Cách bật BitLocker mã hoá ổ đĩa trên Windows (2026)
Một chiếc laptop bị mất hay bị lấy cắp là chuyện không ai muốn, nhưng điều khiến người ta mất ngủ thường không phải cái máy — mà là dữ liệu bên trong. Nếu ổ đĩa không được mã hoá, người có được chiếc máy chỉ cần tháo ổ ra, cắm sang một máy khác hoặc khởi động bằng một USB cứu hộ là đọc được toàn bộ tài liệu, ảnh, danh sách khách hàng, thậm chí cả những tệp bạn đã xoá từ lâu. BitLocker là công cụ có sẵn trong Windows để chặn đúng đường đó: nó mã hoá toàn bộ ổ đĩa, và nếu không có khoá thì dữ liệu chỉ là một mớ ký tự vô nghĩa.
Bài viết này đi theo trình tự thực tế khi bật BitLocker trên một chiếc máy đang dùng: kiểm tra phiên bản Windows và phần cứng bảo mật trước khi bật, chọn chế độ mã hoá phù hợp, lưu khoá khôi phục cho đúng — đây là bước quan trọng nhất và cũng là bước nhiều người làm ẩu nhất, bật BitLocker theo từng bước, quản lý trong lúc dùng hằng ngày, xử lý những tình huống hay gặp, và cuối cùng là bộ quy tắc giữ khoá an toàn lâu dài.
Cần nói rõ ngay từ đầu để tránh hiểu nhầm: mã hoá ổ đĩa bảo vệ dữ liệu khi máy đã tắt hoặc khi ổ bị tháo ra khỏi máy. Nó không thay thế mật khẩu đăng nhập, không chặn được mã độc chạy trong lúc bạn đang đăng nhập, và càng không phải bản sao lưu. Nếu bạn đánh mất khoá khôi phục thì không có cách nào lấy lại dữ liệu, kể cả dịch vụ hỗ trợ của Microsoft. Vì vậy hãy đọc phần lưu khoá kỹ hơn các phần còn lại.
Bài viết có thể chứa liên kết tiếp thị. Nếu bạn mua qua liên kết này, Tân IT365 có thể nhận hoa hồng nhỏ mà không làm tăng giá bạn trả và không ảnh hưởng đến nội dung tư vấn.
1. Kiểm tra phiên bản Windows và phần cứng bảo mật trước khi bật
Việc đầu tiên là xác định bạn đang dùng phiên bản Windows nào, vì BitLocker đầy đủ chỉ có trên các bản Windows Pro, Enterprise và Education. Bản Windows Home không có giao diện quản lý BitLocker, mà chỉ có tính năng mã hoá thiết bị — một dạng rút gọn thường tự bật khi bạn đăng nhập bằng tài khoản Microsoft trên máy có đủ điều kiện phần cứng. Cách kiểm tra nhanh là mở phần giới thiệu hệ thống trong cài đặt, hoặc mở hộp thoại quản lý BitLocker trong bảng điều khiển: nếu trang đó mở được và hiện danh sách ổ đĩa thì máy bạn có BitLocker đầy đủ.
Yếu tố phần cứng quan trọng nhất là chip bảo mật TPM — con chip giữ phần khoá dùng để mở ổ đĩa trong lúc khởi động. Windows yêu cầu tối thiểu TPM phiên bản 1.2, nhưng nên có 2.0; riêng Windows 11 thì bắt buộc 2.0. Bạn kiểm tra bằng cách mở công cụ quản lý TPM từ hộp chạy lệnh: nếu thấy dòng thông báo TPM đã sẵn sàng kèm phiên bản và nhà sản xuất là máy đủ điều kiện. Trường hợp công cụ báo không tìm thấy TPM, hãy vào phần cài đặt firmware của máy để bật lại — trên nhiều máy nó nằm dưới tên gọi khác nhau tuỳ hãng, và việc bật sai mục có thể làm hỏng cấu hình khởi động nên chỉ nên làm khi bạn chắc chắn.
