FileVault là gì? Cách mã hoá ổ đĩa Mac bảo vệ dữ liệu khi mất máy

Hướng dẫn bật FileVault trên macOS để mã hoá toàn bộ ổ đĩa — bảo vệ dữ liệu quan trọng nếu chẳng may Mac bị mất hoặc đánh cắp

Rất nhiều người dùng Mac không biết rằng nếu chẳng may làm rơi hoặc bị mất máy, kẻ lấy được máy hoàn toàn có thể tháo ổ SSD ra và đọc trực tiếp dữ liệu nếu máy chưa bật mã hoá — mật khẩu đăng nhập màn hình khoá không hề ngăn được việc này. FileVault là tính năng có sẵn miễn phí trên macOS giúp mã hoá toàn bộ ổ đĩa, đảm bảo dữ liệu hoàn toàn vô giá trị với bất kỳ ai không có đúng mật khẩu — kể cả khi họ tháo ổ ra gắn vào một chiếc Mac khác.

FileVault thực chất bảo vệ điều gì mà mật khẩu đăng nhập không làm được?

Đây là điểm nhiều người nhầm lẫn nhất khi nói về bảo mật Mac. Mật khẩu đăng nhập (login password) chỉ hoạt động ở tầng phần mềm — nó chặn màn hình khoá, nhưng nếu ai đó tháo ổ SSD ra khỏi máy và cắm vào một chiếc Mac khác (hoặc dùng thiết bị đọc ổ chuyên dụng), họ có thể đọc trực tiếp dữ liệu trên ổ mà không cần qua màn hình đăng nhập nào cả — vì dữ liệu trên ổ vốn được lưu ở dạng bình thường, không mã hoá.

FileVault mã hoá dữ liệu ở mức vật lý bằng chuẩn AES 256-bit — cùng cấp mã hoá được ngân hàng và chính phủ sử dụng. Khi bật FileVault, mọi byte dữ liệu ghi xuống ổ đều được mã hoá; muốn giải mã và đọc được, hệ thống cần đúng khoá — khoá này chỉ được tạo ra khi bạn đăng nhập bằng đúng mật khẩu tài khoản. Tháo ổ ra khỏi máy không giúp gì cả, vì dữ liệu trên ổ lúc này chỉ là các chuỗi byte vô nghĩa.

Đây là lý do các chuyên gia bảo mật luôn xếp FileVault vào nhóm thiết lập “phải có”, đặc biệt với máy xách tay — loại thiết bị có tỷ lệ bị mất hoặc trộm cao hơn hẳn máy để bàn.

Cách bật FileVault trên Mac

Các bước áp dụng cho macOS Ventura trở lên (gồm Sonoma, Sequoia, Tahoe, macOS 27):

1. Mở Cài đặt hệ thống (System Settings)
2. Vào Quyền riêng tư & Bảo mật (Privacy & Security)
3. Cuộn xuống tìm FileVault
4. Bấm Bật (Turn On…)
5. Xác thực bằng mật khẩu quản trị viên

Sau khi bấm bật, macOS sẽ hỏi bạn chọn cách lưu khoá khôi phục (Recovery Key) — đây là bước quan trọng nhất của cả quy trình, quyết định bạn có mất dữ liệu vĩnh viễn khi quên mật khẩu hay không.

⚠️ Bước quyết định: chọn cách lưu Recovery Key — sai ở đây có thể mất sạch dữ liệu

macOS đưa ra hai lựa chọn để khôi phục quyền truy cập nếu bạn quên mật khẩu đăng nhập:

Lựa chọn 1 — Cho phép Apple ID của tôi mở khoá ổ đĩa của tôi. Nếu bạn quên mật khẩu, có thể dùng Apple ID để lấy lại quyền truy cập. Đây là lựa chọn an toàn và dễ dùng hơn cho phần lớn người dùng cá nhân, vì Apple ID còn có các phương án khôi phục riêng (email, số điện thoại tin cậy).

