Recently
Bought a Windows Computer? Microsoft Probably Has Your Encryption Key
By
Micah Lee, Dec. 28 2015, 9:57 p.m.
Bài
được đưa lên Internet ngày: 28/12/2015
MỘT
TRONG NHỮNG TÍNH NĂNG SIÊU HẠNG của các thiết bị mới
chạy Windows là mã
hóa đĩa được xây dựng sẵn và được mặc định
ở chế độ bật, bảo vệ các dữ liệu của bạn trong
trường hợp thiết bị của bạn bị mất hoặc bị ăn
cắp. Nhưng những gì ít được biết tới là, nếu bạn
giống như hầu hết những người sử dụng khác và đăng
nhập vào Windows 10 bằng việc sử dụng tài khoản của
Microsoft, thì máy tính của bạn tự động được tải
lên một bản sao khóa phục hồi của bạn - điều có thể
được sử dụng để mở khóa đĩa được mã hóa của
bạn - tới các máy chủ của Microsoft, có lẽ bạn không
biết và không có lựa chọn nào để thoát khỏi.
Trong
“cuộc chiến tranh mật mã” của những năm 1990, Cơ
quan An ninh Quốc gia Mỹ (NSA) đã phát triển một công
nghệ cửa hậu mã hóa - được chính quyền Clinton phê
chuẩn và thúc đẩy - được gọi là Clipper
chip, nó đã giúp các công ty viễn thông có thể sử
dụng để bán các điện thoại mật mã có cửa hậu. Về
cơ bản, mọi điện thoại với một Clipper chip có thể
đi với một khóa mã hóa, nhưng chính phủ cũng muốn có
một bản sao khóa đó - điều được biết tới như là
khóa do người thứ 3 nắm giữ (key
escrow) - với lời hứa hẹn chỉ sử dụng nó để trả
lời cho các lệnh hợp lệ của tòa án. Nhưng vì sự phản
đối kịch liệt của công chúng và sự sẵn sàng của
các công cụ mã hóa như PGP, thứ mà chính phủ không kiểm
soát được, chương trình Clipper chip đã kết thúc vào
năm 1996. (Ngày nay, hầu hết các cuộc gọi điện thoại
vẫn không được mã hóa. Bạn có thể sử dụng ứng
dụng Signal tự do, nguồn mở, không có cửa hậu để
thực hiện các cuộc gọi được mã hóa).
Thực
tế là các thiết bị mới chạy Windows yêu cầu người
sử dụng sao lưu khóa phục hồi của họ trong các máy
chủ của Microsoft là tương tự y hệt như một hệ thống
khóa do bên thứ 3 nắm giữ, nhưng với một sự khác biệt
quan trọng. Những người sử dụng có thể chọn xóa các
khóa phục hồi khỏi các tài khoản Microsoft của họ (bạn
có thể đi
xuống cuối bài này để học cách làm) - thứ gì đó
mà mọi người không bao giờ có lựa chọn để làm với
hệ thống Clipper chip. Mà họ chỉ có thể xóa nó sau khi
họ đã tải nó lên đám mây.
“Tiêu
chuẩn vàng trong mã hóa đĩa là mã hóa từ đầu chí cuối
(en-to-end encryption), nơi mà chỉ bạn có thể mở khóa cho
đĩa của bạn. Đây là những gì hầu hết các công ty sử
dụng, và dường như là nó làm việc được”, Matthew
Green, giáo sư mật mã học ở Đại học Johns Hopkins nói.
“Chắc chắn có các trường hợp nơi
mà hữu ích để có một sao lưu khóa hoặc mật khẩu của
bạn. Trong các trường hợp đó bạn có thể chọn nhờ
một công ty lưu trữ thông tin đó. Nhưng việc trao các
khóa của bạn cho một công ty như Microsoft về cơ bản
làm thay đổi các thuộc tính an toàn của hệ thống mã
hóa đĩa”.
