เข้ารหัสดิสก์ BitLocker และ FileVault ป้องกันข้อมูลเมื่อโน้ตบุ๊กหาย
ลองนึกภาพว่าโน้ตบุ๊กของคุณถูกลืมไว้ในรถแท็กซี่หรือถูกขโมยไปจากร้านกาแฟ ตัวเครื่องราคาหลายหมื่นบาทว่าเจ็บแล้ว แต่ข้อมูลข้างในอาจเจ็บกว่า ทั้งไฟล์ลูกค้า รูปส่วนตัว สำเนาบัตรประชาชน และอีเมลที่ล็อกอินค้างไว้
หลายคนคิดว่าตั้งรหัสผ่านเข้าเครื่องไว้แล้วก็พอ ความจริงคือถ้าดิสก์ไม่ได้เข้ารหัส คนร้ายสามารถถอดดิสก์ไปต่อกับเครื่องอื่นแล้วอ่านไฟล์ได้โดยไม่ต้องรู้รหัสผ่านเลย บทความนี้จะพาเปิด การเข้ารหัสทั้งดิสก์ (Full-Disk Encryption) บน Windows และ Mac ทีละขั้น พร้อมวิธีเก็บคีย์กู้คืนไม่ให้ล็อกตัวเองออกจากเครื่อง
การเข้ารหัสดิสก์ทำงานอย่างไร
การเข้ารหัสคือการแปลงข้อมูลบนดิสก์ให้กลายเป็นข้อมูลที่อ่านไม่ออก ถ้าไม่มีกุญแจถอดรหัส เมื่อคุณเปิดเครื่องและล็อกอินถูกต้อง ระบบจะถอดรหัสให้อัตโนมัติขณะใช้งาน คุณจึงทำงานได้ปกติโดยไม่รู้สึกถึงความแตกต่าง
แต่ถ้าใครถอดดิสก์ออกไปหรือบูตเครื่องด้วยระบบอื่น สิ่งที่เขาเห็นจะเป็นแค่ข้อมูลไร้ความหมาย การเข้ารหัสจึงป้องกันกรณีเครื่องหายหรือถูกขโมยได้ดีที่สุด ส่วนการป้องกันไวรัสหรือการถูกหลอกให้ล็อกอินยังต้องใช้วิธีอื่นร่วมด้วย
| ระบบ | ชื่อฟีเจอร์ | หมายเหตุ |
|---|---|---|
| Windows 10/11 Pro, Enterprise, Education | BitLocker | ตั้งค่าได้ละเอียด เลือกไดรฟ์ได้ |
| Windows 11 Home (เครื่องที่รองรับ) | การเข้ารหัสอุปกรณ์ (Device Encryption) | เปิดง่าย ผูกคีย์กับบัญชี Microsoft |
| macOS | FileVault | ใช้ได้ทุกเครื่อง Mac รุ่นปัจจุบัน |
| iPhone และ Android รุ่นใหม่ | เข้ารหัสในตัว | ทำงานเมื่อตั้งรหัสล็อกหน้าจอ |
ก่อนเริ่ม: 4 เรื่องที่ต้องเตรียม
- สำรองข้อมูลก่อน การเปิดเข้ารหัสปลอดภัยโดยทั่วไป แต่การมีสำเนาข้อมูลไว้คือกฎพื้นฐานก่อนเปลี่ยนแปลงอะไรกับดิสก์
- เสียบสายชาร์จไว้ ขั้นตอนเข้ารหัสครั้งแรกอาจใช้เวลาตั้งแต่ไม่กี่นาทีจนถึงหลายชั่วโมงตามขนาดข้อมูล ใช้เครื่องต่อได้ระหว่างนั้น
- ตั้งรหัสผ่านเข้าเครื่องให้แข็งแรง การเข้ารหัสจะดีแค่ไหนก็ขึ้นกับรหัสที่ใช้ปลดล็อก ถ้ารหัสเดาง่ายก็ช่วยได้น้อย
- เตรียมที่เก็บคีย์กู้คืน เช่น บัญชีออนไลน์ที่เปิดการยืนยันสองขั้นตอน โปรแกรมจัดการรหัสผ่าน หรือกระดาษที่เก็บในตู้เซฟ
เปิด BitLocker บน Windows ทีละขั้น