Lựa chọn 2 — Tạo một khoá khôi phục (Recovery Key) và không dùng Apple ID. macOS tạo ra một chuỗi mã gồm 24 ký tự. Đây là khoá duy nhất để mở lại ổ đĩa nếu quên mật khẩu — không có Apple, không có Huy Store, không có ai khác có thể giúp bạn khôi phục nếu mất cả mật khẩu và Recovery Key này.

⚠️ CẢNH BÁO RỦI RO THẬT — đọc kỹ trước khi chọn: Nếu bạn chọn Recovery Key và làm mất nó, ĐỒNG THỜI quên mật khẩu đăng nhập, toàn bộ dữ liệu trên máy sẽ vĩnh viễn không thể lấy lại được. Không có “quên mật khẩu, bấm vào đây để khôi phục” như tài khoản email. Đây là mã hoá AES thật — về mặt kỹ thuật, dữ liệu đã mã hoá mà không có khoá đúng là không thể phá được trong thời gian hợp lý. Hãy chụp ảnh Recovery Key, in ra giấy, hoặc lưu vào một trình quản lý mật khẩu đáng tin — tuyệt đối không lưu Recovery Key trong chính chiếc máy đang được mã hoá.

Khuyến nghị thực tế của mình: với đa số người dùng cá nhân không phải dân kỹ thuật, hãy chọn Apple ID mở khoá — vì Apple ID luôn có sẵn số điện thoại/email liên kết để khôi phục nếu quên mật khẩu, giảm hẳn rủi ro tự làm mất khoá khôi phục duy nhất của mình. Chỉ nên chọn Recovery Key riêng nếu bạn thực sự có quy trình lưu trữ vật lý cẩn thận (ví dụ két sắt công ty) và không muốn phụ thuộc vào tài khoản Apple.

Bật FileVault mất bao lâu và có ảnh hưởng gì trong lúc mã hoá?

Sau khi bật, macOS mã hoá dữ liệu ở chế độ nền — bạn vẫn dùng máy bình thường trong lúc quá trình diễn ra, không cần chờ hay khởi động lại. Thời gian hoàn tất phụ thuộc dung lượng dữ liệu đang có trên máy:

• Máy Apple Silicon (M1 trở lên), ổ trống nhiều: thường vài chục phút đến vài giờ
• Máy Intel đời cũ, ổ đầy dữ liệu: có thể lâu hơn, tới nửa ngày với ổ vài trăm GB dữ liệu

Trong lúc mã hoá, nên cắm sạc liên tục và tránh tắt máy đột ngột để không làm gián đoạn quá trình.

Góc nhìn thực tế: trên các máy Apple Silicon mình dùng và tư vấn cho khách tại Huy Store, việc bật FileVault gần như không tạo ra khác biệt cảm nhận được trong sử dụng hằng ngày — vì chip M-series có phần cứng mã hoá chuyên dụng xử lý ngầm liên tục. Đây khác hẳn với ký ức “bật mã hoá ổ cứng làm máy chậm hẳn” mà nhiều người còn nhớ từ thời máy Intel cũ.

FileVault có bảo vệ được bạn khi máy đang mở, đăng nhập sẵn không?

Đây là điều cần hiểu rõ để không có kỳ vọng sai: FileVault chỉ có tác dụng khi máy tắt hoàn toàn hoặc ở màn hình đăng nhập. Nếu máy đang mở và đã đăng nhập (kể cả đang ở màn hình khoá lock screen thông thường sau khi đăng nhập lần đầu), dữ liệu đã được giải mã sẵn trong bộ nhớ để hệ thống hoạt động — kẻ có quyền truy cập vật lý vào máy lúc đó (qua các kỹ thuật tấn công phần cứng chuyên sâu) về lý thuyết vẫn có đường tấn công khác, dù khó hơn rất nhiều.

