วิธีใช้คีย์ USB เพื่อปลดล็อกพีซีที่เข้ารหัสด้วย BitLocker
เปิดใช้งานการเข้ารหัส BitLocker และ Windows จะปลดล็อกไดรฟ์ของคุณโดยอัตโนมัติทุกครั้งที่คุณเริ่มคอมพิวเตอร์โดยใช้ TPM ที่มีอยู่ในคอมพิวเตอร์ที่ทันสมัยที่สุด แต่คุณสามารถตั้งค่า USB แฟลชไดรฟ์ใด ๆ เป็น "คีย์เริ่มต้น" ที่ต้องแสดงตอนบู๊ตก่อนที่คอมพิวเตอร์ของคุณจะถอดรหัสไดรฟ์และเริ่ม Windows.
สิ่งนี้เพิ่มการพิสูจน์ตัวตนแบบสองปัจจัยอย่างมีประสิทธิภาพให้กับการเข้ารหัส BitLocker เมื่อใดก็ตามที่คุณเริ่มคอมพิวเตอร์คุณจะต้องระบุคีย์ USB ก่อนที่จะถูกถอดรหัส สิ่งนี้จะเป็นประโยชน์อย่างยิ่งกับไดรฟ์ USB ขนาดเล็กที่คุณพกติดตัวไว้กับพวงกุญแจ.
ขั้นตอนที่หนึ่ง: เปิดใช้งาน BitLocker (ถ้าคุณยังไม่ได้ทำ)
เห็นได้ชัดว่าต้องมีการเข้ารหัสลับไดรฟ์ด้วย BitLocker ซึ่งหมายความว่าทำงานได้กับ Windows รุ่น Professional และ Enterprise เท่านั้น ก่อนที่คุณจะสามารถทำตามขั้นตอนใด ๆ ด้านล่างคุณจะต้องเปิดใช้งานการเข้ารหัส BitLocker บนไดรฟ์ระบบของคุณจากแผงควบคุม.
หากคุณไม่สามารถเปิดใช้งาน BitLocker บนพีซีที่ไม่มี TPM คุณสามารถเลือกที่จะสร้างคีย์เริ่มต้น USB ซึ่งเป็นส่วนหนึ่งของกระบวนการตั้งค่า สิ่งนี้จะถูกใช้แทน TPM ขั้นตอนด้านล่างจำเป็นเฉพาะเมื่อเปิดใช้งาน BitLocker บนคอมพิวเตอร์ที่มี TPM ซึ่งคอมพิวเตอร์ส่วนใหญ่มี.
หากคุณมี Windows รุ่น Home คุณจะไม่สามารถใช้ BitLocker ได้ คุณอาจมีคุณสมบัติการเข้ารหัสอุปกรณ์แทน แต่วิธีนี้จะทำงานแตกต่างจาก BitLocker และไม่อนุญาตให้คุณระบุรหัสเริ่มต้น.
ขั้นตอนที่สอง: เปิดใช้งานคีย์การเริ่มต้นในตัวแก้ไขนโยบายกลุ่ม
เมื่อคุณเปิดใช้งาน BitLocker แล้วคุณจะต้องเปิดใช้ข้อกำหนดคีย์เริ่มต้นในนโยบายกลุ่มของ Windows หากต้องการเปิดตัวแก้ไขนโยบายกลุ่มให้กด Windows + R บนแป้นพิมพ์ของคุณพิมพ์“ gpedit.msc” ในกล่องโต้ตอบเรียกใช้แล้วกด Enter.
ไปที่การกำหนดค่าคอมพิวเตอร์> เทมเพลตการดูแล> ส่วนประกอบ Windows> การเข้ารหัสไดรฟ์ด้วย BitLocker> ไดรฟ์ระบบปฏิบัติการในหน้าต่างนโยบายกลุ่ม.
คลิกสองครั้งที่ตัวเลือก“ ต้องการการรับรองความถูกต้องเพิ่มเติมเมื่อเริ่มต้น” ในบานหน้าต่างด้านขวา.
เลือก“ เปิดใช้งาน” ที่ด้านบนของหน้าต่างที่นี่ จากนั้นคลิกที่กล่องภายใต้“ กำหนดค่าคีย์การเริ่มต้น TPM” และเลือกตัวเลือก“ ต้องการคีย์การเริ่มต้นด้วย TPM” คลิก“ ตกลง” เพื่อบันทึกการเปลี่ยนแปลงของคุณ.
ขั้นตอนที่สาม: กำหนดค่าคีย์เริ่มต้นสำหรับไดรฟ์ของคุณ
ตอนนี้คุณสามารถใช้ จัดการ-BDE คำสั่งเพื่อกำหนดค่าไดรฟ์ USB สำหรับไดรฟ์ที่เข้ารหัสด้วย BitLocker ของคุณ.
ก่อนอื่นให้เสียบไดรฟ์ USB เข้ากับคอมพิวเตอร์ของคุณ สังเกตอักษรชื่อไดรฟ์ของ USB drive-D: ในภาพหน้าจอด้านล่าง Windows จะบันทึกไฟล์ .bek ขนาดเล็กลงในไดรฟ์และนี่คือวิธีที่จะกลายเป็นรหัสเริ่มต้นของคุณ.