ตรวจก่อนว่าเครื่องเข้ารหัสอยู่แล้วหรือไม่
คอม Windows รุ่นใหม่จำนวนมากเปิดการเข้ารหัสอุปกรณ์มาให้ตั้งแต่ตั้งค่าเครื่องครั้งแรกด้วยบัญชี Microsoft ให้เปิด การตั้งค่า > ความเป็นส่วนตัวและความปลอดภัย > การเข้ารหัสอุปกรณ์ ถ้าสถานะเป็นเปิด แปลว่าทำงานอยู่แล้ว ข้ามไปขั้นตอนตรวจคีย์กู้คืนได้เลย
Windows รุ่น Pro
- พิมพ์ "BitLocker" ในช่องค้นหา แล้วเปิด จัดการ BitLocker (Manage BitLocker)
- กด เปิด BitLocker (Turn on BitLocker) ที่ไดรฟ์ C:
- เลือกวิธีสำรองคีย์กู้คืน แนะนำให้บันทึกไปที่บัญชี Microsoft และพิมพ์หรือบันทึกไฟล์เก็บไว้อีกที่หนึ่ง
- เลือกเข้ารหัสเฉพาะพื้นที่ที่ใช้งาน สำหรับเครื่องใหม่ หรือทั้งไดรฟ์ สำหรับเครื่องที่ใช้มานาน
- เลือกโหมดการเข้ารหัสแบบใหม่ (New encryption mode) สำหรับไดรฟ์ในเครื่อง
- รีสตาร์ตตามที่ระบบแนะนำ แล้วรอให้การเข้ารหัสทำงานจนครบ
ถ้าต้องการเข้ารหัสแฟลชไดรฟ์หรือฮาร์ดดิสก์พกพาที่ใช้เก็บไฟล์งาน ให้ใช้ BitLocker To Go ในหน้าเดียวกัน ตั้งรหัสผ่านสำหรับไดรฟ์นั้นโดยเฉพาะ
เปิด FileVault บน Mac ทีละขั้น
- เปิด การตั้งค่าระบบ (System Settings) > ความเป็นส่วนตัวและความปลอดภัย (Privacy & Security)
- เลื่อนลงไปหาหัวข้อ FileVault แล้วกด เปิด (Turn On)
- เลือกวิธีปลดล็อกกรณีลืมรหัส ระหว่างใช้บัญชี iCloud หรือสร้างคีย์กู้คืนแล้วเก็บเอง
- ถ้าเลือกสร้างคีย์กู้คืน ให้จดเก็บทันทีในที่ปลอดภัย ระบบจะไม่แสดงซ้ำ
- ใช้งานต่อได้ตามปกติ การเข้ารหัสจะทำงานเบื้องหลังเมื่อเครื่องเสียบสายชาร์จ
คีย์กู้คืน: สิ่งที่ห้ามทำหาย
คีย์กู้คืน (Recovery Key) คือรหัสยาวที่ใช้ปลดล็อกดิสก์ในกรณีพิเศษ เช่น หลังอัปเดต BIOS เปลี่ยนเมนบอร์ด หรือระบบตรวจพบการเปลี่ยนแปลงฮาร์ดแวร์ ถ้าวันนั้นคุณไม่มีคีย์ ข้อมูลทั้งหมดจะเข้าไม่ได้ แม้แต่ช่างหรือบริษัทผู้ผลิตก็ช่วยไม่ได้
- เก็บอย่างน้อยสองที่ เช่น บัญชี Microsoft หรือ iCloud และโปรแกรมจัดการรหัสผ่าน
- ตั้งชื่อรายการให้ชัด เช่น "คีย์ BitLocker โน้ตบุ๊กงาน" พร้อมรหัสประจำคีย์ (Key ID) จะได้ไม่สับสนเมื่อมีหลายเครื่อง
- ไม่เก็บคีย์ไว้ในเครื่องเดียวกับที่เข้ารหัส เพราะถ้าเครื่องล็อกก็เปิดอ่านไม่ได้
- ตรวจคีย์ในบัญชี Microsoft ได้ที่หน้าอุปกรณ์ของบัญชี ทำเดี๋ยวนี้เลยก็ได้ว่ามีคีย์ของเครื่องคุณอยู่จริง
