BitLocker คือโซลูชันการเข้ารหัสลับแบบเต็มดิสก์ที่ติดตั้งมาในตัวของ Windows สำหรับการรักษาความปลอดภัยของข้อมูลในกรณีที่พีซีหรือแล็ปท็อปถูกขโมย หรือตกไปอยู่ในมือของบุคคลที่สาม ข่าวล่าสุดที่ระบุว่า Microsoft มักจะส่งมอบคีย์สำรองข้อมูลของ BitLocker(หน้าต่างใหม่) ให้กับหน่วยงานบังคับใช้กฎหมาย (เช่น FBI) ทำให้เกิดความสนใจว่าการใช้งาน BitLocker (และเวอร์ชันที่ถูกลดทอนลงอย่าง การเข้ารหัสลับอุปกรณ์) นั้นปลอดภัยหรือไม่

BitLocker คืออะไร?

BitLocker คือคุณสมบัติการเข้ารหัสลับแบบเต็มดิสก์ที่ติดตั้งมาใน Microsoft Windows ซึ่งจะเข้ารหัสไดรฟ์ระบบทั้งหมดเพื่อให้ข้อมูลที่สำคัญได้รับการปกป้องหากอุปกรณ์สูญหาย ถูกขโมย หรือถูกเข้าถึงโดยไม่ได้รับอนุญาต

การเข้ารหัสลับแบบเต็มดิสก์หมายความว่าไฟล์ทั้งหมดบนดิสก์จะได้รับการเข้ารหัส โดยไม่ได้เป็นการเข้ารหัสทีละไฟล์ แต่ (สามารถเลือกได้) ที่จะใช้งานเพื่อเข้ารหัสไดรฟ์อื่นๆ (ที่ไม่ใช่ไดรฟ์ระบบ) ได้เช่นกัน

กล่าวอย่างเคร่งครัด BitLocker มีให้ใช้งานเฉพาะใน Windows รุ่น Pro, Enterprise และ Education เท่านั้น อย่างไรก็ตาม Windows Home ก็มาพร้อมกับ การเข้ารหัสลับอุปกรณ์ (ซึ่งเปิดใช้งานตามค่าเริ่มต้นบนฮาร์ดแวร์ที่รองรับและเมื่อเข้าสู่ระบบด้วยบัญชี Microsoft) ซึ่งใช้เทคโนโลยีเดียวกันกับ BitLocker แต่มีความสามารถในการปรับแต่งได้น้อยกว่ามาก

BitLocker เทียบกับการเข้ารหัสลับอุปกรณ์

การเข้ารหัสลับอุปกรณ์เป็นการกำหนดค่า BitLocker แบบอัตโนมัติที่เรียบง่ายกว่าและมีตัวเลือกน้อยกว่า โดยสำหรับ BitLocker นั้น:

  • ได้รับสิทธิ์ในการควบคุม BitLocker ทั้งหมด
  • สามารถเลือกวิธีปกป้องคีย์ได้ (เช่น PIN, คีย์ USB ฯลฯ)

สำหรับการเข้ารหัสลับอุปกรณ์:

  • ไม่สามารถจัดการการตั้งค่าการเข้ารหัสลับอย่างละเอียดได้
  • ไม่สามารถบังคับให้ใช้ PIN ในการเริ่มระบบได้
  • คีย์กู้คืนจะได้รับการสำรองข้อมูลไปยังบัญชี Microsoft โดยอัตโนมัติ
  • ต้องใช้โมดูลแพลตฟอร์มที่เชื่อถือได้ (TPM) (ดูด้านล่าง)
  • การเข้ารหัสลับอาจเปิดใช้งานโดยอัตโนมัติเมื่อเข้าสู่ระบบด้วยบัญชี Microsoft

BitLocker ทำงานอย่างไร?

