Аппаратное полнодисковое шифрование

Аппаратное полнодисковое шифрование ( FDE ) доступно у многих производителей жестких дисков (HDD/ SSD ), в том числе: Hitachi , Integral Memory, iStorage Limited, Micron , Seagate Technology , Samsung , Toshiba , Viasat UK , Western Digital . Ключ симметричного шифрования компьютера поддерживается независимо от ЦП , что позволяет зашифровать все хранилище данных и исключить память компьютера как потенциальный вектор атаки.

Аппаратное обеспечение-FDE состоит из двух основных компонентов: аппаратного шифрования и хранилища данных. В настоящее время широко используются четыре разновидности аппаратного FDE:

Жесткий диск (HDD) FDE (диск с самошифрованием)
Закрытый жесткий диск FDE
Съемный жесткий диск FDE
Мост и набор микросхем (BC) FDE

Аппаратное обеспечение, разработанное для конкретной цели, часто может обеспечить более высокую производительность, чем программное обеспечение для шифрования диска , а оборудование для шифрования диска можно сделать более прозрачным для программного обеспечения, чем шифрование, выполняемое программным обеспечением. После инициализации ключа оборудование в принципе должно быть полностью прозрачно для ОС и, следовательно, работать с любой ОС. Если аппаратное обеспечение шифрования диска интегрировано с самим носителем, носитель может быть спроектирован для лучшей интеграции. Одним из примеров такого проектирования может быть использование физических секторов, размер которых немного превышает размер логических секторов.

Типы аппаратного полнодискового шифрования

Жесткий диск FDE

Обычно называется диском с самошифрованием ( SED ). HDD FDE производится поставщиками жестких дисков с использованием стандартов OPAL и Enterprise, разработанных Trusted Computing Group . ^[1] Управление ключами осуществляется внутри контроллера жесткого диска, а ключи шифрования представляют собой 128- или 256- битные ключи Advanced Encryption Standard (AES). Аутентификация при включении накопителя по-прежнему должна выполняться внутри ЦП либо через программную среду предзагрузочной аутентификации (т. е. с помощью программного компонента полного шифрования диска — гибридное полное шифрование диска), либо с помощью пароля BIOS .

Hitachi , Micron , Seagate , Samsung и Toshiba — производители дисководов, предлагающие , разработанные Trusted Computing Group со спецификацией Opal Storage Serial ATA накопители . Жесткие диски стали товаром, поэтому SED позволяет производителям накопителей сохранять прибыль. ^[2] Более старые технологии включают в себя фирменную технологию Seagate DriveTrust и более старый и менее безопасный стандарт команд PATA Security, поставляемый всеми производителями накопителей, включая Western Digital . Версии Enterprise SAS стандарта TCG называются дисками «TCG Enterprise».

Закрытый жесткий диск FDE

В корпусе стандартного жесткого диска заключены шифратор (BC), хранилище ключей и коммерчески доступный жесткий диск меньшего форм-фактора.

Корпус прилагаемого жесткого диска защищен от несанкционированного доступа , поэтому при проверке пользователь может быть уверен, что данные не были скомпрометированы .
Электроника шифровальщика, включая хранилище ключей и встроенный жесткий диск (если он твердотельный ), может быть защищена другими мерами защиты от несанкционированного доступа .
Ключ можно очистить , что позволяет пользователю предотвратить его параметров аутентификации, использование не разрушая зашифрованные данные. Позже тот же ключ можно повторно загрузить на закрытый жесткий диск FDE, чтобы получить эти данные.
Вмешательство не является проблемой для SED, поскольку их невозможно прочитать без ключа дешифрования, независимо от доступа к внутренней электронике. ^{[ нужны разъяснения ]}.

Например: Viasat UK (ранее Stonewood Electronics) со своим FlagStone, Eclypt. ^[3] и DARC-ssd ^[4] диски или GuardDisk ^[5] с RFID- токеном.

Съемный жесткий диск FDE

Вставленный жесткий диск стандартного форм-фактора жесткий диск FDE позволяет вставить в него . Концепцию можно увидеть на ^[6]

Это усовершенствованная технология удаления [незашифрованных] жестких дисков из компьютера и их хранения в сейфе, когда они не используются.
Эту конструкцию можно использовать для шифрования нескольких дисков с использованием одного и того же ключа .
Обычно они не надежно заперты. ^[7] поэтому интерфейс накопителя открыт для атаки.

Чипсет FDE

Мост шифрования и набор микросхем (BC) размещаются между компьютером и стандартным жестким диском и шифруют каждый записанный на него сектор.

Intel объявила о выпуске чипсета Danbury ^[8] но с тех пор отказался от этого подхода. ^{[ нужна ссылка ]}

Характеристики

Аппаратное шифрование, встроенное в диск или в корпус диска, особенно прозрачно для пользователя. Диск, за исключением аутентификации при загрузке, работает как любой другой диск, без снижения производительности. , здесь нет никаких сложностей или затрат на производительность, В отличие от программного обеспечения для шифрования дисков поскольку все шифрование невидимо для операционной системы и процессора главного компьютера .

Двумя основными вариантами использования являются защита хранящихся данных и криптографическое стирание диска.

Для защиты хранящихся данных компьютер или ноутбук просто выключают. Диск теперь самостоятельно защищает все данные на нем. Данные в безопасности, поскольку все они, даже ОС, теперь зашифрованы безопасным режимом AES и заблокированы от чтения и записи. Для разблокировки накопителю требуется код аутентификации, длина которого может достигать 32 байтов (2^256).

