ทำไม Windows ถึงลืมอุปกรณ์ USB และติดตั้งใหม่ทุกครั้ง?

¿ทำไม Windows ถึง "ลืม" อุปกรณ์ USB ที่รู้จัก และติดตั้งใหม่ทุกครั้ง? หากทุกครั้งที่คุณเสียบแฟลชไดรฟ์ USB ฮาร์ดไดรฟ์ภายนอก หรือเมมโมรี่สติ๊กเข้ากับพีซีของคุณ แล้วเห็นข้อความ "กำลังติดตั้งไดรเวอร์อุปกรณ์" ซ้ำแล้วซ้ำเล่าราวกับเป็นครั้งแรก ก็เป็นเรื่องปกติที่จะสงสัยว่า Windows กำลังทำอะไรอยู่กันแน่ นี่ไม่ใช่แค่ความผิดพลาดของระบบเท่านั้น แต่เบื้องหลังนั้นมีเรื่องของการออกแบบ ความปลอดภัย และความเข้ากันได้เข้ามาเกี่ยวข้องด้วย ซึ่งเป็นสิ่งสำคัญที่ต้องเข้าใจเพื่อไม่ให้เสียสติหรือเสียเวลาไปโดยเปล่าประโยชน์

ในขณะเดียวกัน ผู้ใช้หลายคนก็พบกับ “ปริศนา” อื่นๆ ที่เกี่ยวข้อง เช่น BitLocker ล่มอย่างกะทันหันหลังจากการอัปเดต ตัวจัดการการบูตหายไปเมื่อติดตั้ง Windows ควบคู่ไปกับ Linux หรือระบบทำงานช้าลงหลังจากลองใช้ “เทคนิคมหัศจรรย์” ต่างๆ พฤติกรรมทั้งหมดเหล่านี้มีจุดร่วมกันคือ วิธีที่ Windows ตรวจจับฮาร์ดแวร์ จัดการกระบวนการบูต ปกป้องข้อมูล และควบคุมพลังงานและพวกเขามีความเชื่อมโยงกันมากกว่าที่คิด

เหตุใด Windows จึงดูเหมือนจะ "ลืม" ไดรฟ์ USB ของคุณและติดตั้งไดรเวอร์ใหม่

สิ่งแรกที่ต้องเข้าใจคือ Windows ไม่ได้จัดการอุปกรณ์ USB ทุกชนิดเหมือนกันหมด อุปกรณ์แต่ละชิ้นจะถูกระบุด้วยรหัสผู้ผลิต รหัสผลิตภัณฑ์ ประเภท และมักจะมีหมายเลขประจำเครื่องด้วยร่องรอยการใช้งานนั้นจะถูกบันทึกไว้ในรีจิสทรีพร้อมกับไดรเวอร์ที่ใช้ แต่ไม่ได้ถูกนำกลับมาใช้ซ้ำในแบบที่คุณคาดหวังเสมอไป

เมื่อคุณเชื่อมต่อไดรฟ์ USB เป็นครั้งแรก Windows จะตรวจสอบข้อมูลนั้นและตัดสินใจว่าจะใช้ไดรเวอร์ทั่วไป (เช่น usbstor.sys) หรือไดรเวอร์เฉพาะใด ทันทีที่ Windows ตรวจพบ ID หรือพอร์ต "ใหม่" ที่ไม่เคยพบมาก่อนกับอุปกรณ์นั้น Windows ก็สามารถสร้างอินสแตนซ์เพิ่มเติมในรีจิสทรีได้ และทำงานราวกับว่าเป็นฮาร์ดแวร์ใหม่ โดยแสดงตัวช่วยติดตั้งขึ้นมา

ปัญหานี้จะยิ่งแย่ลงหากคุณเสียบอุปกรณ์ USB ตัวเดียวกันเข้ากับพอร์ตที่แตกต่างกัน ในระบบหลายๆ ระบบจะสร้างรายการอุปกรณ์สำหรับแต่ละคู่พอร์ต-อุปกรณ์วิธีนี้ทำให้ Windows สามารถปรับการตั้งค่า (พลังงาน ตัวอักษรไดรฟ์ นโยบายการถอดอุปกรณ์อย่างรวดเร็ว) สำหรับพอร์ตแต่ละพอร์ตได้ ผลที่ตามมาคือ คุณจะเห็นข้อความ "กำลังกำหนดค่าอุปกรณ์" ซ้ำๆ แม้ว่าคุณจะใช้ไดรฟ์ USB ตัวเดิมตลอดก็ตาม

ในบางกรณี หลังจากอัปเดต Windows หรือมีการเปลี่ยนแปลงครั้งใหญ่ (เช่น ไดรเวอร์ชิปเซ็ต, BIOS/UEFI, โหมดพลังงาน) ระบบจะลบข้อมูลในแคชบางส่วนทิ้ง เพื่อให้มั่นใจในเสถียรภาพและหลีกเลี่ยงปัญหาขัดแย้ง Windows จึงแนะนำให้ติดตั้งอุปกรณ์ใหม่โดยใช้ไดรเวอร์เวอร์ชั่นล่าสุด แทนที่จะพึ่งพาการตั้งค่าแบบเก่าที่อาจไม่เข้ากันได้

ประเภทของอุปกรณ์ USB ก็มีความสำคัญเช่นกัน อุปกรณ์จัดเก็บข้อมูลขนาดใหญ่ทั่วไปนั้นไม่เหมือนกับแป้นพิมพ์ อินเทอร์เฟซเสียง หรือดองเกิลรักษาความปลอดภัย อุปกรณ์แบบรวมฟังก์ชัน (เช่น USB ที่ทำหน้าที่ทั้งเป็นอุปกรณ์จัดเก็บข้อมูลและอุปกรณ์ป้อนข้อมูล) สามารถสร้างการติดตั้งภายในได้หลายรายการซึ่งยิ่งทำให้รู้สึกว่าระบบ "จำอะไรไม่ได้เลย"

ความปลอดภัย การเข้ารหัส และสาเหตุที่ Windows ของคุณหยุดบูตในบางครั้ง

นอกเหนือจากไดรฟ์ USB แล้ว ยังมีผู้ใช้บางรายที่หลังจากอัปเดต Windows 10 หรือ 11 แล้ว จู่ๆ คอมพิวเตอร์ของตนก็เริ่มต้นทำงานโดยขอรหัส BitLocker ซึ่งพวกเขาจำไม่ได้ว่าเคยตั้งค่าไว้ BitLocker คือระบบเข้ารหัสข้อมูลบนดิสก์ของ Microsoft และสามารถเปิดใช้งานโดยอัตโนมัติในคอมพิวเตอร์รุ่นใหม่บางรุ่นโดยเฉพาะแล็ปท็อปที่มี TPM และเชื่อมโยงกับบัญชี Microsoft หรือ Microsoft Entra ID (เดิมคือ Azure AD)