เมื่อพีซี Windows ปิดเครื่อง หรือดิสก์อยู่ในสถานะออฟไลน์ ไดรฟ์ทั้งหมดจะยังคงได้รับการเข้ารหัส ในระบบ Windows รุ่นใหม่ส่วนใหญ่ คีย์การเข้ารหัสลับจะได้รับการปกป้องโดยชิปความปลอดภัยขนาดเล็กบนเมนบอร์ดที่เรียกว่า โมดูลแพลตฟอร์มที่เชื่อถือได้ (TPM) ซึ่งจะปล่อยคีย์ออกมาก็ต่อเมื่อระบบไม่ได้รับความเสียหายหรือถูกแทรกแซงด้วยเท่านั้น การป้องกันในระดับฮาร์ดแวร์นี้เป็นหนึ่งในเหตุผลหลักที่ Microsoft กำหนดให้ต้องมีการรองรับ TPM 2.0 สำหรับ Windows 11

เมื่อเริ่มต้นพีซี TPM จะทำการตรวจสอบความสมบูรณ์ก่อนที่ Windows จะโหลด การตรวจสอบเหล่านี้จะมองหาสัญญาณการแทรกแซง และยังสามารถเปิดใช้งานได้จากการเปลี่ยนแปลงที่สำคัญในฮาร์ดแวร์ เฟิร์มแวร์ หรือการกำหนดค่าการบูตของอุปกรณ์

หากทุกอย่างปกติดี TPM จะปล่อยคีย์การเข้ารหัสลับโดยอัตโนมัติ และ BitLocker จะปลดล็อกไดรฟ์ เพื่อช่วยให้ Windows เริ่มต้นทำงานได้ตามปกติ กระบวนการนี้เกิดขึ้นในเบื้องหลัง จึงทำให้ผู้ใช้มักจะไม่ทันสังเกตเห็น

ความแตกต่างที่สำคัญระหว่าง BitLocker กับการเข้ารหัสลับอุปกรณ์คือความยืดหยุ่น การเข้ารหัสลับอุปกรณ์เป็นเวอร์ชันที่ลดรูปของ BitLocker ที่ต้องใช้ TPM และทำงานโดยอัตโนมัติ ในขณะที่ BitLocker ยังสามารถใช้งานได้โดยไม่ต้องมี TPM โดยอาศัยทางเลือกอื่น เช่น รหัสผ่าน, PIN หรือคีย์รักษาความปลอดภัย USB

หาก TPM ตรวจพบปัญหา (หรือหากไม่เป็นไปตามมาตรการรักษาความปลอดภัยทางเลือก) BitLocker จะขอ คีย์กู้คืน หากไม่มีคีย์กู้คืน Windows จะไม่สามารถโหลดได้ และข้อมูลจะยังคงได้รับการเข้ารหัสอย่างปลอดภัย เพื่อป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต

คีย์กู้คืน BitLocker คืออะไร?

คีย์กู้คืน BitLocker คือข้อมูลสำรองตัวเลข 48 หลักที่ช่วยให้สามารถปลดล็อกไดรฟ์ที่เข้ารหัสด้วย BitLocker ได้หากไม่สามารถเข้าถึงได้ผ่านทางวิธีปกติ (รหัสผ่าน, PIN, TPM ฯลฯ)

หน้าจอการกู้คืน BitLocker

คีย์กู้คืนจัดเก็บไว้ที่ใด?

ซึ่งขึ้นอยู่กับรุ่นของ Windows และการตั้งค่า:

Windows Home (ใช้การเข้ารหัสลับอุปกรณ์):

คีย์จะถูกบันทึกไปยังบัญชี Microsoft โดยอัตโนมัติ

  • หากต้องการค้นหาคีย์ (บนอุปกรณ์อื่นในกรณีที่พีซีไม่สามารถบูตได้) ให้ไปที่ account.microsoft.com/devices/recoverykey(หน้าต่างใหม่) และเข้าสู่ระบบโดยใช้ชื่อผู้ใช้และรหัสผ่านของ Microsoft

Windows Pro และ Enterprise (ใช้ BitLocker แบบเต็มรูปแบบ)

สามารถเลือกสถานที่จัดเก็บได้:

  • บัญชี Microsoft (ตามด้านบน)
  • ไดรฟ์ USB
  • ไฟล์ในอีกไดรฟ์หนึ่ง
  • สำเนาที่พิมพ์ออกมา
  • Active Directory (สำหรับสภาพแวดล้อมระดับองค์กร ช่วยให้องค์กรสามารถจัดการคีย์การกู้คืนและนโยบายการเข้ารหัสลับได้จากส่วนกลาง)

BitLocker ปลอดภัยหรือไม่?

