Điều này chỉ có sẵn trên các phiên bản Professional và Enterprise của Windows. Các ấn bản tại nhà chỉ có thể sử dụng tính năng “mã hóa thiết bị” bị hạn chế hơn và chỉ khi đó là một máy tính hiện đại được kích hoạt bằng mã hóa thiết bị được bật.
BitLocker là mã hóa toàn bộ đĩa
BitLocker là giải pháp mã hóa toàn bộ đĩa mã hóa toàn bộ khối lượng. Khi bạn thiết lập BitLocker, bạn sẽ mã hóa toàn bộ phân vùng - chẳng hạn như phân vùng hệ thống Windows, một phân vùng khác trên ổ đĩa nội bộ hoặc thậm chí là phân vùng trên ổ flash USB hoặc phương tiện bên ngoài khác.
Có thể mã hóa chỉ một vài tệp bằng BitLocker bằng cách tạo một tệp vùng chứa được mã hóa. Tuy nhiên, tệp vùng chứa này về cơ bản là một hình ảnh đĩa ảo và BitLocker hoạt động bằng cách xử lý nó như một ổ đĩa và mã hóa toàn bộ điều đó.
Nếu bạn định mã hóa ổ đĩa cứng của mình để bảo vệ dữ liệu nhạy cảm rơi vào tay kẻ xấu, đặc biệt nếu máy tính xách tay của bạn bị đánh cắp, BitLocker là cách để đi. Nó sẽ mã hóa toàn bộ ổ đĩa và bạn sẽ không phải suy nghĩ về những tệp nào được mã hóa và không được mã hóa. Toàn bộ hệ thống sẽ được mã hóa.
Điều này không phụ thuộc vào tài khoản người dùng. Khi một quản trị viên kích hoạt BitLocker, mỗi tài khoản người dùng trên PC sẽ được mã hóa các tệp của nó. BitLocker sử dụng mô-đun nền tảng đáng tin cậy của máy tính - hoặc phần cứng TPM.
Mặc dù “mã hóa ổ đĩa” bị giới hạn hơn trên Windows 10 và 8.1, nhưng nó hoạt động tương tự trên PC khi có sẵn. Nó mã hóa toàn bộ ổ đĩa thay vì các tệp riêng lẻ trên đó.
EFS mã hóa các tệp riêng lẻ
EFS - “hệ thống tập tin mã hóa” - hoạt động khác nhau. Thay vì mã hóa toàn bộ ổ đĩa của bạn, bạn sử dụng EFS để mã hóa từng tệp và thư mục riêng lẻ. Trong trường hợp BitLocker là một hệ thống "đặt nó và quên nó", EFS yêu cầu bạn chọn thủ công các tệp bạn muốn mã hóa và thay đổi cài đặt này.
Bạn làm điều này từ cửa sổ File Explorer. Chọn một thư mục hoặc các tệp riêng lẻ, mở cửa sổ Thuộc tính, nhấp vào nút "Nâng cao" trong Thuộc tính và kích hoạt tùy chọn "Mã hóa nội dung để bảo mật dữ liệu".
Mã hóa này dựa trên cơ sở mỗi người dùng. Các tệp được mã hóa chỉ có thể được truy cập bởi tài khoản người dùng cụ thể đã mã hóa chúng. Mã hóa là minh bạch. Nếu tài khoản người dùng đã mã hóa các tệp được đăng nhập, họ sẽ có thể truy cập các tệp mà không cần bất kỳ xác thực bổ sung nào. Nếu một tài khoản người dùng khác được đăng nhập, các tệp sẽ không thể truy cập được.
Khóa mã hóa được lưu trữ trong chính hệ điều hành thay vì sử dụng phần cứng TPM của máy tính và có thể kẻ tấn công có thể giải mã nó. Không có mã hóa toàn bộ ổ đĩa bảo vệ các tệp hệ thống cụ thể đó trừ khi bạn cũng bật BitLocker.
Cũng có thể các tệp được mã hóa có thể “rò rỉ” ra các khu vực không được mã hóa. Ví dụ, nếu một chương trình tạo một tệp bộ đệm tạm thời sau khi mở một tài liệu được mã hóa EFS với thông tin tài chính nhạy cảm, thì tệp bộ nhớ cache và dữ liệu nhạy cảm của nó sẽ được lưu trữ không được mã hóa trong một thư mục khác.
Trong trường hợp BitLocker về cơ bản là một tính năng Windows có thể mã hóa toàn bộ ổ đĩa, EFS tận dụng các tính năng trong chính hệ thống tập tin NTFS.
Tại sao bạn nên sử dụng BitLocker, và không phải EFS
Có thể sử dụng cả BitLocker và EFS cùng một lúc vì chúng là các lớp mã hóa khác nhau. Bạn có thể mã hóa toàn bộ ổ đĩa của bạn, và, ngay cả sau khi làm như vậy, người dùng Windows sẽ có thể kích hoạt thuộc tính "Mã hóa" cho các tệp và thư mục. Tuy nhiên, không có nhiều lý do để làm như vậy.
Nếu bạn muốn mã hóa, tốt nhất bạn nên sử dụng mã hóa toàn bộ đĩa ở dạng BitLocker. Đây không chỉ là giải pháp "đặt nó và quên nó" mà bạn có thể bật một lần và quên đi, nó cũng an toàn hơn.
Chúng tôi đã có xu hướng đánh bóng qua EFS khi viết về mã hóa trên Windows và thường chỉ đề cập đến BitLocker là giải pháp mã hóa của Microsoft trên Windows. Có một lý do cho việc này. Mã hóa toàn bộ đĩa của BitLocker chỉ vượt trội so với EFS và bạn nên sử dụng BitLocker nếu bạn cần mã hóa.
Vậy tại sao EFS lại tồn tại? Một lý do là nó là một tính năng cũ của Windows. BitLocker được giới thiệu cùng với Windows Vista. EFS đã được giới thiệu trở lại trong Windows 2000.
Tại một thời điểm, BitLocker có thể đã làm chậm hiệu năng hệ điều hành tổng thể, trong khi EFS sẽ nhẹ hơn một chút. Nhưng, với phần cứng hiện đại hợp lý, điều này hoàn toàn không phải là trường hợp.
Chỉ cần sử dụng BitLocker và quên Windows thậm chí cung cấp EFS. Ít rắc rối hơn để thực sự sử dụng và an toàn hơn.