หากเกิดกรณีฉุกเฉินขึ้น หลังจากอัปเดตแล้วแล็ปท็อปค้างอยู่ที่หน้าจอสีฟ้าและขอให้ป้อน PIN หรือรหัสกู้คืน แต่รหัสดังกล่าวไม่ปรากฏในบัญชี Microsoft ดังเช่นกรณีทั่วไปของ Asus Zenbook สถานการณ์นั้นถือว่าวิกฤต BitLocker ถูกออกแบบมาอย่างแม่นยำเพื่อให้ข้อมูลไม่สามารถกู้คืนได้หากไม่มีรหัสกู้คืนไม่สามารถ "บังคับ" การเข้าถึงดิสก์จากภายนอกได้ เนื่องจากเนื้อหาถูกเข้ารหัสด้วยรหัสที่เฉพาะ TPM และข้อมูลประจำตัวที่ถูกต้องเท่านั้นที่รู้

BitLocker สามารถเข้าสู่โหมดกู้คืนได้หากตรวจพบการเปลี่ยนแปลงในกระบวนการบูต เช่น การอัปเดต BIOS/UEFI การแก้ไขการกำหนดค่า TPM การเปลี่ยนแปลง PCR (Platform Configuration Register) การเปลี่ยนแปลงลำดับการบูต หรือแม้แต่การเปลี่ยนแปลงฮาร์ดแวร์ทางกายภาพ การตรวจสอบความถูกต้องเหล่านี้เป็นสิ่งที่ป้องกันไม่ให้ใครขโมยฮาร์ดดิสก์ของคุณไปอ่านข้อมูลในคอมพิวเตอร์เครื่องอื่นได้แต่พวกมันก็อาจเป็นศัตรูของคุณได้เช่นกัน หากคุณไม่ได้บันทึกรหัสกู้คืนไว้

สำหรับอุปกรณ์ที่เชื่อมต่อกับ Microsoft Entra ID หรืออุปกรณ์ที่บริษัทเป็นผู้จัดการ พฤติกรรมจะแตกต่างออกไป: เมื่อ BitLocker ถูกระงับโดยอัตโนมัติ (เช่น ระหว่างการรีสตาร์ทเพื่อบำรุงรักษา) Windows จะพยายามกลับมาเปิดใช้งานการป้องกันอีกครั้งในการบูตครั้งถัดไป และสร้างสำเนาของรหัสกู้คืนในไดเร็กทอรีที่เหมาะสม หากนโยบายกำหนดให้ต้องสำรองข้อมูลรหัส ระบบอาจรอการเชื่อมต่อเครือข่ายได้นานถึง 60 วินาที หากไม่ได้รับการเชื่อมต่อ การป้องกันจะไม่กลับมาทำงานต่อ เพื่อป้องกันไม่ให้ดิสก์ที่เข้ารหัสไม่มีสำเนาของรหัส

ทั้งหมดนี้เกี่ยวข้องกับการใช้งาน TPM (Trusted Platform Module) TPM ทำหน้าที่จัดเก็บคีย์ เสริมความแข็งแกร่งในการตรวจสอบสิทธิ์ก่อนบูต และช่วยให้ BitLocker สามารถเชื่อมโยงสถานะของอุปกรณ์เข้ากับความสามารถในการถอดรหัสไดรฟ์ได้คุณสามารถตรวจสอบได้ว่าพีซีของคุณมี TPM หรือไม่ และผู้ผลิตคือใคร จาก Windows หรือคอนโซล ซึ่งเป็นสิ่งสำคัญที่จะช่วยให้คุณทราบว่ามีตัวเลือกการป้องกันใดบ้างที่พร้อมใช้งานสำหรับคุณ

BitLocker ทั้งแบบมีและไม่มี TPM, การแบ่งพาร์ติชั่น และข้อกำหนดพื้นฐาน

เพื่อให้ BitLocker ทำงานบนไดรฟ์ระบบปฏิบัติการได้ Windows ต้องมีคุณสมบัติตรงตามข้อกำหนดบางประการ สิ่งที่เห็นได้ชัดที่สุดคือการมีพาร์ติชั่นอย่างน้อยสองพาร์ติชั่น: พาร์ติชั่นหนึ่งสำหรับระบบ (เข้ารหัส) และอีกพาร์ติชั่นเล็กๆ ที่ไม่ได้เข้ารหัสสำหรับไฟล์บูตปัญหาประเภทต่อไปนี้อาจเกิดขึ้นได้ เมื่อ Windows แจ้งว่าพื้นที่ไม่เพียงพอ หากโครงสร้างพาร์ติชันไม่เป็นไปตามที่คาดไว้

เมื่อคุณมี TPM แล้ว โดยปกติจะใช้เป็นวิธีการตรวจสอบสิทธิ์หลัก และหากจำเป็น ให้ใช้ร่วมกับสิ่งที่คุณรู้จักหรือมีอยู่ เช่น PIN สำหรับบูตเครื่อง หรือคีย์เริ่มต้นที่บันทึกไว้ในไดรฟ์ USB เป็นต้น BitLocker รองรับการตรวจสอบสิทธิ์แบบหลายปัจจัย แต่มีวิธีการที่ค่อนข้างเฉพาะตัว คือ มันจะรวมรหัสลับที่เก็บไว้ใน TPM เข้ากับปัจจัยเพิ่มเติม เช่น PIN หรือกุญแจบนอุปกรณ์ภายนอกแทนที่จะจำกัดอยู่แค่ชื่อผู้ใช้/รหัสผ่านเหมือนกับการล็อกอินปกติ

แม้ไม่มี TPM ไดรฟ์ระบบก็สามารถเข้ารหัสได้เช่นกัน แต่จะมีรายละเอียดปลีกย่อยบางประการ ในกรณีนั้น BitLocker จะกำหนดให้คุณใช้วิธีอื่น เช่น รหัส PIN หรือรหัสเริ่มต้นที่จัดเก็บไว้ในไดรฟ์ USBและต้องเปิดใช้งานผ่านนโยบาย (GPEDIT หรือเครื่องมือการจัดการอื่นๆ) ซึ่งจะเพิ่มความรับผิดชอบของผู้ใช้: หากคุณลืมรหัสผ่านหรือแฟลชไดรฟ์ USB คุณจะเข้าสู่ระบบไม่ได้

สิทธิ์ของผู้ใช้ในการจัดการ BitLocker นั้นไม่ใช่เรื่องง่าย: จำเป็นต้องมีสิทธิ์ผู้ดูแลระบบเพื่อเปิดใช้งานการเข้ารหัส จัดการคีย์ ระงับการป้องกัน หรือถอดรหัสไดรฟ์ในสภาพแวดล้อมทางธุรกิจ งานเหล่านี้มักจะถูกมอบหมายให้แก่กลุ่มเฉพาะ และเหตุการณ์ต่างๆ จะถูกบันทึกไว้ในระบบเพื่อวัตถุประสงค์ในการตรวจสอบ

รายละเอียดสำคัญอีกอย่างคือลำดับการเริ่มต้น หากคอมพิวเตอร์ของคุณได้รับการปกป้องด้วย BitLocker ขอแนะนำให้บูตเครื่องจากไดรฟ์ภายในที่เข้ารหัสไว้ก่อนเสมอวิธีนี้จะตัดตัวเลือกการบูตผ่าน USB หรือเครือข่ายออกไป และป้องกันด้วยรหัสผ่านใน BIOS/UEFI ซึ่งจะช่วยลดความเสี่ยงที่บุคคลอื่นจะพยายามเปลี่ยนแปลงสภาพแวดล้อมการบูตเพื่อหลีกเลี่ยงการเข้ารหัส

การอัปเดต Windows, การระงับ BitLocker และประสิทธิภาพ

เมื่อถึงเวลาต้องอัปเดตเวอร์ชัน Windows หรือติดตั้งแพ็กเกจการอัปเดตขนาดใหญ่ คำถามที่เกิดขึ้นคือ ควรปิดใช้งาน BitLocker ชั่วคราว หรือปล่อยไว้ตามเดิมดี? Windows อนุญาตให้ทำการอัปเดตได้แม้ว่า BitLocker จะเปิดใช้งานอยู่ แต่โดยปกติแล้วจะระงับการป้องกันชั่วคราวเพื่อป้องกันไม่ให้การเปลี่ยนแปลงการบูตบังคับให้เข้าสู่โหมดกู้คืน.