Ngay
khi khóa phục hồi của bạn rời khỏi máy tính của bạn,
thì bạn không có cách gì để biết về số phận của
nó cả. Một tin tặc có thể đã đột nhập rồi vào tài
khoản Microsoft của bạn và có thể làm một bản sao khóa
phục hồi của bạn trước khi bạn có thời gian để xóa
nó. Hoặc bản thân Microsoft có thể đã đột nhập, hoặc
có thể đã thuê một nhân viên đểu với sự truy cập
tới các dữ liệu của người sử dụng. Hoặc một cơ
quan ép tuân thủ luật hoặc điệp viên có thể gửi cho
Microsoft một yêu cầu lấy tất cả các dữ liệu trong
tài khoản của bạn, có thể ép buộc hợp pháp công ty
phải trao khóa phục hồi của bạn, điều có thể làm
thậm chí nếu việc đầu tiên bạn làm sau khi thiết lập
máy tính của bạn là xóa nó đi.
Như
Green nêu, “Máy tính của bạn bây giờ chỉ có an toàn
khi cơ sở dữ liệu các khóa đó được Microsoft nắm
giữ, điều này ngụ ý nó có thể bị tổn thương vì
các tin tặc, các chính phủ nước ngoài, và những ai có
thể tống tiền các nhân viên của Microsoft”.
Tất
nhiên, việc giữ một bản sao khóa phục hồi của bản
trong tài khoản Microsoft của bạn là hữu ích thực sự
có lẽ đối với đa số những người sử dụng Windows,
điều giải thích vì sao Microsoft đã thiết kế hệ thống
mã hóa đó, được biết tới như là “mã hóa thiết
bị”, theo cách này. Nếu thứ gì đó không đúng và máy
tính Windows được/bị mã hóa của bạn sập, thì bạn sẽ
cần khóa phục hồi này để có được sự truy cập tới
bất kỳ tệp nào của bạn. Microsoft thà trao cho các khách
hàng sự mã hóa què quặt còn hơn là rủi ro mất dữ
liệu.
“Khi
một thiết bị đi vào chế độ phục hồi, và người sử
dụng không có sự truy cập tới khóa phục hồi, thì dữ
liệu trên đĩa sẽ trở nên không thể truy cập được
vĩnh viễn. Dựa vào khả năng kết quả này và khảo sát
rộng ý kiến phản hồi của người tiêu dùng chúng tôi
chọn tự động sao lưu khóa phục hồi của người sử
dụng”, một người phát ngôn của Microsoft đã nói với
tôi. “Khóa phục hồi đòi hỏi sự truy cập vật lý tới
thiết bị của người sử dụng và là không hữu dụng
khi thiếu nó”.
Sau
khi bạn kết thúc thiết lập máy tính chạy Windows của
bạn, bạn có thể đăng nhập vào tài khoản Microsoft của
bạn và xóa khóa phục hồi. Liệu điều này có đủ an
toàn? “Nếu Microsoft không sao lưu, có lẽ”, Green nói.
“Nhưng là khó để đảm bảo điều đó. Và đối với
những ai không hiểu biết về rủi ro đó, việc không làm
thế dường như là rủi ro”.
Chính
sách này là hoàn toàn ngược với đối thủ chính của
Microsoft, Apple. Các máy Macs mới cũng xuất xưởng với mã
hóa đĩa mặc định và được xây dựng sẵn: công nghệ
được biết tới như là FileVault. Giống như Microsoft,
Apple để bạn lưu trữ bản sao khóa phục hồi của bạn
trong tài khoản iCloud của bạn. Nhưng trong trường hợp
của Apple, đó là một sự lựa chọn tùy ý. Khi bạn
thiết lập một máy Mac lần đầu, bạn có thể không
chọn một ô chọn nếu bạn không muốn gửi khóa của
bạn cho các máy chủ của Apple.
Chính
sách này cũng ngược với sản phẩm mã hóa đĩa ban đầu
của Microsoft, được gọi là BitLocker, nó không là thứ y
hẹte như những gì Microsoft tham chiếu tới như là mã hóa
thiết bị. Khi bạn bật BitLocker thì bạn bị/được ép
phải làm một sao lưu khóa phục hồi của bạn, nhưng bạn
có 3 sự lựa chọn: Lưu nó trong tài khoản Microsoft của
bạn, lưu nó vào một đầu USB, hoặc in nó ra.
