Hiểu mã hóa lưu trữ với VeraCrypt, BitLocker và Cryptomator; phân biệt khóa, mở và sao lưu, thực hành kiểm tra bản sao container và phục hồi tệp.
Máy tính xách tay bị mất khi đã tắt, một tệp báo cáo bị gửi nhầm, và tài khoản cloud bị truy cập trái phép là ba tình huống khác nhau. Mã hóa ổ đĩa có thể giúp ở tình huống đầu nhưng không tự bảo vệ bản báo cáo đã xuất ra ngoài. Chọn đúng lớp bảo vệ bắt đầu từ việc xác định dữ liệu nằm ở đâu và ai có thể mở khóa.
Sau bài học, bạn phân biệt mã hóa volume, container và vault theo tệp; chuẩn bị thực hành VeraCrypt, nhận diện vai trò BitLocker, và mô tả quy trình Cryptomator cùng phương án phục hồi. Cần biết tệp, thư mục, bản sao lưu và khái niệm khóa từ bài mật mã.
Bài độc lập tham chiếu mục 022.4, giáo trình Security Essentials 1.0 tiếng Việt ngày 15/04/2026, trang in 116–134. Đối chiếu tài liệu hãng đến 23/10/2026. Phần thực nghiệm đã chạy VeraCrypt 1.26.29 ARM64, cryptsetup 2.8.4 và mtools trong Ubuntu 26.04.1 cô lập. Chưa kiểm thử giao diện VeraCrypt, Windows/BitLocker, Cryptomator hoặc đồng bộ cloud; hướng dẫn các phần đó dựa trên nguồn chính thức và có tiêu chí để người học tự xác nhận.
Mã hóa volume bảo vệ dữ liệu trong phạm vi volume được cấu hình, đặc biệt trước truy cập ngoại tuyến khi thiết bị bị mất. Không hiểu “toàn bộ đĩa” là mọi byte vật lý, mọi phân vùng khởi động và mọi bản sao đều được mã hóa. Khi hệ điều hành đã mở khóa volume, ứng dụng có quyền vẫn có thể đọc dữ liệu.
Container VeraCrypt là tệp chứa một volume mã hóa. Sau khi mount, nội dung xuất hiện qua một đường dẫn hoặc ổ ảo. Tệp tạo ngoài volume đó vẫn nằm ngoài phạm vi bảo vệ. Container có thể bị xóa như tệp khác; mật mã không khôi phục được dữ liệu đã mất nếu không có bản sao phù hợp.
Cryptomator tạo vault mã hóa theo tệp, phù hợp với quy trình đồng bộ cloud. Cần phân biệt thư mục chứa ciphertext với ổ hoặc đường dẫn plaintext sau unlock. Thao tác trong ổ plaintext được phản ánh thành dữ liệu mã hóa tại vị trí lưu vault; việc tải dữ liệu lên cloud do phần mềm đồng bộ đảm nhiệm.
| Nhu cầu giả lập | Công cụ trong bài | Cần kiểm tra thêm |
|---|---|---|
| Bảo vệ volume Windows trên laptop | BitLocker | Edition, trạng thái bảo vệ, thông tin khôi phục |
| Mang một volume trong tệp | VeraCrypt | Đường dẫn container, mount/unmount, bản sao |
| Mã hóa trước khi đồng bộ từng tệp | Cryptomator | Đúng thư mục vault, sync client, xung đột |
Câu hỏi luôn đi kèm là “đang khóa hay mở?”. Mật khẩu mạnh không ngăn mã độc đọc tệp qua một vault đang mở. Bản tạm, bản tự lưu của ứng dụng hoặc bản xuất ra thư mục khác cũng cần được xét riêng.
Trang tải chính thức công bố bản ổn định 1.26.29. Chọn đúng hệ điều hành và kiến trúc; kiểm tra chữ ký theo hướng dẫn xác minh. Lab đã đối chiếu fingerprint công bố với khóa dùng kiểm chữ ký gói ARM64. Chữ ký hợp lệ và nguồn khóa tin cậy là hai phần cần xem cùng nhau.