การระงับการทำงานของ BitLocker ไม่เหมือนกับการถอดรหัสข้อมูล เมื่อระบบเข้าสู่โหมดพักเครื่อง กุญแจจะยังคงอยู่ แต่ระบบจะหยุดการตรวจสอบสิทธิ์ก่อนบูตเครื่องเป็นจำนวนครั้งที่จำกัดวิธีนี้จะช่วยให้การอัปเดตเสร็จสมบูรณ์โดยไม่ต้องเปลี่ยนแปลงไฟล์บูตหรือเคอร์เนล ซึ่งจะทำให้โหมดการกู้คืนทำงาน เมื่อเสร็จสิ้นแล้ว Windows จะพยายามกลับมาใช้งานระบบป้องกันโดยอัตโนมัติ

ในทางกลับกัน การถอดรหัสเกี่ยวข้องกับการลบการเข้ารหัสออกจากไดรฟ์โดยสมบูรณ์ ซึ่งเป็นกระบวนการที่ใช้เวลานานและทำให้ข้อมูลของคุณอยู่ในรูปแบบข้อความธรรมดาในระหว่างนั้น ดังนั้น ยกเว้นในสถานการณ์เฉพาะบางอย่าง การระงับการทำงานและไม่ถอดรหัสข้อมูลจึงเป็นทางเลือกที่ดีกว่าเมื่อคุณกำลังจะอัปเดตหรือทำการบำรุงรักษาโดยเฉพาะแล็ปท็อปที่นำออกจากที่ทำงาน

ในแง่ของประสิทธิภาพ BitLocker ถือว่าทำงานได้ค่อนข้างดีเยี่ยม ในระบบสมัยใหม่ที่มี SSD และการเร่งความเร็วด้วยฮาร์ดแวร์ (AES-NI และอื่นๆ ที่คล้ายกัน) ประสิทธิภาพที่ลดลงมักจะน้อยมากจนแทบไม่มีนัยสำคัญความรู้สึกว่าระบบทำงานช้าอาจเกิดจากสาเหตุอื่นๆ ภายในระบบได้เช่นกัน ตัวอย่างเช่น ปัญหาในการคำนวณขนาดโฟลเดอร์ ซึ่งยิ่งทำให้รู้สึกว่าทุกอย่างดำเนินไปช้าลง

การเข้ารหัสเริ่มต้นมีความแข็งแกร่งต่อการหยุดทำงานโดยไม่คาดคิด: หากคุณปิดเครื่องหรือไฟดับ เมื่อคุณเปิดอุปกรณ์ BitLocker อีกครั้ง ระบบจะดำเนินการต่อจากจุดที่หยุดไว้ไม่ว่าจะเข้ารหัสหรือถอดรหัส ระบบจะไม่ทำการอ่านและเขียนข้อมูลทั้งหมดในทุกครั้งที่ใช้งานในแต่ละวัน แต่จะเข้ารหัสและถอดรหัสเฉพาะบล็อกที่ใช้ในการอ่าน/เขียนแต่ละครั้งแบบเรียลไทม์เท่านั้น

การนำไปใช้งานในระดับองค์กร การเปลี่ยนแปลงฮาร์ดแวร์ และข้อผิดพลาดด้านความสมบูรณ์ของข้อมูล

ในบริษัทต่างๆ การนำระบบ BitLocker มาใช้โดยอัตโนมัติถือเป็นเรื่องปกติ สามารถติดตั้งใช้งานได้โดยใช้ Group Policy, สคริปต์ และเครื่องมือการจัดการ (Intune, System Center เป็นต้น)บังคับให้แล็ปท็อปทุกเครื่องเข้ารหัสเมื่อเข้าร่วมโดเมนหรือป้อนรหัสประจำตัว และบันทึกคีย์การกู้คืนไว้ใน Active Directory หรือในระบบคลาวด์

ตามหลักแล้ว ผลกระทบต่อประสิทธิภาพการทำงานนั้นเป็นสิ่งที่ควรพิจารณา แต่ด้วยฮาร์ดแวร์ในปัจจุบันถือว่ายอมรับได้ ขั้นตอนที่สำคัญที่สุดคือการเข้ารหัสเบื้องต้น ซึ่งมักจะกำหนดไว้ในช่วงนอกเวลาทำการ หรือรวมกับการเข้ารหัสเฉพาะพื้นที่ที่ใช้งานอยู่เท่านั้น เพื่อลดผลกระทบ โหมดนี้จะเข้ารหัสเฉพาะส่วนที่มีข้อมูลเท่านั้น โดยปล่อยให้พื้นที่ว่างไม่ถูกเข้ารหัสจนกว่าจะเต็ม

BitLocker ยังทำหน้าที่ตรวจสอบความสมบูรณ์ของสภาพแวดล้อมการบูตอีกด้วย การเปลี่ยนแปลงระบบบางอย่างอาจทำให้การตรวจสอบความสมบูรณ์ล้มเหลวและบังคับให้เข้าสู่โหมดการกู้คืนการแก้ไข BIOS/UEFI, การเปลี่ยนแปลงตัวจัดการการบูต, การสลับจากโหมด Legacy เป็น UEFI หรือในทางกลับกัน, การแก้ไข Secure Boot, การเพิ่ม/ถอดการ์ด PCIe หรือการจัดการดิสก์

TPM จะวัดสภาพแวดล้อมนั้นใน PCR ของมัน (ตัวอย่างเช่น PCR 7 สำหรับการเริ่มต้นระบบอย่างปลอดภัย) หากมีสิ่งใดขัดขวางไม่ให้ BitLocker เชื่อมต่อกับ PCR 7 ได้อย่างถูกต้อง สถานะของระบบอาจไม่ถือว่าน่าเชื่อถืออีกต่อไป และอาจต้องขอรหัสกู้คืนนี่เป็นมาตรการป้องกันการโจมตีที่พยายามเปลี่ยนแปลงกระบวนการบูตเพื่อขโมยคีย์หรือหลีกเลี่ยงการเข้ารหัส

