Aktifkan enkripsi BitLocker, dan Windows akan secara otomatis membuka kunci drive Anda setiap kali Anda memulai komputer menggunakan TPM yang ada di sebagian besar komputer modern. Tetapi Anda dapat mengatur USB flash drive sebagai "kunci startup" yang harus ada saat boot sebelum komputer Anda dapat mendekripsi drive dan memulai Windows.
Ini secara efektif menambahkan otentikasi dua faktor ke enkripsi BitLocker. Setiap kali Anda menyalakan komputer, Anda harus menyediakan kunci USB sebelum didekripsi. Ini akan sangat berguna dengan drive USB kecil yang Anda bawa pada gantungan kunci.
Ini, tentu saja, memerlukan enkripsi drive BitLocker, yang berarti hanya berfungsi pada edisi Windows Profesional dan Enterprise. Sebelum Anda dapat mengikuti salah satu langkah di bawah ini, Anda harus mengaktifkan enkripsi BitLocker pada drive sistem Anda dari Control Panel.
Jika Anda pergi keluar dari cara Anda untuk mengaktifkan BitLocker pada PC tanpa TPM, Anda dapat memilih untuk membuat kunci startup USB sebagai bagian dari proses pengaturan. Ini akan digunakan sebagai pengganti TPM. Langkah-langkah di bawah ini hanya diperlukan saat mengaktifkan BitLocker di komputer dengan TPM, yang dimiliki komputer modern.
Jika Anda memiliki versi Home Windows, Anda tidak akan dapat menggunakan BitLocker. Anda mungkin memiliki fitur Enkripsi Perangkat, tetapi ini bekerja secara berbeda dari BitLocker dan tidak memungkinkan Anda untuk menyediakan kunci startup.
Setelah Anda mengaktifkan BitLocker, Anda harus mengaktifkan persyaratan kunci startup dalam kebijakan grup Windows. Untuk membuka Editor Kebijakan Grup, tekan Windows + R pada keyboard Anda, ketik "gpedit.msc" ke dalam dialog Run, dan tekan Enter.
Buka Konfigurasi Komputer> Template Administratif> Komponen Windows> Enkripsi Drive BitLocker> Drive Sistem Pengoperasian di jendela Kebijakan Grup.
Klik dua kali opsi "Memerlukan Otentikasi Tambahan saat pengaktifan" di panel kanan.
Pilih "Diaktifkan" di bagian atas jendela di sini. Kemudian, klik kotak di bawah "Konfigurasi TPM Startup Key" dan pilih "Mengharuskan Startup Key Dengan TPM" pilihan. Klik "OK" untuk menyimpan perubahan Anda.
Anda sekarang dapat menggunakan kelola-bde perintah untuk mengkonfigurasi drive USB untuk drive yang dienkripsi BitLocker Anda.
Pertama, masukkan drive USB ke komputer Anda. Perhatikan huruf drive dari USB drive-D: di screenshot di bawah ini. Windows akan menyimpan file .bek kecil ke drive, dan itulah bagaimana itu akan menjadi kunci startup Anda.
Selanjutnya, jalankan jendela Command Prompt sebagai Administrator. Pada Windows 10 atau 8, klik kanan tombol Start dan pilih "Command Prompt (Admin)". Pada Windows 7, temukan pintasan "Command Prompt" di menu Start, klik kanan, dan pilih "Run as Administrator"
Jalankan perintah berikut. Perintah di bawah berfungsi pada drive C: Anda, jadi jika Anda ingin meminta kunci startup untuk drive lain, masukkan huruf drivenya sebagai ganti c: . Anda juga harus memasukkan huruf drive dari drive USB yang terhubung yang ingin Anda gunakan sebagai kunci startup, bukan x: .
manage-bde -protectors -add c: -TPMAndStartupKey x:
Kunci akan disimpan ke drive USB sebagai file tersembunyi dengan ekstensi file .bek. Anda dapat melihatnya jika Anda menampilkan file tersembunyi.
Anda akan diminta untuk memasukkan drive USB pada saat Anda mem-boot komputer Anda. Hati-hati dengan kunci-seseorang yang menyalin kunci dari drive USB Anda dapat menggunakan salinan itu untuk membuka kunci drive yang dienkripsi BitLocker Anda.
Untuk memeriksa ulang apakah pelindung TPMAndStartupKey telah ditambahkan dengan benar, Anda dapat menjalankan perintah berikut:
mengelola-bde -status
(Kunci pengaman "Numerical Password" yang ditampilkan di sini adalah kunci pemulihan Anda.)
Jika Anda berubah pikiran dan ingin berhenti mewajibkan kunci startup nanti, Anda dapat membatalkan perubahan ini. Pertama, kembali ke editor Kebijakan Grup dan ubah opsi kembali ke "Izinkan Kunci Startup Dengan TPM". Anda tidak dapat membiarkan opsi disetel ke “Memerlukan Kunci Startup Dengan TPM” atau Windows tidak akan memungkinkan Anda menghapus persyaratan kunci startup dari drive.
Selanjutnya, buka jendela Command Prompt sebagai Administrator dan jalankan perintah berikut (sekali lagi, ganti c: jika Anda menggunakan drive yang berbeda):
kelola-bde -protectors -tambahkan c: -TPM
Ini akan menggantikan persyaratan "TPMandStartupKey" dengan persyaratan "TPM", menghapus PIN. Drive BitLocker Anda akan secara otomatis membuka kunci melalui TPM komputer Anda ketika Anda boot.
Untuk memeriksa bahwa ini berhasil diselesaikan, jalankan perintah status lagi:
kelola-bde -status c:
Coba reboot komputer Anda terlebih dahulu. Jika semuanya berfungsi dengan baik dan komputer Anda tidak memerlukan drive USB untuk boot, Anda bebas memformat drive atau hanya menghapus file BEK. Anda juga dapat meninggalkannya di drive Anda - file itu tidak akan benar-benar melakukan apa-apa lagi.
Jika Anda kehilangan kunci startup atau menghapus file .bek dari drive, Anda harus memberikan kode pemulihan BitLocker untuk drive sistem Anda. Anda seharusnya telah menyimpan tempat yang aman ketika Anda mengaktifkan BitLocker untuk drive sistem Anda.
Kredit Gambar: Tony Austin / Flickr