Yếu tố thứ hai là kiểu khởi động. BitLocker cần chế độ khởi động UEFI cùng Secure Boot để bảo vệ chuỗi khởi động, vì nếu kẻ tấn công chèn được một hệ điều hành khác vào trước Windows thì lớp mã hoá sẽ bị vô hiệu. Bạn xem thông tin hệ thống để biết máy đang ở chế độ UEFI hay chế độ cũ; nếu đang ở chế độ cũ thì vẫn bật được BitLocker nhưng mức bảo vệ thấp hơn và một số cài đặt sẽ bị hạn chế. Với máy đời cũ, đây cũng là lúc cân nhắc xem có đáng chuyển sang UEFI hay không, vì việc chuyển đổi ảnh hưởng tới cách ổ đĩa được chia và khởi động. Nếu máy vẫn khởi động chậm sau các bước trên, xem thêm tăng tốc khởi động Windows để xử lý phần còn lại.
Cuối cùng, hãy kiểm tra tình trạng ổ đĩa trước khi mã hoá. BitLocker ghi liên tục vào ổ trong suốt quá trình mã hoá lần đầu, nên một ổ đĩa đang có dấu hiệu hỏng sẽ dễ lộ vấn đề đúng lúc bạn không mong muốn. Chạy công cụ kiểm tra ổ đĩa có sẵn trong Windows, xem dung lượng trống còn bao nhiêu, và sao lưu dữ liệu quan trọng ra một ổ khác trước khi bắt đầu. Bước này mất vài phút nhưng là lưới an toàn cho toàn bộ phần còn lại của bài viết.
2. Chọn chế độ mã hoá phù hợp với ổ đĩa
Khi bật BitLocker, trình hướng dẫn hỏi bạn muốn mã hoá toàn bộ ổ đĩa hay chỉ phần đã dùng. Chế độ chỉ mã hoá phần đã dùng nhanh hơn rất nhiều vì Windows bỏ qua các vùng trống, phù hợp với máy mới mua hoặc máy vừa cài lại hệ điều hành. Tuy nhiên nếu ổ đĩa từng chứa dữ liệu của bạn trước đó, phần dữ liệu đã xoá vẫn có thể còn nằm trong vùng trống và vẫn đọc được bằng công cụ phục hồi — trong trường hợp đó nên chọn mã hoá toàn bộ để che luôn cả những mảnh còn sót lại.
Về thuật toán, BitLocker dùng chế độ mã hoá XTS-AES với khoá 128 bit, và bạn có thể chọn 256 bit nếu cần mức cao hơn theo yêu cầu của tổ chức. Với máy tính hiện nay, khác biệt về tốc độ giữa hai mức này hầu như không cảm nhận được vì bộ xử lý đã có sẵn phần tăng tốc mã hoá; đừng chọn mức thấp hơn chỉ vì lo máy chậm, và cũng đừng chọn mức cao hơn nếu máy quá cũ và bạn cần độ ổn định. Điều đáng quan tâm hơn là ổ đĩa có hỗ trợ mã hoá phần cứng hay không, vì khi đó khoá được xử lý ngay trong ổ và giảm tải cho bộ xử lý.
Nếu máy có ổ đĩa tự mã hoá phần cứng, Windows sẽ tận dụng và bạn thấy thông báo tương ứng trong phần quản lý. Một số ổ loại này từng dính lỗi bảo mật trong quá khứ, nên nếu doanh nghiệp của bạn có yêu cầu khắt khe, hãy chủ động chọn chế độ mã hoá bằng phần mềm thay vì tin hoàn toàn vào phần cứng. Với máy cá nhân dùng bình thường, để Windows tự quyết định là lựa chọn hợp lý và ít rắc rối nhất.
