Mã hoá cả ổ máy tính bằng công cụ có sẵn, BitLocker trên Windows và FileVault trên macOS, để mất máy không mất dữ liệu. Ổ USB chở dữ liệu nhạy cảm thì mã hoá riêng bằng BitLocker To Go hoặc VeraCrypt. Khoá khôi phục cất ngoài máy, nếu không chính bạn sẽ bị khoá ngoài.
Dữ liệu phỏng vấn, hồ sơ bệnh án, danh sách người tham gia kèm số điện thoại thường nằm trên máy cá nhân của nghiên cứu sinh và trên những chiếc USB đi lại giữa nhà, phòng làm việc, cơ sở thực địa. Máy xách tay bị mất cắp, USB rơi trên xe buýt là chuyện xảy ra thật. Mã hoá biến sự cố đó từ vi phạm cam kết bảo mật thành mất một món đồ. Bài này hướng dẫn chọn cách mã hoá và các thao tác cụ thể.
Mã hoá cả ổ hay mã hoá thư mục?
Mã hoá cả ổ bảo vệ mọi thứ trên máy khi máy đang tắt: hệ điều hành, tệp tạm, bộ nhớ đệm của phần mềm, tệp tự lưu của Word. Đây là lớp nền nên bật trên mọi máy chứa dữ liệu nghiên cứu. Nhược điểm là khi máy đang bật và đã đăng nhập, dữ liệu ở trạng thái đọc được với bất kỳ ai ngồi vào máy hay với mã độc đang chạy.
Mã hoá thư mục hoặc vùng chứa (container) tạo một khối riêng chỉ mở khi cần, đóng lại khi xong. Nó bổ sung cho mã hoá cả ổ: dữ liệu nhạy cảm nhất chỉ mở trong lúc làm việc với nó. Đây cũng là cách thực tế cho ổ USB và cho dữ liệu đặt trên dịch vụ đám mây.
Công cụ theo hệ điều hành
Ưu tiên công cụ có sẵn; phần mềm thêm chỉ dùng khi cần chạy được trên nhiều hệ điều hành.
| Việc cần làm | Windows | macOS | Dùng chung nhiều hệ điều hành |
|---|---|---|---|
| Mã hoá cả ổ máy | BitLocker (bản Pro, Enterprise, Education); bản Home có Device encryption trên máy hỗ trợ | FileVault | Linux dùng LUKS, thường chọn lúc cài |
| Mã hoá ổ USB | BitLocker To Go | Định dạng ổ APFS có mã hoá, hoặc chọn mã hoá trong Finder | VeraCrypt |
| Vùng chứa mã hoá | VeraCrypt | Ảnh đĩa mã hoá tạo bằng Disk Utility, hoặc VeraCrypt | VeraCrypt |
| Tệp gửi đi | Tệp nén 7-Zip dùng AES-256 | Tệp nén mã hoá bằng công cụ hỗ trợ AES | 7-Zip, Keka; gửi mật khẩu qua kênh khác |
| Thư mục đồng bộ đám mây | Cryptomator | Cryptomator | Cryptomator |
Bật mã hoá cả ổ
Windows với BitLocker
Gõ BitLocker trong ô tìm kiếm, mở Quản lý BitLocker, chọn bật cho ổ hệ thống. Windows yêu cầu lưu khoá khôi phục: chọn lưu vào tài khoản Microsoft, lưu ra tệp ở ổ khác, hoặc in ra. Khoá khôi phục là dãy 48 chữ số. Máy của trường có thể đã bật sẵn và khoá được lưu ở hệ thống quản trị; hỏi bộ phận công nghệ thông tin trước khi tự thay đổi.
Windows bản Home không có BitLocker đầy đủ; nhiều máy mới có tính năng mã hoá thiết bị (Device encryption) trong phần cài đặt Quyền riêng tư và bảo mật, bật tự động khi đăng nhập bằng tài khoản Microsoft. Kiểm xem máy mình có mục này không.
macOS với FileVault
Vào Cài đặt hệ thống, Quyền riêng tư và bảo mật, kéo xuống FileVault, bật. macOS cho chọn cho phép tài khoản iCloud mở khoá ổ hoặc tạo khoá khôi phục. Nếu chọn khoá khôi phục, ghi lại và cất ngoài máy. Quá trình mã hoá chạy nền, máy vẫn dùng bình thường.
Kiểm tra đã bật thật chưa
Với BitLocker, Quản lý BitLocker hiển thị trạng thái bật cho từng ổ. Với FileVault, trang cài đặt báo FileVault đang bật cho ổ. Đừng chỉ tin rằng máy mới mua đã bật sẵn.
Mã hoá ổ USB và vùng chứa bằng VeraCrypt
BitLocker To Go cho USB dùng trong môi trường Windows
Cắm USB, nhấn chuột phải vào ổ trong File Explorer, chọn bật BitLocker, đặt mật khẩu, lưu khoá khôi phục. Máy Windows khác mở được khi nhập mật khẩu. Máy macOS không mở được nếu không có phần mềm thêm.
VeraCrypt khi cần mở trên nhiều hệ điều hành
VeraCrypt là phần mềm mã nguồn mở, chạy trên Windows, macOS, Linux. Cách gọn nhất là tạo một tệp vùng chứa: mở VeraCrypt, chọn tạo ổ, chọn tạo tệp vùng chứa mã hoá, chọn vị trí và dung lượng, thuật toán để mặc định, đặt mật khẩu dài. Khi cần làm việc, gắn tệp vào một ký tự ổ, dùng như ổ đĩa thường, xong thì tháo ra. Tệp vùng chứa có thể đặt trên USB, ổ ngoài hay thư mục đồng bộ.