เกี่ยวกับการเปลี่ยนแผ่นดิสก์: ไดรฟ์ระบบที่เข้ารหัสด้วย BitLocker ไม่สามารถย้ายไปยังพีซีเครื่องอื่นและบูตเครื่องได้โดยไม่มีการดำเนินการเพิ่มเติมใดๆในกรณีที่ดีที่สุด คุณจะสามารถเชื่อมต่อไดรฟ์เข้ากับคอมพิวเตอร์เครื่องอื่นและใช้รหัสกู้คืนเพื่อเข้าถึงข้อมูลได้ แต่การบูตตามปกติจะยังคงผูกอยู่กับแพลตฟอร์มเดิมผ่านทาง TPM ดังนั้น เมื่อนำฮาร์ดแวร์กลับมาใช้ใหม่ จึงเป็นเรื่องปกติที่จะถอดรหัสหรือทำการลบข้อมูลอย่างปลอดภัยก่อนที่จะย้ายไดรฟ์ระหว่างเครื่องต่างๆ

การจัดการคีย์: รหัสผ่าน, PIN, คีย์เข้าสู่ระบบ และคีย์กู้คืน

BitLocker รองรับการเข้ารหัสลับหลายประเภท และควรหลีกเลี่ยงการใช้การเข้ารหัสลับประเภทต่างๆ ปะปนกัน ประกอบด้วยรหัสผ่านเจ้าของ TPM, รหัสผ่านกู้คืน, รหัสกู้คืน 48 หลัก, PIN สำหรับบูต, PIN ขั้นสูง และรหัสบูต USBแต่ละส่วนมีบทบาทที่แตกต่างกันในห่วงโซ่การป้องกัน

รหัสผ่านและรหัสกู้คืนสามารถจัดเก็บได้หลายวิธี เช่น บัญชี Microsoft, Entra ID, Active Directory, ไฟล์ที่พิมพ์ออกมา, ไฟล์ที่ได้รับการป้องกันในตำแหน่งอื่นๆ เป็นต้น ในสภาพแวดล้อมขององค์กร เป็นเรื่องปกติที่รหัสผ่านกู้คืนจะถูกบันทึกไปยัง AD DS หรือ Entra ID โดยอัตโนมัติ และบันทึกในบันทึกเหตุการณ์ของลูกค้าว่าการคัดลอกสำเร็จหรือล้มเหลว เพื่อให้ฝ่ายสนับสนุนสามารถเข้ามาช่วยเหลือได้

สามารถเพิ่มวิธีการตรวจสอบสิทธิ์เพิ่มเติมได้โดยไม่ต้องถอดรหัสไดรฟ์ ตราบใดที่คุณสามารถเข้าถึงได้โดยใช้วิธีการที่มีอยู่แล้ววิธีใดวิธีหนึ่ง ตัวอย่างเช่น หากคุณใช้ TPM เพียงอย่างเดียว คุณสามารถเพิ่ม PIN หรือรหัสบูตลงในไดรฟ์ USB เพื่อเพิ่มความปลอดภัยได้วิธีนี้เหมาะสำหรับทีมที่เดินทางบ่อยหรือจัดเก็บข้อมูลที่มีความละเอียดอ่อนเป็นพิเศษ

คำถามสำคัญคือ: จะเกิดอะไรขึ้นถ้าคุณสูญเสียข้อมูลการกู้คืนทั้งหมด? หากคุณไม่มีทั้งรหัสผ่านกู้คืน รหัสกู้คืน หรือวิธีการยืนยันตัวตนอื่นใด ระบบของ BitLocker จะออกแบบให้ไม่สามารถกู้คืนข้อมูลได้การรู้วิธีการทีละขั้นตอนในกรณีที่กุญแจสูญหายหรือถูกโจรกรรม เป็นสิ่งที่ควรบันทึกไว้ล่วงหน้า

อุปกรณ์ USB เพียงชิ้นเดียวสามารถทำหน้าที่ได้สองอย่าง: ไฟล์นี้สามารถเก็บทั้งรหัสล็อกอินและรหัสกู้คืนได้นอกจากนี้ คุณยังสามารถบันทึกรหัสเริ่มต้นระบบลงในไดรฟ์ USB หลายๆ ตัว และสร้างรหัสเริ่มต้นระบบที่แตกต่างกันหลายรหัสสำหรับเครื่องเดียวกันได้ เช่นเดียวกับการจัดการชุดรหัส PIN หลายชุดที่มีนโยบายความซับซ้อนและความยาวที่เฉพาะเจาะจง

ในส่วนของการเข้ารหัสภายใน BitLocker ใช้คีย์การเข้ารหัสหลายตัวที่ทำงานแบบเรียงลำดับ: คีย์หลักของวอลุ่ม คีย์เข้ารหัสข้อมูล คีย์ป้องกัน ฯลฯ จะถูกจัดเก็บไว้ใน TPM และ/หรือบนดิสก์ในรูปแบบเข้ารหัสTPM, PIN และปัจจัยอื่นๆ ถูกนำมาใช้เพื่อสร้างรหัสหลักของไดรฟ์โดยไม่ต้องเปิดเผยรหัสดังกล่าวให้ผู้ใช้ทราบโดยตรง

BitLocker To Go, ไดรฟ์ USB ที่เข้ารหัส และปัญหาที่พบบ่อย

เมื่อมีการเข้ารหัสข้อมูลบนไดรฟ์แบบถอดได้ BitLocker To Go จะเข้ามามีบทบาท นี่คือระบบรักษาความปลอดภัยแบบ BitLocker สำหรับไดรฟ์ USB ฮาร์ดไดรฟ์ภายนอก และอุปกรณ์จัดเก็บข้อมูลแบบพกพาอื่นๆออกแบบมาเพื่อให้ข้อมูลของคุณยังคงได้รับการปกป้องหากคุณทำอุปกรณ์หาย โดยการเชื่อมต่อไดรฟ์เข้ากับคอมพิวเตอร์ Windows ที่ใช้งานร่วมกันได้ คุณสามารถปลดล็อกได้ด้วยรหัสผ่านหรือวิธีการอื่น ๆ ที่กำหนดไว้

BitLocker To Go ทำให้เกิดคำถามทั่วไปหลายข้อ เช่น ทำไมฉันถึงบันทึกรหัสกู้คืนลงในแฟลชไดรฟ์ของตัวเองไม่ได้? ทำไมไดรฟ์ข้อมูลถึงไม่ปลดล็อกโดยอัตโนมัติ? ฉันควรทำอย่างไรหากรหัสกู้คืนบนไดรฟ์ USB อ่านไม่ได้? โดยทั่วไปแล้ว Windows จะหลีกเลี่ยงการจัดเก็บรหัสกู้คืนไว้ในไดรฟ์เดียวกันกับที่กำลังเข้ารหัสอยู่เพื่อไม่ให้มันหายไปพร้อมกับมัน สำหรับการปลดล็อกไดรฟ์ข้อมูลโดยอัตโนมัติ จำเป็นต้องกำหนดค่าอย่างชัดเจน และไดรฟ์ระบบต้องได้รับการเข้ารหัสและเชื่อถือได้

