มีป้องกัน) Explorer แสดงไอคอนคำเตือน¹
• เมื่อลงชื่อเข้าใช้ด้วยบัญชี Microsoft หรือบัญชี Entra ID สำเร็จ ── หรือสำหรับพีซีที่เข้าร่วมโดเมน การสำรองไปยัง AD DS (ที่กำหนดนโยบายกู้คืนแล้ว) สำเร็จ ── จะสร้างตัวป้องกัน TPM และเอาคลียร์คีย์ออก ตรงนี้การป้องกันจึงมีผล¹²
• พีซีที่ใช้แค่บัญชีท้องถิ่นยังไม่ถูกป้องกันแม้ถูกเข้ารหัส¹

กระแสนี้เมื่อวาดเป็นแผนภาพ เป็นดังนี้

flowchart TB
    A["ติดตั้งใหม่・รีเซ็ต<br/>(Windows 11 24H2 เป็นต้นไป)"] --> B{"ตรงข้อกำหนดอย่าง<br/>TPM+UEFI Secure Boot หรือไม่"}
    B -- "ไม่ตรง" --> Z["ไม่ถูกเข้ารหัส"]
    B -- "ตรง" --> C["เริ่มต้นการเข้ารหัสเมื่อ OOBE เสร็จ<br/>(คลียร์คีย์ = กุญแจชั่วคราวไร้ป้องกัน)"]
    C --> D{"ที่สำรอง<br/>กุญแจกู้คืนคือ?"}
    D -- "บัญชี Microsoft / Entra ID /<br/>AD DS (กำหนดนโยบายกู้คืนแล้ว)" --> E["สำรองกุญแจกู้คืนสำเร็จ"]
    E --> F["สร้างตัวป้องกัน TPM・เอาคลียร์คีย์ออก<br/>= การป้องกันถูกเปิด (armed)"]
    D -- "บัญชีท้องถิ่นอย่างเดียว<br/>(ไม่มีที่สำรอง)" --> G["เข้ารหัสแล้วแต่การป้องกันยังปิด<br/>(มีไอคอนคำเตือน)"]

ตัวจริงของ «รู้ตัวอีกทีก็ถูกเข้ารหัสแล้ว» คือกลไกนี้ องค์กรที่กำลังเปลี่ยนไปพีซี Windows 11 เพราะการสิ้นสุดการสนับสนุน Windows 10 («ตารางตัดสินหลังสิ้นสุดการสนับสนุน Windows 10») ต้องสมมติว่าพีซีใหม่มาในสถานะนี้ตั้งแต่ต้น แล้วใส่การจัดการกุญแจกู้คืนในขั้นตอนการจัดชุดพีซี

สถานะของเครื่องตนเอง เปิดข้อมูลระบบ (msinfo32.exe) ในฐานะผู้ดูแล แล้วดูแถว «Device Encryption Support» ถ้าเป็น «Meet prerequisites» แสดงว่าเข้าข่าย¹

3. กลไกขั้นต่ำ — ความสัมพันธ์ระหว่าง TPM กับกุญแจ

ผู้เฝ้ากุญแจของ BitLocker คือ TPM (Trusted Platform Module) TPM มีบทบาทยืนยันว่าอุปกรณ์ไม่ถูกดัดแปลงขณะ OS ออฟไลน์ และจะให้ใช้กุญแจเข้ารหัสได้เฉพาะเมื่อการตรวจตอนบูตผ่าน ดังนั้นเมื่อ Windows ถูกบูตตามปกติ ผู้ใช้ไม่ต้องใส่อะไรก็ใช้ได้ แต่ถ้าถูกถอดแค่ดิสก์ไปจะอ่านไม่ได้ ── สองอย่างนี้ทำพร้อมกันได้¹ กลไกของตัว TPM เอง (โครงที่ไม่ปล่อยกุญแจออก PCR การบูตแบบวัด) มีแผนภาพใน «TPM ของ Windows คืออะไร»

สิ่งที่เกิดทุกครั้งที่บูต เมื่อวาดเป็นแผนภาพ เป็นดังนี้

flowchart TB
    ON["เปิดเครื่อง"] --> M["TPM วัดสภาพแวดล้อมการบูต<br/>(เฟิร์มแวร์・โครงบูต ฯลฯ)"]
    M --> Q{"ผลวัด<br/>เหมือนเดิมหรือไม่"}
    Q -- "เหมือน" --> UN["TPM ปล่อยกุญแจเข้ารหัส"]
    UN --> BOOT["บูตปกติ<br/>(ผู้ใช้ไม่ต้องใส่อะไร)"]
    Q -- "ต่าง" --> REC["โหมดกู้คืน<br/>ขอกุญแจกู้คืน 48 หลัก"]
    REC --> K1["ใส่กุญแจกู้คืนได้ก็บูต"]
    REC --> K2["ใส่ไม่ได้<br/>ดึงข้อมูลไม่ได้"]

นอกจาก TPM ยังเลือกโครงหลายปัจจัยที่บังคับใส่ PIN ตอนบูต หรือเสียบ สตาร์ตอัปคีย์ (ไฟล์กุญแจใน USB) ได้ พีซีที่ไม่มี TPM ก็เข้ารหัสไดรฟ์ OS ด้วยวิธีสตาร์ตอัปคีย์ได้ แต่วิธีรหัสผ่านไม่มีกลไกล็อกเอาต์และอ่อนต่อการเดา จึงถูกปิดตามค่าเริ่มต้น¹

เมื่อไรจึงถูกขอกุญแจกู้คืน

TPM ดูว่า «สภาพแวดล้อมการบูตเหมือนเดิมหรือไม่» ดังนั้น เมื่อสภาพแวดล้อมเปลี่ยน แม้เจ้าของที่ถูกก็เข้าโหมดกู้คืน ตัวกระตุ้นที่เป็นตัวแทนที่ Microsoft ยก มีดังนี้³