สิ่งที่ BitLocker ช่วยป้องกัน

สถานการณ์ภัยคุกคามBitLocker ช่วยป้องกันหรือไม่?บันทึก
แล็ปท็อปสูญหายหรือถูกขโมย (ปิดเครื่องอยู่)ใช่ (การป้องกันที่แข็งแกร่ง)ดิสก์ยังคงได้รับการเข้ารหัส ผู้โจมตีจำเป็นต้องใช้คีย์การกู้คืนหรือ PIN
อุปกรณ์ถูกเจ้าหน้าที่ยึด (ปิดเครื่องอยู่)บางส่วนวิทยาการเข้ารหัสลับที่แข็งแกร่ง แต่หากคีย์การกู้คืนถูกจัดเก็บไว้ในบัญชี Microsoft ก็อาจถูกร้องขอผ่านกระบวนการทางกฎหมายได้
แล็ปท็อปถูกขโมยขณะอยู่ในโหมดสลีปหรือโหมดไฮเบอร์เนตส่วนใหญ่ได้รับการปกป้อง แต่การโจมตีขั้นสูงบางประเภท (เช่น cold boot(หน้าต่างใหม่) หรือ DMA(หน้าต่างใหม่)) อาจสกัดคีย์ออกมาได้
แล็ปท็อปถูกขโมยขณะเข้าสู่ระบบอยู่ / ปลดล็อกอยู่ไม่มีดิสก์ถูกถอดรหัสแล้ว ผู้โจมตีจึงสามารถเข้าถึงได้อย่างเต็มรูปแบบ
มัลแวร์หรือแฮกเกอร์จากระยะไกลในขณะที่ Windows กำลังทำงานไม่มีการเข้ารหัสลับทั้งดิสก์ไม่สามารถป้องกันการโจมตีซอฟต์แวร์ได้
การโจมตีแบบ Evil Maidบางส่วนTPM ตรวจจับการเปลี่ยนแปลงหลายอย่างได้ แต่การโจมตีที่ซับซ้อนอาจบายพาสหรือเลียนแบบการวัดผลได้
บัญชี Microsoft ถูกแฮกไม่ (หาก Microsoft มีคีย์)ผู้โจมตีอาจดึงคีย์การกู้คืนและถอดรหัสดิสก์แบบออฟไลน์ได้
การลืมรหัสผ่านหรือ PINขึ้นอยู่กับกรณีจำเป็นต้องใช้คีย์การกู้คืน หากไม่มีคีย์ดังกล่าว ข้อมูลจะสูญหายอย่างถาวร

ความปลอดภัยทางเทคนิค

BitLocker รักษาความปลอดภัยของข้อมูลโดยใช้ อัลกอริทึมการเข้ารหัสลับ AES โดยตามค่าเริ่มต้นของระบบสมัยใหม่ จะเป็น AES-256 ใน โหมด XTS(หน้าต่างใหม่) เพื่อการป้องกันข้อมูลที่จัดเก็บไว้ที่ดียิ่งขึ้น ซึ่งมีความปลอดภัยสูงมาก

ระบบรุ่นเก่าอาจใช้ AES-128 เป็นอย่างต่ำใน โหมด CBC(หน้าต่างใหม่) ซึ่งยังคงแข็งแกร่งเพียงพอในการปกป้องข้อมูลจากผู้โจมตีส่วนใหญ่ แม้ว่าฝ่ายตรงข้ามที่มีความซับซ้อนสูง (เช่น ผู้ดำเนินการในระดับรัฐ) อาจพยายามโจมตีในขั้นสูงได้