จากนั้นเปิดหน้าต่าง Command Prompt ในฐานะผู้ดูแลระบบ บน Windows 10 หรือ 8 ให้คลิกขวาที่ปุ่ม Start แล้วเลือก“ Command Prompt (Admin)” บน Windows 7 ค้นหาทางลัด“ พรอมต์คำสั่ง” ในเมนูเริ่มคลิกขวาแล้วเลือก“ เรียกใช้ในฐานะผู้ดูแลระบบ”
เรียกใช้คำสั่งต่อไปนี้ คำสั่งด้านล่างใช้งานได้กับไดรฟ์ C: ดังนั้นหากคุณต้องการคีย์เริ่มต้นสำหรับไดรฟ์อื่นให้ป้อนตัวอักษรชื่อไดรฟ์แทน C: . คุณจะต้องป้อนอักษรชื่อไดรฟ์ของไดรฟ์ USB ที่เชื่อมต่อซึ่งคุณต้องการใช้เป็นคีย์เริ่มต้นแทน x: .
Manage-bde -protectors -add c: -TPMAndStartupKey x:
คีย์จะถูกบันทึกไปยังไดรฟ์ USB เป็นไฟล์ที่ซ่อนพร้อมนามสกุลไฟล์ .bek คุณสามารถดูได้หากคุณแสดงไฟล์ที่ซ่อนอยู่.
คุณจะถูกขอให้ใส่ไดรฟ์ USB ในครั้งต่อไปที่คุณบูตคอมพิวเตอร์ ใช้ความระมัดระวังกับคนที่สำคัญที่คัดลอกคีย์จากไดรฟ์ USB ของคุณสามารถใช้สำเนานั้นเพื่อปลดล็อกไดรฟ์ที่เข้ารหัสด้วย BitLocker ของคุณ.
ในการตรวจสอบอีกครั้งว่าตัวป้องกัน TPMAndStartupKey ถูกเพิ่มอย่างเหมาะสมคุณสามารถเรียกใช้คำสั่งต่อไปนี้:
Manage-bde -status
(ตัวป้องกันคีย์ "รหัสผ่านตัวเลข" ที่แสดงที่นี่เป็นรหัสกู้คืนของคุณ)
วิธีการลบข้อกำหนดคีย์เริ่มต้น
หากคุณเปลี่ยนใจและต้องการหยุดใช้รหัสเริ่มต้นในภายหลังคุณสามารถยกเลิกการเปลี่ยนแปลงนี้ได้ ก่อนอื่นให้ย้อนกลับไปที่ตัวแก้ไขนโยบายกลุ่มและเปลี่ยนตัวเลือกกลับเป็น“ อนุญาตให้เริ่มต้นรหัสด้วย TPM” คุณไม่สามารถออกจากตัวเลือกที่กำหนดเป็น“ ต้องใช้คีย์เริ่มต้นระบบด้วย TPM” หรือ Windows จะไม่อนุญาตให้คุณลบข้อกำหนดคีย์เริ่มต้นออกจากไดรฟ์.
ถัดไปเปิดหน้าต่างพรอมต์คำสั่งในฐานะผู้ดูแลและเรียกใช้คำสั่งต่อไปนี้ (อีกครั้งแทนที่ C: หากคุณใช้ไดรฟ์อื่น):
Manage-bde -protectors -add c: -TPM
สิ่งนี้จะแทนที่ข้อกำหนด“ TPMandStartupKey” ด้วยข้อกำหนด“ TPM” โดยลบ PIN ไดรฟ์ BitLocker ของคุณจะปลดล็อคโดยอัตโนมัติผ่าน TPM ของคอมพิวเตอร์เมื่อคุณบู๊ต.
หากต้องการตรวจสอบว่าสิ่งนี้เสร็จสมบูรณ์ให้รันคำสั่งสถานะอีกครั้ง:
Manage-bde - สถานะ c:
ลองรีบูตคอมพิวเตอร์ของคุณก่อน หากทุกอย่างทำงานได้อย่างถูกต้องและคอมพิวเตอร์ของคุณไม่ต้องการไดรฟ์ USB ในการบูตคุณสามารถฟอร์แมตไดรฟ์ได้หรือเพียงแค่ลบไฟล์ BEK นอกจากนี้คุณยังสามารถทิ้งไว้ในไดรฟ์ไฟล์ของคุณจะไม่ทำอะไรอีกแล้ว.
หากคุณสูญเสียรหัสเริ่มต้นหรือลบไฟล์ .bek จากไดรฟ์คุณจะต้องระบุรหัสการกู้คืน BitLocker สำหรับไดรฟ์ระบบของคุณ คุณควรบันทึกไว้ที่ไหนสักแห่งที่ปลอดภัยเมื่อคุณเปิดใช้งาน BitLocker สำหรับไดรฟ์ระบบของคุณ.
เครดิตภาพ: Tony Austin / Flickr
