วิธีใช้คีย์ USB เพื่อปลดล็อกพีซีที่เข้ารหัสด้วย BitLocker

เปิดใช้งานการเข้ารหัส BitLocker และ Windows จะปลดล็อกไดรฟ์ของคุณโดยอัตโนมัติทุกครั้งที่คุณเริ่มคอมพิวเตอร์โดยใช้ TPM ที่มีอยู่ในคอมพิวเตอร์ที่ทันสมัยที่สุด แต่คุณสามารถตั้งค่า USB แฟลชไดรฟ์ใด ๆ เป็น "คีย์เริ่มต้น" ที่ต้องแสดงตอนบู๊ตก่อนที่คอมพิวเตอร์ของคุณจะถอดรหัสไดรฟ์และเริ่ม Windows.

สิ่งนี้เพิ่มการพิสูจน์ตัวตนแบบสองปัจจัยอย่างมีประสิทธิภาพให้กับการเข้ารหัส BitLocker เมื่อใดก็ตามที่คุณเริ่มคอมพิวเตอร์คุณจะต้องระบุคีย์ USB ก่อนที่จะถูกถอดรหัส สิ่งนี้จะเป็นประโยชน์อย่างยิ่งกับไดรฟ์ USB ขนาดเล็กที่คุณพกติดตัวไว้กับพวงกุญแจ.

ขั้นตอนที่หนึ่ง: เปิดใช้งาน BitLocker (ถ้าคุณยังไม่ได้ทำ)

เห็นได้ชัดว่าต้องมีการเข้ารหัสลับไดรฟ์ด้วย BitLocker ซึ่งหมายความว่าทำงานได้กับ Windows รุ่น Professional และ Enterprise เท่านั้น ก่อนที่คุณจะสามารถทำตามขั้นตอนใด ๆ ด้านล่างคุณจะต้องเปิดใช้งานการเข้ารหัส BitLocker บนไดรฟ์ระบบของคุณจากแผงควบคุม.

หากคุณไม่สามารถเปิดใช้งาน BitLocker บนพีซีที่ไม่มี TPM คุณสามารถเลือกที่จะสร้างคีย์เริ่มต้น USB ซึ่งเป็นส่วนหนึ่งของกระบวนการตั้งค่า สิ่งนี้จะถูกใช้แทน TPM ขั้นตอนด้านล่างจำเป็นเฉพาะเมื่อเปิดใช้งาน BitLocker บนคอมพิวเตอร์ที่มี TPM ซึ่งคอมพิวเตอร์ส่วนใหญ่มี.

หากคุณมี Windows รุ่น Home คุณจะไม่สามารถใช้ BitLocker ได้ คุณอาจมีคุณสมบัติการเข้ารหัสอุปกรณ์แทน แต่วิธีนี้จะทำงานแตกต่างจาก BitLocker และไม่อนุญาตให้คุณระบุรหัสเริ่มต้น.

ขั้นตอนที่สอง: เปิดใช้งานคีย์การเริ่มต้นในตัวแก้ไขนโยบายกลุ่ม

เมื่อคุณเปิดใช้งาน BitLocker แล้วคุณจะต้องเปิดใช้ข้อกำหนดคีย์เริ่มต้นในนโยบายกลุ่มของ Windows หากต้องการเปิดตัวแก้ไขนโยบายกลุ่มให้กด Windows + R บนแป้นพิมพ์ของคุณพิมพ์“ gpedit.msc” ในกล่องโต้ตอบเรียกใช้แล้วกด Enter.

ไปที่การกำหนดค่าคอมพิวเตอร์> เทมเพลตการดูแล> ส่วนประกอบ Windows> การเข้ารหัสไดรฟ์ด้วย BitLocker> ไดรฟ์ระบบปฏิบัติการในหน้าต่างนโยบายกลุ่ม.

คลิกสองครั้งที่ตัวเลือก“ ต้องการการรับรองความถูกต้องเพิ่มเติมเมื่อเริ่มต้น” ในบานหน้าต่างด้านขวา.

เลือก“ เปิดใช้งาน” ที่ด้านบนของหน้าต่างที่นี่ จากนั้นคลิกที่กล่องภายใต้“ กำหนดค่าคีย์การเริ่มต้น TPM” และเลือกตัวเลือก“ ต้องการคีย์การเริ่มต้นด้วย TPM” คลิก“ ตกลง” เพื่อบันทึกการเปลี่ยนแปลงของคุณ.

ขั้นตอนที่สาม: กำหนดค่าคีย์เริ่มต้นสำหรับไดรฟ์ของคุณ

ตอนนี้คุณสามารถใช้ จัดการ-BDE คำสั่งเพื่อกำหนดค่าไดรฟ์ USB สำหรับไดรฟ์ที่เข้ารหัสด้วย BitLocker ของคุณ.

ก่อนอื่นให้เสียบไดรฟ์ USB เข้ากับคอมพิวเตอร์ของคุณ สังเกตอักษรชื่อไดรฟ์ของ USB drive-D: ในภาพหน้าจอด้านล่าง Windows จะบันทึกไฟล์ .bek ขนาดเล็กลงในไดรฟ์และนี่คือวิธีที่จะกลายเป็นรหัสเริ่มต้นของคุณ.