• การอัปเดตส่วนประกอบต้นการบูต เช่น การอัปเดตเฟิร์มแวร์ BIOS/UEFI
• ปิด ปิดใช้ หรือล้าง TPM หรือการทดสอบตนเองของ TPM ล้ม
• การเปลี่ยน PCR (แพลตฟอร์มคอนฟิกูเรชันเรจิสเตอร์) ที่โปรไฟล์การตรวจ TPM ใช้ ── การเปลี่ยนการตั้งค่า Secure Boot มีผลตรงนี้
• เปลี่ยนเมนบอร์ด (เปลี่ยนไป TPM ใหม่)
• ย้ายไดรฟ์ที่ BitLocker ป้องกันไปพีซีอื่น
• ถอดใส่ด็อกกิงสเตชัน เปลี่ยนตารางพาร์ติชัน NTFS เปลี่ยนบูตแมเนเจอร์ PXE บูต
• ใส่ PIN ผิดซ้ำ หรือ (บนเครื่อง TPM 1.2) เปลี่ยนลำดับอุปกรณ์บูต

กล่าวคือ «ถูกขอกุญแจกู้คืนหลังอัปเดต BIOS» ไม่ใช่ความเสียหรือการโจมตี แต่เป็นพฤติกรรมตามออกแบบ ก่อนงานที่วางแผน (อัปเดตเฟิร์มแวร์หรือเปลี่ยนฮาร์ดแวร์) ให้หยุดการป้องกันชั่วคราว (suspend) เป็นหลัก แม้หยุดชั่วคราวไดรฟ์ยังเข้ารหัสอยู่ และหลังงานเสร็จกลับมาได้โดยไม่ใส่กุญแจกู้คืน ตามค่าเริ่มต้น เมื่อรีบูต การป้องกันกลับมาอัตโนมัติ (ระบุจำนวนครั้งรีบูตได้ด้วย)³

# หยุดการป้องกันชั่วคราวก่อนอัปเดตเฟิร์มแวร์ ตามค่าเริ่มต้นการป้องกันกลับมาอัตโนมัติตอนรีบูตครั้งเดียว
# จึงทำให้อัปเดตที่รีบูตหลายครั้ง รีบูตครั้งที่ 2 เป็นต้นไปอาจหยุดค้างที่หน้ากู้คืน
# -RebootCount 0 หยุดการกลับมาอัตโนมัติ แล้วใส่การกลับมาหลังงานเสร็จเข้าในขั้นตอนแทน
Suspend-BitLocker -MountPoint C: -RebootCount 0
# หลังงานเสร็จต้องกลับมาเสมอ (-RebootCount 0 ไม่กลับมาอัตโนมัติ จึงต้องรันขั้นนี้)
Resume-BitLocker -MountPoint C:

หมายเหตุเรื่องคำ ในเอกสารเทคนิคแยก «รหัสผ่านกู้คืน» คือตัวเลข 48 หลัก กับ «กุญแจกู้คืน» คือไฟล์ .bek ที่เก็บใน USB³ แต่หน้าจอที่หันผู้ใช้ทั่วไปและบทความนี้ เรียกตัวเลข 48 หลักว่า «กุญแจกู้คืน» ตามชื่อที่ใช้กันกว้าง

4. ตารางตัดสินที่เก็บกุญแจกู้คืน — เลือกจากสี่ทางอย่างไร

นี่คือแกนของบทความ ที่เก็บกุญแจกู้คืนมีจริงสี่ทาง และ ถูกกำหนดเกือบอัตโนมัติด้วยรูปแบบการลงชื่อเข้าใช้ของพีซี แสดงตารางตัดสินก่อน

บนอุปกรณ์แบบไฮบริด (ทั้ง AD และ Entra ID) รหัสผ่านกู้คืนถูกสำรองไป ทั้งสองที่⁴

จุดที่องค์กรต้องกดมีสามข้อ

1. ตัดสิน «ที่เก็บขององค์กร» ให้เหลือหนึ่งที่ ถ้าการเข้าร่วม Entra ID กำลังเดิน คือ Entra ID ถ้าเป็น AD ในองค์กร คือ AD DS สถานะที่กุญแจกู้คืนของพีซีบริษัทอยู่ในบัญชี Microsoft ส่วนตัวของผู้รับผิดชอบ พังทันทีเมื่อลาออกหรือโยกย้าย
2. อย่าคิดว่า AD DS «เข้ามาเอง» การสำรองไป AD DS สมมตินโยบายที่กำหนด (กล่าวต่อไป) นอกจากนี้ Active Directory เก็บประวัติรหัสผ่านกู้คืนต่อเนื่อง และกุญแจเก่าไม่หายเองจนกว่าจะลบคอมพิวเตอร์อ็อบเจ็กต์³
3. ถ้าเลือกเก็บไฟล์ ให้เข้มเรื่องที่เก็บ ไฟล์กุญแจกู้คืนต้องเก็บที่อื่นนอกพีซีนั้นเอง (โฟลเดอร์เครือข่าย ฯลฯ)⁵ ผู้ถือกุญแจกู้คืนเข้าถึงข้อมูลทั้งหมดบนไดรฟ์ได้ จึงต้องแยกเก็บจากพีซีที่ถูกป้องกัน และควบคุมการเข้าถึง³

ตรวจว่าพีซีของตนตอนนี้อยู่สถานะใด

จากเทอร์มินัลที่มีสิทธิ์ผู้ดูแล รันอย่างใดอย่างหนึ่งต่อไปนี้⁵

# PowerShell: ตรวจสถานะการเข้ารหัสกับชนิดของตัวป้องกัน
Get-BitLockerVolume C: | Format-List
# ตรวจรหัสผ่านกู้คืน (48 หลัก) กับ ID ของมัน
(Get-BitLockerVolume -MountPoint C).KeyProtector

:: พรอมต์คำสั่ง: ตรวจสถานะ
manage-bde -status
:: รายการตัวป้องกัน (TPM, รหัสผ่านกู้คืน ฯลฯ) กับค่า 48 หลัก
manage-bde -protectors -get C:

ในเอาต์พุตของ manage-bde -protectors -get C: สิ่งที่แสดงเป็น «Numerical Password» คือกุญแจกู้คืน 48 หลัก และ 8 หลักแรกของรหัสที่แสดงคู่กัน คือเบาะแสจับว่า «กุญแจไหน» บนหน้ากู้คืน⁶

