Windows cũng được tích hợp sẵn các công cụ mã hóa thực sự, do đó một ứng dụng bên thứ ba không hoàn toàn là bắt buộc. Điều làm thay đổi cục diện là bạn đang chạy phiên bản Windows nào: trên một số phiên bản hoàn toàn không có tùy chọn cấp thư mục nào được tích hợp sẵn. Dưới đây là những gì thực sự được tích hợp sẵn, và những giới hạn của chúng.
Tùy chọn 1: BitLocker (Toàn bộ ổ đĩa, Chỉ có trên Pro và Enterprise)
BitLocker, nằm trong Cài đặt > Quyền riêng tư & bảo mật > Mã hóa thiết bị (hoặc Bảng điều khiển > Mã hóa Ổ đĩa BitLocker trên các phiên bản Pro), mã hóa toàn bộ ổ đĩa bằng AES, với khóa 128 bit hoặc 256 bit ở chế độ XTS-AES trên các phiên bản Windows hiện đại. Nó được tích hợp sẵn vào Windows và miễn phí sử dụng, nhưng chỉ trên Windows Pro, Windows Enterprise, và Windows Education. Windows Home hoàn toàn không bao gồm BitLocker; thay vào đó, nó đi kèm với Device Encryption (Mã hóa Thiết bị) được thu gọn, tính năng này chỉ tự động bật trên phần cứng đáp ứng các yêu cầu cụ thể (có chip TPM và hỗ trợ modern standby) và chỉ khi bạn đăng nhập bằng tài khoản Microsoft.
Giống như FileVault trên máy Mac (xem Cách mã hóa một thư mục trên Mac để biết phía Apple xử lý sự đánh đổi tương tự ra sao), BitLocker chỉ bảo vệ ổ đĩa ở trạng thái nghỉ, trong khi PC đang tắt hoặc trước khi bạn đăng nhập. Khi bạn đã đăng nhập, các tệp được bảo vệ bằng BitLocker hoàn toàn có thể đọc được như bất kỳ tệp nào khác, bởi vì toàn bộ ổ đĩa được giải mã cùng nhau tại thời điểm đăng nhập, chứ không phải theo từng thư mục.
Tùy chọn 2: EFS (Cấp độ thư mục, Cũng chỉ có trên Pro và Enterprise)
Đặc biệt đối với mã hóa cấp thư mục hoặc tệp, Windows có Encrypting File System (EFS) được tích hợp vào NTFS:
- Nhấp chuột phải vào thư mục hoặc tệp bạn muốn mã hóa, sau đó chọn Properties (Thuộc tính).
- Trên tab General (Chung), nhấp vào Advanced… (Nâng cao…)
- Đánh dấu vào Encrypt contents to secure data (Mã hóa nội dung để bảo vệ dữ liệu), sau đó chọn OK, rồi chọn Apply (Áp dụng).
- Chọn xem có áp dụng thay đổi này chỉ cho thư mục đó hay cho thư mục, các thư mục con và tệp của nó.
Kết quả là một lớp mã hóa AES thực sự trên ổ đĩa được gắn với tài khoản người dùng Windows của bạn: nội dung của tệp không thể đọc được bởi bất kỳ ai đăng nhập dưới dạng người dùng khác, cùng một danh mục bảo vệ được mô tả trong Giải thích đơn giản về AES-256.
Điểm mấu chốt: EFS cũng là một tính năng của các bản Pro, Enterprise và Education. Windows Home hoàn toàn không được trang bị EFS; không có tùy chọn mã hóa cấp thư mục nào được tích hợp sẵn trên phiên bản Home, chỉ có Device Encryption (Mã hóa Thiết bị) cho toàn bộ ổ đĩa được mô tả ở trên và chỉ trên phần cứng đủ điều kiện.
Nơi phương pháp tích hợp sẵn gặp giới hạn
- Giới hạn phiên bản. Cả BitLocker và EFS đều hoàn toàn vắng bóng trên Windows Home, một phần lớn trong số các PC tiêu dùng.
- Không có quyền truy cập di động. Một tệp được mã hóa bằng EFS chỉ giải mã bình thường khi được mở bằng chính tài khoản Windows đó trên cùng một máy; nó không di chuyển cùng sang điện thoại.
- Khôi phục bị ràng buộc với tài khoản. Nếu mất quyền truy cập vào tài khoản Windows đã mã hóa tệp (cài đặt lại hệ điều hành, máy tính mới, hồ sơ người dùng bị hỏng) thì tệp đó sẽ không thể đọc được nếu không có bản sao lưu chứng chỉ mà hầu như chẳng có ai tạo ra cả; không có cụm từ khôi phục riêng biệt nào.
- Không có tính năng theo tình huống. Không có tính năng nào tương đương với một két ngụy trang (decoy vault) cho thời khắc mà việc hiển thị một thứ vô hại lại quan trọng hơn việc từ chối mở khóa bất cứ thứ gì.
- Điểm truy cập duy nhất cho mỗi tệp. Không có cách nào để nhóm một bộ tệp nhạy cảm sau một mã PIN riêng biệt của chúng, độc lập với chính việc đăng nhập Windows.
Không điều nào trong số này khiến BitLocker hay EFS trở nên tồi tệ; ở nơi chúng khả dụng, chúng thực sự vững chắc, miễn phí và sử dụng mã hóa thực sự. Chúng chỉ không bao phủ mọi phiên bản và không mang tính di động.
Khi nào một ứng dụng két chuyên dụng lại trở nên đáng giá
Một ứng dụng két chuyên dụng như Vaultine sử dụng cùng loại danh mục mã hóa (AES-256, được tạo trên thiết bị) nhưng hoạt động theo cùng một cách bất kể nó đang chạy trên phiên bản Windows nào: có mã PIN riêng biệt với đăng nhập Windows, một trình xem được tích hợp sẵn, cùng một két có thể truy cập trên iPhone, Mac và cả Android, cũng như Decoy Vault và Duress Vault cho các tình huống mà việc bị yêu cầu mở khóa một thứ gì đó bản thân nó lại chính là rủi ro.
Sự đánh đổi ở đây là thành thực: trên các phiên bản Pro, Enterprise hoặc Education với phần cứng phù hợp, BitLocker và EFS là miễn phí và đã có sẵn. Trên Windows Home, hoặc cho bất kỳ thứ gì cần di chuyển giữa các thiết bị, một chiếc két chuyên dụng sẽ lấp đầy khoảng trống mà hệ điều hành hoàn toàn không bao quát tới.
Phiên bản ngắn gọn
Trên Windows Pro, Windows Enterprise hoặc Windows Education, BitLocker (toàn bộ ổ đĩa) và EFS (cấp độ thư mục) là sự mã hóa AES thực sự, miễn phí, tích hợp sẵn và vô cùng vững chắc trong phiên bản của chúng. Trên Windows Home, cả hai đều không tồn tại dưới dạng tùy chọn cấp thư mục và khoảng trống đó, cộng với việc thiếu quyền truy cập chéo thiết bị trong cả hai trường hợp, chính là những gì mà một ứng dụng két chuyên dụng thực sự lấp đầy: không phải là một ổ khóa mạnh hơn, mà là một ổ khóa linh động hơn.
Hãy thử dùng phiên bản chuyên dụng, miễn phí 10 tệp, tại vaultine.app.