Vì vậy, FileVault nên được xem là lớp bảo vệ cho tình huống mất máy hoặc máy bị trộm khi đã tắt — vẫn cần kết hợp thêm mật khẩu đăng nhập mạnh, khoá màn hình tự động sau vài phút không dùng, và Touch ID để có một hệ thống phòng thủ nhiều lớp thật sự.

Bảng tóm tắt: nên chọn gì khi bật FileVault

FileVault so với các cách mã hoá khác bạn có thể đã nghe qua

Nhiều người nhầm FileVault với các giải pháp mã hoá khác đang phổ biến. Vài so sánh thực tế đáng biết:

• FileVault vs mã hoá ổ cứng ngoài (bằng Disk Utility): FileVault mã hoá ổ đĩa chính, khởi động hệ điều hành. Nếu bạn có ổ cứng gắn ngoài để backup, đó là một lớp mã hoá riêng, cần bật thủ công qua Disk Utility — tương tự cách tạo ảnh đĩa mã hoá cho một thư mục cụ thể, chỉ khác là áp dụng cho cả ổ đĩa ngoài.
• FileVault vs mật khẩu Zip/nén file có mật khẩu: mã hoá file zip chỉ bảo vệ đúng file đó, còn FileVault bảo vệ toàn bộ hệ thống — mọi file, mọi app, mọi dữ liệu tạm đều nằm trong vùng được mã hoá, không có “khoảng hở” nào bị bỏ quên.
• FileVault vs mã hoá do bên thứ ba cung cấp (VeraCrypt và tương tự): FileVault có ưu thế lớn là tích hợp sẵn ở tầng phần cứng trên chip Apple Silicon, không cần cài thêm phần mềm, không có rủi ro tương thích khi macOS cập nhật phiên bản mới.

Trường hợp đặc biệt: máy công ty và máy IT quản lý tập trung

Nếu Mac của bạn là máy công ty được IT cấp và quản lý qua MDM (Mobile Device Management), chính sách FileVault thường đã được cấu hình sẵn từ xa — Recovery Key trong trường hợp này thường được lưu tập trung trên hệ thống quản lý của công ty, không phải do bạn tự lưu giữ. Nếu quên mật khẩu đăng nhập, bạn liên hệ bộ phận IT để họ hỗ trợ khôi phục qua hệ thống quản lý, không cần tự tìm Recovery Key cá nhân.

Với máy cá nhân mua để dùng riêng (trường hợp phổ biến nhất với người đọc bài này), toàn bộ trách nhiệm lưu giữ Recovery Key hoặc duy trì quyền truy cập Apple ID thuộc về chính bạn — không có “bộ phận IT” nào đứng sau hỗ trợ nếu bạn làm mất cả hai.

Tổng kết: nên bật ngay, nhưng bật đúng cách

FileVault là một trong số ít thiết lập bảo mật “bật một lần, bảo vệ mãi” mà hầu như không có nhược điểm về hiệu năng trên Mac hiện đại. Với một chiếc laptop — thiết bị luôn có rủi ro thất lạc hoặc bị trộm cao hơn máy để bàn — đây là việc nên làm ngay trong ngày đầu mua máy, cùng lúc với việc tạo tài khoản người dùng và bật Tường lửa.

Điều duy nhất cần thận trọng thật sự không phải là “có nên bật hay không” — mà là chọn đúng cách khôi phục và lưu Recovery Key cẩn thận. Một tính năng bảo vệ dữ liệu tuyệt đối cũng có nghĩa là không có đường tắt nào nếu bạn tự làm mất cả hai chìa khoá của chính mình.

Cần tư vấn thêm về cách bảo vệ dữ liệu trên MacBook của bạn? Huy Store hỗ trợ trực tiếp qua hotline 0862 838 663 — nhắn tin để được hướng dẫn cụ thể theo đúng tình huống máy của bạn.

← Quay lại Cẩm nang