รหัสผ่านกู้คืนของพีซีที่เข้ารหัสแล้ว สำรองไป Entra ID หรือ AD DS ทีหลังก็ได้⁵

# ตรวจ ID ของรหัสผ่านกู้คืนก่อนแล้วค่อยรัน
# สำรองไป Entra ID
BackupToAAD-BitLockerKeyProtector -MountPoint C: -KeyProtectorId "{ID}"
# สำรองไป AD DS
Backup-BitLockerKeyProtector -MountPoint C: -KeyProtectorId "{ID}"

:: กรณี manage-bde
manage-bde -protectors -aadbackup C: -id {ID}
manage-bde -protectors -adbackup C: -id {ID}

การตรวจนับว่า «กุญแจกู้คืนของทุกพีซีอยู่ในที่เก็บขององค์กรหรือไม่» เหมือนมาตรการพื้นฐานด้านความปลอดภัยข้อมูลในแนวทางของ IPA สำหรับธุรกิจขนาดกลางและเล็ก ไม่ใช่ทำครั้งเดียวจบ แต่เป็นสิ่งที่ต้องขึ้นบัญชีดำเนินงาน («มาตรการความปลอดภัยของธุรกิจขนาดกลางและเล็ก เริ่มจากตรงไหน»)

5. การเปิดและการดำเนินงานในองค์กร — นโยบาย คำสั่ง และวิธีเข้ารหัส

5.1. ห้าม «เปิดโดยไม่มีกุญแจกู้คืน» ด้วยนโยบาย

การตั้งค่า BitLocker กำหนดได้ทั้งจาก Group Policy (GPO) และ MDM (BitLocker CSP ของ Intune ฯลฯ)⁴ นโยบายที่สำคัญที่สุดในมุมการจัดการกุญแจกู้คืนคือ «Choose how BitLocker-protected operating system drives can be recovered» ที่นี่กำหนดดังนี้⁴³

• Save recovery information to AD DS (รหัสผ่านกู้คืนอย่างเดียว หรือรวมคีย์แพ็กเกจด้วย)
• เปิด «Do not enable BitLocker until recovery information is stored to AD DS» ── แกนกันอุบัติเหตุ ที่ไม่ให้เริ่มเข้ารหัสจนกว่าการสำรองจะสำเร็จ ในโครงนี้รหัสผ่านกู้คืนถูกสร้างอัตโนมัติ

เมื่อจัดการอุปกรณ์ที่เข้าร่วม Entra ID ด้วย Intune ความคิดเดียวกัน คือบังคับสำรองกุญแจกู้คืนก่อนแล้วค่อยเปิดการเข้ารหัส กุญแจกู้คืนบน Entra ID ดึงจากศูนย์จัดการ Entra ศูนย์จัดการ Intune PowerShell หรือ Microsoft Graph ได้ และมอบหมายให้เฮลป์เดสก์ได้ด้วย³

5.2. วิธีเข้ารหัส — ค่าเริ่มต้นคือ XTS-AES 128

ถ้าไม่กำหนดวิธีเข้ารหัส BitLocker ใช้ XTS-AES 128 บิต ตามค่าเริ่มต้น การเข้ารหัสอุปกรณ์ก็ค่าเริ่มต้นเป็น XTS-AES 128 นโยบาย «Choose drive encryption method and cipher strength» เปลี่ยนเป็น XTS-AES 256 ฯลฯ ได้ แต่คำแนะนำของ Microsoft คือใช้ XTS-AES ทุกไดรฟ์ แล้วเลือกความยาวคีย์ 128/256 ตามสมรรถนะของอุปกรณ์ (และข้อกำหนดกำกับของอุตสาหกรรม)⁴¹

จุดที่ต้องระวังคือ วิธีบนไดรฟ์ที่เข้ารหัสแล้วเปลี่ยนทีหลังไม่ได้ การเปลี่ยนวิธีหรือความยาวคีย์ต้องถอดรหัสแล้วเข้ารหัสใหม่¹ ถ้ามีเหตุอย่าง «ข้อกำหนดกำกับต้องการ 256 บิต» ให้ตัดสินให้จบตอนเริ่มการนำออก

5.3. เข้ารหัสเฉพาะพื้นที่ที่ใช้แล้ว กับไดรฟ์ทั้งลูก

อีกอย่างที่เลือกตอนเปิดคือขอบเขตการเข้ารหัส แนวทางเลือกของ Microsoft ชัด⁵

• เข้ารหัสเฉพาะพื้นที่ที่ใช้แล้ว: สำหรับไดรฟ์ใหม่ที่ไม่เคยวางข้อมูล การเข้ารหัสครั้งแรกเร็ว
• เข้ารหัสไดรฟ์ทั้งลูก: สำหรับไดรฟ์ที่เคยใช้แล้ว ── เคยวางข้อมูล และไฟล์ที่ลบอาจยังเหลือ

เหตุคือ พื้นที่ของไฟล์ที่ลบ ระบบไฟล์มองเป็น «พื้นที่ว่าง» ดังนั้น «เฉพาะพื้นที่ที่ใช้แล้ว» จะไม่เข้ารหัส และเครื่องมือนิติวิทยาศาสตร์กู้ได้จนกว่าจะถูกเขียนทับ⁵ ในงานจริงจำว่า พีซีใหม่หลังจัดชุดใช้ «เฉพาะพื้นที่ที่ใช้แล้ว» ได้ และถ้าใส่ทีหลังบนพีซีที่ใช้งานไปแล้ว ให้เข้ารหัสทั้งลูก ก็พอ

