Hướng dẫn tạo USB Boot bảo mật bằng công nghệ mã hóa BitLocker

Để bảo vệ USB bằng BitLocker, bạn cắm USB vào máy Windows bản Pro, Enterprise hoặc Education, nhấp chuột phải vào ổ trong File Explorer, chọn "Turn on BitLocker", đặt mật khẩu, lưu khóa khôi phục và chọn chế độ mã hóa tương thích. Tính năng này có tên BitLocker To Go, mã hóa toàn bộ USB để ai nhặt được cũng không đọc được dữ liệu. Có một điểm nhiều người nhầm: USB dùng để khởi động cài Windows hoặc cứu hộ thì không nên mã hóa toàn ổ bằng BitLocker, vì máy cần đọc được nó trước khi Windows chạy. Bài viết hướng dẫn chi tiết và cách tổ chức USB khi bạn cần cả hai nhu cầu.

BitLocker To Go là gì

BitLocker là công cụ mã hóa toàn ổ đĩa tích hợp trong Windows. Phiên bản dành cho thiết bị lưu trữ rời như USB, thẻ nhớ, ổ cứng gắn ngoài gọi là BitLocker To Go. Khi bật, mọi dữ liệu trên ổ được mã hóa bằng AES; chỉ khi nhập đúng mật khẩu, thẻ thông minh hoặc khóa khôi phục, ổ mới được mở khóa.

• Bật mã hóa: cần Windows Pro, Enterprise hoặc Education.
• Mở khóa và sử dụng: được trên mọi phiên bản Windows hiện đại, kể cả Home.
• macOS và Linux: không hỗ trợ chính thức; trên Linux có công cụ mã nguồn mở đọc được ổ BitLocker nhưng nên thử trước nếu cần dùng chéo.

Hướng dẫn mã hóa USB từng bước

1. Sao lưu dữ liệu đang có trên USB, phòng khi quá trình bị gián đoạn.
2. Mở File Explorer, nhấp chuột phải vào ổ USB, chọn Turn on BitLocker. Nếu không thấy, vào Control Panel > BitLocker Drive Encryption.
3. Chọn phương thức mở khóa: đánh dấu "Use a password to unlock the drive" và nhập mật khẩu dài, khó đoán. Doanh nghiệp có thể dùng thẻ thông minh.
4. Lưu khóa khôi phục: khóa gồm 48 chữ số. Lưu vào tài khoản Microsoft, ra tệp trên ổ khác hoặc in ra giấy. Không lưu khóa khôi phục trên chính USB đó.
5. Chọn phạm vi mã hóa: "Encrypt used disk space only" nhanh hơn, phù hợp USB mới; "Encrypt entire drive" an toàn hơn cho USB đã dùng, vì dữ liệu cũ đã xóa vẫn có thể còn trên vùng trống.
6. Chọn chế độ mã hóa: chọn "Compatible mode" nếu USB có thể được cắm vào máy chạy Windows cũ; "New encryption mode" (XTS-AES) phù hợp ổ cố định hoặc khi chỉ dùng trên Windows 10, 11.
7. Nhấn Start encrypting và không rút USB cho đến khi hoàn tất.

Sau đó, mỗi lần cắm USB, Windows sẽ hỏi mật khẩu. Bạn có thể chọn tự động mở khóa trên máy tính cá nhân của mình, nhưng không nên bật trên máy dùng chung.

Vấn đề với USB boot

USB boot là USB chứa hệ điều hành hoặc bộ cài để khởi động máy, chẳng hạn bộ cài Windows, công cụ cứu hộ hoặc bản Linux live. Firmware của máy tính (UEFI hoặc BIOS) phải đọc được phân vùng khởi động trước khi có bất kỳ hệ điều hành nào chạy, mà firmware không biết giải mã BitLocker. Do đó:

• Không mã hóa BitLocker phân vùng chứa bộ cài hay công cụ khởi động.
• Nếu muốn một USB vừa khởi động được vừa có vùng dữ liệu bảo mật, hãy chia USB thành hai phân vùng: một phân vùng khởi động không mã hóa, một phân vùng dữ liệu bật BitLocker To Go.
• Nếu nhu cầu thực sự là một hệ điều hành di động, riêng tư, chạy từ USB, các giải pháp thiết kế riêng cho mục đích đó như hệ điều hành Tails trên USB phù hợp hơn, vì chúng có cơ chế lưu trữ mã hóa riêng.

Tính năng Windows To Go, từng cho phép chạy Windows hoàn chỉnh từ USB, đã bị Microsoft ngừng phát triển nên không còn là lựa chọn đáng tin cậy.

Chia USB thành hai phân vùng

1. Tạo USB khởi động bằng công cụ chính thức, sau đó dùng Disk Management hoặc công cụ phân vùng để thu nhỏ phân vùng hiện có, tạo thêm phân vùng mới trong phần trống. Windows 10 bản 1703 trở lên hỗ trợ nhiều phân vùng trên USB.
2. Định dạng phân vùng dữ liệu bằng exFAT hoặc NTFS.
3. Bật BitLocker To Go chỉ cho phân vùng dữ liệu theo các bước ở trên.
4. Thử khởi động máy từ USB để chắc phân vùng boot vẫn hoạt động.

BitLocker so với các lựa chọn khác

Nếu chỉ cần bảo vệ vài tệp, cách mã hóa file bằng GPG có thể tiện hơn.

Chọn mức mã hóa AES-128 hay AES-256

BitLocker mặc định dùng khóa 128 bit, đủ mạnh cho hầu hết nhu cầu hiện nay. Tổ chức có yêu cầu tuân thủ khắt khe có thể đặt chính sách dùng AES-256 trong Group Policy trước khi bật mã hóa; thiết lập này không đổi được cho ổ đã mã hóa trừ khi giải mã rồi mã hóa lại. Sự khác biệt về tốc độ giữa hai mức khóa trên máy hiện đại là nhỏ. Nếu muốn hiểu vì sao AES được chọn làm chuẩn cho mã hóa ổ đĩa, xem bài so sánh thuật toán AES-256 và ChaCha20.

Lưu ý vận hành

• Luôn dùng "Safely Remove" trước khi rút USB, tránh hỏng cấu trúc ổ đã mã hóa.
• Kiểm tra khóa khôi phục ngay sau khi lưu: đảm bảo bạn tìm lại được nó.
• Doanh nghiệp nên dùng Group Policy hoặc Intune để bắt buộc mã hóa thiết bị rời trước khi cho phép ghi dữ liệu, đồng thời lưu khóa khôi phục tập trung.
• Mã hóa không thay thế sao lưu: USB hỏng vật lý thì dữ liệu mã hóa cũng mất.
• Cảnh giác USB lạ: không cắm USB không rõ nguồn gốc vào máy làm việc.

Các rủi ro rộng hơn như mất cắp, lây mã độc qua thiết bị lưu trữ rời và chính sách quản lý USB trong tổ chức được bàn trong bài bảo mật USB và ổ cứng gắn ngoài.