Hướng dẫn thực tế BitLocker ── bắt đầu mã hóa ổ đĩa từ quản lý khóa khôi phục

“Khởi tạo lại PC, lần khởi động sau hiện màn hình xanh chưa từng thấy, đòi khóa 48 chữ số.” “Chỉ cập nhật BIOS mà ra màn hình nhập khóa khôi phục ── chẳng ai giao khóa kiểu đó.” “Xem cài đặt PC mới thì ‘Mã hóa thiết bị’ tự bật. Có vẻ sẽ làm chậm ứng dụng nghiệp vụ, tắt luôn được không?” ── khoảng một năm nay, kiểu hỏi này từ khách hàng tăng rõ.

Lý do rõ ràng. Từ Windows 11 phiên bản 24H2 trở đi, PC cài đặt sạch chạy “Mã hóa thiết bị” (tự bật BitLocker) theo mặc định. Yêu cầu phần cứng cũng được nới, nên số PC nằm trong phạm vi tăng mạnh. Nói cách khác, BitLocker không còn là thứ “doanh nghiệp lớn chủ đích triển khai” ── đã thành thứ “âm thầm vào cả PC của doanh nghiệp vừa và nhỏ”. Lúc này sợi dây cứu sinh duy nhất là khóa khôi phục, và trạng thái nguy hiểm nhất là mã hóa tiến mà khóa không nằm dưới sự quản lý của ai.

Bài viết này hướng tới nhân viên IT và ban lãnh đạo doanh nghiệp vừa và nhỏ, cùng nhà phát triển đang giữ ứng dụng nghiệp vụ và PC thiết bị; sắp xếp BitLocker không phải “thứ để tắt” mà là “thứ để dùng cho đúng”. Dựa trên nguồn gốc như Microsoft Learn tính đến tháng 8 năm 2026, nó gom khác biệt theo phiên bản, phần tối thiểu về quan hệ TPM và khóa, bảng quyết định nơi lưu khóa khôi phục, kích hoạt và vận hành trong tổ chức, xử lý sự cố, đến quan hệ với thải bỏ.

1. Kết luận trước

• BitLocker là tính năng Windows mã hóa cả ổ đĩa, ngăn rò dữ liệu do mất, trộm, hoặc thải bỏ không đúng. Ngay cả tấn công tháo đĩa gắn sang PC khác, dữ liệu đã mã hóa thì không đọc được.¹
• BitLocker đầy đủ chỉ bật được trên Pro, Enterprise, Pro Education, Education. Bản đơn giản “Mã hóa thiết bị” dùng được trên mọi phiên bản, kể cả Home.¹
• Từ Windows 11 24H2, yêu cầu mã hóa thiết bị tự động được nới. Yêu cầu HSTI/Modern Standby và “không có giao diện DMA trái phép” bị gỡ; sau khi OOBE (thiết lập ban đầu) hoàn tất sau cài đặt sạch, mã hóa được khởi tạo mặc định trên nhiều PC thỏa TPM + UEFI Secure Boot.²
• “Bắt đầu” mã hóa và “kích hoạt” bảo vệ là hai việc khác nhau. Bảo vệ chưa được kích hoạt (arm) cho đến khi khóa khôi phục sao lưu thành công lên tài khoản Microsoft, Entra ID, hoặc (đã cấu hình chính sách khôi phục) AD DS. PC chỉ dùng tài khoản cục bộ, không có nơi sao lưu, vẫn không được bảo vệ dù đã mã hóa.¹²
• Nơi lưu khóa khôi phục (mật khẩu khôi phục 48 chữ số) thực chất 4 lựa chọn: Entra ID / AD DS / tài khoản Microsoft / bản in·tệp. Luồng mặc định: Entra ID nếu tham gia Entra ID, AD DS nếu tham gia miền AD, còn không thì tài khoản Microsoft của quản trị viên.¹³
• Bị hỏi khóa khôi phục không chỉ khi có sự cố. Cập nhật firmware, đổi cấu hình Secure Boot, xóa TPM, thay bo mạch chủ, chuyển ổ sang máy khác ── mọi thay đổi môi trường khởi động đều có thể kích hoạt. Việc chuẩn trước công việc có kế hoạch là tạm dừng bảo vệ.³
• Cách mã hóa mặc định là XTS-AES 128 bit. Đổi cách sau này cần giải mã rồi mã hóa lại, nên nên quyết từ đầu. Ổ mới tinh thì “chỉ mã hóa vùng đã dùng” rút thời gian mã hóa lần đầu rất nhiều.⁴⁵
• PC hỏi khóa khôi phục mà không đưa ra được thì dữ liệu phải bỏ. Microsoft Support cũng không lấy được khóa đã mất. Đó chính là lý do chủ đề bài này không phải “có nên mã hóa” mà là “lưu khóa khôi phục ở đâu và ai lấy ra được”.⁶

Bản đồ tri thức của bài viết này

BitLocker mã hóa cả ổ đĩa để ngăn rò dữ liệu do mất hoặc bị đánh cắp, và bảo vệ khóa mã hóa thường dùng TPM. Từ Windows 11 24H2 trở đi, “Mã hóa thiết bị” khởi tạo mã hóa tự động trên nhiều PC, nên thực tế tập trung vào việc lưu khóa khôi phục — sợi dây cứu sinh — vào Entra ID, AD DS hay tài khoản Microsoft, và ai lấy ra được.