5.4. เปิดด้วย PowerShell

รูปพื้นฐานของการนำออกด้วยสคริปต์เป็นดังนี้⁵

# 1. เพิ่มตัวป้องกันรหัสผ่านกู้คืน (48 หลัก) ก่อน (ณ จุดนี้การเข้ารหัสยังไม่เริ่ม)
#    แม้ลองใหม่แล้วเหลือรหัสผ่านกู้คืนหลายตัว ก็เลือกเฉพาะตัวที่เพิ่งเพิ่มครั้งนี้
#    ด้วยผลต่าง ID ก่อนและหลังเพิ่ม
$before = (Get-BitLockerVolume -MountPoint C).KeyProtector.KeyProtectorId
Add-BitLockerKeyProtector -MountPoint C: -RecoveryPasswordProtector | Out-Null
$rpId = (Get-BitLockerVolume -MountPoint C).KeyProtector |
    Where-Object { $_.KeyProtectorType -eq 'RecoveryPassword' -and $_.KeyProtectorId -notin $before } |
    Select-Object -ExpandProperty KeyProtectorId

# 2. สำรองรหัสผ่านกู้คืนที่เพิ่มไปที่เก็บขององค์กร ถ้าขั้นนี้ล้ม
#    ห้ามเดินหน้าไปเข้ารหัส จึงใช้ -ErrorAction Stop ให้หยุดประมวลผลเมื่อผิดพลาด
#    (ขั้นตอนนี้จบเมื่อยืนยันแล้วว่ากุญแจปรากฏในศูนย์จัดการ Entra / AD)
BackupToAAD-BitLockerKeyProtector -MountPoint C: -KeyProtectorId $rpId -ErrorAction Stop
# ถ้าเป็น AD DS: Backup-BitLockerKeyProtector -MountPoint C: -KeyProtectorId $rpId -ErrorAction Stop

# 3. เริ่มเข้ารหัสหลังสำรองสำเร็จเท่านั้น 3a กับ 3b ใช้ร่วมไม่ได้ ──
#    รันอย่างใดอย่างหนึ่งเท่านั้น (ตัดสินวิธีกับขอบเขตให้จบตรงนี้ด้วย)

# 3a. โครงมาตรฐาน: TPM อย่างเดียว (เครื่องที่ต้องรีบูตไร้คนใช้แบบนี้)
Enable-BitLocker C: -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector

# 3b. โครง TPM+PIN (สำหรับเครื่องตั้งกับที่ความปลอดภัยสูง) รันอันนี้แทน 3a
#     ใส่ PIN คนละค่าต่อเครื่องที่หน้างาน ถ้าฝังเป็นข้อความธรรมดาในสคริปต์
#     ทุกเครื่องจะได้ PIN เดียวกัน และตัวสคริปต์เองกลายเป็นจุดรั่ว
$Pin = Read-Host -AsSecureString -Prompt "PIN ของเครื่องนี้"
Enable-BitLocker C: -EncryptionMethod XtsAes256 -UsedSpaceOnly -Pin $Pin -TPMandPinProtector

ลำดับ «ฝากรหัสผ่านกู้คืนก่อนแล้วค่อยเริ่มเข้ารหัส» นี้สำคัญ ถ้าเริ่มจาก Enable-BitLocker -TpmProtector แล้วประมวลผลหยุดกลางทาง จะเหลือ พีซีที่การป้องกัน TPM อย่างเดียวมีผล โดยไม่มีสำเนาวิธีกู้คืน และอาจเสียข้อมูลทั้งก้อนตอนอัปเดตเฟิร์มแวร์หรือเปลี่ยนฮาร์ดแวร์ครั้งถัดไป ด้วยลำดับข้างบน ถ้าหยุดกลางทาง การเข้ารหัสยังไม่เริ่ม แค่ทำใหม่ก็จบ ในการนำออกขององค์กร ถ้าให้นโยบายหมวด 5.1 «อย่าเปิด BitLocker จนกว่าข้อมูลกู้คืนจะถูกเก็บ» มีผลก่อน สถานะค้างกลางทางนี้กันได้ฝั่งนโยบายด้วย «อย่าเริ่มเข้ารหัสก่อนยืนยันว่าสำรองสำเร็จ» คือหลักเหล็กของการนำออกในองค์กร

6. การรับมืออุบัติเหตุ — เมื่อ «ถูกขอกุญแจกู้คืน» «หาไม่เจอ»

6.1. เมื่อหน้ากู้คืนขึ้น เริ่มจาก 8 หลักแรกของรหัสกุญแจ

หน้ากู้คืนสีน้ำเงินแสดง รหัสกุญแจกู้คืน แม้มีสำเนาหลายชุด จับคู่ 8 หลักแรกของรหัสก็ระบุกุญแจที่ถูกได้⁶ ที่ค้นเป็นตามตารางหมวด 4 ให้ไล่ตามลำดับ

1. ที่เก็บขององค์กร (ศูนย์จัดการ Entra ID / Intune หรือ AD DS) ── ผ่านผู้ดูแลหรือเฮลป์เดสก์
2. บัญชีของผู้ใช้เอง ── บัญชีที่ทำงานใช้ aka.ms/aadrecoverykey บัญชี Microsoft ส่วนตัวใช้ aka.ms/myrecoverykey⁶
3. สำเนาตอนเปิด ── กระดาษพิมพ์ ไฟล์ใน USB ไฟล์ข้อความที่เก็บไว้⁶

flowchart TB
    REC["หน้ากู้คืนสีน้ำเงิน<br/>แสดงรหัสกุญแจกู้คืน"] --> ID["จด 8 หลักแรกของรหัสกุญแจ"]
    ID --> ORG["1. ที่เก็บขององค์กร<br/>(ศูนย์จัดการ Entra ID・Intune / AD DS)"]
    ORG -- "มีกุญแจที่รหัสตรง" --> INPUT["ใส่ 48 หลักแล้วบูต"]
    ORG -- "ไม่เจอ" --> SELF["2. บัญชีของผู้ใช้เอง<br/>aka.ms/aadrecoverykey / aka.ms/myrecoverykey"]
    SELF -- "มีกุญแจที่ตรง" --> INPUT
    SELF -- "ไม่เจอ" --> PAPER["3. สำเนาตอนเปิด<br/>(กระดาษพิมพ์・USB・ไฟล์)"]
    PAPER -- "มีกุญแจที่ตรง" --> INPUT
    PAPER -- "ไม่เจอ" --> LOST["เหลือแค่รีเซ็ต (ข้อมูลหายทั้งก้อน)<br/>แม้ Microsoft ก็ดึงไม่ได้"]
    INPUT --> AFTER["ยืนยันสาเหตุ แล้วกุญแจกู้คืนที่ใช้<br/>ให้เพิกถอนแล้วออกใหม่ (หมวด 6.3)"]