Với ổ đĩa di động và USB, BitLocker có chế độ riêng gọi là BitLocker To Go, cho phép đặt mật khẩu mở ổ và mã hoá dữ liệu trên thiết bị lưu trữ ngoài. Cách này rất hữu ích khi bạn thường xuyên mang ổ cứng đi lại hoặc gửi dữ liệu cho người khác, vì nếu mất ổ thì người nhặt được cũng không đọc được gì. Cần lưu ý là máy không chạy Windows sẽ cần công cụ riêng để mở ổ đã mã hoá, nên nếu bạn phải dùng chung với máy Mac hoặc điện thoại thì hãy cân nhắc trước.
3. Lưu khoá khôi phục đúng cách — bước quan trọng nhất
Khoá khôi phục của BitLocker là một dãy 48 chữ số, chia thành tám nhóm sáu số để dễ đọc lại khi cần. Đây là đường vào duy nhất khi máy không tự mở được ổ đĩa: sau khi cập nhật firmware, sau khi thay bo mạch chủ, sau khi chip bảo mật bị xoá, hoặc khi có ai đó cố tình thay đổi cấu hình khởi động. Không có khoá này thì dữ liệu trên ổ coi như mất, và không có kỹ thuật nào trong Windows cứu được.
Trình hướng dẫn cho bạn bốn cách lưu: lưu vào tài khoản Microsoft, lưu ra tệp, in ra giấy, hoặc lưu vào một ổ USB. Nguyên tắc là lưu ít nhất hai bản ở hai nơi khác nhau, và tuyệt đối không để bản duy nhất trên chính chiếc máy đang được mã hoá — đó là lỗi phổ biến nhất, vì khi máy không khởi động được thì bạn cũng không mở được tệp chứa khoá. Một bản lưu trên tài khoản Microsoft, một bản in ra giấy cất trong ngăn kéo khoá, hoặc một bản trong trình quản lý mật khẩu, là tổ hợp đủ tốt cho hầu hết gia đình và hộ kinh doanh.
Lưu trên tài khoản Microsoft thì tiện, nhưng hãy nhớ rằng quyền truy cập khoá phụ thuộc vào quyền truy cập tài khoản đó. Nếu tài khoản bị khoá, bị mất mật khẩu mà không khôi phục được, hoặc bị xoá, bạn cũng mất luôn đường lấy khoá. Vì vậy đừng xem đây là bản sao duy nhất. Với máy của doanh nghiệp, quản trị viên nên đặt chính sách sao lưu khoá về hệ thống quản lý tập trung để khi nhân viên nghỉ việc hoặc đổi máy vẫn còn đường mở ổ đĩa của công ty.
Sau khi lưu, hãy kiểm tra lại một lần cho chắc: mở trang quản lý BitLocker, xem mã định danh khoá, rồi đối chiếu với bản bạn vừa lưu xem có khớp vài nhóm số đầu hay không. Việc này mất chưa tới một phút nhưng phát hiện được các trường hợp lưu nhầm tệp, lưu vào thư mục đồng bộ đã bị xoá, hoặc in ra nhưng giấy bị kẹt giữa chừng. Đừng bao giờ khởi động lại máy với suy nghĩ “lát nữa lưu cũng được”, vì lần khởi động tiếp theo có thể đã là lúc máy đòi khoá.
4. Bật BitLocker theo từng bước
Mở trang quản lý BitLocker trong bảng điều khiển của Windows, tìm ổ đĩa hệ điều hành và bấm bật. Trình hướng dẫn sẽ hỏi cách mở khoá mỗi lần khởi động: dùng mã PIN, dùng mật khẩu, hoặc dùng ổ USB chứa khoá. Với laptop có TPM, cách phổ biến và cân bằng nhất là mã PIN — máy yêu cầu nhập PIN ngay trước khi Windows khởi động, kết hợp với chip bảo mật nên an toàn hơn hẳn chỉ dựa vào TPM đơn thuần. Với máy để bàn không có TPM, bạn có thể dùng mật khẩu khởi động hoặc ổ USB chứa khoá, nhưng phải giữ ổ USB đó cẩn thận vì mất nó là mất đường vào.