flowchart LR
    accTitle: Bản đồ tri thức hướng dẫn thực tế BitLocker
    accDescr: Sơ đồ cho thấy quan hệ BitLocker, TPM, Mã hóa thiết bị, khóa khôi phục, chế độ khôi phục và các kích hoạt (cập nhật firmware, đổi Secure Boot, thay phần cứng), nơi lưu (Entra ID, AD DS, tài khoản Microsoft, bản lưu thủ công), điều kiện phiên bản, clear key và trạng thái mã hóa không được bảo vệ, vận hành lúc sửa chữa và thải bỏ
    bitlocker["BitLocker"]
    recovery_key["Khóa khôi phục (mật khẩu khôi phục)"]
    tpm["TPM"]
    xts_aes["XTS-AES"]
    device_loss_data_leak["Rò dữ liệu do mất hoặc bị đánh cắp"]
    device_encryption["Mã hóa thiết bị"]
    uefi_secure_boot["UEFI Secure Boot"]
    entra_id["Microsoft Entra ID"]
    active_directory["Active Directory (AD DS)"]
    microsoft_account["Tài khoản Microsoft"]
    recovery_mode["Chế độ khôi phục BitLocker"]
    firmware_update["Cập nhật firmware"]
    group_policy["Group Policy"]
    intune["Microsoft Intune"]
    bitlocker_pin["PIN lúc khởi động (TPM+PIN)"]
    startup_key["Khóa khởi động (startup key)"]
    bitlocker_suspend["Tạm dừng bảo vệ (suspend)"]
    key_backup_policy["Chính sách bắt buộc sao lưu thông tin khôi phục"]
    recovery_key_loss["Mất dữ liệu vì không có khóa khôi phục"]
    manage_bde["manage-bde"]
    pro_edition["Ấn bản Windows Pro/Enterprise"]
    home_edition["Ấn bản Windows Home"]
    clear_key["Clear key"]
    local_account["Tài khoản cục bộ"]
    unprotected_encryption["Trạng thái mã hóa không được bảo vệ"]
    hardware_replacement["Thay phần cứng"]
    printed_copy["Bản in / tệp lưu"]
    used_space_only["Chỉ mã hóa vùng đã dùng"]
    repair_maintenance["Sửa chữa / bảo trì"]
    recovery_key_exposure["Lộ khóa khôi phục"]
    key_rotation["Phát hành lại mật khẩu khôi phục (xoay)"]
    pc_disposal["Thải bỏ PC"]
    data_erasure["Quy trình xóa dữ liệu"]
    encryption_overhead["Ảnh hưởng hiệu năng của mã hóa"]
    msinfo32["msinfo32 (Thông tin hệ thống)"]
    password_protector["Cách mật khẩu"]
    personal_account_storage["Lưu khóa khôi phục trong tài khoản cá nhân nhân viên"]
    recovery_key_id["Recovery Key ID"]
    cipher_choice["Chọn cách mã hóa"]
    unattended_pc["PC thiết bị chạy không người"]
    encrypted_master_image["Nhân bản image đã kích hoạt bảo vệ"]
    clone_deployment["Triển khai clone"]
    dpapi["DPAPI"]
    app_secrets["Bí mật của ứng dụng"]
    bitlocker -.->|"sử dụng"| tpm
    bitlocker -->|"sử dụng"| xts_aes
    bitlocker -->|"ngăn chặn"| device_loss_data_leak
    device_encryption -->|"tự động hóa"| bitlocker
    device_encryption -->|"yêu cầu"| tpm
    device_encryption -->|"yêu cầu"| uefi_secure_boot
    recovery_key -.->|"lưu trong"| entra_id
    recovery_key -.->|"lưu trong"| active_directory
    recovery_key -.->|"lưu trong"| microsoft_account
    recovery_mode -->|"yêu cầu"| recovery_key
    firmware_update -.->|"có thể gây"| recovery_mode
    bitlocker -->|"cấu hình bằng"| group_policy
    bitlocker -->|"cấu hình bằng"| intune
    bitlocker -.->|"sử dụng"| bitlocker_pin
    bitlocker -.->|"sử dụng"| startup_key
    bitlocker_suspend -.->|"ngăn chặn"| recovery_mode
    key_backup_policy -->|"ngăn chặn"| recovery_key_loss
    key_backup_policy -->|"cấu hình bằng"| group_policy
    recovery_mode -.->|"có thể gây"| recovery_key_loss
    bitlocker -->|"xác minh bằng"| manage_bde
    bitlocker -.->|"yêu cầu"| pro_edition
    home_edition -.->|"sử dụng"| device_encryption
    device_encryption -->|"sử dụng"| clear_key
    local_account -.->|"có thể gây"| unprotected_encryption
    unprotected_encryption -.->|"có thể gây"| device_loss_data_leak
    uefi_secure_boot -.->|"có thể gây"| recovery_mode
    tpm -.->|"có thể gây"| recovery_mode
    hardware_replacement -.->|"có thể gây"| recovery_mode
    recovery_key -.->|"lưu trong"| printed_copy
    bitlocker -.->|"sử dụng"| used_space_only
    repair_maintenance -.->|"có thể gây"| recovery_key_exposure
    key_rotation -->|"giảm thiểu"| recovery_key_exposure
    pc_disposal -->|"yêu cầu"| data_erasure
    data_erasure -->|"ngăn chặn"| device_loss_data_leak
    bitlocker -.->|"có thể gây"| encryption_overhead
    bitlocker_suspend -->|"nên làm trước"| firmware_update
    key_backup_policy -->|"nên làm trước"| bitlocker
    key_rotation -->|"khuyến nghị cho"| recovery_key_exposure
    key_rotation -.->|"yêu cầu"| key_backup_policy
    device_encryption -->|"xác minh bằng"| msinfo32
    password_protector -->|"không khuyến nghị"| bitlocker
    personal_account_storage -.->|"có thể gây"| recovery_key_loss
    recovery_key -->|"xác minh bằng"| recovery_key_id
    recovery_key -->|"xác minh bằng"| manage_bde
    cipher_choice -->|"nên làm trước"| bitlocker
    bitlocker_pin -->|"không tương thích"| unattended_pc
    encrypted_master_image -->|"không khuyến nghị"| clone_deployment
    dpapi -->|"khuyến nghị cho"| app_secrets

Trong sơ đồ, đường liền nét biểu thị quan hệ luôn đúng và đường nét đứt biểu thị quan hệ có điều kiện (điều kiện nằm trong phần giải thích từng quan hệ trên trang chi tiết). Danh sách đầy đủ các quan hệ (tổng 48, kèm bằng chứng và mức chắc chắn) cùng định nghĩa các khái niệm chính được tập hợp tại trang chi tiết bản đồ tri thức (bằng tiếng Nhật). Dữ liệu: JSON-LD / Turtle

2. BitLocker và Mã hóa thiết bị khác nhau thế nào ── phiên bản nào dùng được gì

Trước hết sắp xếp từ. “BitLocker” và “Mã hóa thiết bị” là hai mặt của cùng kỹ thuật mã hóa.

