- Khóa khôi phục BitLocker (BitLocker recovery key) là dãy 48 chữ số, dùng khi Windows không tự mở khóa được ổ đĩa đã mã hóa.
- Nơi nên tìm đầu tiên là tài khoản Microsoft của bạn, sau đó là tài khoản công ty hoặc trường học, bản in và USB.
- Máy hay đòi khóa sau khi cập nhật BIOS/UEFI, thay bo mạch chủ, tắt hoặc xóa TPM, đổi thứ tự khởi động.
- Microsoft không thể lấy lại hay tạo lại khóa đã mất. Ai nhận "mở khóa BitLocker" có thu phí gần như chắc chắn là lừa đảo.
Khi máy hiện màn hình BitLocker đòi khóa khôi phục, đừng cài lại Windows vội. Hãy ghi lại mã nhận dạng khóa (Key ID) trên màn hình, rồi dùng một thiết bị khác đăng nhập tài khoản Microsoft để tìm khóa tương ứng. Trong phần lớn trường hợp máy cá nhân, khóa đã được tự động lưu ở đó.
Màn hình BitLocker đòi khóa khôi phục là gì
BitLocker mã hóa toàn bộ ổ đĩa. Bình thường, chip TPM trong máy tự mở khóa khi thấy máy khởi động đúng như lần trước, nên bạn không hề biết ổ đang được mã hóa. Khi TPM phát hiện điều gì đó thay đổi trong quá trình khởi động, nó từ chối mở khóa và Windows yêu cầu khóa khôi phục.
Theo trang hướng dẫn tìm khóa khôi phục BitLocker của Microsoft, khóa này là một dãy 48 chữ số, cần khi BitLocker không tự mở khóa được ổ đã mã hóa. Bạn có thể bị hỏi khóa lúc khởi động do có rủi ro bảo mật hoặc thay đổi phần cứng. Ổ dữ liệu hoặc ổ ngoài đã mã hóa cũng có thể đòi khóa, ví dụ khi bạn quên mật khẩu mở khóa.
Màn hình này không phải virus, cũng không phải máy bị khóa vì nợ tiền. Nó là cơ chế bảo vệ: nếu ai đó lấy ổ cứng của bạn gắn vào máy khác, họ không đọc được dữ liệu.
Mã hóa thiết bị và BitLocker khác nhau thế nào
Nhiều người ngạc nhiên vì "chưa bao giờ bật BitLocker" mà máy vẫn đòi khóa. Lý do thường là tính năng Mã hóa thiết bị (Device encryption).
Theo trang Device Encryption in Windows của Microsoft, Mã hóa thiết bị tự động bật mã hóa BitLocker cho ổ hệ điều hành và các ổ cố định. Khi bạn đăng nhập lần đầu hoặc thiết lập máy bằng tài khoản Microsoft hay tài khoản công ty/trường học, tính năng này được bật và khóa khôi phục được gắn vào tài khoản đó. Nếu dùng tài khoản cục bộ (local account), Mã hóa thiết bị không tự bật.
| Mã hóa thiết bị (Device encryption) | BitLocker Drive Encryption | |
|---|---|---|
| Phiên bản Windows | Có trên nhiều máy hơn, kể cả Windows Home | Windows Pro, Enterprise, Education |
| Cách bật | Tự bật khi thiết lập bằng tài khoản Microsoft hoặc tài khoản công ty, nếu máy đáp ứng điều kiện | Người dùng hoặc quản trị viên tự bật và chọn nơi lưu khóa |
| Tùy chỉnh | Gần như không cần thiết lập | Có nhiều lựa chọn: mã hóa ổ ngoài, mã PIN khi khởi động, chính sách doanh nghiệp |
| Khóa khôi phục | Gắn vào tài khoản dùng khi thiết lập | Lưu vào tài khoản, tệp, bản in hoặc USB tùy lựa chọn lúc bật |
Để xem máy có bật Mã hóa thiết bị không, vào Cài đặt > Quyền riêng tư và bảo mật > Mã hóa thiết bị. Nếu không thấy mục này, có thể máy không hỗ trợ hoặc bạn đang dùng tài khoản người dùng thường. Microsoft hướng dẫn mở Thông tin hệ thống (System Information) với quyền quản trị và xem dòng Automatic Device Encryption Support để biết lý do, ví dụ TPM chưa bật hoặc Secure Boot đang tắt.