Gửi tệp cho đồng nghiệp
Tệp nén 7-Zip với mã hoá AES-256 và tích chọn mã hoá cả tên tệp là cách đơn giản. Gửi tệp qua một kênh, mật khẩu qua kênh khác, ví dụ tệp qua email, mật khẩu qua cuộc gọi. Không ghi mật khẩu trong cùng thư với tệp.
Khoá khôi phục: thứ hay bị bỏ quên nhất
Không có khoá thì không ai mở được. Kể cả hãng máy, kể cả bộ phận công nghệ thông tin, nếu khoá không được lưu ở hệ thống quản trị. Quên mật khẩu VeraCrypt là mất vĩnh viễn dữ liệu bên trong.
Cất ở ít nhất hai nơi ngoài máy. Ví dụ trình quản lý mật khẩu và một bản giấy cất trong tủ khoá. Không cất khoá khôi phục trên chính ổ được mã hoá.
Ghi rõ khoá của ổ nào. Một nghiên cứu sinh có thể có máy xách tay, máy bàn, ba ổ USB. Khoá không có nhãn thì gần như vô dụng.
Mã hoá không thay sao lưu. Ổ mã hoá hỏng vật lý vẫn là ổ hỏng. Sao lưu dữ liệu, và mã hoá cả bản sao lưu.
Mật khẩu cho ổ mã hoá: dài hơn là phức tạp hơn
Mã hoá chỉ mạnh bằng mật khẩu bảo vệ nó. Với ổ chứa dữ liệu người tham gia:
- Dùng cụm mật khẩu gồm bốn năm từ ngẫu nhiên, dài trên 16 ký tự, dễ gõ hơn và khó đoán hơn một chuỗi ngắn nhiều ký hiệu.
- Không dùng lại mật khẩu email, ORCID hay bất kỳ dịch vụ trực tuyến nào; mật khẩu dịch vụ có thể đã lộ qua các vụ rò rỉ.
- Không ghi mật khẩu trên nhãn dán ở USB hay trong túi đựng máy.
- Khi chia ổ cho cả nhóm, mỗi lần có người rời nhóm thì đổi mật khẩu; với VeraCrypt, đổi mật khẩu vùng chứa trong chức năng đổi mật khẩu ổ, không cần tạo lại.
- Lưu mật khẩu ổ trong trình quản lý mật khẩu của nhóm, có ghi chú ổ nào, ai giữ.
Một ổ USB mã hoá mà mật khẩu dán ngay trên vỏ thì cũng như không mã hoá. Ngược lại, mật khẩu quá phức tạp khiến người dùng tắt mã hoá cho đỡ phiền. Cụm từ dài là điểm cân bằng tốt.
Mất máy hoặc mất USB: làm gì
Làm ngay trong ngày, theo thứ tự:
- Xác định thiết bị có mã hoá không và chứa dữ liệu gì. Ghi lại thời điểm, địa điểm phát hiện mất.
- Đổi mật khẩu các tài khoản đã đăng nhập trên máy, đăng xuất từ xa các phiên của email, đám mây, trình quản lý mật khẩu.
- Nếu đã bật tính năng tìm thiết bị của Microsoft hoặc Apple, khoá máy từ xa và cân nhắc xoá từ xa.
- Báo người phụ trách đề tài và bộ phận công nghệ thông tin. Nếu thiết bị chứa dữ liệu người tham gia mà không mã hoá, đây là sự cố lộ dữ liệu: báo hội đồng đạo đức theo quy trình đã cam kết và xem nghĩa vụ thông báo theo Luật Bảo vệ dữ liệu cá nhân cùng văn bản hướng dẫn hiện hành.
- Khôi phục dữ liệu từ bản sao lưu lên thiết bị mới, bật mã hoá trước khi chép dữ liệu vào.
Khác biệt giữa thiết bị có và không mã hoá lộ rõ nhất ở bước bốn. Thiết bị đã mã hoá và đang tắt khi bị mất thì dữ liệu gần như không đọc được, việc báo cáo chủ yếu để ghi nhận. Thiết bị không mã hoá thì phải coi như toàn bộ dữ liệu đã lộ.
Câu hỏi thường gặp
Mã hoá ổ có làm máy chạy chậm không?
Với máy tính đời gần đây, ảnh hưởng tới tốc độ thường rất nhỏ vì bộ xử lý có hỗ trợ phần cứng cho mã hoá. Người dùng bình thường gần như không nhận ra khác biệt.
Máy đã bật mã hoá thì có cần đặt mật khẩu đăng nhập không?
Cần. Mã hoá chỉ bảo vệ khi máy tắt hoặc đang khoá. Máy đã đăng nhập mà để không người trông thì ai ngồi vào cũng đọc được. Đặt khoá màn hình tự động sau vài phút.
Windows Home có dùng BitLocker được không?
Bản Home không có giao diện BitLocker đầy đủ, nhưng nhiều máy hỗ trợ tính năng mã hoá thiết bị. Nếu không có, cân nhắc VeraCrypt hoặc nâng cấp lên bản Pro.
Quên mật khẩu VeraCrypt có lấy lại được dữ liệu không?
Không. VeraCrypt không có cửa sau. Không có mật khẩu hoặc tệp khoá thì dữ liệu bên trong coi như mất, nên phải cất mật khẩu cẩn thận và có bản sao lưu.
Có nên lưu khoá khôi phục BitLocker vào tài khoản Microsoft không?
Đó là lựa chọn tiện và an toàn hơn để rơi mất, miễn là tài khoản Microsoft đã bật xác thực hai lớp. Với máy của trường, khoá thường do hệ thống quản trị giữ.