• BitLocker (đầy đủ): bật theo từng ổ, hình dạng hướng quản trị viên ── gồm cách xác thực như TPM+PIN và khóa khởi động, điều khiển bằng Group Policy/Intune, quản lý bằng manage-bde.exe hay PowerShell.
• Mã hóa thiết bị (Device Encryption): cơ chế tự động bật BitLocker trên PC thỏa yêu cầu. Công tắc “Mã hóa thiết bị” hiện trong ứng dụng Cài đặt, và chỉ mã hóa ổ hệ điều hành cùng ổ cố định gắn trong (ổ ngoài/USB không thuộc phạm vi).¹

Hỗ trợ theo phiên bản như sau.¹

Windows 11 24H2 đổi gì

Mã hóa thiết bị tự động vốn đã có, nhưng đối tượng chủ yếu là PC di động khá mới thỏa điều kiện kiểu “Modern Standby hoặc tuân HSTI” và “không có cổng DMA truy cập từ ngoài”. Windows 11 phiên bản 24H2 gỡ hai yêu cầu đó, thu phần còn lại chủ yếu còn “có TPM (1.2 hoặc 2.0)” và “UEFI Secure Boot đang bật”. Việc OEM đăng ký bus DMA trái phép vào registry (AllowedBuses) cũng không còn cần, và chính khóa đó bị bỏ qua từ 24H2. Lưu ý nới yêu cầu này không áp cho phiên bản Windows IoT.²

Kết quả là hoàn tất OOBE sau cài đặt sạch (kể cả khởi tạo lại, thiết lập lại) thì ngay cả PC để bàn rất thường cũng khởi tạo mã hóa mặc định. Điểm then chốt ở đây là phân biệt “khởi tạo” mã hóa và “kích hoạt” bảo vệ.

• Lúc OOBE xong, ổ được mã hóa bằng clear key (khóa tạm không bảo vệ). Explorer hiện biểu tượng cảnh báo.¹
• Khi đăng nhập bằng tài khoản Microsoft hoặc Entra ID thành công ── hoặc, với PC tham gia miền, sao lưu lên AD DS (đã cấu hình chính sách khôi phục) thành công ── TPM protector được tạo và clear key bị gỡ. Chỉ lúc đó bảo vệ mới có hiệu.¹²
• PC chỉ dùng tài khoản cục bộ vẫn không được bảo vệ dù đã mã hóa.¹

Luồng này vẽ thành sơ đồ như sau.

flowchart TB
    A["Cài đặt sạch / khởi tạo lại<br/>(Windows 11 24H2 trở đi)"] --> B{"Có thỏa TPM+UEFI Secure Boot<br/>và các yêu cầu khác không"}
    B -- "Không thỏa" --> Z["Không mã hóa"]
    B -- "Thỏa" --> C["Khởi tạo mã hóa khi hoàn tất OOBE<br/>(clear key = khóa tạm không bảo vệ)"]
    C --> D{"Nơi sao lưu<br/>khóa khôi phục?"}
    D -- "Tài khoản Microsoft / Entra ID /<br/>AD DS (đã cấu hình chính sách khôi phục)" --> E["Sao lưu khóa khôi phục thành công"]
    E --> F["Tạo TPM protector, gỡ clear key<br/>= bảo vệ được kích hoạt (arm)"]
    D -- "Chỉ tài khoản cục bộ<br/>(không có nơi sao lưu)" --> G["Đã mã hóa nhưng bảo vệ vẫn tắt<br/>(biểu tượng cảnh báo hiện ra)"]

Đây là bản chất của “phát hiện ra đã bị mã hóa”. Tổ chức đang thay PC Windows 11 vì hết hỗ trợ Windows 10 (Lựa chọn thực tế sau khi Windows 10 hết hỗ trợ) cần đưa quản lý khóa khôi phục vào quy trình kitting, trên giả định PC mới đến đã ở trạng thái này từ ngày đầu.

Tình trạng máy mình xem được bằng cách mở Thông tin hệ thống (msinfo32.exe) với quyền quản trị viên, nhìn dòng “Device Encryption Support”. “Meets prerequisites” thì thuộc đối tượng.¹

3. Phần tối thiểu của cơ chế ── quan hệ TPM và khóa

Thứ đang giữ khóa BitLocker là TPM (Trusted Platform Module). TPM xác nhận thiết bị chưa bị giả mạo khi OS offline, và chỉ cho dùng khóa mã hóa khi xác minh lúc khởi động vượt qua. Nhờ đó vừa dùng được Windows hợp lệ mà người dùng không nhập gì, vừa không đọc được nếu chỉ tháo đĩa.¹ Chính cơ chế TPM (cấu trúc không đưa khóa ra ngoài, PCR, measured boot) được vẽ trong “TPM của Windows là gì”.

Mỗi lần khởi động diễn ra như sau.

flowchart TB
    ON["Bật nguồn"] --> M["TPM đo môi trường khởi động<br/>(firmware, cấu hình boot, v.v.)"]
    M --> Q{"Kết quả đo<br/>có giống mọi lần không"}
    Q -- "Giống" --> UN["TPM giải phóng khóa mã hóa"]
    UN --> BOOT["Khởi động bình thường<br/>(người dùng không nhập gì)"]
    Q -- "Khác" --> REC["Chế độ khôi phục<br/>yêu cầu khóa khôi phục 48 chữ số"]
    REC --> K1["Nhập được khóa thì khởi động"]
    REC --> K2["Không nhập được<br/>thì không lấy được dữ liệu"]

Ngoài TPM, còn chọn cấu hình đa yếu tố bắt nhập PIN lúc khởi động hoặc cắm khóa khởi động (tệp khóa trong USB). PC không có TPM vẫn mã hóa ổ hệ điều hành bằng cách khóa khởi động, nhưng cách mật khẩu không có cơ chế khóa tài khoản nên yếu trước vét cạn, mặc định bị tắt.¹

Khóa khôi phục được hỏi khi nào

TPM nhìn “môi trường khởi động có giống mọi lần không”, nên môi trường đổi thì ngay cả chủ hợp lệ cũng vào chế độ khôi phục. Các kích hoạt điển hình Microsoft nêu như sau.³