Để
hiểu đầy đủ các đặc tính mã hóa đĩa khác nhau mà
Microsoft chào, bạn cần biết vài biệt ngữ của
Microsoft. Windows có các phiên bản khác nhau: Home (bản rẻ
nhất), Pro, và Enterprise (đắt tiền hơn). Windows Home gồm
mã hóa thiết bị, nó đã bắt đầu trở nên sẵn sàng
trong Windows 8, và đòi hỏi máy tính của bạn phải có
một chip chống giả mạo (tamper-resistant
chip) để lưu giữ các khóa mã hóa, thứ gì đó tất
cả các máy tính cá nhân PC mới đều có. Pro và
Enterprise cả 2 đều có mã hóa thiết bị, và chúng cũng
gồm cả BitLocker,
nó đã bắt đầu sẵn sàng có trong Windows Vista, nhưng chỉ
cho các phiên bản ban đầu. Dưới cái mũ đó, mã hóa
thiết bị và BitLocker là thứ y hệt. Sự khác biệt là
chỉ có cách sử dụng mã hóa thiết bị, nhưng BitLocker
là có khả năng thiết lập cấu hình được.
Nếu
bạn đang sử dụng một phiên bản gần đây của Windows,
và máy tính của bạn có chip mã hóa, và nếu bạn có một
tài khoản của Microsoft, thì đĩa của bạn sẽ tự động
được/bị mã hóa, và khóa phục hồi của bạn sẽ được
gửi cho Microsoft. Nếu bạn đăng nhập vào Windows bằng
việc sử dụng miền Windows của công ty hoặc trường đại
học của bạn, thì khóa phục hồi của bạn sẽ được
gửi tới một máy chủ do công ty hoặc trường đại học
của bạn kiểm soát thay vì Microsoft - nhưng vẫn, bạn
không thể ngăn được sự mã hóa thiết bị khỏi việc
gửi đi khóa phục hồi của bạn. Nếu bạn chọn hoàn
toàn không sử dụng Microsoft hoặc một tài khoản miền
và thay vào đó tạo ra một tài khoản “chỉ cục bộ”,
thì bạn không có mã hóa đĩa.
BitLocker,
mặt khác, trao cho bạn nhiều sự kiểm soát hơn. Khi bạn
bật BitLocker thì bạn có cơ hội lưu trữ khóa phục hồi
của bạn một cách cục bộ, cùng với các lựa chọn
khác. Nhưng nếu bạn mua một thiết bị mới chạy
Windows, thậm chí nếu nó hỗ trợ BitLocker, thì bạn sẽ
sử dụng mã hóa thiết bị khi bạn lần đầu thiết lập
nó, và bạn sẽ tự động gửi đi khóa phục hồi của
bạn cho Microsoft.
Ngắn
gọn, không có cách nào để ngăn chặn một thiết bị
mới chạy Windows khỏi việc tải lên khóa phục hồi của
bạn lần đầu bạn đăng nhập vào tài khoản Microsoft
của bạn, thậm chí nếu bạn có một phiên bản Pro hoặc
Enterprise của Windows. Và điều này là tồi tệ hơn so với
việc Microsoft chọn một lựa chọn mặc định không an
toàn. Những người sử dụng Windows Home hoàn toàn không
có sự lựa chọn không tải lên khóa phục hồi của họ.
Và trong khi những người sử dụng Windows Pro và Enterprise
có sự lựa chọn đó (vì họ có thể sử dụng
BitLocker), thì họ cũng không thể thực thi sự lựa chọn
đó cho tới sau khi họ đã tải lên rồi khóa phục hồi
của họ tới các máy chủ của Microsoft.
Làm
thế nào để xóa khóa phục hồi khỏi tài khoản
Microsoft của bạn
Hãy
tới website này
và đăng nhập vào tài khoản Microsoft của bạn - điều
này sẽ là tên và mật khẩu y hệt mà bạn sử dụng để
đăng nhập vào thiết bị Windows của bạn. Một khai bạn
đã vào được, thì nó sẽ chỉ cho bạn một danh sách
các khóa phục hồi được sao lưu tới tài khoản của
bạn.
