Sử dụng BitLocker để mã hóa ổ
Trong phần hai của loạt bài này chúng tôi sẽ giới thiệu cho các bạn cách
thực thi bảo mật BitLocker theo một cách thống nhất hơn qua sử dụng
các thiết lập chính sách nhóm.
Các thiết lập mặc định trong Windows 7 cho phép người dùng có thể quyết
định có nên mã hóa và khi nào mã hóa dữ liệu trên các ổ lưu trữ ngồi. Trong
phần hai của loạt bài này chúng tơi sẽ giới thiệu cho các bạn cách thực thi bảo
mật BitLocker theo một cách thống nhất hơn qua sử dụng các thiết lập chính
sách nhóm.
Trong phần một, chúng tơi đã giới thiệu cho các bạn cách sử dụng BitLocker
một cách thủ cơng để mã hóa nội dung của ổ USB. Mặc dù thủ tục mà chúng
tôi đã giới thiệu cho các bạn trong phần trước làm việc khá tốt, nhưng vẫn
còn đó rất nhiều lựa chọn khác. Hãy hình dung trong trường hợp cơng ty của
bạn có rất nhiều thơng tin nhạy cảm trên các file dữ liệu. Lý tưởng mà nói,
bạn chắc chắn sẽ muốn bảo vệ tất cả dữ liệu đó một cách an tồn. Tuy nhiên
trong thực tế, có nhiều nhân viên trong cơng ty bạn mà ở đó cơng việc của họ


yêu cầu phải truy cập vào một số dữ liệu nhất định, thậm chí khi họ khơng
thể kết nối với mạng công ty.
Một thứ nữa cần mang ra giả định cho tình huống ở đây là nhân viên của bạn
có thể để quên USB của họ ở một nơi nào đó và bên trong USB đó chứa rất
nhiều dữ liệu khách hàng, khi đó sự mã hóa là bắt buộc phải có. BitLocker to
Go có thể cung cấp kiểu mã hóa bạn cần thiết lúc này, tuy nhiên phương pháp
mã hóa mà chúng tơi đã giới thiệu cho bạn trong phần 1 của loạt bài lại yêu
cầu người dùng tự mã hóa các ổ lưu trữ USB của họ.
Rõ ràng chúng ta khơng thể đặt cơng việc mã hóa này vào tay người dùng và
tin tưởng họ sẽ thực hiện tốt việc này. Để có tính khả thi hơn, chúng ta cần
phải đi tìm một phương pháp khác. Windows 7 và Windows Server 2008 R2
có các thiết lập chính sách nhóm mà chúng ta có thể sử dụng để kiểm sốt
cách và thời điểm sử dụng mã hóa BitLocker.

Group Policy Object Editor có chứa khá nhiều thiết lập Group Policy có liên
quan đến mã hóa BitLocker, tuy nhiên có một thư mục có chứa thiết lập mã
hóa BitLocker cho các thiết bị lưu trữ ngồi. Bạn có thể truy cập vào thư mục
này tại Computer Configuration \ Administrative Templates \ Windows


Components \ BitLocker Drive Encryption \ Removable Data Drives. Có
thể thấy các thiết lập chính sách nhóm bên trong thư mục này trong hình A.

Hình A: Tất cả các thiết lập liên quan đến mã hóa thiết bị lưu trữ ngồi đều
được lưu trong thư mục Removable Data Drives
Kiểm sốt sử dụng BitLocker trên các ổ lưu trữ ngoài
Thiết lập Group Policy đầu tiên mà chúng tôi muốn giới thiệu là thiết lập
“Control Use of BitLocker on Removable Drives”. Như tên ngụ ý của nó,


thiết lập này cho phép bạn kiểm soát người dùng có được phép mã hóa thiết
bị lưu trữ ngồi bằng BitLocker hay khơng.
Đơn giản nhất, vơ hiệu hóa thiết lập này sẽ ngăn chặn được người dùng mã
hóa thiết bị lưu trữ ngồi, trong khi đó họ sẽ có thể sử dụng BitLocker để mã
hóa chúng nếu bạn khơng thực hiện gì cả.
Nếu chọn vơ hiệu hóa thiết lập chính sách nhóm, có hai tùy chọn khác để có
thể thiết lập. Tùy chọn đầu tiên trong số hai tùy chọn này là cho phép người
dùng sử dụng sự bảo vệ của BitLocker trên các thiết bị lưu trữ ngồi hay
khơng. Rõ ràng tùy chọn này có đơi chút rườm rà nhưng lý do tại sao
Microsoft đưa ra như vậy là vì nó cho phép bạn kiểm sốt thiết lập này và
thiết lập kế tiếp mà chúng tôi sẽ giới thiệu khi thiết lập chính sách nhóm được
kích hoạt.
Thiết lập thứ hai cho phép người dùng hoãn và giải mã bảo vệ BitLocker trên
các thiết bị lưu trữ ngồi. Nói theo cách khác, bạn có thể kiểm sốt việc cho

phép người dùng tắt BitLocker cho thiết bị lưu trữ ngồi.
Cấu hình sử dụng thẻ thông minh trên các ổ đĩa lưu trữ ngoài