• Cập nhật thành phần khởi động sớm, như cập nhật firmware BIOS/UEFI
• Tắt, vô hiệu hóa, xóa TPM, hoặc TPM tự kiểm thất bại
• Đổi PCR (thanh ghi cấu hình nền tảng) mà hồ sơ xác minh TPM dùng ── đổi cấu hình Secure Boot rơi vào đây
• Thay bo mạch chủ (đổi sang TPM mới)
• Chuyển ổ được BitLocker bảo vệ sang PC khác
• Gắn/tháo docking, đổi bảng phân vùng NTFS, đổi boot manager, PXE boot
• Nhập sai PIN nhiều lần, hoặc (máy TPM 1.2) đổi thứ tự thiết bị khởi động

Tức “cập nhật BIOS rồi bị hỏi khóa khôi phục” không phải hỏng cũng không phải tấn công; là hành vi đúng thiết kế. Trước việc có kế hoạch (cập nhật firmware, thay phần cứng) hãy tạm dừng bảo vệ (suspend). Tạm dừng rồi ổ vẫn mã hóa, xong việc thì nối lại mà không nhập khóa khôi phục. Mặc định khởi động lại thì bảo vệ tự nối (cũng chỉ định được số lần khởi động lại).³

# Tạm dừng trước khi cập nhật firmware. Mặc định bảo vệ tự nối lại
# sau một lần khởi động lại, nên với bản cập nhật khởi động lại nhiều lần,
# lần thứ hai trở đi có thể dừng ở màn hình khôi phục.
# -RebootCount 0 dừng tự nối lại; hãy đưa bước nối lại sau khi xong việc
# vào quy trình
Suspend-BitLocker -MountPoint C: -RebootCount 0
# Xong việc thì phải nối lại (bước này bắt buộc vì -RebootCount 0
# không tự nối lại)
Resume-BitLocker -MountPoint C:

Về thuật ngữ. Tài liệu kỹ thuật phân biệt “mật khẩu khôi phục” là dãy 48 chữ số và “khóa khôi phục” là tệp .bek lưu trên USB,³ nhưng màn hình hướng người dùng thông thường và bài này, theo cách gọi phổ biến, gọi dãy 48 chữ số là “khóa khôi phục”.

4. Bảng quyết định nơi lưu khóa khôi phục ── chọn trong 4 lựa chọn

Đây là lõi bài. Nơi lưu khóa khôi phục thực chất 4 lựa chọn, và gần như tự quyết theo cách PC đăng nhập. Trước hết là bảng.

Thiết bị tham gia lai (cả AD lẫn Entra ID) thì mật khẩu khôi phục được sao lưu cả hai nơi.⁴

Tổ chức cần chốt ba điểm.

1. Chọn một “nơi lưu của tổ chức”. Entra ID đang triển khai thì Entra ID; AD tại chỗ thì AD DS. Trạng thái khóa khôi phục PC công ty nằm trong tài khoản Microsoft cá nhân của nhân viên sụp ngay khi người đó nghỉ việc hay điều chuyển.
2. Đừng tưởng AD DS “tự vào”. Sao lưu lên AD DS lấy cấu hình chính sách (sau đây) làm tiền đề. Active Directory còn giữ lịch sử mật khẩu khôi phục, khóa cũ không tự xóa trừ khi xóa đối tượng máy tính.³
3. Chọn lưu tệp thì siết nơi lưu. Tệp khóa khôi phục phải lưu chỗ khác chính PC đó (thư mục mạng, v.v.).⁵ Ai giữ khóa khôi phục đọc được toàn bộ dữ liệu trên ổ, nên tách khỏi PC được bảo vệ và kiểm soát truy cập là bắt buộc.³

Xác nhận PC mình đang ra sao

Từ terminal quyền quản trị viên, chạy một trong hai lệnh sau.⁵

# PowerShell: xác nhận trạng thái mã hóa và loại protector
Get-BitLockerVolume C: | Format-List
# Xác nhận mật khẩu khôi phục (48 chữ số) và ID của nó
(Get-BitLockerVolume -MountPoint C).KeyProtector

:: Dấu nhắc lệnh: xác nhận trạng thái
manage-bde -status
:: Danh sách protector (TPM, mật khẩu khôi phục, v.v.) và giá trị 48 chữ số
manage-bde -protectors -get C:

Trong đầu ra manage-bde -protectors -get C:, khóa khôi phục 48 chữ số hiện là “Numerical Password”; 8 chữ số đầu của ID đi kèm là manh mối khớp “khóa nào” trên màn hình khôi phục.⁶

PC đã mã hóa rồi vẫn sao lưu mật khẩu khôi phục lên Entra ID hay AD DS sau được.⁵

# Xác nhận ID của mật khẩu khôi phục rồi mới chạy
# Sao lưu lên Entra ID
BackupToAAD-BitLockerKeyProtector -MountPoint C: -KeyProtectorId "{ID}"
# Sao lưu lên AD DS
Backup-BitLockerKeyProtector -MountPoint C: -KeyProtectorId "{ID}"

:: Trường hợp manage-bde
manage-bde -protectors -aadbackup C: -id {ID}
manage-bde -protectors -adbackup C: -id {ID}

Kiểm kê “khóa khôi phục mọi PC đã vào nơi lưu của tổ chức chưa” cùng loại với biện pháp bảo mật thông tin cơ bản trong hướng dẫn SME của IPA: không phải làm một lần rồi thôi, mà đưa vào vận hành sổ cái (“Doanh nghiệp vừa và nhỏ bắt đầu bảo mật từ đâu”).