คู่กัน ให้ทำให้การยืนยันสาเหตุว่า «ทำไมเข้าโหมดกู้คืน» เป็นนิสัย ถ้ามีเค้า ── อัปเดต BIOS เมื่อวาน แตะการตั้งค่า Secure Boot ── นั่นคือพฤติกรรมตามออกแบบ ถ้าเกิดซ้ำโดยไม่มีเค้า คุ้มที่จะสอบรวมถึงความไม่ปกติของฮาร์ดแวร์ หรือการดัดแปลงจากการเข้าถึงทางกายภาพ³

6.2. ถ้าหาอย่างไรก็ไม่เจอ

พูดยาก แต่ ถ้าหากุญแจกู้คืนไม่เจอ ไม่มีทางดึงข้อมูลบนไดรฟ์ที่เข้ารหัสนั้นได้ พีซีที่องค์กรจัดการ การถามฝ่ายไอทีคือปราการสุดท้าย ถ้ายังไม่มี เหลือแค่รีเซ็ตอุปกรณ์ (ข้อมูลหายทั้งก้อน) ฝ่ายสนับสนุน Microsoft ไม่อาจให้หรือสร้างกุญแจกู้คืนที่หายใหม่ได้⁶

การมองว่า «ข้อมูลหายเพราะการเข้ารหัส» กลับเหตุผล สาเหตุคือไม่ได้ทำให้การจัดการกุญแจกู้คืนเป็นระบบ และการจัดการที่ขาดเช่นเดียวกัน ตอนถูกขโมยคงปรากฏเป็นการรั่วของข้อมูล

6.3. กุญแจกู้คืนที่ใช้แล้วให้ทิ้ง — การดำเนินงานตอนซ่อม สูญหาย ลาออก

• ตอนส่งซ่อม: ถ้าส่งกุญแจกู้คืนให้ร้านซ่อม (หรืออาจส่ง) เมื่อเครื่องกลับมา ให้เพิ่มรหัสผ่านกู้คืนใหม่ก่อน ยืนยันว่าสำรองไป Entra ID / AD DS สำเร็จ แล้วค่อยลบรหัสผ่านกู้คืนที่ส่งไป ถ้าลบก่อน ณ จุดที่การเพิ่มหรือสำรองล้ม ไดรฟ์นั้นจะไม่มีวิธีกู้คืน ลำดับจึงสำคัญ Microsoft ก็แนะนำให้เพิกถอนรหัสผ่านกู้คืนหลังใช้ และลำดับเพิ่ม→สำรอง→ลบ ทำให้จบด้วยคำสั่งได้⁵ บนอุปกรณ์ที่เข้าร่วม Entra ID มีนโยบายหมุนรหัสผ่านกู้คืนที่ใช้แล้วอัตโนมัติ ค่าเริ่มต้นเปิดบนอุปกรณ์ที่เข้าร่วม Entra ID แต่ ทำงานได้เฉพาะเมื่อนโยบายที่บังคับสำรองข้อมูลกู้คืน (หมวด 5.1) ถูกกำหนด ก่อนพึ่งการหมุนอัตโนมัติ ให้ยืนยันโครงที่เป็นข้อสมมตินี้ และการที่กุญแจถูกสลับจริง⁴
• ตอนพีซีสูญหาย: ตรวจจากบันทึกเอาต์พุตคำสั่งหมวด 4 หรือเครื่องมือจัดการ ว่าการป้องกันมีผล (สร้างตัวป้องกัน TPM แล้ว เอาคลียร์คีย์ออกแล้ว) หรือไม่ ถ้าถูกเข้ารหัส จะอธิบายได้ว่า «ข้อมูลบนดิสก์อ่านไม่ได้» นี่คือเหตุผลใหญ่ที่สุดที่ต้องตรวจนับยามปกติ
• ตอนลาออก・คืนพีซี: ข้อแรกคืออย่าให้กุญแจกู้คืนของพีซีที่คืน อยู่ในแค่บัญชี Microsoft ส่วนตัวของผู้ลาออก ถ้าการรวมไปที่เก็บขององค์กร (หมวด 4) ทำแล้ว งานตอนคืนเหลือแค่จัดชุดใหม่กับการออกรหัสผ่านกู้คืนใหม่

ตัวอย่างกรณีซ่อม เมื่อไล่เป็นกระแส เป็นดังนี้

flowchart LR
    S["ส่งซ่อม<br/>(อาจส่งกุญแจกู้คืนไป)"] --> B["พีซีกลับมา"]
    B --> N["เพิ่มรหัสผ่านกู้คืนใหม่"]
    N --> BK["ยืนยันว่าสำรองไป<br/>Entra ID / AD DS สำเร็จ"]
    BK --> D["เพิกถอน (ลบ)<br/>รหัสผ่านกู้คืนที่ส่งไป"]
    D --> OK["อัปเดตบัญชีแล้วจบ"]

7. ความสัมพันธ์กับการกำจัด — ดิสก์ที่เข้ารหัสแล้วทำให้การกำจัดง่ายขึ้น

คุณของ BitLocker ไม่จำกัดแค่ตอนใช้อยู่ ถ้าไดรฟ์ถูกเข้ารหัสตั้งแต่ต้น สิ่งที่เหลือบนดิสก์ตอนกำจัดคือแค่ไซเฟอร์เท็กซ์ BitLocker ถูกออกแบบตั้งแต่ต้นให้ป้องกันการรั่วของข้อมูลไม่เฉพาะจากการสูญหายและการขโมย แต่จาก «อุปกรณ์ที่ถูกกำจัดไม่เหมาะสม» ด้วย และการทำให้ข้อมูลอ่านไม่ได้ตอนกำจัดหรือรีไซเคิลอุปกรณ์ที่ถูกป้องกัน รวมอยู่ในจุดประสงค์¹