BitLocker ใช้ระบบจัดการคีย์แบบแบ่งชั้น โดยระดับบนสุดคือ Volume Master Key (VMK) ซึ่งทำหน้าที่เข้ารหัสคีย์การเข้ารหัสลับข้อมูลจริง (Full Volume Encryption Key หรือ FVEK)

ตัว VMK เองจะได้รับการปกป้องด้วยวิธีการยืนยันตัวตนอย่างน้อยหนึ่งวิธี ได้แก่ ชิป TPM (และ/หรือรหัสผ่าน, PIN, คีย์ USB หรือการผสมผสานสิ่งเหล่านี้เข้าด้วยกันหากใช้ BitLocker เวอร์ชันเต็ม) การออกแบบนี้หมายความว่าสามารถเปลี่ยนรหัสผ่านได้โดยไม่จำเป็นต้องเข้ารหัสทั้งไดรฟ์ใหม่อีกครั้ง

ความปลอดภัยของ BitLocker ขึ้นอยู่กับคีย์การกู้คืนทั้งหมด

ดังนั้น ตราบใดที่คีย์การกู้คืนปลอดภัย ข้อมูลจะปลอดภัยมาก เมื่ออุปกรณ์ Windows ปิดอยู่ (เรื่องนี้จะกล่าวถึงในภายหลัง)

ลองจินตนาการว่า BitLocker คือประตูที่ปกป้องข้อมูลอันมีค่า และคีย์การกู้คืนคือลูกกุญแจของประตูบานนั้น การพังประตูเพื่อเอาข้อมูลเป็นงานที่แทบจะเป็นไปไม่ได้เลย แต่หากมีกุญแจ ก็จะสามารถปลดล็อกได้อย่างง่ายดาย คีย์การกู้คืนจึงเป็นจุดอ่อน

เรื่องนี้เป็นเรื่องจริงอย่างยิ่งเมื่อมีการอัปโหลดคีย์การกู้คืนไปยังบัญชี Microsoft ดังที่เหตุการณ์ล่าสุดแสดงให้เห็นว่า Microsoft สามารถส่งมอบคีย์การกู้คืนของผู้ใช้ให้แก่บุคคลที่สาม ซึ่งสามารถนำไปใช้เพื่อเข้าถึงข้อมูลได้

ออฟไลน์เท่านั้น

ข้อควรพิจารณาที่สำคัญอีกประการหนึ่งคือ BitLocker จะปกป้องข้อมูลเฉพาะเมื่อพีซี Windows ปิดอยู่เท่านั้น เมื่อ Windows ทำงานแล้ว ดิสก์ (ต่าง ๆ) จะถูกถอดรหัส และใครก็ตามที่มีสิทธิ์เข้าถึงคอมพิวเตอร์ก็จะสามารถเข้าถึงข้อมูลได้ ซึ่งอาจหมายถึงการเข้าถึงทางกายภาพหรือการเข้าถึงทางดิจิทัล (เช่น ในกรณีที่ถูกแฮก)

เรื่องนี้เป็นจริงสำหรับโซลูชันการเข้ารหัสลับทั้งดิสก์ทั้งหมด (ไม่ใช่แค่ BitLocker) แต่อาจเป็นเรื่องที่ควรตระหนักถึง โดยขึ้นอยู่กับแบบจำลองภัยคุกคาม

การโจมตีแบบ Evil Maid

การโจมตีแบบ Evil Maid(หน้าต่างใหม่) คือการที่มีผู้ได้รับการเข้าถึงทางกายภาพไปยังอุปกรณ์ชั่วคราว (เช่น ในโรงแรมหรือที่ด่านตรวจชายแดน) และลอบดัดแปลงอุปกรณ์เพื่อให้สามารถขโมยคีย์การเข้ารหัสลับหรือ PIN ได้ในภายหลัง แทนที่จะเจาะการเข้ารหัสลับ แต่จะลวงระบบให้เปิดเผยข้อมูลออกมาแทน