หากไม่สามารถอ่านรหัสกู้คืนบนแฟลชไดรฟ์ได้ (เนื่องจากความเสียหายทางกายภาพหรือทางตรรกะ) คุณจะต้องใช้สำเนาทางเลือกอื่น (เช่น Entra ID, AD DS, เอกสารที่พิมพ์ออกมา ฯลฯ) หากสำเนานั้นเป็นสำเนาเดียวที่มีอยู่ ความเสี่ยงที่จะสูญเสียข้อมูลอย่างถาวรก็มีอยู่จริงกล่าวอีกนัยหนึ่ง การออกแบบนี้ให้ความสำคัญกับการรักษาความลับมากกว่าการกู้คืนข้อมูล เมื่อไม่มีหลักฐานยืนยันความเป็นเจ้าของที่แน่ชัด

การล็อกอุปกรณ์เก็บข้อมูลสามารถทำได้ทั้งแบบด้วยตนเองและแบบอัตโนมัติเมื่อปิดหรือถอดอุปกรณ์ออก ระบบปฏิบัติการ Windows มีโปรแกรม manage-bde.exe สำหรับล็อกไดรฟ์ด้วยคำสั่งง่ายๆ:

การปิดล้อม: manage-bde.exe <letra_unidad> -lock

ด้วยคำสั่งนั้น คุณสามารถทำให้ไดรฟ์ไม่สามารถเข้าถึงได้โดยไม่ต้องถอดไดรฟ์ออกจริง ๆ นอกจากนี้ ฮาร์ดไดรฟ์แบบถอดได้จะล็อกตัวเองเมื่อคุณถอดออกจากคอมพิวเตอร์เสริมสร้างการป้องกันในสถานการณ์ที่มีการใช้งานอุปกรณ์ร่วมกันระหว่างคอมพิวเตอร์หลายเครื่อง

BitLocker ที่ใช้งานร่วมกับ Active Directory, รหัสบันทึก และบันทึกเหตุการณ์

ในเครือข่ายองค์กร BitLocker และ BitLocker To Go จะผสานรวมเข้ากับ Active Directory Domain Services (AD DS) และ Microsoft Entra ID บนระบบคลาวด์ สิ่งที่จัดเก็บไว้ใน AD DS โดยทั่วไปคือรหัสกู้คืนและข้อมูลเมตาที่เกี่ยวข้องกับคอมพิวเตอร์เพื่อให้ฝ่ายสนับสนุนสามารถช่วยเหลือผู้ใช้ที่ถูกล็อกไม่ให้เข้าใช้งานได้โดยไม่กระทบต่อความปลอดภัยของผู้ใช้รายอื่น

หากเปิดใช้งาน BitLocker บนคอมพิวเตอร์ก่อนที่จะเชื่อมต่อเข้ากับโดเมน จะมีรายละเอียดปลีกย่อยบางประการ: รหัสกู้คืนที่มีอยู่จะไม่ถูกอัปโหลดไปยัง AD DS โดยอัตโนมัติ เว้นแต่จะมีการบังคับหรือสร้างใหม่ดังนั้น คู่มือการติดตั้งใช้งานจำนวนมากจึงแนะนำให้เชื่อมต่อคอมพิวเตอร์เข้ากับโดเมนก่อน จากนั้นจึงเปิดใช้งาน BitLocker โดยใช้ นโยบายที่รับรองว่ามีการคัดลอกคีย์แล้ว

เมื่อมีการเปลี่ยนรหัสผ่านกู้คืนและบันทึกรหัสผ่านใหม่ลงใน AD DS ระบบจะเขียนทับรหัสผ่านเก่าหรือจัดการเป็นรายการใหม่ ขึ้นอยู่กับการตั้งค่า หากการสำรองข้อมูลครั้งแรกล้มเหลว BitLocker สามารถลองทำการสำรองข้อมูลซ้ำอีกครั้งในภายหลังได้และในโปรแกรมแสดงเหตุการณ์ (Event Viewer) จะมีเหตุการณ์ต่างๆ ที่สะท้อนให้เห็นถึงความสำเร็จหรือความล้มเหลวเหล่านี้ ซึ่งเป็นสิ่งสำคัญอย่างยิ่งสำหรับการตรวจสอบบัญชี

ในกรณีของอุปกรณ์ที่เชื่อมต่อกับ Entra ID พฤติกรรมจะคล้ายกัน แต่เน้นการทำงานบนระบบคลาวด์ ระบบจะพยายามส่งออกรหัสกู้คืนโดยอัตโนมัติเมื่อระบบระงับและเริ่มการป้องกันใหม่ในระหว่างกระบวนการอัปเดตหรือรีเซ็ตและความสำเร็จหรือความล้มเหลวของการปฏิบัติการเหล่านั้นจะเป็นตัวกำหนดว่าระบบป้องกันจะถูกเปิดใช้งานอีกครั้งหรือไม่

การรักษาความปลอดภัยเชิงปฏิบัติใน Windows: มัลแวร์, UAC และ "กลเม็ดมหัศจรรย์"

ความไม่พอใจส่วนใหญ่ที่มีต่อ Windows มาจากการทำตาม "เคล็ดลับเพิ่มความเร็ว" ต่างๆ ที่จริงๆ แล้วกลับทำให้ความปลอดภัยหรือเสถียรภาพลดลง การปิดใช้งานส่วนประกอบสำคัญ เช่น Windows Defender, ไฟร์วอลล์, การจัดทำดัชนี หรือการกู้คืนระบบ อาจก่อให้เกิดผลเสียมากกว่าผลดีโดยเฉพาะใน Vista, 7 และรุ่นต่อๆ มา ซึ่งฟังก์ชันบางอย่างได้รับการบูรณาการได้ดีกว่าใน XP มาก

Windows Defender เป็นโปรแกรมป้องกันสปายแวร์ที่มีประสิทธิภาพพอสมควร สามารถทำงานร่วมกับระบบได้ และสามารถเสริมด้วยเครื่องมืออื่นๆ เช่น Spybot หรือโซลูชันป้องกันมัลแวร์อื่นๆ ได้ สิ่งสำคัญไม่ใช่แค่การมีโปรแกรมป้องกันไวรัสที่อัปเดตอยู่เสมอ แต่ยังต้องมีระบบป้องกันแบบเรียลไทม์เพิ่มเติมเพื่อป้องกันการเปลี่ยนแปลงรีจิสทรีที่น่าสงสัย การโจรกรรมเบราว์เซอร์ และภัยคุกคามอื่นๆ ด้วยการถอดอุปกรณ์ป้องกันเหล่านี้ออกโดยไม่หาอุปกรณ์ที่เทียบเท่ามาทดแทน ก็เหมือนกับการถอดเข็มขัดนิรภัยออกเพราะคิดว่ามัน "น่ารำคาญ"

อีกหนึ่งเสาหลักของระบบรักษาความปลอดภัยใน Windows ยุคใหม่คือ การควบคุมบัญชีผู้ใช้ (User Account Control หรือ UAC) UAC ทำให้แม้แต่บัญชีผู้ดูแลระบบก็ต้องเรียกใช้โปรแกรมด้วยสิทธิ์ที่จำกัดในตอนเริ่มต้นและจะยกระดับสิทธิ์ก็ต่อเมื่อผู้ใช้ให้การอนุญาตอย่างชัดเจนเท่านั้น ด้วยวิธีนี้ หากมีไฟล์ที่เป็นอันตรายพยายามแทรกซึมเข้ามา ก็จะตรวจจับพฤติกรรมที่ผิดปกติได้ง่ายขึ้น (เช่น ระบบขอสิทธิ์ระดับสูงเพียงเพื่อดูรูปภาพธรรมดา)