อย่างไรก็ตาม แม้ถูกเข้ารหัส ขั้นตอนการลบตอนกำจัด (รีเซ็ต เครื่องมือลบเฉพาะ การทำลายทางกายภาพ) ไม่ได้ถูกข้ามได้ การเข้ารหัสคือประกันที่ «ลดความเสี่ยงถูกอ่านข้อความธรรมดาจากดิสก์ก่อนลบ หรือเมื่อลบไม่ได้» ไม่ใช่สิ่งทดแทนการลบที่ตรวจยืนยันได้ จากนั้นองค์กรที่ดำเนินงานเข้ารหัสมีงานเฉพาะอีกหนึ่งอย่าง ── การจัดสำเนากุญแจกู้คืน (กระดาษ ไฟล์ การลงทะเบียนบน AD หรือ Entra ID) แม้ลบดิสก์แล้ว ถ้าสำเนากุญแจกู้คืนยังอยู่ การกำจัดบนบัญชียังไม่จบ ให้รวมการลบกุญแจเก่าเป็นส่วนของขั้นตอนกำจัด

อย่างไรก็ตาม การกำจัดพียังมีประเด็นนอกการเข้ารหัส ── การปลดบัญชีและใบอนุญาต บัญชีสินทรัพย์ หลักฐาน ขั้นตอนทั้งก้อนถูกรวบเป็นรายการตรวจใน «สิ่งที่ควรทำก่อนกำจัดพีซี Windows» เมื่อจัดกระแสกำจัดที่สมมติการเข้ารหัส ให้ใช้คู่กัน

8. มุมนักพัฒนาแอปธุรกิจ — สมรรถนะ พีซีอุปกรณ์ การนำออกแบบโคลน

ท้ายนี้ ข้อควรระวังจากตำแหน่งที่รับผิดชอบแอปธุรกิจหรือพีซีควบคุมอุปกรณ์

• ผลต่อสมรรถนะ หลักคือ «วัดด้วย 128 บิตค่าเริ่มต้นก่อน» Microsoft เองให้เกณฑ์เลือกความยาวคีย์เป็น «ขึ้นกับสมรรถนะของอุปกรณ์» ไดรฟ์และซีพียูแรงใช้ 256 บิต ไม่เช่นนั้น 128 บิต⁴ พลิกแล้ว บนพีซีสมัยใหม่ XTS-AES 128 ค่าเริ่มต้นแทบไม่กระทบความรู้สึกของแอปธุรกิจ และที่บริษัทเรา นอกแอปที่ไฟล์ I/O หนักเป็นพิเศษ แทบไม่เคยเป็นปัญหา ถ้าสงสัย ควรวัด I/O ก่อนและหลังเข้ารหัสด้วยปริมาณข้อมูลเทียบงานจริงแล้วค่อยตัดสิน การปิดเพราะความรู้สึกว่า «คงช้า» คือกลับหัวกลับหาง
• การเข้ารหัสโปร่งใสต่อแอป BitLocker คือการเข้ารหัสวอลุ่มทั้งลูก พฤติกรรมของไฟล์ API ไม่เปลี่ยน พลิกแล้ว ความลับที่แอปจัดการบนเครื่องที่กำลังรัน (สตริงเชื่อม API คีย์) BitLocker ป้องกันไม่ได้ เพราะบนเครื่องที่ลงชื่อเข้าใช้แล้ว ไดรฟ์ถูกมองในรูปถอดรหัสแล้ว ฝั่งนั้นคือหน้าที่ของ DPAPI ฯลฯ («เก็บความลับของแอป Windows ที่ไหน»)
• พีซีอุปกรณ์・พีซีคีออสก์ ตัดสินโครงจาก «รีบูตไร้คนได้หรือไม่» โครง TPM อย่างเดียว การกลับจากตัดไฟก็ขึ้นไร้คนได้ แต่ TPM+PIN หรือสตาร์ตอัปคีย์ต้องมีคนทุกครั้งที่บูต ไม่เหมาะกับอุปกรณ์ไร้คน ในทางกลับกัน โครง TPM อย่างเดียวถือความเสี่ยงหยุดค้างที่หน้ากู้คืนจากตัวกระตุ้นหมวด 3 (อัปเดตเฟิร์ม ฯลฯ) ดังนั้น วางกุญแจกู้คืนที่ไกลจากหน้างาน (เก็บล็อก + บัญชี) และระบุ «Suspend-BitLocker ก่อนทำงาน» ในคู่มือบำรุงอุปกรณ์ คือแกนของการดำเนินงาน การทำให้เทอร์มินัลไร้คนแน่นโดยรวม อยู่ใน «ทำให้เทอร์มินัลงานแน่นด้วยโหมดคีออสก์» อนึ่ง การผ่อนข้อกำหนด ของการเข้ารหัสอุปกรณ์อัตโนมัติใน 24H2 ไม่ใช้กับรุ่น Windows IoT² แต่ไม่ได้แปลว่า «ถ้าเป็น IoT จะไม่เกิดการเข้ารหัสอัตโนมัติ» บนเครื่องที่ตรงข้อกำหนดก่อนผ่อน (HSTI/Modern Standby ฯลฯ) การเข้ารหัสอัตโนมัติแบบเดิมยังเกิดได้ ดังนั้นแม้พีซีอุปกรณ์ ก็ใส่การตรวจสถานะด้วย manage-bde -status ในขั้นตอนจัดชุดจะชัวร์
• การนำออกแบบโคลน อย่า «เข้ารหัสแล้วนำไปทำอิมเมจ» รหัสผ่านกู้คืนเฉพาะต่ออุปกรณ์ที่สร้าง³ อย่าโคลนอิมเมจเครื่องแม่ที่เปิดการป้องกันแล้ว แต่หลังนำออก ให้เปิดทีละพีซี (หรือให้เข้ารหัสอัตโนมัติที่ OOBE) → สำรองกุญแจกู้คืน ตามลำดับนี้ ถ้าจัดชุดด้วยสคริปต์อยู่แล้ว («ทำให้การจัดชุดพีซีอัตโนมัติด้วย winget + PowerShell») แค่เติมการเปิดและการยืนยันสำรองของหมวด 5.4 เป็นขั้นตอนสุดท้าย