ตามค่าเริ่มต้น พีซีส่วนใหญ่จะใช้ BitLocker พร้อมการปลดล็อกอัตโนมัติผ่าน TPM ซึ่งป้องกันการโจรกรรมได้ดีแต่ป้องกันการลักลอบดัดแปลงได้ไม่ดีนัก ในการป้องกันการโจมตีแบบ Evil Maid ควรเปิดใช้งาน BitLocker ด้วย PIN ก่อนการบูตระบบหรือคีย์ USB เพื่อไม่ให้ดิสก์ปลดล็อกโดยอัตโนมัติ แต่น่าเสียดายที่ไม่สามารถทำได้ใน Windows Home ที่ใช้การเข้ารหัสลับอุปกรณ์แบบพื้นฐาน

FBI สามารถเข้าถึงข้อมูลได้หรือไม่?

สรุปสั้นๆ คือใช่ Microsoft เป็นบริษัทในสหรัฐอเมริกา จึงต้องปฏิบัติตามคำสั่งศาลที่มีผลผูกพันทางกฎหมายและเครื่องมือทางกฎหมายอื่นๆ เช่น จดหมายความมั่นคงแห่งชาติ(หน้าต่างใหม่) (NSL) ที่บังคับให้บริษัทต่างๆ ต้องส่งมอบข้อมูลส่วนบุคคลและข้อมูลเมตาจำนวนมหาศาลให้แก่หน่วยงานรัฐบาลโดยไม่มีการตรวจสอบจากฝ่ายตุลาการ ซึ่งมักจะมาพร้อมกับคำสั่งห้ามเปิดเผยข้อมูลที่ป้องกันไม่ให้บริษัทแจ้งเตือนผู้ใช้ว่าได้รับจดหมาย NSL

ในปี 2016 Apple ได้ต่อสู้อย่างเต็มที่กับข้อเรียกร้องของ FBI ที่ได้รับการสนับสนุนจากศาลในการ ปลดล็อก iPhone(หน้าต่างใหม่) ของผู้ต้องสงสัยคดีก่อการร้าย ซึ่งเรื่องนี้คลี่คลายลงได้เมื่อ FBI ว่าจ้างบุคคลที่สามให้เจาะระบบการเข้ารหัสลับของ Apple ได้สำเร็จ เพื่อหลีกเลี่ยงไม่ให้เกิดเหตุการณ์นี้ซ้ำรอย Apple จึงได้หันมาใช้ การเข้ารหัสลับจากต้นทางถึงปลายทาง บนผลิตภัณฑ์ เพราะไม่สามารถส่งมอบคีย์การเข้ารหัสลับที่ไม่มีอยู่ได้

อย่างไรก็ตาม Microsoft ไม่ได้แสดงแนวโน้มเช่นนั้น เมื่อมีการอัปโหลดคีย์การกู้คืน BitLocker ไปยังบัญชี Microsoft ทาง Microsoft จะเป็นผู้เข้ารหัส และ (หากมีความจำเป็น) Microsoft ก็สามารถถอดรหัสได้ ดังนั้น Microsoft จึงสามารถเข้าถึงคีย์การกู้คืนได้เสมอ

ในปี 2025 FBI ได้ ขอให้ Microsoft มอบคีย์การกู้คืน BitLocker(หน้าต่างใหม่) ที่จำเป็นในการปลดล็อกข้อมูลที่เข้ารหัสซึ่งจัดเก็บไว้ในแล็ปท็อปสามเครื่องที่เชื่อมโยงกับการสืบสวนคดีฉ้อโกงในกวม Microsoft ยินยอมปฏิบัติตาม และโฆษกได้แจ้งกับ Forbes ว่าบริษัทได้รับคำขอเกี่ยวกับคีย์ BitLocker ประมาณ 20 ครั้งต่อปี ในกรณีส่วนใหญ่ Microsoft ไม่สามารถปฏิบัติตามได้เนื่องจากคีย์เหล่านี้ไม่ได้ถูกจัดเก็บไว้ในบัญชี Microsoft แต่นัยสำคัญนั้นชัดเจนว่า หากสามารถช่วยได้ ก็จะช่วย