Bước tiếp theo là lưu khoá khôi phục như phần trước đã nói, rồi chọn chế độ mã hoá. Sau đó trình hướng dẫn đề nghị chạy kiểm tra hệ thống trước khi mã hoá thật — hãy đồng ý, vì bước này khởi động lại máy một lần để chắc chắn BitLocker đọc được ổ đĩa và khoá đã được lưu đúng chỗ. Nếu bỏ qua, bạn có thể rơi vào tình huống máy đòi khoá khôi phục ngay lần khởi động sau mà bạn chưa kịp kiểm tra bản lưu.
Quá trình mã hoá chạy nền và thời gian phụ thuộc dung lượng ổ, tốc độ ổ và lượng dữ liệu đã có. Với ổ đĩa thể rắn dung lượng vừa phải, việc mã hoá thường xong trong khoảng vài chục phút tới vài giờ; với ổ cơ dung lượng lớn thì lâu hơn nhiều. Bạn vẫn dùng máy bình thường trong lúc mã hoá, nhưng nên cắm điện và tránh tắt máy đột ngột. Nếu cần tắt máy gấp, hãy tạm dừng quá trình mã hoá trước rồi tiếp tục sau.
Khi xong, mở lại trang quản lý để xác nhận trạng thái đã bật và khoá khôi phục đã có. Bạn cũng có thể kiểm tra bằng dòng lệnh quản lý BitLocker để xem trạng thái bảo vệ, kiểu mã hoá và các phương thức mở khoá đang bật. Việc đối chiếu hai nơi giúp chắc chắn rằng ổ đĩa thật sự đang được bảo vệ chứ không chỉ hiển thị như vậy trên giao diện. Sau bước này, hãy khởi động lại máy một lần nữa để thấy đúng trải nghiệm mà bạn sẽ gặp mỗi ngày.
5. Quản lý BitLocker trong lúc dùng hằng ngày
Việc quan trọng nhất khi dùng lâu dài là tạm dừng BitLocker trước khi cập nhật firmware hoặc thay đổi phần cứng. Khi bạn nâng cấp BIOS, đổi ổ đĩa, thêm bộ nhớ ở một số dòng máy, hoặc thay bo mạch chủ, chuỗi khởi động thay đổi và BitLocker sẽ yêu cầu khoá khôi phục ở lần khởi động kế tiếp. Cách phòng là tạm dừng bảo vệ cho một số lần khởi động nhất định trước khi làm, rồi bật lại sau khi xong. Việc này không làm mất khoá và không làm mất dữ liệu, chỉ tạm thời không kiểm tra tính toàn vẹn của chuỗi khởi động.
Bạn nên biết cách đổi mã PIN hoặc mật khẩu khởi động khi cần, ví dụ khi có người khác từng biết mã cũ. Công cụ dòng lệnh của BitLocker có lệnh riêng để đổi PIN, đổi mật khẩu và thêm khoá khôi phục mới. Một mẹo hữu ích là thêm một khoá khôi phục thứ hai trước khi xoá khoá cũ, để trong lúc chuyển đổi luôn còn ít nhất một đường vào. Với máy dùng chung trong gia đình hoặc cửa hàng, hãy đổi mã định kỳ và ghi lại ngày đổi để không quên.
Với ổ dữ liệu phụ và ổ ngoài, BitLocker có tuỳ chọn tự động mở khoá trên máy tính đáng tin cậy. Tuỳ chọn này tiện cho ổ cứng gắn cố định trong máy, nhưng đừng bật cho ổ di động bạn mang đi lại: nếu ổ rơi vào tay người khác cùng một chiếc máy đã được tin cậy thì lớp bảo vệ gần như không còn tác dụng. Với USB dùng để trao đổi dữ liệu, hãy đặt mật khẩu riêng và chỉ mã hoá khi thật sự cần, vì thiết bị đã mã hoá mà quên mật khẩu thì cũng mất dữ liệu như ổ trong máy.