Nếu
bất kỳ thiết bị Windows nào được liệt kê, thì điều
này ngụ ý rằng Microsoft, hoặc bất kỳ ai quản lý truy
cập dữ liệu trong tài khoản Microsoft của bạn, về mặt
kỹ thuật đều có khả năng mở khóa đĩa được mã hóa
của bạn, mà không có sự đồng ý của bạn, miễn là
họ có được máy tính của bạn một cách vật lý. Bạn
có thể tiến lên và xóa khóa phục hồi của bạn ở
trang này - nhưng bạn có thể muốn sao lưu nó cục bộ
trước, ví dụ bằng việc ghi nó vào một mẩu giấy mà
bạn giữ ở đâu đó an toàn.
Nếu
bạn không thấy bất kỳ khóa phục hồi nào, thì bạn
hoặc không có đĩa được/bị mã hóa, hoặc Microsoft
không có bản sao khóa phục hồi của bạn. Điều này có
thể là đúng nếu bạn đang sử dụng BitLocker và đã
không tải lên khóa phục hồi của bạn khi bản lần đầu
bật nó.
Khi
bạn xóa khóa phục hồi của bạn khỏi tài khoản của
bạn trên website này, Microsoft hứa rằng hãng đã xóa ngay
lập tức, và các bản sao đó được lưu trữ trong các
thiết bị sao lưu của hãng cũng đã xóa ngay sau đó. “Mật
khẩu khóa phục hồi được/bị xóa ngay khỏi hồ sơ
trên
trực tuyến của người sử dụng. Vì các ổ đĩa sẽ
được sử dụng cho sự chịu lỗi và sao lưu sẽ được
đồng bộ cùng với các dữ liệu mới nhất nên các khóa
đó sẽ bị/được loại bỏ”, một
người phát ngôn của Microsoft đã đảm bảo với tôi.
Nếu
bạn có các dữ liệu nhạy cảm mà được lưu giữ trên
máy tính xách tay của bạn, trong một số trường hợp có
thể là an toàn hơn để hoàn toàn dừng sử dụng khóa mã
hóa cũ và tạo ra một khóa mã hóa mới mà bạn không bao
giờ gửi cho Microsoft. Bằng cách này bạn có thể chắc
chắn hoàn toàn rằng bản sao bản sao được sử dụng
trên máy chủ của Microsoft sẽ không được/bị tổn
thương.
Tạo
một khóa mã óa mà không trao bản sao cho Microsoft
Cập
nhật: Sau khi bài báo này được xuất bản, Ars
Technica đã
viết về một phương pháp ngăn chặn khóa phục hồi
mà bạn gửi cho Microsoft khỏi việc có khả năng mở khóa
đĩa của bạn mà không đòi hỏi việc nâng cấp từ
Windows Home lên Pro hoặc Enterprise. Tuy nhiên nếu
bạn có rồi một phiên bản Pro hoặc Enterprise, thì việc
đi theo phần còn lại của các bước trong bài viết này
có lẽ là đơn giản hơn.
Để
sinh ra một khóa mới mã hóa đĩa, lần này không trao một
bản sao cho Microsoft, bạn cần giải mã toàn bộ đĩa cứng
của bạn và sau đó mã hóa nó lại, nhưng lần này theo
một cách thức sao cho bạn sẽ thực sự được hỏi về
cách bạn muốn sao lưu khóa phục hồi của bạn.
Điều
này chỉ có thể nếu có Windows Pro hoặc Enterprise. Không
may, thứ duy nhất bạn có thể làm nếu bạn có phiên bản
Home là nâng cấp lên một phiên bản đắt tiền hơn hoặc
sử dụng phần mềm mã hóa đĩa không phải của
Microsoft, như BestCrypt,
điều bạn phải trả tiền. Bạn cũng có thể có khả
năng có được phần mềm mã hóa nguồn mở như VeraCrypt
làm việc, nhưng đáng buồn là các lựa chọn nguồn mở
đó cho mã hóa đĩa một cách đầy đủ trong Windows hiện
không làm việc tốt với phần cứng của các máy tính cá
nhân PC hiện đại (như được nêu ở
đây).
Để
bắt đầu, hãy gõ “bitlocker”, và nháy “Manage
BitLocker” để mở các thiết lập BitLocker Drive Encryption
(Mã hóa Đĩa BitLocker).
