La crittografia dei file non è sufficiente?

Per iniziare, analizzerò la differenza principale tra FDE e Crittografia a livello di file:

Codifica tutto il disco:

FDE funziona a livello di hardware di un dispositivo. Cripta l'intero drive rispetto ai singoli file e garantisce che i dati non possano essere letti anche se l'unità è collegata a un sistema alternativo. Assicura che un utente debba avere una password per poter anche accedere a un file. Questa è una distinzione importante.

Codifica del livello file:

La crittografia a livello di file ti consente di crittografare singoli file rispetto a un'intera unità. Ciò consente di controllare accedere ai file - potrei consentire a Bob e Alice di condividere un'unità (una cattiva idea, solo un esempio) e crittografare un file con ciascuna delle loro password. Ciò comporterebbe che entrambi potessero vedere il file, ma, soprattutto, non i contenuti . In altre parole: consente un maggiore controllo.

Diciamo che sono una persona cattiva - noto che hai lasciato il tuo contenitore Veracrypt sbloccato - questo significa che posso leggere liberamente tutti i tuoi file perché il container è aperto - questo è il come FDE tranne su scala ridotta. Tuttavia, se si stesse utilizzando la crittografia a livello di file, avrei avuto bisogno di un'altra password per poter effettivamente visualizzare i file. Potrei riuscire a copiarli (a seconda delle mie autorizzazioni) e craccarli a mio piacimento, ma è un processo più lungo.

In un altro scenario, se non hai FDE, potrei estrarre l'unità dal tuo sistema, clonare l'intera unità e procedere a decifrare i file presenti sul mio sistema. Oppure utilizzerei un'implementazione di file di sicurezza non valida per accedere ai tuoi dati.

tl; dr: Vuoi FDE se vuoi assicurarti che le persone non saranno mai in grado di leggere il contenuto dei tuoi dischi senza password mentre vuoi anche la crittografia a livello di file per assicurarti non consentono a qualcuno di copiare i dati non crittografati dal disco quando è sbloccato.

La crittografia dell'intero disco è per lo più una questione di praticità: non devi preoccuparti di determinare quali file sono sensibili e di mantenere l'elenco mentre le cose accadono sul tuo computer. In molte situazioni, è una configurazione unica, quindi tutto continua a funzionare esattamente come prima per l'utente (la chiave di crittografia è derivata dalla password dell'utente), ma ora c'è una certa protezione contro un laptop rubato. Ciò è particolarmente utile da una prospettiva IT aziendale.

Se sei disposto a impegnarti a garantire che ogni file un po 'sensibile sul tuo sistema sia coperto da una crittografia basata su file, allora questo ti offre un maggiore controllo ed è meno probabile che lasci dati sensibili nella RAM. Ma è molto più lavoro, e si basa sulla correttezza dell'elenco di file sensibili, che può essere difficile da fare, dal momento che molte applicazioni faranno cose come memorizzare password in chiaro in un file di configurazione senza dirlo.

Sono d'accordo con te. In particolare:

This is not taking into consideration of theft, but rather, something or someone infecting my machine and then being able to exploit my data.

Il vettore di attacco contro cui FDE ti protegge (rispetto alla crittografia dei file) è una macchina persa o rubata. Se la tua macchina è infetta, i dati sono presumibilmente già decifrati e non farà alcuna differenza se hai FDE.

Il motivo per cui

full-disk encryption is "better" to some folk

è in caso di furto, non di infezione. Vedi la risposta di XiongChiamiov per una buona spiegazione di quel vettore di attacco.

In effetti, potrei fare un ulteriore passo avanti e affermare che avere la solo crittografia dei file è anche meglio che avere solo FDE specificamente contro il vettore di attacco dell'infezione perché con crittografia dei file è possibile avere determinati file crittografati con una password diversa da quella che l'infezione conosce. In realtà ho alcuni sistemi che utilizzano sia FDE che la crittografia dei file con password diverse in modo che io o un utente malintenzionato / infezione non possiamo aprire determinati file senza conoscere la password separata.