Vì sao máy đột nhiên đòi khóa khôi phục
Tài liệu tổng quan về khôi phục BitLocker trên Microsoft Learn liệt kê nhiều sự kiện khiến máy vào chế độ khôi phục. Những tình huống người dùng phổ thông hay gặp:
- Cập nhật BIOS hoặc firmware UEFI, kể cả bản cập nhật do phần mềm của hãng máy tự cài.
- Thay bo mạch chủ sang bo mới có TPM mới, thường gặp sau khi sửa máy.
- Tắt, vô hiệu hóa hoặc xóa TPM trong UEFI, hoặc TPM tự kiểm tra bị lỗi.
- Đổi thứ tự khởi động, ví dụ để ổ CD/DVD hay USB khởi động trước ổ cứng.
- Thay đổi trình quản lý khởi động hoặc bảng phân vùng của ổ đĩa.
- Cắm hoặc rút laptop khỏi đế mở rộng (dock) trong một số cấu hình.
- Nhập sai mã PIN quá nhiều lần nếu máy dùng PIN khi khởi động.
- Chuyển ổ cứng đã mã hóa sang máy khác.
Microsoft cũng nêu rõ: với các thay đổi đã biết trước như nâng cấp phần cứng hay firmware, có thể tránh màn hình khôi phục bằng cách tạm dừng bảo vệ BitLocker (Suspend protection) trước khi làm. Đây là thói quen nên có trước mỗi lần cập nhật BIOS hoặc mang máy đi sửa. Đổi cài đặt TPM hay Secure Boot khi chuẩn bị lên Windows 11 cũng thuộc nhóm này; xem thêm bài kiểm tra máy có lên Windows 11 được không.
Đôi khi màn hình khôi phục xuất hiện sau một lần máy gặp lỗi khởi động hoặc màn hình xanh, khi bạn vào môi trường sửa lỗi của Windows. Nếu đang xử lý tình huống đó, bài màn hình xanh BSOD trên Windows 11 sẽ giúp bạn tìm nguyên nhân gốc.
Cách lấy khóa khôi phục BitLocker
Bước 1: Ghi lại Key ID
Trên màn hình khôi phục có dòng mã nhận dạng khóa (recovery key ID). Microsoft khuyên ghi lại 8 ký tự đầu. Nếu tài khoản của bạn lưu nhiều khóa, Key ID giúp chọn đúng khóa của ổ này. Từ Windows 11 phiên bản 24H2, màn hình khôi phục còn hiện gợi ý tài khoản Microsoft đang giữ khóa.
Bước 2: Tìm trong tài khoản Microsoft
- Dùng điện thoại hoặc máy tính khác, mở trình duyệt và vào aka.ms/myrecoverykey.
- Đăng nhập bằng tài khoản Microsoft từng dùng trên máy bị khóa.
- Tìm dòng có Key ID khớp với màn hình, rồi nhập dãy 48 số tương ứng.
Nếu máy do người khác thiết lập, ví dụ người thân hoặc cửa hàng, khóa có thể nằm trong tài khoản Microsoft của người đó.
Bước 3: Tìm trong tài khoản công ty hoặc trường học
Nếu máy từng đăng nhập bằng tài khoản tổ chức, khóa có thể nằm ở đó. Vào aka.ms/aadrecoverykey, đăng nhập tài khoản công ty, mở thiết bị cần tìm và chọn xem khóa BitLocker. Một số tổ chức không cho người dùng tự xem; khi đó hãy liên hệ bộ phận IT.
Bước 4: Kiểm tra bản in và USB
Khi bật BitLocker, có thể bạn đã in khóa ra giấy. Hãy tìm trong hồ sơ giấy tờ của máy. Nếu từng lưu khóa vào USB, cắm USB vào máy bị khóa và làm theo hướng dẫn. Nếu khóa lưu dạng tệp văn bản, mở tệp đó trên một máy khác để đọc.
Khi không tìm thấy khóa ở đâu cả
Đây là phần khó nghe nhất. Microsoft nói rõ bộ phận hỗ trợ của họ không thể lấy lại, cung cấp hay tạo lại một khóa khôi phục BitLocker đã mất. Nếu không tìm được khóa và không thể đảo ngược thay đổi đã gây ra yêu cầu khóa, bạn phải đặt lại máy bằng các tùy chọn khôi phục của Windows, và việc này xóa toàn bộ tệp.
Trước khi đi đến bước đó, hãy thử đảo ngược thay đổi gần nhất: đặt lại thứ tự khởi động như cũ, bật lại TPM nếu vừa tắt, rút thiết bị lạ ra khỏi máy. Đôi khi máy tự mở khóa trở lại khi cấu hình khởi động trở về như trước.