Trước khi bán, cho, hoặc trả máy, bạn có hai lựa chọn an toàn: hoặc tắt BitLocker và chờ giải mã xong hoàn toàn, hoặc cài lại hệ điều hành sạch. Đừng chỉ xoá tệp rồi giao máy, vì dữ liệu vẫn có thể được phục hồi. Nếu máy được mã hoá và bạn không muốn chờ giải mã, cách nhanh nhất là cài lại hệ điều hành — nhưng cần chắc chắn bạn đã sao lưu dữ liệu và đã có khoá khôi phục trước khi làm, vì quá trình cài lại có thể yêu cầu khoá ở bước khởi động.
6. Xử lý những tình huống hay gặp
Tình huống phổ biến nhất là máy đột ngột hiện màn hình xanh nhạt đòi nhập khoá khôi phục ngay sau khi cập nhật firmware hoặc sau khi thay đổi phần cứng. Đây không phải lỗi: BitLocker phát hiện chuỗi khởi động đã khác nên chủ động khoá lại. Cách xử lý là nhập dãy 48 số đã lưu, vào được Windows rồi tạm dừng và bật lại BitLocker để nó ghi nhận cấu hình mới. Nếu bạn không có khoá, hãy thử tra trong tài khoản Microsoft trước khi làm bất cứ điều gì khác, vì mọi thao tác cài lại đều làm mất dữ liệu.
Một tình huống khác là trình hướng dẫn báo máy không dùng được TPM dù máy có chip bảo mật. Nguyên nhân thường là TPM bị tắt trong phần cài đặt firmware, hoặc đang ở chế độ phần mềm chưa được bật. Vào phần cài đặt firmware để kiểm tra và bật lại, lưu cài đặt rồi khởi động vào Windows. Sau khi bật, nên khởi động lại thêm một lần để Windows nhận đúng trạng thái chip trước khi thử bật BitLocker lần nữa.
Nếu quá trình mã hoá đứng ở một tỷ lệ phần trăm rất lâu, hãy kiểm tra sức khoẻ ổ đĩa trước khi nghĩ tới lỗi phần mềm. Ổ đĩa có lỗi vật lý thường làm quá trình mã hoá chậm bất thường hoặc dừng hẳn. Bạn có thể tạm dừng mã hoá, chạy công cụ kiểm tra ổ đĩa, sao lưu dữ liệu quan trọng, rồi mới tiếp tục. Đừng tắt máy bằng cách giữ nút nguồn trong lúc đang mã hoá, vì điều đó dễ dẫn tới hỏng hệ thống tệp hơn là hỏng lớp mã hoá.
Trường hợp cắm ổ đã mã hoá sang máy khác mà không đọc được, hãy xác định đó là ổ hệ điều hành hay ổ dữ liệu. Với ổ dữ liệu mã hoá bằng BitLocker To Go, máy Windows khác sẽ hiện hộp thoại đòi mật khẩu và bạn chỉ cần nhập đúng. Với ổ hệ điều hành, việc cắm sang máy khác không phải cách để đọc dữ liệu — bạn cần khởi động đúng máy đó hoặc dùng khoá khôi phục trong môi trường phục hồi. Nếu đã mất cả mật khẩu và khoá khôi phục thì không có cách nào đọc được, và đây là lúc cần chấp nhận mất dữ liệu để cài lại máy.
