Microsoft เข้ารหัสอุปกรณ์ Windows ใหม่โดยอัตโนมัติและเก็บ Windows 11/10 Device Encryption Key ไว้ที่ OneDrive เมื่อคุณลงชื่อเข้าใช้ด้วย Microsoft Account บทความนี้พูดถึงเหตุผลที่ Microsoft ทำเช่นนี้ เราจะดูวิธีลบคีย์เข้ารหัสนี้และสร้างคีย์ของตัวเองโดยไม่ต้องแชร์กับ Microsoft
Windows 11/10 Device Encryption Key
หากซื้อคอมพิวเตอร์ Windows 11/10 ใหม่และลงชื่อเข้าใช้ด้วย Microsoft account อุปกรณ์จะถูกเข้ารหัสโดย Windows และคีย์เข้ารหัสจะถูกเก็บอัตโนมัติที่ OneDrive นี่ไม่ใช่เรื่องใหม่ มีมาตั้งแต่ Windows 8 แต่อย่างไรก็ตาม คำถามเกี่ยวกับความปลอดภัยได้ถูกยกขึ้นมาล่าสุด
สำหรับฟีเจอร์นี้ ต้องมีฮาร์ดแวร์ที่รองรับ connected standby ตรงตามข้อกำหนด Windows Hardware Certification Kit (HCK) สำหรับ TPM และ SecureBoot บนระบบ ConnectedStandby หากอุปกรณ์รองรับ จะเห็นการตั้งค่าที่ Settings > System > About สามารถเปิด/ปิด Device Encryption ได้
Disk หรือ Device Encryption ใน Windows 11/10 เป็นฟีเจอร์ที่ดีและเปิดใช้งานโดยค่าเริ่มต้นใน Windows 10 ฟีเจอร์นี้เข้ารหัสอุปกรณ์แล้วเก็บคีย์เข้ารหัสที่ OneDrive ใน Microsoft Account ของคุณ
Device encryption เปิดใช้งานอัตโนมัติเพื่อให้อุปกรณ์ได้รับการปกป้องตลอดเวลา ตาม TechNet รายการด้านล่าง रूपर่างวิธีการทำงาน:
- เมื่อติดตั้ง Windows 8.1/10 ใหม่เสร็จสิ้น คอมพิวเตอร์จะเตรียมพร้อมสำหรับการใช้งานครั้งแรก ในส่วนนี้ device encryption จะถูกเริ่มต้นบนดราว์วระบบและดราว์ข้อมูลคงที่ด้วย clear key
- หากอุปกรณ์ไม่ได้ join domain ต้องมี Microsoft Account ที่ได้รับสิทธิ์ผู้ดูแลระบบบนอุปกรณ์ เมื่อผู้ดูแลใช้ Microsoft account ลงชื่อเข้าใช้ clear key จะถูกลบ recovery key จะถูกอัปโหลดไปยัง Microsoft account ออนไลน์ และ TPM protector จะถูกสร้าง หากอุปกรณ์ต้องการ recovery key ผู้ใช้จะได้รับแนวทางไปที่ URL เข้าถึง recovery key เพื่อดึงคีย์ด้วย Microsoft Account credentials
- หากผู้ใช้ลงชื่อเข้าใช้ด้วย domain account clear key จะไม่ถูกลบจนกว่าผู้ใช้จะ join อุปกรณ์เข้าดอเมน และ recovery key จะถูกสำรองไว้ที่ Active Directory Domain Services สำเร็จแล้ว
สิ่งนี้แตกต่างจาก BitLocker ที่คุณต้องเริ่ม BitLocker และทำตามขั้นตอน ขณะที่ทั้งนี้ทำอัตโนมัติโดยไม่รู้หรือแทรกแซงของผู้ใช้ เมื่อเปิด BitLocker คุณถูกบังคับสำรอง recovery key แต่มี 3 ตัวเลือก: บันทึกใน Microsoft account, บันทึกใน USB, หรือพิมพ์
นักวิจัยกล่าว:
ทันทีที่ recovery key ออกจากคอมพิวเตอร์ของคุณ คุณไม่มีทางรู้ว่าเกิดอะไรขึ้นกับมัน แฮกเกอร์อาจแฮก Microsoft account ของคุณแล้วและคัดลอก recovery key ก่อนที่คุณจะลบมันทันหรือ Microsoft เองอาจถูกแฮก หรือมีพนักงานซื่อสัตย์ที่เข้าถึงข้อมูลผู้ใช้ หรือหน่วยบังคับกฎหมาย/หน่วยบัณฑิตกิจอาจส่งคำร้องขอข้อมูลทั้งหมดในบัญชีของคุณให้ Microsoft ซึ่งบังคับทางกฎหมายให้ส่งมอบ recovery key ของคุณ แม้คุณจะลบมันทันทีหลังตั้งค่าคอมพิวเตอร์
Microsoft ตอบกลับว่า:
เมื่ออุปกรณ์เข้าสู่ recovery mode และผู้ใช้ไม่มี recovery key ข้อมูลบนดราว์จะเข้าถึงไม่ได้ถาวร ตามความเป็นไปได้ของผลลัพธ์นี้และสำรวจความคิดเห็นลูกค้าอย่างกว้างขวาง เราเลือกที่จะสำรอง recovery key ของผู้ใช้อัตโนมัติ Recovery key ต้องการการเข้าถึงทางกายภาพอุปกรณ์ของผู้ใช้ และไม่มีประโยชน์โดยไม่มีมัน
ดังนั้น Microsoft ตัดสินใจสำรองคีย์เข้ารหัสอัตโนมัติที่เซิร์ฟเวอร์เพื่อให้แน่ใจว่าผู้ใช้ไม่สูญเสียข้อมูลหากอุปกรณ์เข้าสู่ Recovery mode และพวกเขาไม่มี recovery key
คุณเห็นว่าเพื่อ exploit ฟีเจอร์นี้ โจมตีต้องเข้าถึงทั้ง recovery key ที่สำรองไว้ และเข้าถึงทางกายภาพอุปกรณ์คอมพิวเตอร์ของคุณ เนื่องจากดูเป็นไปได้น้อยมาก ไม่จำเป็นต้องตกเป็นจิตหลอน แต่ต้องแน่ใจว่าคุณปกป้อง Microsoft Account ให้เต็มที่ และปล่อยให้การตั้งค่า device encryption อยู่ที่ค่าเริ่มต้น
อย่างไรก็ตาม หากต้องการลบคีย์เข้ารหัสนี้จากเซิร์ฟเวอร์ของ Microsoft นี่คือวิธีการ
วิธีลบคีย์เข้ารหัส
ไม่มีวิธีป้องกันอุปกรณ์ Windows ใหม่จากการอัปโหลด recovery key ครั้งแรกที่ลงชื่อเข้าใช้ Microsoft account แต่สามารถลบคีย์ที่อัปโหลดได้
หากไม่ต้องการให้ Microsoft เก็บคีย์เข้ารหัสบนคลาวด์ ต้องไปที่หน้า OneDrive นี้และ ลบคีย์ จากนั้น ปิดใช้งาน Disk encryption feature โปรดทราบ หากทำเช่นนี้ จะไม่สามารถใช้ฟีเจอร์ป้องกันข้อมูลในตัวนี้ได้หากคอมพิวเตอร์หายหรือถูกขโมย
เมื่อลบ recovery key จากบัญชีบนเว็บไซต์นี้ จะถูกลบทันที และสำเนาที่เก็บบนดราว์สำรองก็จะถูกลบในไม่ช้า
The recovery key password is deleted right away from the customer's online profile. As the drives that are used for failover and backup are sync'd up with the latest data the keys are removed, says Microsoft.
วิธีสร้างคีย์เข้ารหัสของตัวเอง
ผู้ใช้ Windows 10 Pro และ Enterprise สามารถสร้างคีย์เข้ารหัสใหม่ที่ไม่ส่งไปยัง Microsoft ได้ ต้องปิด BitLocker เพื่อถอดรหัสดิสก์ แล้วเปิด BitLocker ใหม่
ขณะทำจะถูกถามว่าต้องการสำรอง BitLocker Drive Encryption Recovery Key ที่ไหน คีย์นี้จะไม่ถูกแชร์กับ Microsoft แต่ต้องเก็บไว้ให้ปลอดภัย เพราะหากสูญเสีย อาจสูญเสียการเข้าถึงข้อมูลที่เข้ารหัสทั้งหมด