จากนั้นเปิดหน้าต่าง Command Prompt ในฐานะผู้ดูแลระบบ บน Windows 10 หรือ 8 ให้คลิกขวาที่ปุ่ม Start แล้วเลือก“ Command Prompt (Admin)” บน Windows 7 ค้นหาทางลัด“ พรอมต์คำสั่ง” ในเมนูเริ่มคลิกขวาแล้วเลือก“ เรียกใช้ในฐานะผู้ดูแลระบบ”

เรียกใช้คำสั่งต่อไปนี้ คำสั่งด้านล่างใช้งานได้กับไดรฟ์ C: ดังนั้นหากคุณต้องการคีย์เริ่มต้นสำหรับไดรฟ์อื่นให้ป้อนตัวอักษรชื่อไดรฟ์แทน C: . คุณจะต้องป้อนอักษรชื่อไดรฟ์ของไดรฟ์ USB ที่เชื่อมต่อซึ่งคุณต้องการใช้เป็นคีย์เริ่มต้นแทน x: .

Manage-bde -protectors -add c: -TPMAndStartupKey x:

คีย์จะถูกบันทึกไปยังไดรฟ์ USB เป็นไฟล์ที่ซ่อนพร้อมนามสกุลไฟล์ .bek คุณสามารถดูได้หากคุณแสดงไฟล์ที่ซ่อนอยู่.

คุณจะถูกขอให้ใส่ไดรฟ์ USB ในครั้งต่อไปที่คุณบูตคอมพิวเตอร์ ใช้ความระมัดระวังกับคนที่สำคัญที่คัดลอกคีย์จากไดรฟ์ USB ของคุณสามารถใช้สำเนานั้นเพื่อปลดล็อกไดรฟ์ที่เข้ารหัสด้วย BitLocker ของคุณ.

ในการตรวจสอบอีกครั้งว่าตัวป้องกัน TPMAndStartupKey ถูกเพิ่มอย่างเหมาะสมคุณสามารถเรียกใช้คำสั่งต่อไปนี้:

Manage-bde -status

(ตัวป้องกันคีย์ "รหัสผ่านตัวเลข" ที่แสดงที่นี่เป็นรหัสกู้คืนของคุณ)

วิธีการลบข้อกำหนดคีย์เริ่มต้น

หากคุณเปลี่ยนใจและต้องการหยุดใช้รหัสเริ่มต้นในภายหลังคุณสามารถยกเลิกการเปลี่ยนแปลงนี้ได้ ก่อนอื่นให้ย้อนกลับไปที่ตัวแก้ไขนโยบายกลุ่มและเปลี่ยนตัวเลือกกลับเป็น“ อนุญาตให้เริ่มต้นรหัสด้วย TPM” คุณไม่สามารถออกจากตัวเลือกที่กำหนดเป็น“ ต้องใช้คีย์เริ่มต้นระบบด้วย TPM” หรือ Windows จะไม่อนุญาตให้คุณลบข้อกำหนดคีย์เริ่มต้นออกจากไดรฟ์.

ถัดไปเปิดหน้าต่างพรอมต์คำสั่งในฐานะผู้ดูแลและเรียกใช้คำสั่งต่อไปนี้ (อีกครั้งแทนที่ C: หากคุณใช้ไดรฟ์อื่น):

Manage-bde -protectors -add c: -TPM

สิ่งนี้จะแทนที่ข้อกำหนด“ TPMandStartupKey” ด้วยข้อกำหนด“ TPM” โดยลบ PIN ไดรฟ์ BitLocker ของคุณจะปลดล็อคโดยอัตโนมัติผ่าน TPM ของคอมพิวเตอร์เมื่อคุณบู๊ต.

หากต้องการตรวจสอบว่าสิ่งนี้เสร็จสมบูรณ์ให้รันคำสั่งสถานะอีกครั้ง:

Manage-bde - สถานะ c:

ลองรีบูตคอมพิวเตอร์ของคุณก่อน หากทุกอย่างทำงานได้อย่างถูกต้องและคอมพิวเตอร์ของคุณไม่ต้องการไดรฟ์ USB ในการบูตคุณสามารถฟอร์แมตไดรฟ์ได้หรือเพียงแค่ลบไฟล์ BEK นอกจากนี้คุณยังสามารถทิ้งไว้ในไดรฟ์ไฟล์ของคุณจะไม่ทำอะไรอีกแล้ว.

หากคุณสูญเสียรหัสเริ่มต้นหรือลบไฟล์ .bek จากไดรฟ์คุณจะต้องระบุรหัสการกู้คืน BitLocker สำหรับไดรฟ์ระบบของคุณ คุณควรบันทึกไว้ที่ไหนสักแห่งที่ปลอดภัยเมื่อคุณเปิดใช้งาน BitLocker สำหรับไดรฟ์ระบบของคุณ.

เครดิตภาพ: Tony Austin / Flickr