โซลูชันการเข้ารหัสลับทางเลือก

หากไม่ต้องการเชื่อถือ Microsoft ในการเก็บคีย์การกู้คืนสำหรับการเข้ารหัสลับทั้งดิสก์ ก็มีตัวเลือกหลายประการ

1. ใช้ Windows Pro

หากใช้งาน Windows Pro (หรือ Enterprise) อยู่แล้ว นี่คือโซลูชันที่ง่ายที่สุด หากใช้งาน Windows Home จะต้องซื้อใบอนุญาตใหม่และอัปเกรด

1. ใน Windows 11 Pro ให้เปิดแอป การตั้งค่า และไปที่ ความเป็นส่วนตัวและความปลอดภัย → การเข้ารหัสลับไดรฟ์ BitLocker หากเพิ่งอัปเกรดมาจาก Windows Home หรือใช้ Pro แต่ได้อัปโหลดคีย์การกู้คืนไปยัง Microsoft แล้ว (พฤติกรรมเริ่มต้นหากเข้าสู่ระบบ Windows โดยใช้บัญชี Microsoft) จะต้องปิด BitLocker และรอให้ไดรฟ์ถอดรหัส)

2. ไปที่ account.microsoft.com/devices/recoverykey(หน้าต่างใหม่) และลบคีย์ทั้งหมดที่พบที่นั่น โปรดตรวจสอบให้แน่ใจว่าไดรฟ์ได้รับการถอดรหัสแล้วก่อนดำเนินการนี้!

3. จากนั้นสามารถเปิด BitLocker กลับมาอีกครั้ง และเลือกวิธีการสำรองข้อมูลคีย์การกู้คืนที่ต้องการได้

ตัวเลือกการสำรองข้อมูลคีย์การกู้คืนของ Windows Pro

2. ใช้ VeraCrypt แทน

อาจเข้าใจได้ว่าเพราะเหตุใดจึงต้องการหลีกเลี่ยงโซลูชันของ Microsoft ทั้งหมด (เพราะใครจะรู้ว่ารหัสที่เป็นซอร์สโค้ดปิดนั้นกำลังทำอะไรอยู่จริงๆ)

VeraCrypt(หน้าต่างใหม่) เป็นซอฟต์แวร์การเข้ารหัสลับทั้งดิสก์แบบโอเพนซอร์สที่ผ่านการตรวจสอบความปลอดภัยหลายครั้ง (โดยเฉพาะโดย QuarksLab ในปี 2016(หน้าต่างใหม่) และ สถาบัน Fraunhofer ในปี 2020(หน้าต่างใหม่)) มีการพบปัญหาหลายประการ แต่ VeraCrypt อยู่ภายใต้การพัฒนาอย่างต่อเนื่อง จึงได้รับการแก้ไขแล้ว นอกจากนี้ยังมีข้อดีอย่างยิ่งคือฟรี 100% (แม้ว่าจะขอแนะนำให้บริจาคหากสามารถทำได้) นอกเหนือจากการเข้ารหัสลับทั้งดิสก์แล้ว VeraCrypt ยังสามารถ:

  • สร้างดิสก์จำลองที่เข้ารหัส (โวลุ่ม) ซึ่งสามารถเมานต์และใช้งานได้เหมือนกับดิสก์จริง (และสามารถทำให้เป็นโวลุ่มที่ซ่อนอยู่ได้)
  • สร้างพาร์ติชันหรือไดรฟ์พื้นที่จัดเก็บข้อมูลที่มีระบบปฏิบัติการทั้งหมด (ซึ่งสามารถซ่อนได้) ซึ่งช่วยให้เกิด การปฏิเสธที่สมเหตุสมผล(หน้าต่างใหม่) เนื่องจากแทบจะเป็นไปไม่ได้เลยที่จะพิสูจน์ว่ามีอยู่จริง (ตราบใดที่มีการใช้ มาตรการป้องกันที่ถูกต้อง(หน้าต่างใหม่) ทั้งหมด)