Từ
đây, nháy “Turn off BitLocker” (Tắt BitLocker). Nó sẽ
cảnh báo rằng đĩa của bạn sẽ được/bị giải mã và
có thể mất một chút thời gian. Hãy tiếp tục. Bạn có
thể sử dụng máy tính của bạn trong khi đang giải mã.
Sau
khi đĩa của bạn hoàn tất việc giải mã, bạn cần bật
BitLocker. Hãy quay lại với các thiết lập BitLocker Drive
Encryption, hãy nháy “Turn on BitLocker” (Hãy bật BitLocker
lên).
Nó
sẽ kiểm tra để xem liệu máy tính của bạn có hỗ trợ
BitLocker hay không, và sau nó nó sẽ hỏi bạn cách mà bạn
muốn sao lưu khóa phục hồi của bạn. Sẽ là tốt nếu
nó hỏi bạn điều này khi bạn lần đầu thiết lập cấu
hình cho máy tính của bạn.
Nếu
bạn chọn lưu nó thành một tệp, nó sẽ làm cho bạn lưu
nó lên một đĩa mà bạn hiện còn chưa mã hóa, như một
đầu USB. Hoặc bạn có thể chọn in nó ra và giữ một
bảo sao cứng. Bạn phải chọn một trong số chúng để
tiếp tục, nhưng hãy chắc chắn bạn không sử dụng
“Save to your Microsoft account” (Lưu vào tài khoản
Microsoft của bạn).
Trên
trang tiếp sau nó sẽ hỏi bạn liệu bạn có muốn mã hóa
chỉ không gian đĩa được sử dụng hay không (nhanh hơn)
hay mã hóa toàn bộ đĩa, bao gồm cả không gian trống
(chậm hơn). Nếu bạn muốn an toàn, hãy chọn cái sau. Sau
đó trên trang tiếp sau nó sẽ hỏi bạn liệu bạn có
muốn chạy kiểm tra hệ thống BitLocker hay không, điều
bạn có lẽ nên làm.
Cuối
cùng, nó sẽ yêu cầu bạn khởi động lại máy tính.
Khi
bạn khởi động thì sự phục hồi đĩa cứng của bạn
sẽ đang mã hóa ngầm ở phần nền. Ở thời điểm này
bạn có thể kiểm tra tài khoản Microsoft của bạn một
lần nữa để thấy liệu Windows có tải lên khóa phục
hồi của bạn hay không - nó sẽ không có.
Bây
giờ hãy chờ cho đĩa của bạn hoàn tất việc mã hóa.
Xin chúc mừng: Đĩa của bạn được mã hóa và Microsoft
không còn có khả năng để mở khóa nó được nữa.
ONE
OF THE EXCELLENT FEATURES of new Windows devices is that disk
encryption is built-in and turned on by default, protecting your
data in case your device is lost or stolen. But what is less
well-known is that, if you are like most users and login to Windows
10 using your Microsoft account, your computer automatically uploaded
a copy of your recovery key — which can be used to unlock your
encrypted disk — to Microsoft’s servers, probably without your
knowledge and without an option to opt out.
During
the “crypto wars” of the ’90s, the National Security Agency
developed an encryption backdoor technology — endorsed and promoted
by the Clinton administration — called the Clipper
chip, which it hoped telecom companies would use to sell
backdoored crypto phones. Essentially, every phone with a Clipper
chip would come with an encryption key, but the government would also
get a copy of that key — this is known as key
escrow — with the promise to only use it in response to a valid
warrant. But due to public outcry and the availability of encryption
tools like PGP, which the government didn’t control, the Clipper
chip program ceased to be relevant by 1996. (Today, most phone calls
still aren’t encrypted. You can use the free, open source,
backdoorless Signal
app to make encrypted calls.)
The
fact that new Windows devices require users to backup their recovery
key on Microsoft’s servers is remarkably similar to a key escrow
system, but with an important difference. Users can choose to delete
recovery keys from their Microsoft accounts (you can skip
to the bottom of this article to learn how) — something that
people never had the option to do with the Clipper chip system. But
they can only delete it after they’ve already uploaded it to the
cloud.