9. สรุป

• ในการติดตั้งใหม่ตั้งแต่ Windows 11 24H2 เป็นต้นไป พีซีที่ตรง TPM+UEFI Secure Boot ถูกเริ่มต้นการเข้ารหัสอุปกรณ์ตามค่าเริ่มต้น ข้อกำหนด HSTI/Modern Standby และ DMA ถูกยกเลิก ขอบขยายถึงพีซีเดสก์ท็อปธรรมดา
• การรับมือที่ถูกต่อ «ถูกเข้ารหัสเอง» ไม่ใช่การปิด แต่คือการยืนยันที่อยู่ของกุญแจกู้คืน ปิดแล้วเสียการป้องกันตอนสูญหาย ถูกขโมย หรือกำจัด และเมื่อปิดครั้งหนึ่งจะไม่เปิดใหม่อัตโนมัติ
• ที่เก็บกุญแจกู้คืนมีสี่ทาง Entra ID / AD DS / บัญชี Microsoft / พิมพ์・ไฟล์ และเกือบถูกกำหนดด้วยรูปแบบการลงชื่อเข้าใช้ ตัดสินที่เก็บขององค์กรให้เหลือหนึ่งที่ แล้วตรวจนับว่าทุกพีซีเข้าที่นั้น
• การตรวจจบด้วย manage-bde -protectors -get C: หรือ (Get-BitLockerVolume -MountPoint C).KeyProtector การสำรองทีหลังจบด้วย BackupToAAD-BitLockerKeyProtector / Backup-BitLockerKeyProtector
• กุญแจกู้คืนถูกขอแม้จากเจ้าของที่ถูก ด้วยอัปเดตเฟิร์มแวร์ เปลี่ยนการตั้งค่า Secure Boot เปลี่ยนฮาร์ด ฯลฯ ให้ใส่ Suspend-BitLocker ก่อนงานที่วางแผนในคู่มือขั้นตอน
• วิธีค่าเริ่มต้นคือ XTS-AES 128 และการเปลี่ยนทีหลังต้องถอดรหัส→เข้ารหัสใหม่ ไดรฟ์ใหม่เข้ารหัสเฉพาะพื้นที่ที่ใช้แล้วก็พอ
• กุญแจกู้คืนที่ใช้แล้วให้เพิกถอนแล้วออกใหม่ อย่าทิ้งกุญแจในบัญชีผู้ลาออก ตอนกำจัดให้ฝังสำเนากุญแจด้วย ── กุญแจกู้คืนไม่ใช่ «ออกแล้วจบ» แต่เป็นสิ่งที่จัดการตลอดวงจรชีวิต
• การเข้ารหัสเป็นประกันตอนกำจัดได้ด้วย แต่ไม่ใช่สิ่งทดแทนขั้นตอนลบ (รีเซ็ต เครื่องมือลบ การทำลายทางกายภาพ) คำตอบที่เป็นจริงของธุรกิจขนาดกลางและเล็ก คือไม่ปิด BitLocker แต่ใช้ให้เป็นคู่กับการจัดการกุญแจกู้คืน

บทความที่เกี่ยวข้อง

• TPM ของ Windows คืออะไร — แผนภาพ «ตู้นิรภัยที่ไม่ปล่อยกุญแจออก» กับการบูตแบบวัด
• สิ่งที่ควรทำก่อนกำจัดพีซี Windows — รายการตรวจปฏิบัติการลบข้อมูล ปลดบัญชี และสำรอง
• คำตอบที่เป็นจริงหลังสิ้นสุดการสนับสนุน Windows 10 — ตารางตัดสิน ESU・LTSC・ซื้อใหม่
• มาตรการความปลอดภัยของธุรกิจขนาดกลางและเล็ก เริ่มจากตรงไหน — เดินตามแนวทางความปลอดภัยข้อมูลของ IPA สำหรับ SME ฉบับที่ 4.0
• ทำให้เทอร์มินัลงานแน่นด้วยโหมดคีออสก์ — การเลือก Assigned Access・Shell Launcher และการออกแบบการดำเนินงาน
• ทำให้การจัดชุดพีซีอัตโนมัติด้วย winget + PowerShell — ทำให้คู่มือขั้นตอนรันได้
• เก็บความลับของแอป Windows ที่ไหน — แนวปฏิบัติที่ดีที่สุดที่ยึด DPAPI

ด้านให้คำปรึกษาที่เกี่ยวข้อง

KomuraSoft LLC รับคำปรึกษาการออกแบบการดำเนินงานเข้ารหัสของสภาพแวดล้อม Windows ที่รวมแอปธุรกิจและพีซีอุปกรณ์ (ออกแบบที่เก็บกุญแจกู้คืน การใส่ในขั้นตอนจัดชุด โครง BitLocker บนพีซีอุปกรณ์) และการตรวจสมรรถนะกับสอบสวนปัญหาของแอปธุรกิจในสภาพแวดล้อมที่เข้ารหัส เริ่มจากขั้นยืนยันว่า «เข้ารหัสพีซีอุปกรณ์ได้ไหม» ก็ได้

• ที่ปรึกษาเทคนิคและรีวิวการออกแบบ
• การพัฒนาแอปพลิเคชัน Windows
• การตรวจสอบบั๊กและวิเคราะห์หาสาเหตุ
• ติดต่อเรา

ลิงก์อ้างอิง

บทความที่เกี่ยวข้อง

บทความล่าสุดที่มีแท็กเดียวกัน เพื่อเจาะลึกหัวข้อใกล้เคียง

หัวข้อที่เกี่ยวข้อง

หน้าเหล่านี้วางหัวข้อไว้ในบริบทที่กว้างขึ้นของบริการและการตัดสินใจ

บริการที่เกี่ยวข้องกับหัวข้อนี้

บทความนี้เกี่ยวข้องโดยตรงกับบริการต่อไปนี้

คำถามที่พบบ่อย

คำถามที่มักพบในการปรึกษาเกี่ยวกับหัวข้อของบทความนี้

รู้ตัวอีกที «การเข้ารหัสอุปกรณ์» เปิดอยู่แล้ว จะปิดได้ไหม?