Hướng dẫn nhập môn chọn Create Volume → encrypted file container → standard volume. Chọn tên tệp mới trong thư mục lab, không chọn ổ hoặc phân vùng chứa dữ liệu thật. Tại bước chọn vị trí, nếu chọn tệp đã có, quá trình tạo container sẽ ghi đè tệp đó, không mã hóa nội dung cũ của nó.
Sau khi chọn kích thước, thuật toán và mật khẩu phù hợp với môi trường, hoàn tất tạo volume, mount rồi đưa tệp thử vào ổ ảo. Đóng ứng dụng đang dùng tệp trước khi unmount. Kiểm tra không còn truy cập được đường dẫn plaintext, sau đó mount lại và đọc dữ liệu. Không dùng force unmount như bước mặc định khi có chương trình chưa ghi xong.
VeraCrypt hỗ trợ container trên nhiều nền tảng nhưng phạm vi mã hóa hệ điều hành khác nhau. Danh sách system encryption hiện nêu Windows x64 phù hợp; Windows ARM64 chỉ hỗ trợ volume không phải hệ thống. Không suy từ việc mở container trên Linux/macOS thành khả năng mã hóa hệ điều hành của chúng bằng cùng quy trình.
Fixture tạo một container FAT 10 MiB mới, dùng AES với header HMAC-SHA-512, mật khẩu giả chỉ dành cho lab. Dữ liệu được ghi và đọc qua volume giải mã của VeraCrypt bằng mtools, rồi so byte. Tiếp theo fixture unmount, sao chép container mã hóa sang tên mới, mount bản sao và đọc lại tệp. Các phép so đều đạt; loop device của fixture được tháo sau khi kết thúc.
Để tự thực hành theo giao diện trên máy ảo riêng, tạo một tệp văn bản nhỏ có nội dung không nhạy cảm rồi thực hiện:
cmp như ví dụ bên dưới, thay đường dẫn bằng tệp thực tế của lab.cmp /duong-dan-lab/tham-chieu.txt /duong-dan-lab/phuc-hoi.txt
Kỳ vọng mã thoát 0, không có thông báo khác biệt. cmp chỉ so dữ liệu; nó không chứng minh độ mạnh mật mã hay danh tính tác giả. Phép thử bổ sung bằng cryptsetup đã mở header bằng mật khẩu đúng và từ chối mật khẩu sai, nhưng kiểm header riêng không thay cho việc đọc được tệp bên trong.
Môi trường tự động của chúng tôi dùng FUSE/loop trong container riêng, không mount đĩa host. Bài tập GUI ở trên chưa được chạy bằng giao diện. Nếu môi trường của bạn không mount được volume, ghi nhận giới hạn đó; đừng đánh dấu phục hồi thành công chỉ vì tạo được tệp container.
Microsoft mô tả BitLocker là mã hóa volume nhằm giảm rủi ro dữ liệu bị đọc khi thiết bị bị mất hoặc bị tiếp cận ngoại tuyến. TPM có thể hỗ trợ bảo vệ khóa theo trạng thái nền tảng. PIN khởi động là lựa chọn theo cấu hình, không phải mọi máy bật BitLocker đều hỏi PIN trước Windows.
Phân biệt khả năng bật/quản lý BitLocker theo edition với Device Encryption trên thiết bị đủ điều kiện. Không kết luận máy Windows Home luôn không có mã hóa, hoặc cứ thấy mục mã hóa là đã được bảo vệ đầy đủ. Điều kiện Device Encryption cũng có thay đổi từ Windows 11 24H2; đối chiếu đúng phiên bản và chính sách tổ chức.
Help Desk cần biết ai quản lý thiết bị, volume nào được bảo vệ và thông tin khôi phục được giữ ở đâu trước khi hướng dẫn sửa firmware, TPM hoặc khởi động. Không yêu cầu người dùng chụp hoặc gửi recovery password vào ticket thông thường. Dùng kênh được tổ chức cấp quyền, xác minh thiết bị và người yêu cầu trước khi hỗ trợ.
Hướng dẫn khôi phục của Microsoft phân biệt recovery password 48 chữ số với recovery key dạng tệp .bek. Thay đổi thành phần khởi động hoặc TPM có thể dẫn đến yêu cầu khôi phục. Không xóa TPM, format volume hoặc tắt bảo vệ chỉ để thử một giả thuyết khi chưa có phương án phục hồi được phê duyệt.