5. Kích hoạt và vận hành trong tổ chức ── chính sách, lệnh, cách mã hóa

5.1. Cấm bằng chính sách việc “bật mà không có khóa khôi phục”

Cài đặt BitLocker cấu hình được từ cả Group Policy (GPO) lẫn MDM (BitLocker CSP của Intune, v.v.).⁴ Chính sách quan trọng nhất về quản lý khóa khôi phục là “Choose how BitLocker-protected operating system drives can be recovered”. Cấu hình các mục sau.⁴³

• Lưu thông tin khôi phục vào AD DS (chỉ mật khẩu khôi phục, hoặc cả gói khóa)
• Bật “Do not enable BitLocker until recovery information is stored to AD DS” ── không cho bắt đầu mã hóa cho đến khi sao lưu thành công; đó là then chốt chống tai nạn. Cấu hình này tự sinh mật khẩu khôi phục

Thiết bị tham gia Entra ID do Intune quản cũng cùng tư duy: bắt buộc sao lưu khóa khôi phục rồi mới bật mã hóa. Khóa khôi phục trên Entra ID lấy được từ trung tâm quản trị Entra, trung tâm quản trị Intune, PowerShell, Microsoft Graph, và ủy quyền cho help desk được.³

5.2. Cách mã hóa ── mặc định XTS-AES 128

Không cấu hình cách mã hóa thì BitLocker dùng XTS-AES 128 bit. Mã hóa thiết bị cũng mặc định XTS-AES 128. Chính sách “Choose drive encryption method and cipher strength” đổi được sang XTS-AES 256, v.v., nhưng khuyến nghị của Microsoft là mọi ổ dùng XTS-AES, rồi chọn độ dài khóa 128/256 theo hiệu năng thiết bị (và yêu cầu pháp lý ngành).⁴¹

Điểm cần nhớ: cách của ổ đã mã hóa không đổi được sau. Đổi cách hay độ dài khóa phải giải mã rồi mã hóa lại.¹ Có chuyện kiểu “quy định đòi 256 bit” thì hãy quyết từ lần triển khai đầu.

5.3. Chỉ mã hóa vùng đã dùng so với cả ổ

Lúc bật còn chọn phạm vi mã hóa. Hướng dẫn phân biệt của Microsoft rõ.⁵

• Chỉ mã hóa vùng đã dùng: cho ổ mới chưa từng chứa dữ liệu. Mã hóa lần đầu nhanh
• Mã hóa cả ổ: ổ đã dùng ── từng chứa dữ liệu, tệp đã xóa vẫn có thể còn

Lý do: vùng tệp đã xóa trên hệ thống tệp nhìn như “vùng trống”, nên “chỉ vùng đã dùng” không mã hóa, cho đến khi bị ghi đè vẫn có thể phục hồi bằng công cụ pháp y.⁵ PC mới tinh vừa kitting thì “chỉ vùng đã dùng” ổn; PC đã dùng lâu mới áp thì mã hóa cả ổ ── nhớ vậy là đủ cho thực tế.

5.4. Bật bằng PowerShell

Dạng cơ bản khi triển khai bằng kịch bản như sau.⁵

# 1. Trước hết thêm protector mật khẩu khôi phục (48 chữ số) (lúc này
#    mã hóa chưa bắt đầu).
#    Dù thử lại để lại nhiều mật khẩu khôi phục, chỉ chọn đúng cái
#    vừa thêm bằng chênh lệch ID trước và sau khi thêm
$before = (Get-BitLockerVolume -MountPoint C).KeyProtector.KeyProtectorId
Add-BitLockerKeyProtector -MountPoint C: -RecoveryPasswordProtector | Out-Null
$rpId = (Get-BitLockerVolume -MountPoint C).KeyProtector |
    Where-Object { $_.KeyProtectorType -eq 'RecoveryPassword' -and $_.KeyProtectorId -notin $before } |
    Select-Object -ExpandProperty KeyProtectorId

# 2. Sao lưu mật khẩu khôi phục vừa thêm vào nơi lưu của tổ chức.
#    Thất bại thì không được tiến tới mã hóa, nên -ErrorAction Stop
#    dừng xử lý khi lỗi
#    (bước này xong khi đã xác nhận khóa hiện trong trung tâm quản trị
#    Entra / AD)
BackupToAAD-BitLockerKeyProtector -MountPoint C: -KeyProtectorId $rpId -ErrorAction Stop
# AD DS thì: Backup-BitLockerKeyProtector -MountPoint C: -KeyProtectorId $rpId -ErrorAction Stop

# 3. Chỉ bắt đầu mã hóa sau khi sao lưu thành công. 3a và 3b loại trừ
#    lẫn nhau ── chỉ chạy một trong hai (cách và phạm vi cũng chốt ở đây)

# 3a. Cấu hình chuẩn: chỉ TPM (dùng cho máy cần khởi động lại không người)
Enable-BitLocker C: -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector

# 3b. Cấu hình TPM+PIN (cho máy đặt cố định, bảo mật cao). Chạy thay 3a.
#     PIN nhập tại chỗ, mỗi máy một giá trị khác. Nhúng bản rõ vào
#     kịch bản thì mọi máy cùng một PIN, và bản thân kịch bản thành điểm lộ
$Pin = Read-Host -AsSecureString -Prompt "PIN của thiết bị này"
Enable-BitLocker C: -EncryptionMethod XtsAes256 -UsedSpaceOnly -Pin $Pin -TPMandPinProtector

Thứ tự “gửi mật khẩu khôi phục rồi mới bắt đầu mã hóa” là then chốt. Ngược lại bắt từ Enable-BitLocker -TpmProtector, xử lý dừng giữa chừng thì còn PC chỉ có bảo vệ TPM mà không có bản khóa khôi phục, lần cập nhật firmware hay đổi phần cứng kế có thể mất cả dữ liệu. Thứ tự trên thì dừng giữa chừng mã hóa chưa bắt đầu, chỉ cần làm lại. Triển khai tổ chức hãy cho chính sách 5.1 “không bật BitLocker cho đến khi thông tin khôi phục được lưu” có hiệu trước, để chặn trạng thái dở dang cả phía chính sách. “Không bắt đầu mã hóa trước khi xác nhận sao lưu thành công” là nguyên tắc sắt của triển khai tổ chức.

6. Xử lý sự cố ── “bị hỏi khóa khôi phục”, “không tìm thấy”

6.1. Màn hình khôi phục hiện ra thì trước hết 8 chữ số đầu của Key ID

Màn hình khôi phục xanh hiện Recovery Key ID. Có nhiều bản lưu, khớp 8 chữ số đầu của ID vẫn xác định đúng khóa.⁶ Chỗ tìm đúng bảng Chương 4; lần lượt.