ไม่แนะนำให้ปิด ในการติดตั้งใหม่ของ Windows 11 เวอร์ชัน 24H2 เป็นต้นไป พีซีที่ตรงเงื่อนไขอย่าง TPM และ Secure Boot จะถูกเริ่มต้นการเข้ารหัสอุปกรณ์ตามค่าเริ่มต้น จึงดูเหมือน «เปิดเอง» นี่คือกลไกที่ปกป้องข้อมูลเมื่อสูญหายหรือถูกขโมย ปิดแล้วเสียการป้องกัน และเมื่อปิดครั้งหนึ่งจะไม่เปิดใหม่ให้อัตโนมัติ สิ่งที่ควรทำไม่ใช่การปิด แต่คือตรวจกุญแจกู้คืนด้วยคำสั่งอย่าง manage-bde -protectors -get C: แล้วให้ไปอยู่ในที่ที่องค์กรกำหนด ── บัญชี Microsoft, Entra ID หรือ AD เป็นต้น

กุญแจกู้คืนของ BitLocker อยู่ที่ไหน?

ที่เก็บขึ้นกับรูปแบบการลงชื่อเข้าใช้ของพีซี พีซีที่ตั้งด้วยบัญชี Microsoft ส่วนตัว ให้ลงชื่อเข้าใช้ https://aka.ms/myrecoverykey ด้วยบัญชีเดียวกันแล้วจะเห็นรายการ พีซีที่เข้าร่วม Entra ID ของบริษัท (บัญชีที่ทำงาน) ตรวจ «ดูคีย์ BitLocker» ที่ https://aka.ms/aadrecoverykey พีซีที่เข้าร่วมโดเมน AD ในองค์กร หากกำหนดนโยบายแล้ว ผู้ดูแลดึงจากใต้คอมพิวเตอร์อ็อบเจ็กต์ได้ นอกจากนั้นอาจมีสำเนาพิมพ์ USB หรือไฟล์ที่เก็บไว้ จับคู่ 8 หลักแรกของรหัสกุญแจกู้คืนที่โหมดกู้คืนแสดง กับกุญแจที่เก็บไว้ จะระบุกุญแจที่ถูกได้

พีซี Windows 11 Home ใช้ BitLocker ได้ไหม?

ฟังก์ชันที่ใช้ได้ต่างตามรุ่น BitLocker เต็มรูปแบบ รวมการเพิ่ม PIN และการจัดการด้วยนโยบาย เปิดได้เฉพาะตระกูล Pro/Enterprise/Education ไม่มีบน Home ส่วนคู่แบบย่อ คือการเข้ารหัสอุปกรณ์ ใช้ได้ทุกรุ่นรวม Home และเปิดอัตโนมัติถ้าตรงข้อกำหนดอย่าง TPM และ UEFI Secure Boot แต่การเปิดการป้องกันต้องลงชื่อเข้าใช้ด้วยบัญชี Microsoft ที่มีสิทธิ์ผู้ดูแล ── บัญชีท้องถิ่นอย่างเดียวไม่มีการป้องกัน หากจัดการเป็นพีซีของบริษัท แนะนำโครงที่สมมติ Pro แล้วจัดการกุญแจกู้คืนรวมศูนย์ผ่าน Entra ID หรือ AD

อัปเดต BIOS (เฟิร์มแวร์ UEFI) แล้วถูกขอกุญแจกู้คืน ทำไม?

BitLocker ใช้ TPM ตรวจว่าสภาพแวดล้อมการบูตไม่ถูกดัดแปลง และเมื่อค่าที่วัดตอนบูตเปลี่ยน ── เพราะอัปเดตเฟิร์มแวร์ เปลี่ยนการตั้งค่า Secure Boot ล้าง TPM เปลี่ยนเมนบอร์ด ฯลฯ ── จะตัดสินว่า «สภาพแวดล้อมไม่เหมือนเดิม» แล้วเข้าโหมดกู้คืน นี่ไม่ใช่ความเสีย แต่เป็นพฤติกรรมตามออกแบบ ก่อนงานอัปเดตที่วางแผนไว้ ให้หยุดการป้องกันชั่วคราวด้วย Suspend-BitLocker (หรือ manage-bde -protectors -disable C:) จะทำงานได้โดยไม่ต้องใส่กุญแจกู้คืน ระหว่างหยุดชั่วคราวไดรฟ์ยังเข้ารหัสอยู่ และตามค่าเริ่มต้นการป้องกันกลับมาอัตโนมัติตอนรีบูตครั้งถัดไป

หากุญแจกู้คืนไม่เจอ ยังดึงข้อมูลได้ไหม?

ถ้าไม่มีกุญแจกู้คืนที่ถูก (รหัสผ่านกู้คืน 48 หลัก) หรือวิธีปลดอื่น ไม่มีทางดึงข้อมูลบนไดรฟ์ที่เข้ารหัสได้ ฝ่ายสนับสนุนของ Microsoft เองก็ระบุชัดว่าไม่สามารถออกใหม่หรือดึงกุญแจกู้คืนที่หายได้ พีซีที่องค์กรจัดการ ให้ถามฝ่ายไอทีก่อน พีซีส่วนตัว ให้ดูหน้ากุญแจกู้คืนของบัญชี Microsoft สำเนาพิมพ์ หรือไฟล์ .bek/.txt บน USB ถ้ายังไม่เจอ เหลือแค่รีเซ็ต (ติดตั้งใหม่) พีซี และข้อมูลหาย นั่นคือเหตุที่ ก่อนถกจะปิดการเข้ารหัสหรือไม่ ควรยืนยันก่อนว่ากุญแจกู้คืนของทุกพีซีอยู่ในความดูแลขององค์กร

โปรไฟล์ผู้เขียน

หน้าแนะนำผู้เขียนบทความ

Go Komura

ผู้แทนของ KomuraSoft LLC

เชี่ยวชาญด้านการพัฒนาซอฟต์แวร์ Windows ที่ปรึกษาเทคนิค และการตรวจสอบบั๊ก โดยเฉพาะโปรเจกต์ที่มีระบบเดิมและบั๊กที่ทำซ้ำได้ยาก