Thiết lập chính sách nhóm này cho phép bạn có thể kiểm sốt việc sử dụng
thẻ thơng minh như một cơ chế cho việc thẩm định người dùng trong việc
truy cập vào nội dung được mã hóa bởi BitLocker. Nếu quyết định kích hoạt
thiết lập Group Policy này, sẽ có một tùy chọn con mà bạn có thể sử dụng để
yêu cầu việc sử dụng thẻ thông minh. Nếu chọn tùy chọn này, người dùng sẽ
chỉ có thể truy cập các nội dung được mã hóa bởi BitLocker bằng cách sử
dụng q trình thẩm định bằng thẻ thơng minh.
Từ chối truy cập “Write” lên các ổ lưu trữ ngồi khơng được bảo vệ bởi
BitLocker
Thiết lập “Deny Write Access to Removable Drives Not Protected By
BitLocker” là một trong những thiết lập Group Policy quan trọng có liên
quan tới việc mã hóa thiết bị lưu trữ ngồi. Khi kích hoạt thiết lập này,
Windows sẽ kiểm tra các thiết bị lưu trữ ngoài được kết nối với máy tính để
xem mã hóa BitLocker đã được kích hoạt hay chưa. Nếu BitLocker chưa
được kích hoạt trên thiết bị, khi đó nó sẽ được xử lý ở trạng thái “read only”.
Người dùng chỉ được nhận mức truy cập “write” nếu BitLocker được kích
hoạt trên thiết bị. Bằng cách này, bạn có thể ngăn chặn người dùng ghi dữ
liệu và các thiết bị lưu trữ ngoài khơng được mã hóa.


Khi kích hoạt thiết lập chính sách nhóm này, bạn cũng được trao tùy chọn
khóa truy cập mức “write” cho thiết bị đã được cấu hình trong tổ chức khác.
Tùy chọn này cũng có thể giúp bạn ngăn chặn được việc sử dụng các thiết bị
lưu trữ ngồi khơng thẩm định.
Hình dung trường hợp bạn muốn bảo đảm rằng chỉ có người dùng xác thực
(đã được thẩm định) mới có thể ghi dữ liệu vào các thiết bị lưu trữ ngoài, và

bất cứ dữ liệu nào được ghi vào các thiết bị đó đều được mã hóa. Lúc này giả
định rằng một nhân viên nào đó trong cơng ty bạn muốn copy danh sách
khách hàng của bạn vào USB. Nếu một trong những mục tiêu đã được tuyên
bố của bạn là ngăn chặn ghi dữ liệu vào các thiết bị lưu trữ ngồi dưới định
dạng khơng được mã hóa thì bạn lúc này bạn cũng đã kích hoạt thiết lập
“Deny Write Access to Removable Drives Not Protected By BitLocker”.
Điều đó sẽ cho phép bạn có một số mức bảo vệ, nhưng nó cũng có thể cho
phép người dùng kích hoạt BitLocker trên máy tính ở nhà của họ, mã hóa
USB, sau đó mang ổ đĩa được mã hóa đó đến văn phịng và ghi dữ liệu lên.
Kích hoạt tùy chọn “Do Not Allow Write Access to Devices Configured in
Another Organization” sẽ cho phép Windows tìm ra thiết bị lưu trữ ngoài


đến từ đâu. Nếu thiết bị được mã hóa bởi một tổ chức khác, BitLocker sẽ từ
chối mức truy cập “write” đối với chúng.
Cho phép truy cập đến các thiết bị lưu trữ ngoài được bảo vệ bởi
BitLocker từ các phiên bản Windows trước đó
Một số người nhận định rằng tùy chọn này được đặt tên chưa thật thỏa đáng.
Sự thật là Windows không thực sự quan tâm đến phiên bản Windows nào
được sử dụng để định dạng một thiết bị lưu trữ ngồi. Mà thay vào đó, tùy
chọn này cho phép bạn kiểm sốt việc có cho phép người dùng mở khóa các
thiết bị lưu trữ mã hóa BitLocker đã được định dạng với hệ thống file FAT.
Nếu kích hoạt thiết lập này, sẽ có một tùy chọn khác mà bạn có thể kích hoạt
nhằm ngăn chặn việc BitLocker to Go Reader cài đặt vào các ổ lưu trữ đã
được định dạng hệ thống file FAT.
Cấu hình sử dụng mật khẩu cho thiết bị lưu trữ ngoài
Đây là một trong những thiết lập dễ hiểu nhất. Nó cho phép bạn có thể kiểm
sốt việc có cần u cầu sử dụng mật khẩu để mở khóa nội dung bên trong
của các thiết bị lưu trữ ngồi hay khơng. Giả định rằng muốn bảo vệ mật



khẩu cho các thiết bị lưu trữ ngoài này, khi đó bạn sẽ có thêm tùy chọn cho
việc kiểm sốt độ dài và các yêu cầu về tính mức tạp của mật khẩu.
Kết luận
Các thiết lập chính sách nhóm mà chúng tôi giới thiệu cho các bạn trong bài
đều nhằm mục đích điều khiển cách BitLocker sẽ được sử dụng như thế nào
với các thiết bị lưu trữ ngoài. Mặc dù vật một trong những vấn đề phát sinh
với việc mã hóa dữ liệu là nếu các khóa mã hóa bị mất, khi đó dữ liệu của
bạn sẽ khơng thể giải mã. Chính vì vậy trong phần ba của loạt bài này, chúng
tôi sẽ giới thiệu cho các bạn một kỹ thuật có thể tránh được vấn đề này bằng
cách lưu các khóa mã hóa trong Active Directory.