ข้อมูลจะได้รับการเข้ารหัสตามค่าเริ่มต้นโดยใช้ XTS-AES-256 (การตั้งค่าเดียวกับที่ BitLocker ใช้) แต่สามารถเลือกจากอัลกอริทึมการเข้ารหัสลับทางเลือกอื่นๆ ได้ (เช่น Twofish) หากต้องการ การเข้าถึงจะได้รับการรักษาความปลอดภัยโดยใช้ข้อความรหัสผ่านและ/หรือไฟล์คีย์ (ซึ่งควรจัดเก็บไว้ในที่ที่ปลอดภัยมาก)

ก่อนติดตั้ง VeraCrypt จะต้องปิด BitLocker หรือการเข้ารหัสลับอุปกรณ์ และถอดรหัสไดรฟ์ (ตามที่อธิบายไว้ข้างต้น แต่ใน Windows 11 Home ให้เปิดแอป การตั้งค่า และไปที่ ความเป็นส่วนตัวและความปลอดภัย → การเข้ารหัสลับไดรฟ์ BitLocker)

3. เลิกใช้ Windows

หากไม่สามารถเชื่อถือ Microsoft ในการเก็บคีย์การกู้คืนสำหรับการเข้ารหัสลับทั้งดิสก์ เหตุใดจึงยังต้องใช้ระบบปฏิบัติการนี้? ในการย้ายออกจาก Windows มีสองตัวเลือกหลักๆ ได้แก่:

macOS

Mac มีราคาแพง มีความเป็นกรรมสิทธิ์สูง และมอบประสบการณ์การใช้งานของผู้ใช้ที่ถูกควบคุมอย่างเข้มงวด อย่างไรก็ตาม Mac สามารถทำได้แทบทุกอย่างที่พีซีทำได้ และแตกต่างจาก Microsoft เนื่องจาก Apple มีประวัติในการต่อต้านข้อเรียกร้องของรัฐบาลในการช่วยให้เข้าถึงอุปกรณ์ที่เข้ารหัส

โซลูชันการเข้ารหัสลับทั้งดิสก์ในตัวของ macOS เรียกว่า FileVault ซึ่งสามารถเลือกเปิดใช้งานได้เมื่อตั้งค่า Mac เมื่อดำเนินการนี้ FileVault จะเสนอให้อัปโหลดคีย์การกู้คืนไปยังบัญชี iCloud ซึ่งอาจถูกเข้าถึงโดย Apple และส่งมอบให้แก่บุคคลที่สามได้ อย่างไรก็ตาม สามารถเลือกคีย์การกู้คืนในเครื่องเท่านั้น โดยระบบจะสร้างคีย์ตัวเลขเพื่อให้จดบันทึกและจัดเก็บไว้อย่างปลอดภัย หรือเพิ่มลงใน โปรแกรมจัดการรหัสผ่าน

อีกทางเลือกหนึ่งคือการเปิดใช้งานการตั้งค่า การปกป้องข้อมูลขั้นสูงสำหรับ iCloud(หน้าต่างใหม่) ซึ่งปกป้องข้อมูล iCloud โดยใช้การเข้ารหัสลับจากต้นทางถึงปลายทาง ซึ่งหมายความว่า Apple จะไม่สามารถเข้าถึงคีย์การกู้คืน FileVault (หรือข้อมูลอื่นๆ ที่อัปโหลดไปยัง iCloud) อย่างไรก็ตาม โปรดทราบว่าการปกป้องข้อมูลขั้นสูงอาจไม่พร้อมใช้งานสำหรับผู้ใช้ในทุกภูมิภาค (เช่น สหราชอาณาจักร(หน้าต่างใหม่))

Linux

Linux เป็นระบบปฏิบัติการแบบโอเพนซอร์สฟรีทั้งหมดที่สามารถติดตั้งบนฮาร์ดแวร์ที่มีอยู่ได้ (และจะทำงานได้ดีกว่า Windows ที่กินทรัพยากรระบบอย่างแน่นอน) นอกเหนือจากแอปที่มีกรรมสิทธิ์บางแอปที่ไม่มีให้บริการบนแพลตฟอร์มนี้ (โดยเฉพาะซอฟต์แวร์จาก Adobe แม้ว่าจะมีทางเลือกที่เป็นโอเพนซอร์สฟรีที่ดีสำหรับซอฟต์แวร์เหล่านี้ส่วนใหญ่ก็ตาม) Linux สามารถทำได้ทุกอย่างที่ Windows และ macOS ทำได้