“The
gold standard in disk encryption is end-to-end encryption, where only
you can unlock your disk. This is what most companies use, and it
seems to work well,” says Matthew Green, professor of cryptography
at Johns Hopkins University. “There are certainly cases where it’s
helpful to have a backup of your key or password. In those cases you
might opt in to have a company store that information. But handing
your keys to a company like Microsoft fundamentally changes the
security properties of a disk encryption system.”
As
soon as your recovery key leaves your computer, you have no way of
knowing its fate. A hacker could have already hacked your Microsoft
account and can make a copy of your recovery key before you have time
to delete it. Or Microsoft itself could get hacked, or could have
hired a rogue employee with access to user data. Or a law enforcement
or spy agency could send Microsoft a request for all data in your
account, which would legally compel it to hand over your recovery
key, which it could do even if the first thing you do after setting
up your computer is delete it.
As
Green puts it, “Your computer is now only as secure as that
database of keys held by Microsoft, which means it may be vulnerable
to hackers, foreign governments, and people who can extort Microsoft
employees.”
Of
course, keeping a backup of your recovery key in your Microsoft
account is genuinely useful for probably the majority of Windows
users, which is why Microsoft designed the encryption scheme, known
as “device encryption,” this way. If something goes wrong and
your encrypted Windows computer breaks, you’re going to need this
recovery key to gain access to any of your files. Microsoft would
rather give their customers crippled disk encryption than risk their
data.
“When
a device goes into recovery mode, and the user doesn’t have access
to the recovery key, the data on the drive will become permanently
inaccessible. Based on the possibility of this outcome and a broad
survey of customer feedback we chose to automatically backup the user
recovery key,” a Microsoft spokesperson told me. “The recovery
key requires physical access to the user device and is not useful
without it.”
After
you finish setting up your Windows computer, you can login to your
Microsoft account and delete the recovery key. Is this secure enough?
“If Microsoft doesn’t keep backups, maybe,” says Green. “But
it’s hard to guarantee that. And for people who aren’t aware of
the risk, opt-out seems risky.”
This
policy is in stark contrast to Microsoft’s major competitor, Apple.
New Macs also ship with built-in and default disk encryption: a
technology known as FileVault. Like Microsoft, Apple lets you store a
backup of your recovery key in your iCloud account. But in Apple’s
case, it’s an option. When you set up a Mac for the first time, you
can uncheck a box if you don’t want to send your key to Apple’s
servers.
This
policy is also in contrast to Microsoft’s premium disk encryption
product called BitLocker, which isn’t the same thing as what
Microsoft refers to as device encryption. When you turn on BitLocker
you’re forced to make a backup of your recovery key, but you get
three options: Save it in your Microsoft account, save it to a USB
stick, or print it.
To
fully understand the different disk encryption features that Windows
offers, you need to know some Microsoft jargon. Windows comes in
different editions: Home (the cheapest), Pro, and Enterprise (more
expensive). Windows Home includes device encryption, which started to
become available during Windows 8, and requires your computer to have
a tamper-resistant
chip that stores encryption keys, something all new PCs come
with. Pro and Enterprise both include device encryption, and they
also include BitLocker,
which started to become available during Windows Vista, but only for
the premium editions. Under the hood, device encryption and BitLocker
are the same thing. The difference is there’s only one way to use
device encryption, but BitLocker is configurable.
If
you’re using a recent version of Windows, and your computer has the
encryption chip, and if you have a Microsoft account, your disk will
automatically get encrypted, and your recovery key will get sent to
Microsoft. If you login to Windows using your company’s or
university’s Windows domain, then your recovery key will get sent
to a server controlled by your company or university instead of
Microsoft — but still, you can’t prevent device encryption from
sending your recovery key. If you choose to not use a Microsoft or a
domain account at all and instead create a “local only” account,
then you don’t get disk encryption.
BitLocker,
on the other hand, gives you more control. When you turn on BitLocker
you get the choice to store your recovery key locally, among other
options. But if you buy a new Windows device, even if it supports
BitLocker, you’ll be using device encryption when you first set it
up, and you’ll automatically send your recovery key to Microsoft.
In
short, there is no way to prevent a new Windows device from uploading
your recovery key the first time you log in to your Microsoft
account, even if you have a Pro or Enterprise edition of Windows. And
this is worse than just Microsoft choosing an insecure default
option. Windows Home users don’t get the choice to not upload their
recovery key at all. And while Windows Pro and Enterprise users do
get the choice (because they can use BitLocker), they can’t
exercise that choice until after they’ve already uploaded their
recovery key to Microsoft’s servers.
