Điều này bổ sung hiệu quả xác thực hai yếu tố vào mã hóa BitLocker. Bất cứ khi nào bạn khởi động máy tính, bạn cần phải cung cấp khóa USB trước khi nó được giải mã. Điều này sẽ đặc biệt hữu ích với một ổ đĩa USB nhỏ mà bạn mang theo bên mình trên một chiếc chìa khóa.
Bước một: Bật BitLocker (Nếu bạn chưa có)
Nếu bạn sử dụng BitLocker trên PC mà không cần TPM, bạn có thể chọn tạo khóa khởi động USB như một phần của quá trình cài đặt. Điều này sẽ được sử dụng thay cho TPM. Các bước dưới đây chỉ cần thiết khi bật BitLocker trên các máy tính có TPM, mà hầu hết các máy tính hiện đại đều có.
Nếu bạn có phiên bản Home của Windows, bạn sẽ không thể sử dụng BitLocker. Thay vào đó, bạn có thể có tính năng Mã hóa thiết bị, nhưng tính năng này hoạt động khác với BitLocker và không cho phép bạn cung cấp khóa khởi động.
Bước hai: Bật khóa khởi động trong Trình chỉnh sửa chính sách nhóm
Khi bạn đã bật BitLocker, bạn sẽ cần bật yêu cầu khóa khởi động trong chính sách nhóm của Windows. Để mở Group Policy Editor, nhấn Windows + R trên bàn phím của bạn, gõ "gpedit.msc" vào hộp thoại Run và nhấn Enter.
Đi tới Cấu hình Máy tính> Mẫu Quản trị> Cấu phần Windows> Mã hóa ổ đĩa BitLocker> Ổ đĩa Hệ điều hành trong cửa sổ Chính sách Nhóm.
Nhấp đúp vào tùy chọn “Yêu cầu xác thực bổ sung khi khởi động” trong ngăn bên phải.
Chọn “Đã bật” ở đầu cửa sổ ở đây. Sau đó, nhấp vào hộp bên dưới “Định cấu hình khóa khởi động TPM” và chọn tùy chọn “Yêu cầu khóa khởi động với TPM”. Nhấp vào “OK” để lưu các thay đổi của bạn.
Bước ba: Định cấu hình khóa khởi động cho Drive của bạn
Bây giờ bạn có thể sử dụng
manage-bde
lệnh để cấu hình ổ USB cho ổ đĩa được mã hóa BitLocker của bạn.
Trước tiên, hãy lắp ổ USB vào máy tính của bạn. Lưu ý ký tự ổ đĩa của ổ đĩa USB – D: trong ảnh chụp màn hình bên dưới. Windows sẽ lưu một tệp.bek nhỏ vào ổ đĩa và đó là cách nó sẽ trở thành khóa khởi động của bạn.
Chạy lệnh sau. Lệnh dưới đây hoạt động trên ổ C: vì vậy nếu bạn muốn yêu cầu khóa khởi động cho ổ đĩa khác, hãy nhập ký tự ổ đĩa thay vì
c:
. Bạn cũng sẽ cần phải nhập ký tự ổ đĩa của ổ USB được kết nối mà bạn muốn sử dụng làm khóa khởi động thay vì
x:
manage-bde -protectors -add c: -TPMAndStartupKey x:
manage-bde -status
(Bộ bảo vệ khóa “Mật khẩu số” được hiển thị ở đây là khóa khôi phục của bạn.)
Cách xóa yêu cầu khóa khởi động
Nếu bạn thay đổi ý định và muốn ngừng yêu cầu khóa khởi động sau đó, bạn có thể hoàn tác thay đổi này. Đầu tiên, quay trở lại trình soạn thảo Group Policy và thay đổi tùy chọn trở về “Allow Startup Key With TPM”. Bạn không thể để tùy chọn được đặt thành “Yêu cầu khóa khởi động với TPM” hoặc Windows sẽ không cho phép bạn xóa yêu cầu khóa khởi động khỏi ổ đĩa.
c:
nếu bạn đang sử dụng một ổ đĩa khác):
manage-bde -protectors -add c: -TPM
Điều này sẽ thay thế yêu cầu “TPMandStartupKey” bằng yêu cầu “TPM”, xóa mã PIN. Ổ BitLocker của bạn sẽ tự động mở khóa qua TPM của máy tính khi bạn khởi động.
manage-bde -status c:
Nếu bạn mất khóa khởi động hoặc xóa tệp.bek khỏi ổ đĩa, bạn sẽ cần phải cung cấp mã khôi phục BitLocker cho ổ đĩa hệ thống của bạn. Bạn cần phải lưu một nơi nào đó an toàn khi bạn kích hoạt BitLocker cho ổ đĩa hệ thống của bạn.