ผู้ใช้บางรายปิดใช้งาน UAC เนื่องจากรู้สึกว่ามันยุ่งยากที่ต้องถามคำถามมากมาย โดยเฉพาะอย่างยิ่งหลังจากติดตั้งระบบเสร็จใหม่ๆ ในช่วงที่กำลังตั้งค่าไดรเวอร์และโปรแกรมต่างๆ อย่างไรก็ตาม การปิดใช้งาน UAC จะทำให้ Windows ตกอยู่ในสถานการณ์ที่คล้ายกับ XP กล่าวคือ สิ่งใดก็ตามที่ทำงานภายใต้บัญชีผู้ใช้ของคุณอาจส่งผลกระทบต่อระบบทั้งหมดได้นี่เป็นเรื่องที่ต้องพิจารณาอย่างรอบคอบก่อนตัดสินใจ

สิ่งที่คล้ายกันนี้เกิดขึ้นกับตัวเลือกต่างๆ เช่น การกู้คืนระบบ หรือการจัดเรียงข้อมูลอัตโนมัติ การกู้คืนระบบอาจใช้พื้นที่หลายกิกะไบต์ แต่หากวันใดที่การติดตั้งผิดพลาดหรือไดรเวอร์ทำให้ระบบไม่เสถียร การมีจุดกู้คืนระบบจะช่วยประหยัดเวลาในการติดตั้งใหม่ได้หลายชั่วโมงสิ่งนี้เกี่ยวข้องกับวิธีการ ระบบปฏิบัติการ Windows จะสร้างไฟล์ชั่วคราวซึ่งจะไม่ถูกลบออก และอาจทำให้ปัญหาเรื่องพื้นที่และประสิทธิภาพการทำงานแย่ลงไปอีก

การจัดการการเริ่มต้นระบบ Windows บริการ และประสิทธิภาพการทำงานจริง

นอกเหนือจากเรื่องความปลอดภัยแล้ว ประสิทธิภาพการทำงานของ Windows ที่ผู้ใช้รับรู้ได้นั้นขึ้นอยู่กับวิธีการจัดการกระบวนการบูตเครื่องเป็นอย่างมาก เครื่องมือ msconfig (การกำหนดค่าระบบ) และตัวจัดการงานช่วยให้คุณเห็นว่าโปรแกรมใดบ้างที่โหลดเมื่อเริ่มต้นระบบ และปิดใช้งานส่วนที่ไม่จำเป็น เคล็ดลับคือการแยกแยะระหว่างบริการที่สำคัญและส่วนเสริม "เพิ่มเติม" จากแอปพลิเคชันต่างๆ

โดยทั่วไปแล้ว การไม่ยุ่งเกี่ยวกับบริการของ Microsoft และมุ่งเน้นไปที่โปรแกรมของบุคคลที่สามที่ติดตั้งไว้จะปลอดภัยกว่า: โปรแกรมเรียกใช้งานด่วนสำหรับชุดโปรแกรมสำนักงาน, ตัวอัปเดตอัตโนมัติ, โปรแกรมเรียกใช้งานเครื่องเล่นมีเดีย, โปรแกรมยูทิลิตี้เครื่องพิมพ์ที่ซ้ำซ้อน และซอฟต์แวร์รักษาความปลอดภัยที่มีขนาดใหญ่เกินไปยิ่งมีกระบวนการทำงานที่ถูกโหลดขึ้นมาในระหว่างการเริ่มต้นระบบมากเท่าไหร่ ก็ยิ่งมีการใช้หน่วยความจำและ CPU มากขึ้นโดยไม่ก่อให้เกิดประโยชน์ใดๆ และบางครั้งสิ่งนี้ก็แสดงออกมาในรูปแบบดังต่อไปนี้: ระบบปฏิบัติการ Windows ทำงานได้ดีสำหรับผู้ใช้คนหนึ่ง แต่ทำงานได้ไม่ดีสำหรับผู้ใช้คนอื่น บนเครื่องเดียวกันนั้น

โปรแกรมป้องกันไวรัสเป็นตัวอย่างที่ดี: ผลิตภัณฑ์อย่าง Norton หรือ Panda บางรุ่นอาจทำให้เวลาในการบูตเครื่องช้าลงอย่างมากในคอมพิวเตอร์สเปคปานกลาง ในขณะที่ทางเลือกอื่นที่เบากว่า (AVG Free, Windows Defender Enhanced หรือโซลูชันแบบบูรณาการของ Microsoft) จะรบกวนการทำงานน้อยกว่า สิ่งสำคัญคืออย่าละเลยการใช้โปรแกรมป้องกันไวรัสโดยสิ้นเชิงเพียงเพื่อประหยัดเวลาไม่กี่วินาที.

นอกจากนี้ยังมีฟีเจอร์ที่ออกแบบมาโดยเฉพาะเพื่อปรับปรุงความรู้สึกในการใช้งานให้ลื่นไหลยิ่งขึ้น เช่น ReadyBoost (ซึ่งใช้หน่วยความจำ USB ความเร็วสูงเป็นแคช) หรือโหมดจำศีล (hibernation) โหมดไฮเบอร์เนชั่นจะคัดลอกข้อมูลในหน่วยความจำ RAM ไปยังดิสก์และปิดเครื่องคอมพิวเตอร์ ทำให้เครื่องสามารถกลับสู่สถานะเดิมได้อย่างแม่นยำในเวลาที่น้อยกว่าการเปิดเครื่องใหม่ทั้งหมดวิธีนี้สามารถช่วยประหยัดเวลาได้อย่างมาก หากคุณมักเปิดใช้งานชุดแอปพลิเคชันเดิมๆ อยู่เสมอ

สุดท้ายนี้ มี "เคล็ดลับ" มากมายที่แนะนำให้ถอนการติดตั้งฟีเจอร์บางอย่างของ Windows เพื่อประหยัดพื้นที่เพียงไม่กี่เมกะไบต์ แต่โดยส่วนใหญ่แล้ววิธีนี้มักไม่ได้ผล การลบส่วนประกอบบางอย่างอาจทำให้สูญเสียเครื่องมือที่มีประโยชน์ (เช่น แอป Snipping Tool ใน Vista/7 ซึ่งเป็นคุณสมบัติพื้นฐานของแท็บเล็ตพีซี)ในขณะที่พื้นที่ที่ได้มานั้นน้อยมากเมื่อเทียบกับพื้นที่ที่แอปพลิเคชันสมัยใหม่หรือเกมในปัจจุบันใช้

Windows, Linux, ไดรเวอร์ และประสบการณ์ด้านฮาร์ดแวร์

การเปรียบเทียบระหว่าง Windows และ Linux ในด้านการจัดการฮาร์ดแวร์นั้นถือเป็นเรื่องคลาสสิกไปแล้ว มีเรื่องราวเสียดสีจากผู้ใช้ที่เปลี่ยนจาก Linux ไปใช้ Windows แล้วพบว่าระบบไม่รู้จักพาร์ติชั่น ext หรือ JFS ไม่รองรับ "โหมด Live" จาก USB ต้องใช้ไดรเวอร์เฉพาะ และทำให้เครื่องรีบูตอยู่ตลอดเวลา เพื่อติดตั้งอะไรก็ตาม