7. Quy tắc giữ khoá và dữ liệu an toàn lâu dài
Quy tắc đầu tiên là xem mã hoá như một lớp bảo vệ, không phải bản sao lưu. Mã hoá giúp dữ liệu không bị đọc khi mất máy, nhưng nếu ổ đĩa hỏng, nếu bạn quên khoá, hoặc nếu virus xoá tệp thì mã hoá không giúp gì. Vì vậy hãy duy trì sao lưu định kỳ ra một nơi khác với chiếc máy đang dùng, và kiểm tra khả năng phục hồi của bản sao lưu ít nhất vài lần mỗi năm thay vì chỉ tin rằng nó đang chạy.
Quy tắc thứ hai là kiểm tra lại khoá khôi phục theo lịch. Sau mỗi lần thay phần cứng, sau mỗi lần cài lại hệ điều hành, và định kỳ khoảng sáu tháng một lần, hãy mở trang quản lý để xem mã định danh khoá và đối chiếu với bản lưu của bạn. Khoá có thể đã thay đổi nếu bạn từng thêm hoặc xoá phương thức mở khoá. Việc đối chiếu định kỳ rẻ hơn rất nhiều so với việc phát hiện ra bản lưu đã cũ đúng vào lúc máy không khởi động được.
Quy tắc thứ ba là ghi chép gọn gàng: mỗi máy một mã định danh khoá, một dòng ghi chú về nơi lưu bản giấy và nơi lưu bản số. Với gia đình có vài máy, hoặc cửa hàng có máy thu ngân và máy văn phòng, việc này giúp người khác trong nhà hoặc nhân viên xử lý được khi bạn không có mặt. Đừng để khoá nằm rải rác trong nhiều tệp ghi chú không tên, vì lúc cần thì không ai nhớ nổi tệp nào là tệp nào.
Quy tắc cuối cùng là dọn dẹp đúng cách khi thay đổi người dùng hoặc thanh lý máy. Khi một nhân viên nghỉ việc, hãy đổi mã PIN khởi động, xoá tuỳ chọn tự động mở khoá của các ổ phụ, và tạo khoá khôi phục mới. Khi thanh lý máy, hãy chọn một trong hai đường đã nêu ở phần trước và làm cho xong, đừng giao máy trong trạng thái nửa vời. Một chút kỷ luật ở khâu cuối giúp dữ liệu cũ không bao giờ quay lại theo cách bạn không mong muốn.
Câu hỏi thường gặp
Windows bản Home có bật được BitLocker không?
Bản Home không có giao diện BitLocker đầy đủ, chỉ có tính năng mã hoá thiết bị thường tự bật khi đăng nhập bằng tài khoản Microsoft trên máy có chip bảo mật phù hợp.
Mất khoá khôi phục thì có lấy lại được dữ liệu không?
Không. BitLocker không có cửa sau, nên khi mất cả mật khẩu hoặc PIN lẫn khoá khôi phục thì dữ liệu trên ổ coi như không đọc được.
Bật BitLocker có làm máy chậm đi không?
Trên máy có bộ xử lý hỗ trợ tăng tốc mã hoá, ảnh hưởng gần như không cảm nhận được; phần chậm dễ thấy nhất là lúc mã hoá lần đầu với ổ cơ dung lượng lớn.
Máy đã đặt mật khẩu đăng nhập rồi có cần BitLocker nữa không?
Có. Mật khẩu đăng nhập chỉ chặn người dùng đi qua Windows; ai tháo ổ đĩa ra cắm sang máy khác vẫn đọc được tệp, còn BitLocker mã hoá chính dữ liệu trên ổ.
Cập nhật firmware hoặc thay bo mạch chủ có làm mất khoá BitLocker không?
Khoá không mất, nhưng thay đổi phần cứng làm chip bảo mật ghi nhận cấu hình khác nên lần khởi động sau máy sẽ đòi khoá khôi phục; hãy tạm dừng bảo vệ trước khi cập nhật firmware.
Bài viết liên quan
Bình luận
Chia sẻ kinh nghiệm hoặc đặt câu hỏi của bạn. Chúng tôi sẽ phản hồi trong thời gian sớm nhất.
Chưa có bình luận nào. Hãy là người đầu tiên!