1. Nơi lưu của tổ chức (trung tâm quản trị Entra ID / Intune, hoặc AD DS) ── qua quản trị viên, help desk
2. Tài khoản của chính người dùng ── tài khoản công việc thì aka.ms/aadrecoverykey, tài khoản Microsoft cá nhân thì aka.ms/myrecoverykey⁶
3. Bản lưu lúc kích hoạt ── giấy in, tệp trong USB, tệp văn bản đã lưu⁶

flowchart TB
    REC["Màn hình khôi phục màu xanh<br/>hiện Recovery Key ID"] --> ID["Ghi 8 chữ số đầu của Key ID"]
    ID --> ORG["1. Nơi lưu của tổ chức<br/>(trung tâm quản trị Entra ID / Intune / AD DS)"]
    ORG -- "Có khóa khớp ID" --> INPUT["Nhập 48 chữ số rồi khởi động"]
    ORG -- "Không tìm thấy" --> SELF["2. Tài khoản của chính người dùng<br/>aka.ms/aadrecoverykey / aka.ms/myrecoverykey"]
    SELF -- "Có khóa khớp" --> INPUT
    SELF -- "Không tìm thấy" --> PAPER["3. Bản lưu lúc kích hoạt<br/>(giấy in, USB, tệp)"]
    PAPER -- "Có khóa khớp" --> INPUT
    PAPER -- "Không tìm thấy" --> LOST["Chỉ còn khởi tạo lại (mất hết dữ liệu)<br/>Microsoft cũng không lấy ra được"]
    INPUT --> AFTER["Xác nhận nguyên nhân, khóa đã dùng thì<br/>vô hiệu hóa rồi phát hành lại (mục 6.3)"]

Đồng thời hãy thành thói quen xác nhận “vì sao vào chế độ khôi phục”. Có manh mối kiểu hôm trước cập nhật BIOS, đụng cấu hình Secure Boot thì đó là hành vi đúng thiết kế. Không manh mối mà lặp lại thì đáng điều tra cả khả năng phần cứng lỗi hay bị sửa vì có truy cập vật lý.³

6.2. Thật sự không tìm thấy

Nói thẳng: không tìm thấy khóa khôi phục thì không có cách lấy dữ liệu trên ổ đã mã hóa đó. PC do tổ chức quản thì hỏi bộ phận IT là thành trì cuối; không ra thì chỉ còn khởi tạo lại thiết bị (mất hết dữ liệu). Microsoft Support không cung cấp hay tạo lại khóa khôi phục đã mất.⁶

Nhìn đây là “mã hóa làm mất dữ liệu” thì đảo nhân quả. Nguyên nhân là quản lý khóa khôi phục chưa thành cơ chế; cùng lỗ hổng đó, nếu bị trộm thì sẽ lộ ra dưới dạng rò thông tin.

6.3. Khóa khôi phục đã dùng thì dùng một lần ── vận hành sửa chữa, mất máy, nghỉ việc

• Đưa đi sửa: nếu đã đưa (hoặc có thể đã đưa) khóa khôi phục cho bên sửa, khi máy về trước hết thêm mật khẩu khôi phục mới, xác nhận sao lưu lên Entra ID / AD DS thành công, rồi mới xóa mật khẩu khôi phục đã đưa. Xóa trước thì lúc thêm hay sao lưu thất bại, ổ đó không còn cách khôi phục, nên thứ tự quan trọng. Microsoft cũng khuyến nghị vô hiệu hóa mật khẩu khôi phục sau khi dùng; chuỗi thêm → sao lưu → xóa hoàn tất bằng lệnh.⁵ Thiết bị tham gia Entra ID còn có chính sách tự xoay mật khẩu khôi phục đã dùng. Mặc định bật trên thiết bị tham gia Entra ID, nhưng chỉ hoạt động khi chính sách bắt buộc sao lưu thông tin khôi phục (5.1) đã cấu hình. Trước khi dựa vào xoay tự động, hãy xác nhận tiền đề này và việc khóa thật sự được thay.⁴
• Mất PC: xác nhận bảo vệ đã có hiệu (đã tạo TPM protector, đã gỡ clear key) bằng bản ghi đầu ra lệnh Chương 4 hoặc công cụ quản lý; nếu đã mã hóa thì giải thích được “dữ liệu trên đĩa không đọc được”. Đó là lý do lớn nhất để kiểm kê lúc bình thường.
• Nghỉ việc, trả PC: ưu tiên số một là không để khóa khôi phục PC trả chỉ nằm trong tài khoản Microsoft cá nhân của người nghỉ. Gom vào nơi lưu của tổ chức (Chương 4) xong thì lúc trả chỉ còn kitting lại và phát hành lại mật khẩu khôi phục.

Ví dụ luồng sửa chữa như sau.

flowchart LR
    S["Đưa đi sửa<br/>(có thể đã đưa khóa khôi phục)"] --> B["PC trở về"]
    B --> N["Thêm mật khẩu khôi phục mới"]
    N --> BK["Xác nhận sao lưu lên<br/>Entra ID / AD DS thành công"]
    BK --> D["Vô hiệu hóa (xóa)<br/>mật khẩu khôi phục đã đưa"]
    D --> OK["Cập nhật sổ cái rồi xong"]

7. Quan hệ với thải bỏ ── đĩa đã mã hóa làm thải bỏ dễ hơn

Hiệu quả BitLocker không chỉ lúc đang dùng. Ổ mã hóa từ đầu thì lúc thải bỏ trên đĩa chỉ còn bản mã. BitLocker vốn được thiết kế để ngăn rò dữ liệu không chỉ do mất, trộm mà còn từ “thiết bị thải bỏ không đúng”, và làm dữ liệu không đọc được lúc thải bỏ hay tái chế thiết bị được bảo vệ nằm trong mục đích.¹

Tuy nhiên, đã mã hóa không có nghĩa bỏ được quy trình xóa lúc thải bỏ (khởi tạo lại, công cụ xóa chuyên dụng, phá vật lý). Mã hóa là bảo hiểm “hạ rủi ro bị đọc plaintext từ đĩa trước khi xóa, hoặc khi không xóa được”; không thay thế xóa có thể kiểm chứng. Thêm nữa, tổ chức vận hành mã hóa có thêm một việc riêng ── dọn bản lưu khóa khôi phục (giấy, tệp, đăng ký trên AD hay Entra ID). Xóa đĩa rồi mà bản khóa khôi phục còn thì thải bỏ trên sổ cái chưa xong. Hãy đưa việc xóa khóa cũ vào một phần quy trình thải bỏ.