Cảnh giác với "dịch vụ mở khóa BitLocker"
Trên mạng có không ít quảng cáo nhận "bẻ khóa BitLocker", "lấy lại dữ liệu ổ bị khóa". Hãy hiểu đúng: BitLocker được thiết kế để không ai đọc được dữ liệu nếu không có khóa. Không có dịch vụ hợp pháp nào "mở" được ổ khi bạn đã mất khóa.
- Người tự xưng nhân viên Microsoft gọi điện hoặc nhắn tin đề nghị mở khóa là lừa đảo. Microsoft không chủ động liên hệ kiểu này.
- Đừng cài phần mềm điều khiển từ xa cho người lạ. Họ có thể đánh cắp tài khoản, cài mã độc hoặc đòi thêm tiền.
- Đừng gửi khóa khôi phục cho bất kỳ ai. Khóa này đủ để mở toàn bộ dữ liệu của bạn.
- Với máy công ty, chỉ làm việc với bộ phận IT nội bộ.
Sao lưu khóa khôi phục trước khi có sự cố
Năm phút hôm nay có thể cứu toàn bộ dữ liệu sau này. Hãy làm ngay khi máy vẫn chạy bình thường:
- Kiểm tra khóa trong tài khoản Microsoft. Vào aka.ms/myrecoverykey và xem đã có khóa của máy mình chưa. Đối chiếu tên thiết bị.
- Tạo thêm một bản sao. Mở Control Panel > BitLocker Drive Encryption, chọn Back up your recovery key cho ổ C. Bạn có thể lưu vào tài khoản Microsoft, lưu thành tệp trên USB hoặc in ra giấy. Không lưu tệp khóa trên chính ổ đang được mã hóa.
- Cất bản in ở nơi an toàn, cùng chỗ với giấy tờ quan trọng, tách khỏi máy tính.
- Tạm dừng BitLocker trước khi cập nhật BIOS hoặc mang máy đi sửa. Sau khi xong, Windows thường tự bật lại bảo vệ.
- Kiểm tra lại khi đổi tài khoản. Nếu bạn chuyển từ tài khoản Microsoft sang tài khoản cục bộ, hoặc bán, cho máy, hãy chắc chắn biết khóa đang nằm ở đâu.
Khi chuyển sang máy mới, hãy sao lưu dữ liệu và ghi chú khóa của máy cũ trước khi xóa hay đổi ổ cứng. Bài chuyển dữ liệu sang máy Windows 11 có hướng dẫn chi tiết cho bước này. Các mẹo Windows khác có trong chuyên mục Thủ thuật.
Câu hỏi thường gặp
Có tắt hẳn BitLocker được không để khỏi bị đòi khóa?
Có. Bạn có thể tắt Mã hóa thiết bị trong Cài đặt hoặc tắt BitLocker trong Control Panel; Windows sẽ giải mã ổ, mất một thời gian tùy dung lượng. Đổi lại, nếu mất máy, người khác có thể đọc dữ liệu trên ổ cứng. Với laptop hay mang ra ngoài, giữ mã hóa và sao lưu khóa là lựa chọn an toàn hơn.
Cài lại Windows có mất khóa BitLocker cũ không?
Cài lại và xóa ổ sẽ tạo trạng thái mã hóa mới, khóa cũ không còn tác dụng với ổ đó. Nếu Mã hóa thiết bị bật lại khi bạn đăng nhập tài khoản Microsoft, khóa mới sẽ được lưu vào tài khoản. Hãy kiểm tra lại aka.ms/myrecoverykey sau khi cài.
Ổ USB mã hóa BitLocker quên mật khẩu thì làm sao?
Ổ ngoài cũng có khóa khôi phục riêng, được tạo khi bạn bật BitLocker To Go cho ổ đó. Tìm khóa ở các nơi tương tự: tài khoản Microsoft, tệp đã lưu hoặc bản in. Không có khóa thì chỉ còn cách định dạng lại ổ và mất dữ liệu trên đó.
Nhập đúng khóa nhưng lần sau khởi động máy vẫn đòi khóa?
Nguyên nhân thường là thay đổi gây ra yêu cầu khóa vẫn còn, ví dụ thứ tự khởi động khác hoặc một USB cắm sẵn. Sau khi vào Windows, hãy đưa cài đặt UEFI về như cũ. Nếu vẫn lặp lại, tạm dừng rồi bật lại bảo vệ BitLocker để Windows ghi nhận cấu hình mới.