ถ้าเครื่องถามคีย์กู้คืนขึ้นมาเอง
บางครั้งหลังอัปเดต BIOS เปลี่ยนการตั้งค่าในเฟิร์มแวร์ หรือถอดดิสก์ไปซ่อม หน้าจอสีน้ำเงินจะขึ้นมาขอคีย์กู้คืน BitLocker อย่าตกใจและอย่ารีเซ็ตเครื่อง ให้ดูรหัสประจำคีย์ (Key ID) ที่แสดงบนจอ แล้วใช้มือถือหรือคอมอีกเครื่องเข้าหน้าอุปกรณ์ในบัญชี Microsoft เพื่อหาคีย์ที่รหัสตรงกัน พิมพ์คีย์ 48 หลักลงไป เครื่องจะกลับมาทำงานตามปกติ ถ้าเป็นเครื่องขององค์กร ให้ติดต่อฝ่ายไอทีซึ่งมักเก็บคีย์ไว้ในระบบจัดการอุปกรณ์
มือถือและแท็บเล็ตก็ต้องดูแล
iPhone และ Android รุ่นใหม่เข้ารหัสข้อมูลในเครื่องเป็นค่าเริ่มต้น แต่การเข้ารหัสจะปกป้องได้จริงเมื่อคุณตั้งรหัสล็อกหน้าจอ ถ้าไม่ได้ตั้งรหัส ใครหยิบเครื่องได้ก็เปิดอ่านได้ทันที
- ตั้งรหัสล็อกหน้าจอ 6 หลักขึ้นไป หรือรหัสตัวอักษรผสมตัวเลข และเปิดลายนิ้วมือหรือใบหน้าเพื่อความสะดวก
- เปิดฟีเจอร์ค้นหาเครื่อง เช่น Find My หรือ Find Hub (Find My Device เดิม) เพื่อสั่งล็อกหรือล้างเครื่องจากระยะไกลได้
- ตั้งให้ล็อกหน้าจออัตโนมัติภายในเวลาสั้นๆ
- ถ้ามี microSD เก็บไฟล์งาน ให้ตรวจว่าเครื่องรองรับการเข้ารหัสการ์ดหรือไม่
เช็กลิสต์ 10 นาที ปกป้องข้อมูลเมื่อเครื่องหาย
- ตรวจสถานะ BitLocker หรือ FileVault ว่าเปิดอยู่
- ยืนยันว่าคีย์กู้คืนอยู่ในบัญชีออนไลน์และอีกหนึ่งที่
- ตั้งรหัสผ่านเข้าเครื่องให้ยาวและไม่ซ้ำกับรหัสอื่น
- ตั้งล็อกหน้าจออัตโนมัติเมื่อไม่ใช้งาน
- เปิดฟีเจอร์ค้นหาอุปกรณ์บนคอมและมือถือ
- เข้ารหัสแฟลชไดรฟ์ที่พกไฟล์งาน
- จดหมายเลขเครื่องและรายการบัญชีที่ล็อกอินค้างไว้ เพื่อเปลี่ยนรหัสได้ทันทีถ้าเครื่องหาย
คำถามที่พบบ่อย
เข้ารหัสดิสก์แล้วเครื่องช้าลงไหม
คอมรุ่นใหม่มีชุดคำสั่งเข้ารหัสในชิป ผลต่อความเร็วในการใช้งานทั่วไปน้อยมากจนแทบไม่รู้สึก
ถ้าลืมรหัสผ่านเข้าเครื่องแต่มีคีย์กู้คืนจะเป็นอย่างไร
คีย์กู้คืนใช้ปลดล็อกดิสก์ได้ จากนั้นจึงรีเซ็ตรหัสผ่านบัญชีตามขั้นตอนของระบบ
จะขายเครื่องเก่า ต้องทำอะไรเพิ่ม
สำรองข้อมูล ออกจากระบบบัญชีทั้งหมด แล้วใช้คำสั่งรีเซ็ตเครื่องแบบล้างข้อมูล ดิสก์ที่เข้ารหัสไว้จะทำให้การล้างข้อมูลปลอดภัยยิ่งขึ้น
ถ้าเครื่องหายไปแล้วควรทำอะไรก่อน
สั่งล็อกเครื่องผ่านระบบค้นหาอุปกรณ์ เปลี่ยนรหัสผ่านบัญชีสำคัญ ออกจากระบบทุกอุปกรณ์ และแจ้งฝ่ายไอทีถ้าเป็นเครื่องงาน