Dù vậy thải bỏ PC còn các điểm ngoài mã hóa ── gỡ tài khoản và giấy phép, sổ tài sản, chứng từ. Toàn bộ quy trình nằm trong danh sách kiểm “Việc nên làm trước khi thải bỏ PC Windows”; khi dựng luồng thải bỏ lấy mã hóa làm tiền đề hãy dùng kèm.

8. Góc nhìn nhà phát triển ứng dụng nghiệp vụ ── hiệu năng, PC thiết bị, triển khai clone

Cuối cùng, lưu ý từ vị trí đang giữ ứng dụng nghiệp vụ hay PC điều khiển thiết bị.

• Ảnh hưởng hiệu năng: “đo bằng 128 bit mặc định trước” là cơ bản. Chính Microsoft lấy tiêu chí chọn độ dài khóa là “tùy hiệu năng thiết bị”, ổ và CPU mạnh thì 256 bit, không thì 128 bit.⁴ Đảo lại, trên PC hiện đại XTS-AES 128 mặc định hiếm khi đụng cảm giác ứng dụng nghiệp vụ; chúng tôi gần như không gặp vấn đề ngoài ứng dụng I/O tệp đặc biệt nặng. Nghi thì hãy đo I/O trước và sau mã hóa với khối lượng dữ liệu tương đương sản xuất rồi quyết; tắt vì cảm giác “sẽ chậm” là đảo ngược.
• Mã hóa trong suốt với ứng dụng. BitLocker mã hóa cả volume, hành vi API tệp không đổi. Đảo lại, bí mật ứng dụng xử lý trên máy đang chạy (chuỗi kết nối, khóa API) BitLocker không bảo vệ, vì máy đã đăng nhập thì ổ hiện đã giải mã. Phía đó là chỗ của DPAPI, v.v. (“Lưu bí mật của ứng dụng Windows ở đâu”).
• PC thiết bị, PC kiosk quyết cấu hình theo “khởi động lại không người được không”. Chỉ TPM thì mất điện vẫn tự lên; TPM+PIN hay khóa khởi động mỗi lần khởi động cần người, không hợp thiết bị chạy không người. Ngược lại cấu hình chỉ TPM mang rủi ro dừng ở màn hình khôi phục vì kích hoạt Chương 3 (cập nhật firmware, v.v.), nên đặt khóa khôi phục chỗ xa hiện trường (cất khóa + sổ cái) và ghi rõ “Suspend-BitLocker trước khi làm việc” trong sổ bảo trì thiết bị là then chốt vận hành. Cách siết thiết bị không người nói chung nằm trong “Siết thiết bị nghiệp vụ bằng chế độ kiosk”. Lưu ý nới yêu cầu mã hóa thiết bị tự động của 24H2 không áp cho phiên bản Windows IoT,² nhưng không có nghĩa “IoT thì không xảy ra mã hóa tự động”. Máy thỏa yêu cầu trước khi nới (HSTI/Modern Standby, v.v.) vẫn có thể mã hóa tự động như cũ, nên đưa kiểm tra trạng thái manage-bde -status vào quy trình kitting cả với PC thiết bị thì chắc.
• Triển khai clone thì đừng “mã hóa rồi mới tạo image”. Mật khẩu khôi phục gắn với thiết bị đã tạo nó.³ Đừng lấy cấu hình nhân bản image máy mẹ đã kích hoạt bảo vệ; sau triển khai hãy bật theo từng PC (hoặc mã hóa tự động lúc OOBE) → sao lưu khóa khôi phục, theo thứ tự đó. Kitting đã kịch bản hóa (“Tự động hóa kitting PC bằng winget + PowerShell”) thì chỉ cần thêm bước kích hoạt và xác nhận sao lưu mục 5.4 vào công đoạn cuối.

9. Tóm tắt

• Cài đặt sạch từ Windows 11 24H2 trở đi, PC thỏa TPM+UEFI Secure Boot khởi tạo Mã hóa thiết bị mặc định. Yêu cầu HSTI/Modern Standby và DMA bị gỡ, phạm vi lan cả PC để bàn thường.
• Ứng xử đúng với “tự bị mã hóa” không phải tắt mà là xác nhận chỗ khóa khôi phục. Tắt thì mất bảo vệ lúc mất, trộm, thải bỏ; tắt một lần thì không tự bật lại.
• Nơi lưu khóa khôi phục là 4 lựa chọn Entra ID / AD DS / tài khoản Microsoft / in·tệp, gần như quyết theo hình thức đăng nhập. Chọn một nơi lưu của tổ chức, kiểm kê mọi PC đã vào đó chưa.
• Xác nhận bằng manage-bde -protectors -get C: hoặc (Get-BitLockerVolume -MountPoint C).KeyProtector; sao lưu sau bằng BackupToAAD-BitLockerKeyProtector / Backup-BitLockerKeyProtector.
• Khóa khôi phục còn bị hỏi cả chủ hợp lệ vì cập nhật firmware, đổi cấu hình Secure Boot, thay phần cứng. Đưa Suspend-BitLocker trước việc có kế hoạch vào sổ quy trình.
• Cách mặc định là XTS-AES 128; đổi sau cần giải mã → mã hóa lại. Ổ mới tinh thì chỉ mã hóa vùng đã dùng là đủ.
• Khóa khôi phục đã dùng thì vô hiệu hóa rồi phát hành lại, đừng để khóa trong tài khoản người nghỉ việc, thải bỏ thì chôn cả bản lưu khóa ── khóa khôi phục không phải “phát hành rồi xong” mà quản theo vòng đời.
• Mã hóa cũng là bảo hiểm lúc thải bỏ, nhưng không thay thế quy trình xóa (khởi tạo lại, công cụ xóa, phá vật lý). Không tắt BitLocker mà dùng cùng quản lý khóa khôi phục mới là lời giải thực tế cho doanh nghiệp vừa và nhỏ.