ในกรณีเช่นนี้ การติดตั้ง Windows 7 จากไฟล์ ISO จะทำให้ตัวจัดการการบูตของ Linux (GRUB) ถูกลบหรือเขียนทับ ระบบตรวจไม่พบ WiFi การ์ดจอใช้ไดรเวอร์ทั่วไป และไม่มีตัวแปลงสัญญาณสำหรับไฟล์ MKV ผู้ใช้ถูกบังคับให้ใช้ GParted ในการแบ่งพาร์ติชั่น ดาวน์โหลดไดรเวอร์จากผู้ผลิตแต่ละรายด้วยตนเอง ติดตั้งโปรแกรมเล่นวิดีโอ เช่น VLC และชุดตัวแปลงสัญญาณ และต้องรีบูตเครื่องหลังจากทำการเปลี่ยนแปลงแต่ละครั้งทั้งหมดนี้แตกต่างอย่างสิ้นเชิงกับประสบการณ์การใช้งานระบบปฏิบัติการลินุกซ์รุ่นปัจจุบันหลายๆ รุ่น ซึ่งสามารถบูตในโหมด Live จาก USB ตรวจจับฮาร์ดแวร์ได้มากขึ้นในคราวเดียว และเมานต์พาร์ติชั่นลินุกซ์ได้โดยไม่มีปัญหาใดๆ

สิ่งที่คล้ายกันนี้เกิดขึ้นในด้านการจัดเก็บข้อมูลภายนอกเช่นกัน ลินุกซ์สามารถอ่านและเขียนข้อมูลไปยังระบบไฟล์ได้หลากหลาย (ext, Btrfs, XFS, JFS ฯลฯ) ในขณะที่ Windows ยังคงจำกัดการเขียนข้อมูลลงระบบไฟล์ไว้เพียง NTFS, exFAT และ FAT เท่านั้นตัวอย่างเช่น หากดิสก์ของคุณถูกฟอร์แมตเป็น JFS ระบบปฏิบัติการ Windows จะมองเห็นเป็นอุปกรณ์ ติดตั้งไดรเวอร์ USB ทั่วไป แต่จะไม่สามารถเมานต์พาร์ติชันหรือแสดงวิดีโอของคุณได้

ประสบการณ์การใช้งาน USB ยิ่งแย่ลงไปอีกเนื่องจากการ "ติดตั้ง" ไดรเวอร์ซ้ำไปซ้ำมาอย่างที่กล่าวไปแล้ว ไดรฟ์ USB ใหม่แต่ละตัว พอร์ตใหม่แต่ละพอร์ต หรือแม้แต่คีย์บอร์ด USB แต่ละตัว อาจกระตุ้นกระบวนการติดตั้ง ซึ่งในสภาพแวดล้อมที่สะอาด กระบวนการนี้จะไม่ใช้เวลานาน แต่ในคอมพิวเตอร์ที่มีซอฟต์แวร์อยู่จำนวนมาก อาจกลายเป็นเรื่องที่น่าเบื่อได้จึงทำให้เกิดความรู้สึกว่าระบบกำลัง "ติดตั้งไดรเวอร์" สำหรับทุกสิ่งทุกอย่างอยู่ตลอดเวลา

ในโลกของลินุกซ์นั้น ไดรเวอร์ส่วนใหญ่ที่เกี่ยวข้องจะถูกรวมเข้าไว้ในเคอร์เนลหรืออยู่ในแพ็กเกจที่สามารถอัปเดตได้ง่ายโดยใช้ตัวจัดการแพ็กเกจ ไม่ใช่ว่าลินุกซ์ไม่มีปัญหาที่ซับซ้อน (เฟิร์มแวร์ที่เป็นกรรมสิทธิ์ การคอมไพล์โมดูล ฯลฯ) แต่ปรัชญา "ทุกอย่างอยู่ในที่เก็บซอฟต์แวร์" ช่วยลดความซับซ้อนลงได้มากในระยะยาว เมื่อคุณคุ้นเคยแล้ว

การล็อกเซสชัน ทางลัด และการป้องกันเดสก์ท็อปเมื่อคุณลุกขึ้น

ที่ผ่านมาเราได้พูดถึงเรื่องการเข้ารหัส ฮาร์ดแวร์ และการบูตเครื่อง แต่ยังมีอีกแง่มุมหนึ่งที่สำคัญกว่านั้น นั่นคือการปกป้องเซสชันของคุณเมื่อคุณออกจากโต๊ะทำงาน และการแก้ปัญหาต่างๆ เช่น... ออกจากโหมดพักเครื่องโดยที่หน้าจอเป็นสีดำ.

หนึ่งในคุณสมบัติที่มีประโยชน์ที่สุดคือการล็อกแบบไดนามิก หากพีซีของคุณมีบลูทูธ คุณสามารถจับคู่สมาร์ทโฟนหรืออุปกรณ์ที่ใช้งานร่วมกันได้ และตั้งค่าให้ Windows ล็อกเซสชันเมื่อการเชื่อมต่อขาดหายนั่นคือ เมื่อคุณขยับตัวออกไป การตั้งค่านี้ทำได้โดยไปที่ การตั้งค่า > บัญชี > ตัวเลือกการเข้าสู่ระบบ หลังจากจับคู่โทรศัพท์ของคุณในส่วนอุปกรณ์บลูทูธแล้ว และยังใช้งานได้ในกรณีอื่นๆ เช่น ออกจากโหมดพักเครื่องโดยปิดใช้งาน WiFi บนอุปกรณ์บางรุ่น

คุณยังสามารถใช้โซลูชันต่างๆ เช่น ระบบล็อคอัตโนมัติของ Lenovo ได้อีกด้วย: โปรแกรมขนาดเล็กที่จะเริ่มนับถอยหลังเมื่อคุณหยุดขยับเมาส์หรือใช้แป้นพิมพ์ และเมื่อนับถอยหลังถึงศูนย์ โปรแกรมจะล็อกเซสชัน พักเครื่อง ปิดเครื่อง หรือแม้กระทั่งรีสตาร์ทคอมพิวเตอร์ ขึ้นอยู่กับการตั้งค่าของคุณอย่างไรก็ตาม เนื่องจากเป็นแอปพลิเคชันที่ทำงานบนระบบภายใน ผู้ที่มีความรู้ความสามารถเพียงพอสามารถปิดแอปพลิเคชันนี้ได้หากพวกเขาสามารถเข้าถึงเครื่องพีซีได้โดยตรง

สำหรับผู้ที่ชอบอะไรที่เรียบง่ายและใช้งานด้วยตนเอง ก็สามารถใช้แป้นพิมพ์ลัดและคีย์ลัดต่างๆ ได้ การกดปุ่ม Win + L จะล็อกเซสชันทันทีและแสดงหน้าจอเข้าสู่ระบบขณะที่ Alt+F4 เมื่อใช้บนเดสก์ท็อปโดยไม่มีหน้าต่างใดทำงานอยู่ จะเปิดกล่องโต้ตอบเพื่อระงับการทำงาน จำศีล หรือปิดเครื่อง หากคุณต้องการวิธีที่ตรงกว่านั้น คุณสามารถสร้างทางลัดบนเดสก์ท็อปที่เรียกใช้คำสั่งต่อไปนี้ได้:

ระงับ: C:\Windows\System32\rundll32.exe powrprof.dll, SetSuspendState

และด้วยวิธีนี้จึงสามารถระงับการทำงานของคอมพิวเตอร์ได้ด้วยการดับเบิ้ลคลิก คีย์บอร์ดบางรุ่นยังมีปุ่มเฉพาะหรือปุ่มที่ตั้งโปรแกรมได้สำหรับล็อกหรือระงับการทำงานของพีซีโดยตรงจากซอฟต์แวร์ของคีย์บอร์ดนั้นๆ อีกด้วยซึ่งอาจสะดวกมากในสำนักงานแบบเปิดโล่ง

อีกแนวทางหนึ่งคือการปกป้องเฉพาะข้อมูลบางส่วนแทนที่จะปกป้องทั้งเซสชัน OneDrive สำหรับผู้สมัครใช้งาน Microsoft 365 มี "Personal Vault" ซึ่งเป็นโฟลเดอร์ที่มีการป้องกันอย่างเข้มงวด คุณสามารถเข้าถึงได้ด้วยรหัสผ่านบัญชีของคุณหรือผ่าน Microsoft Authenticatorในการป้องกันโฟลเดอร์ในเครื่องด้วยรหัสผ่าน ระบบปฏิบัติการ Windows รุ่นใหม่ๆ จำเป็นต้องใช้ซอฟต์แวร์จากผู้ผลิตรายอื่น (เช่น Folder Protect, Folder Lock) เนื่องจากฟังก์ชันการป้องกันด้วยรหัสผ่านที่มีอยู่ใน Windows จนถึงเวอร์ชัน 7 ได้หายไปในเวอร์ชันต่อมา

การลบข้อมูล SSD อย่างปลอดภัยใน Linux: SATA, NVMe และคำสั่งสำคัญ

เมื่อคุณต้องการเลิกใช้งาน SSD ที่เข้ารหัสด้วย BitLocker หรือที่มีข้อมูลสำคัญ วิธีที่รอบคอบที่สุดคือการลบข้อมูลอย่างปลอดภัย ในสภาพแวดล้อมของ Linux มีเครื่องมือเฉพาะสำหรับการเรียกใช้คำสั่งลบข้อมูลอย่างปลอดภัยบน SSD ทั้งแบบ SATA และ NVMeโดยเคารพการใช้งานตามที่ผู้ผลิตกำหนดไว้

สำหรับฮาร์ดไดรฟ์แบบ SATA ขั้นตอนทั่วไปคือตรวจสอบให้แน่ใจว่าฮาร์ดไดรฟ์นั้นไม่ได้ถูกล็อกหรือมีการป้องกันด้วยรหัสผ่าน คุณสามารถค้นหาอุปกรณ์ (/dev/sdX) ด้วยคำสั่ง lsscsi และตรวจสอบว่าอยู่ในสถานะ "แช่แข็ง" หรือไม่ โดยใช้คำสั่ง hdparm -I /dev/sdX | grep frozenถ้าเป็นเช่นนั้น คุณสามารถลองระงับระบบ (systemctl suspend) แล้วเริ่มระบบใหม่ หรือเสียบฮาร์ดไดรฟ์กลับเข้าไปใหม่ขณะที่ระบบยังทำงานอยู่ (เมื่อฮาร์ดแวร์และ BIOS อนุญาต) จนกว่าคำสั่งจะแสดงผลว่า "ไม่ได้หยุดทำงาน"

จากนั้นตั้งรหัสผ่านผู้ใช้บนไดรฟ์ด้วยคำสั่ง hdparm –security-set-pass p /dev/sdX (โดยที่ “p” คือรหัสผ่านที่เลือก) และเริ่มการลบข้อมูลอย่างปลอดภัยด้วยคำสั่ง hdparm –security-erase p /dev/sdX คำสั่งนี้อาจใช้เวลาหลายนาที แต่เมื่อเสร็จสิ้นแล้วจะลบคีย์ภายในของ SSD ทำให้ข้อมูลแทบจะกู้คืนไม่ได้เลยหากเกิดข้อผิดพลาดและไดรฟ์ถูกล็อก คุณสามารถลองใช้คำสั่ง `hdparm --security-disable p /dev/sdX` แล้วทำซ้ำขั้นตอนเดิมได้

ในกรณีของ NVMe เครื่องมืออ้างอิงคือ nvme-cli ขั้นแรก ให้ระบุไดรฟ์ด้วยคำสั่ง `nvme list` เพื่อค้นหา `/dev/nvmeXn1` จากนั้นทำการฟอร์แมตแบบปลอดภัยด้วยคำสั่ง `nvme format /dev/nvmeXn1 –ses=1`โดยพารามิเตอร์ –ses=1 บ่งชี้ถึงการลบข้อมูลผู้ใช้ คำสั่งนี้อาจใช้เวลานานและต้องเรียกใช้ด้วยสิทธิ์ผู้ดูแลระบบ (root privileges)

ขั้นตอนเหล่านี้มีความสำคัญเป็นพิเศษหาก SSD ได้รับการเข้ารหัสด้วย BitLocker หรือระบบที่คล้ายกัน การลบข้อมูลระดับเฟิร์มแวร์อย่างปลอดภัยช่วยให้มั่นใจได้ว่าไม่มีรหัสหรือบล็อกข้อมูลใด ๆ หลงเหลืออยู่ซึ่งสามารถกู้คืนได้โดยใช้เทคนิคทางนิติวิทยาศาสตร์แบบง่าย ๆขั้นตอนนี้จำเป็นอย่างยิ่งก่อนที่จะขาย รีไซเคิล หรือจัดสรรฮาร์ดแวร์ใหม่

พฤติกรรม "แปลกๆ" หลายอย่างที่คุณเห็นใน Windows เมื่อเชื่อมต่อ USB อัปเดต บูตเครื่อง หรือปกป้องเซสชันของคุณ ไม่ใช่ความผิดพลาดที่เกิดขึ้นโดยบังเอิญ แต่เป็นผลโดยตรงจากวิธีที่ระบบจัดลำดับความสำคัญด้านความปลอดภัย ความเข้ากันได้ และบางครั้งก็เป็นผลจากความเคยชินในอดีต การรู้ว่าทำไม Windows จึงติดตั้งไดรฟ์ USB ของคุณใหม่ วิธีการทำงานของ BitLocker บทบาทของ TPM และนโยบายโดเมน และเครื่องมือที่คุณใช้ในการจัดการการบูต การล็อกเซสชัน หรือการลบดิสก์อย่างปลอดภัย จะทำให้คุณอยู่ในตำแหน่งที่แข็งแกร่งขึ้นในการตัดสินใจว่าจะแตะต้องอะไร ไม่ควรแตะต้องอะไร และจะปกป้องข้อมูลของคุณอย่างแท้จริงได้อย่างไร.