Sblocca il disco rigido rispetto alla crittografia dell'intero disco

Ci sono (tipicamente) tre tipi di autenticazione all'avvio:

• password di avvio del BIOS
• Meccanismi di blocco delle unità (ad es. HP DriveLock)
• Crittografia completa del disco (ad esempio TrueCrypt / OpenPGP)

La password di avvio del BIOS è semplicemente un controllo logico all'interno del chip del BIOS, che può essere bypassato facendo lampeggiare manualmente il BIOS o sostituendo il chip. È un meccanismo di protezione morbido.

La crittografia completa del disco è un meccanismo di sicurezza appropriato che prevede la crittografia attiva dell'intero disco e l'utilizzo di una password o altri materiali di autenticazione per decrittografare i dati del disco all'avvio. Questo viene in genere eseguito tramite software di terze parti, ma può anche essere integrato nell'hardware del disco.

I meccanismi di blocco delle unità sono (di solito) una funzione proprietaria di alcuni laptop, ad es. HP DriveLock. Questi coinvolgono la crittografia dei settori bassi del disco rigido, ovvero i settori che contengono elementi come la telemetria e la mappatura dei settori danneggiati. Quando questi sono codificati, un controller di unità tradizionale non può accedere al disco. Questo non cripta i dati del disco. È possibile eseguire un'immagine a livello hardware completa dei settori da un set noto di telemetria e ritagliare manualmente i file system, ma è una barriera significativa contro tutti tranne gli attaccanti meglio equipaggiati.

In passato, era un controllo logico sul disco fisico. Anche scambiare l'elettronica del drive non ha potuto eludere la password, quindi ha impiegato strumenti avanzati o hardware hackerato per bypassare la password.

Circa 5 anni fa, iniziarono a fare la crittografia AES sul disco stesso, spedendo il disco crittografato e crittografando la chiave con la password quando la si imposta usando le estensioni di sicurezza ATA.

Hitachi ha una buona FAQ su questo:

Crittografia dei dati in blocco - Domande frequenti

Anche altri produttori offrono funzionalità simili, su HDD e SSD

link

Detto questo, un paio di cose di cui essere a conoscenza:

• Non tutti i dischi lo fanno.
• Questa è la crittografia black-box

È una scatola nera perché, sebbene rivendichi per usare AES128, non esiste un modo ragionevole per verificarlo. E anche se rivendicano per farlo correttamente, non c'è modo di ispezionarne l'implementazione.

Alcuni anni fa ho inviato loro una semplice domanda ... se tutte le unità vengono spedite dalla fabbrica con la crittografia attivata, allora come fanno a seminare la loro chiave casuale?

Non ho mai avuto una risposta e non ho mai sentito nessuno fornire una spiegazione ragionevole. Per quanto ne sappiamo, tutte le chiavi su tutte le unità sono identiche. A meno che tu non abbia un metodo per bypassare l'elettronica del drive per leggere i piatti crudi e criptati, non lo saprai mai. Anche se si esegue una funzione "cancellazione sicura" di ATA SE per eliminare la chiave, non si sa come viene generata la nuova chiave.

Per questo motivo, non mi affido a questa tecnologia per proteggere i sistemi.

La password per sbloccare il disco rigido potrebbe essere la crittografia completa del disco sul posto di lavoro. La password inserita per sbloccare il disco rigido è la password utilizzata per crittografare la chiave, che viene utilizzata per crittografare il contenuto dell'unità. Quindi, se dovessi estrarre l'unità dalla macchina in cui si trova e collegarla a un altro computer, probabilmente troverai solo un volume crittografato.

Ci sono molte voci su come i SED potrebbero funzionare. Sono assolutamente d'accordo con mgjk sul fatto che si tratti di una scatola nera. Devi credere al produttore che fa ciò che afferma di fare. Ed è persino difficile ottenere informazioni dettagliate su come dovrebbe funzionare. Ho ricercato Internet e il sito Web del produttore per ottenere informazioni su come abilitare la crittografia su SSD 840 di Samsung. Finora, non ho avuto successo nel consentirlo. Sfortunatamente, il BIOS del mio notebook non supporta le password di sicurezza ATA. E anche se così fosse, non potevo essere certo che abilitasse anche la crittografia, poiché non ci sono informazioni ufficiali dal produttore. Alcuni siti Web di terze parti affermano che dovrebbe essere conforme a OPAL. Così ho provato un software che afferma di essere in grado di inizializzare le unità OPAL - vale a dire Wave's Embassy Security Center e WinDegic SecureDoc. Nessuno di questi ha fatto il lavoro: entrambi sono ricaduti sulla crittografia del software con poche informazioni sul perché. Entrambi dispongono di una documentazione minima su come inizializzare i SED. Quindi ora, sono bloccato.