Bài viết liên quan

• TPM của Windows là gì ── hình giải “két không đưa khóa ra ngoài” và measured boot
• Việc nên làm trước khi thải bỏ PC Windows ── danh sách kiểm thực tế xóa dữ liệu, gỡ tài khoản, sao lưu
• Lựa chọn thực tế sau khi Windows 10 hết hỗ trợ ── bảng quyết định ESU, LTSC, thay máy
• Doanh nghiệp vừa và nhỏ bắt đầu bảo mật từ đâu ── đi qua “Hướng dẫn biện pháp bảo mật thông tin cho SME” phiên bản 4.0 của IPA
• Siết thiết bị nghiệp vụ bằng chế độ kiosk ── chọn Assigned Access hay Shell Launcher và thiết kế vận hành
• Tự động hóa kitting PC bằng winget + PowerShell ── biến sổ quy trình thành thứ chạy được
• Lưu bí mật của ứng dụng Windows ở đâu ── thực hành tốt nhất lấy DPAPI làm trục

Lĩnh vực tư vấn liên quan

KomuraSoft LLC nhận tư vấn thiết kế vận hành mã hóa môi trường Windows gồm ứng dụng nghiệp vụ và PC thiết bị (thiết kế nơi lưu khóa khôi phục, đưa vào kitting, cấu hình BitLocker trên PC thiết bị), cùng kiểm hiệu năng và điều tra sự cố ứng dụng nghiệp vụ trong môi trường đã mã hóa. Bắt từ chỗ xác nhận “mã hóa PC thiết bị có ổn không” cũng được.

• Tư vấn kỹ thuật và đánh giá thiết kế
• Phát triển ứng dụng Windows
• Điều tra lỗi và nguyên nhân
• Liên hệ với chúng tôi

Liên kết tham khảo

Bài viết liên quan

Các bài viết gần đây có cùng thẻ để tìm hiểu sâu hơn những chủ đề lân cận.

Chủ đề liên quan

Các trang này đặt chủ đề trong bối cảnh rộng hơn của dịch vụ và quyết định.

Dịch vụ liên quan đến chủ đề này

Bài viết liên quan trực tiếp đến các dịch vụ sau.

Câu hỏi thường gặp

Các câu hỏi thường gặp khi tư vấn về chủ đề của bài viết.

Phát hiện ra "Mã hóa thiết bị" đã bật. Tắt được không?

Không khuyến nghị tắt. Trên cài đặt sạch Windows 11 phiên bản 24H2 trở đi, Mã hóa thiết bị được khởi tạo mặc định trên PC thỏa điều kiện như có TPM và Secure Boot, nên trông như "tự bật". Đây là cơ chế bảo vệ dữ liệu khi mất hoặc bị đánh cắp; tắt đi là mất lớp bảo vệ đó, và một khi đã tắt thì không tự bật lại. Việc cần làm không phải là tắt, mà là xác nhận khóa khôi phục bằng lệnh như manage-bde -protectors -get C: rồi bảo đảm khóa nằm đúng nơi tổ chức đã chọn ── tài khoản Microsoft, Entra ID, hay AD.

Khóa khôi phục BitLocker nằm ở đâu?

Nơi lưu quyết theo cách PC đăng nhập. PC thiết lập bằng tài khoản Microsoft cá nhân thì đăng nhập https://aka.ms/myrecoverykey bằng cùng tài khoản để xem danh sách. PC tham gia Entra ID của công ty (tài khoản công việc) thì xem «Xem khóa BitLocker» tại https://aka.ms/aadrecoverykey. PC tham gia miền AD tại chỗ, nếu chính sách đã cấu hình, quản trị viên lấy được từ dưới đối tượng máy tính. Còn có thể có bản in, USB, hoặc tệp đã lưu. Khớp 8 chữ số đầu của Recovery Key ID trên màn hình khôi phục để xác định đúng khóa.

PC Windows 11 Home dùng được BitLocker không?

Tính năng khác nhau theo phiên bản. BitLocker đầy đủ, gồm thêm PIN và quản lý bằng chính sách, chỉ bật được trên họ Pro/Enterprise/Education; Home không có. Bản đơn giản là Mã hóa thiết bị, dùng được trên mọi phiên bản kể cả Home, và tự bật nếu thỏa yêu cầu như TPM và UEFI Secure Boot. Tuy nhiên kích hoạt bảo vệ cần đăng nhập bằng tài khoản Microsoft có quyền quản trị viên ── chỉ tài khoản cục bộ thì không được bảo vệ. Nếu quản như PC công ty, khuyến nghị cấu hình lấy Pro làm tiền đề và tập trung khóa khôi phục qua Entra ID hoặc AD.

Cập nhật BIOS (firmware UEFI) xong bị hỏi khóa khôi phục. Vì sao?

BitLocker dùng TPM để xác minh môi trường khởi động chưa bị giả mạo; khi giá trị đo lúc khởi động đổi ── cập nhật firmware, đổi cấu hình Secure Boot, xóa TPM, thay bo mạch chủ, v.v. ── nó coi môi trường "khác mọi lần" và vào chế độ khôi phục. Đó không phải hỏng; là hành vi đúng thiết kế. Trước việc cập nhật có kế hoạch, tạm dừng bảo vệ bằng Suspend-BitLocker (hoặc manage-bde -protectors -disable C:) để làm việc mà không nhập khóa khôi phục. Ổ vẫn mã hóa khi tạm dừng, và mặc định bảo vệ tự nối lại ở lần khởi động kế.

Không tìm thấy khóa khôi phục thì còn lấy được dữ liệu không?

Không có khóa khôi phục đúng (mật khẩu khôi phục 48 chữ số) hay cách mở khác thì không có cách lấy dữ liệu trên ổ đã mã hóa. Chính Microsoft Support nói rõ không thể phát hành lại hay lấy khóa đã mất. PC do tổ chức quản thì hỏi IT trước; PC cá nhân thì xem trang khóa khôi phục của tài khoản Microsoft, bản in, hoặc tệp .bek/.txt trên USB. Không ra gì thì chỉ còn khởi tạo lại (cài lại) PC, dữ liệu mất. Đó chính là lý do, trước khi bàn có nên tắt mã hóa, hãy xác nhận khóa khôi phục của mọi PC đang nằm dưới sự quản lý của tổ chức.

Hồ sơ tác giả

Trang giới thiệu tác giả bài viết.

Go Komura

Đại diện của KomuraSoft LLC

Chuyên về phát triển phần mềm Windows, tư vấn kỹ thuật và điều tra lỗi, đặc biệt trong các dự án có hệ thống hiện hữu và lỗi khó tái hiện.