How
to delete your recovery key from your Microsoft account
Go
to this website
and log in to your Microsoft account — this will be the same
username and password that you use to log in to your Windows device.
Once you’re in, it will show you a list of recovery keys backed up
to your account.
If
any of your Windows devices are listed, this means that Microsoft, or
anyone who manages to access data in your Microsoft account, is
technically able to unlock your encrypted disk, without your consent,
as long as they physically have your computer. You can go ahead and
delete your recovery key on this page — but you may want to back it
up locally first, for example by writing it down on a piece of paper
that you keep somewhere safe.
If
you don’t see any recovery keys, then you either don’t have an
encrypted disk, or Microsoft doesn’t have a copy of your recovery
key. This might be the case if you’re using BitLocker and didn’t
upload your recovery key when you first turned it on.
When
you delete your recovery key from your account on this website,
Microsoft promises that it gets deleted immediately, and that copies
stored on its backup drives get deleted shortly thereafter as well.
“The recovery key password is deleted right away from the
customer’s online profile. As the drives that are used for failover
and backup are sync’d up with the latest data the keys are
removed,” a Microsoft spokesperson assured me.
If
you have sensitive data that’s stored on your laptop, in some cases
it might be safer to completely stop using your old encryption key
and generate a new one that you never send to Microsoft. This way you
can be entirely sure that the copy that used to be on Microsoft’s
server hasn’t already been compromised.
Generate
a new encryption key without giving a copy to Microsoft
Update:
After this article was
published, Ars Technica wrote
about a method for preventing the recovery key you sent to
Microsoft from being able to unlock your disk that doesn’t require
upgrading from Windows Home to Pro or Enterprise. However if you
already have a Pro or Enterprise edition, following the rest of the
steps in this article might be simpler.
In
order to generate a new disk encryption key, this time without giving
a copy to Microsoft, you need decrypt your whole hard disk and then
re-encrypt it, but this time in such a way that you’ll actually get
asked how you want to backup your recovery key.
This
is only possible if you have Windows Pro or Enterprise.
Unfortunately, the only thing you can do if you have the Home edition
is upgrade to a more expensive edition or use non-Microsoft disk
encryption software, such as BestCrypt,
which you have to pay for. You may also be able to get open source
encryption software like VeraCrypt
working, but sadly the open source options for full disk encryption
in Windows don’t currently work well with modern PC hardware (as
touched on here).
Go
to Start, type “bitlocker,” and click “Manage BitLocker” to
open BitLocker Drive Encryption settings.
From
here, click “Turn off BitLocker.” It will warn you that your disk
will get decrypted and that it may take some time. Go ahead and
continue. You can use your computer while it’s decrypting.
After
your disk is finished decrypting, you need to turn BitLocker back on.
Back in the BitLocker Drive Encryption settings, click “Turn on
BitLocker.”
It
will check to see if your computer supports BitLocker, and then it
will ask you how you want to backup your recovery key. It sure would
be nice if it asked you this when you first set up your computer.
If
you choose to save it to a file, it will make you save it onto a disk
that you’re not currently encrypting, such as a USB stick. Or you
can choose to print it and keep a hard copy. You must choose one of
them to continue, but make sure you don’t choose “Save to your
Microsoft account.”
On
the next page it will ask you if you want to encrypt used disk space
only (faster) or encrypt your entire disk including empty space
(slower). If you want to be on the safe side, choose the latter. Then
on the next page it will ask you if you wish to run the BitLocker
system check, which you should probably do.
Finally,
it will make you reboot your computer.
When
you boot back up your hard disk will be encrypting in the background.
At this point you can check your Microsoft account again to see if
Windows uploaded your recovery key – it shouldn’t have.
Now
just wait for your disk to finish encrypting. Congratulations: Your
disk is encrypted and Microsoft no longer has the ability to unlock
it.
Dịch:
Lê Trung Nghĩa
Không có nhận xét nào:
Đăng nhận xét
Lưu ý: Chỉ thành viên của blog này mới được đăng nhận xét.