Bài này không chạy BitLocker và không cung cấp lệnh bật mã hóa ổ thật. Bài tập giấy: ghi thiết bị giả, volume cần bảo vệ, nơi lưu thông tin khôi phục, người có quyền lấy và tiêu chí xác nhận truy cập lại. Việc biết địa chỉ kho khôi phục chưa chứng minh bản ghi phù hợp đang tồn tại và dùng được.
Theo quy trình thêm vault, chọn Create New Vault, tên và vị trí lưu dữ liệu mã hóa, rồi đặt mật khẩu. Với bài tập ban đầu, chọn thư mục local mới và dữ liệu giả. Nếu sau này dùng cloud, vị trí ciphertext cần nằm trong thư mục do sync client quản lý. Cryptomator không tự thay thế ứng dụng đồng bộ của nhà cung cấp.
Sau unlock, mở đường dẫn plaintext do ứng dụng cung cấp để tạo tệp thử. Đóng tệp, lock vault rồi kiểm tra tệp mã hóa ở vị trí lưu vault vẫn tồn tại. Đừng chép dữ liệu plaintext trực tiếp cạnh các tệp cấu hình ciphertext rồi nghĩ rằng nó được bảo vệ. Ghi phiên bản ứng dụng và loại volume vì cách mount phụ thuộc nền tảng.
Security Target nêu nội dung và tên tệp được mã hóa, trong khi kích thước, số lượng và timestamps còn có thể quan sát. Công cụ cũng không bảo vệ trước mã độc đọc nội dung khi vault mở. Không quảng bá vault là che mọi metadata hoặc phát hiện mọi loại đổi tên, tráo liên kết tệp.
Recovery key là thông tin nhạy cảm cho phép đặt lại mật khẩu, cần giữ tách biệt và bảo vệ tương ứng. Đổi mật khẩu không tự mã hóa lại toàn bộ dữ liệu bằng khóa mới; lịch sử phiên bản của masterkey cũ có thể còn ảnh hưởng. Khi cần loại bỏ quyền truy cập cũ, đánh giá toàn bộ bản sao và quy trình chuyển vault, thay vì chỉ đổi mật khẩu rồi kết luận hoàn tất.
Để thử phục hồi theo tài liệu hãng, khôi phục đầy đủ vault sang vị trí riêng ngoài thư mục vault đang dùng và ngoài thư mục sync. Mở nó như vault thứ hai, dùng thông tin phù hợp tại thời điểm sao lưu, lấy tệp cần phục hồi rồi so nội dung. Chúng tôi chưa chạy quy trình Cryptomator này; đó là bài thực hành có kết quả cần tự xác nhận.
Đồng bộ không đồng nghĩa sao lưu độc lập: xóa hoặc sửa nhầm vẫn có thể được truyền sang thiết bị khác. Với xung đột đồng bộ, giữ các phiên bản để đối chiếu trước khi chọn bản cần dùng. Không đổi tên hoặc xóa ngẫu nhiên tệp ciphertext để làm giao diện bớt lỗi.
Sao lưu thông tin mở khóa không thay cho sao lưu dữ liệu, và sao lưu dữ liệu mã hóa thiếu khóa có thể không phục hồi được. Không khẳng định ghi đè tệp plaintext trên SSD chắc chắn xóa hết các bản cũ; snapshot, lịch sử cloud và cơ chế lưu trữ cần được xử lý theo chính sách riêng.
Học bảo vệ quyền riêng tư qua cookie, fingerprinting, hồ sơ và quyền dữ liệu; thực hành quan sát cookie trong lab riêng, phân biệt xóa cục bộ và log server.
Học giao tiếp an toàn qua phishing, tệp đính kèm, phân loại thông tin và quyền cloud; thực hành xác minh người nhận, giảm dữ liệu và xử lý chia sẻ nhầm.
Hiểu danh tính và xác thực với mật khẩu, MFA, passkeys và SSO; đối chiếu NIST 800-63B-4, thực hành salt và băm, lập đường khôi phục tài khoản phù hợp.
Phân biệt mã hóa mạng và ẩn danh với VPN, proxy, Tor và E2EE; đọc ranh giới bảo vệ, hiểu bút danh blockchain qua bốn tình huống thực hành giả định.