Linux มี “ประเภท” ที่แตกต่างกันมากมาย (เรียกว่าการแจกจ่าย หรือดิสโทร) แต่เกือบทั้งหมดจะใช้ระบบการเข้ารหัสลับทั้งดิสก์ LUKS ซึ่งสามารถเลือกได้เมื่อติดตั้ง OS

LUKS ไม่มี “คีย์การกู้คืน” เพียงคีย์เดียวเหมือน BitLocker หรือ FileVault แต่จะใช้มาสเตอร์คีย์แบบสุ่มซึ่งจัดเก็บไว้ในอุปกรณ์ และสามารถปลดล็อกได้โดยใช้วิธีการสำรองข้อมูลตามที่เลือก วิธีการเหล่านี้รวมถึง:

  • ข้อความรหัสผ่านที่สอง
  • ข้อความรหัสผ่านสำหรับการกู้คืนที่พิมพ์ออกมา
  • ไฟล์คีย์ที่จัดเก็บไว้แบบออฟไลน์
  • คีย์ที่ซีลด้วย TPM (พร้อมข้อความรหัสผ่านสำรอง)

บทสรุปเกี่ยวกับ BitLocker และการเข้ารหัสลับทั้งดิสก์

BitLocker เป็นระบบการเข้ารหัสลับทั้งดิสก์ที่แข็งแกร่งและได้รับการออกแบบมาเป็นอย่างดีในแง่ของเทคนิค การใช้วิทยาการเข้ารหัสลับสมัยใหม่ พื้นที่จัดเก็บคีย์ที่รองรับโดยฮาร์ดแวร์ และการจัดการคีย์แบบแบ่งชั้น ทำให้มีประสิทธิภาพสูงในการปกป้องข้อมูลจากภัยคุกคามทั่วไป เช่น อุปกรณ์สูญหายหรือถูกโจรกรรม สำหรับผู้ใช้ Windows ส่วนใหญ่ BitLocker มอบการปกป้องที่มีความหมายและเชื่อถือได้โดยใช้ความพยายามเพียงเล็กน้อย หากแบบจำลองภัยคุกคามคือแล็ปท็อปที่ถูกโจรกรรม โดยทั่วไป BitLocker ก็เพียงพอแล้ว

อย่างไรก็ตาม ดังที่การเปิดเผยข้อมูลล่าสุดเกี่ยวกับความร่วมมือของ Microsoft กับหน่วยงานบังคับใช้กฎหมายได้แสดงให้เห็น ความปลอดภัยของระบบการเข้ารหัสลับใดๆ ท้ายที่สุดแล้วจะขึ้นอยู่กับว่าใครเป็นผู้ถือคีย์ ความจริงที่ว่าคีย์การกู้คืน BitLocker ถูกจัดเก็บไว้ในบัญชี Microsoft อาจเป็นเรื่องที่น่ากังวลอย่างยิ่ง ทั้งนี้ขึ้นอยู่กับแบบจำลองภัยคุกคาม

โชคดีที่มีทางเลือกอื่น Windows Pro ช่วยให้สามารถจัดการคีย์การกู้คืนได้ด้วยตนเอง ในขณะที่เครื่องมือโอเพนซอร์สอย่าง VeraCrypt ก็เป็นทางเลือกฟรีที่ดี การเปลี่ยนแพลตฟอร์มเพื่อหลีกเลี่ยง Microsoft ทั้งหมด เช่น การเปลี่ยนไปใช้ macOS พร้อมคีย์ FileVault ที่จัดเก็บไว้ในเครื่อง หรือเปลี่ยนไปใช้ Linux พร้อม LUKS ก็เป็นตัวเลือกที่แข็งแกร่งเช่นกัน