Очистка диска

Крипто-измельчение — это практика «удаления» данных путем (только) удаления или перезаписи ключей шифрования. Когда подается команда криптографического стирания диска (или криптографического стирания) (с соответствующими учетными данными аутентификации), диск самостоятельно генерирует новый ключ шифрования носителя и переходит в состояние «нового диска». ^[9] Без старого ключа старые данные становятся невосстановимыми и, следовательно, становятся эффективным средством очистки диска , что может оказаться длительным (и дорогостоящим) процессом. Например, незашифрованный и неклассифицированный жесткий диск компьютера, который требует дезинфекции для соответствия стандартам Министерства обороны, должен быть перезаписан более 3 раз; ^[10] Для выполнения этого процесса на диске Enterprise SATA3 объемом один терабайт потребуется много часов. Хотя использование более быстрых технологий твердотельных накопителей (SSD) улучшает эту ситуацию, их внедрение на предприятиях пока идет медленно. ^[11] Проблема будет усугубляться по мере увеличения размеров дисков с каждым годом. При использовании зашифрованных дисков полное и безопасное удаление данных занимает всего несколько миллисекунд при простой смене ключа, поэтому диск можно очень быстро безопасно перепрофилировать. Эта деятельность по очистке защищена в SED собственной системой управления ключами накопителя, встроенной в прошивку, чтобы предотвратить случайное удаление данных с помощью паролей подтверждения и безопасной аутентификации, связанной с требуемым исходным ключом.

Когда ключи генерируются случайным образом, обычно не существует способа сохранить копию, позволяющую восстановить данные . В этом случае защита этих данных от случайной потери или кражи достигается за счет последовательной и комплексной политики резервного копирования данных. Другой метод предназначен для пользовательских ключей, для некоторых закрытых жестких дисков FDE. ^[12] быть сгенерирован извне и затем загружен в FDE.

Защита от альтернативных методов загрузки

Последние модели оборудования позволяют избежать загрузки с других устройств и разрешить доступ с помощью системы двойной основной загрузочной записи (MBR), при которой MBR для операционной системы и файлов данных зашифрована вместе со специальной MBR, которая необходима для загрузки операционной системы . В SED все запросы данных перехватываются их прошивкой , которая не позволяет выполнять расшифровку, если система не загружена из специальной операционной системы SED , которая затем загружает MBR зашифрованной части диска. Это работает за счет наличия отдельного раздела , скрытого от глаз, который содержит проприетарную операционную систему для системы управления шифрованием. Это означает, что никакие другие методы загрузки не позволят получить доступ к диску.

Уязвимости

Обычно разблокированный FDE остается разблокированным до тех пор, пока подается питание. ^[13] Исследователи из Университета Эрланген-Нюрнберг продемонстрировали ряд атак, основанных на перемещении диска на другой компьютер без отключения питания. ^[13] Кроме того, возможно перезагрузить компьютер в операционную систему, контролируемую злоумышленником, без отключения питания диска.

Когда компьютер с самошифрующимся диском переводится в спящий режим , диск выключается, но пароль шифрования сохраняется в памяти, поэтому работу диска можно быстро возобновить без запроса пароля. Злоумышленник может воспользоваться этим, чтобы получить более легкий физический доступ к диску, например, подключив удлинительные кабели. ^[13]

Прошивка привода может быть скомпрометирована ^[14]^[15] поэтому любые данные, отправляемые на него, могут оказаться под угрозой. Даже если данные зашифрованы на физическом носителе накопителя, тот факт, что прошивка контролируется злонамеренной третьей стороной, означает, что она может быть расшифрована этой третьей стороной. Если данные зашифрованы операционной системой и отправляются на накопитель в зашифрованном виде, то не имеет значения, вредоносная прошивка или нет.

Критика

Аппаратные решения также подвергались критике за плохую документацию. ^{[ кем? ]}. Многие аспекты шифрования не публикуются поставщиком. Это оставляет пользователю мало возможностей судить о безопасности продукта и потенциальных методах атаки. Это также увеличивает риск привязки к поставщику .

Кроме того, реализация общесистемного аппаратного полнодискового шифрования является непомерно высокой для многих компаний из-за высокой стоимости замены существующего оборудования. Это усложняет переход на технологии аппаратного шифрования и, как правило, требует четкого решения по миграции и централизованному управлению как для аппаратных, так и для программных решений полнодискового шифрования . ^[16] однако закрытый жесткий диск FDE и съемный жесткий диск FDE часто устанавливаются на один диск.

См. также

Ссылки

^ «Страница защиты данных группы доверенных вычислений» . Trustedcomputinggroup.org. Архивировано из оригинала 15 сентября 2012 г. Проверено 6 августа 2013 г.
^ Скамарок, Энн (21 февраля 2020 г.). «Является ли хранение товаром» . ITWorld.com . Сетевой мир . Проверено 22 мая 2020 г.
^ «Софтпедия по Eclypt Drive AES-256» . Новости.softpedia.com. 30 апреля 2008 г. Проверено 6 августа 2013 г.
^ «Решения для шифрования данных при хранении (DAR)» . www.Viasat.com . © Viasat, Inc., 2023 . Проверено 2 февраля 2023 г.
^ «Наконец-то аппаратное шифрование дисков для масс!» . www.turbotas.co.uk . Турботас. 30 мая 2003 г. Проверено 22 мая 2020 г.
^ «Съемные диски» . www.Cru-inc.com . КРУ . Проверено 15 мая 2020 г.
^ «Оснастка сапфирового шифрования» . Аддоникс.com . Аддоники . Проверено 15 мая 2020 г.
^ Смит, Тони (21 сентября 2007 г.). «Платформа Intel vPro следующего поколения для аппаратного шифрования» . Регистр . Проверено 6 августа 2013 г.
^ «10 причин купить диски с самошифрованием» (PDF) . Группа доверенных вычислений. 2010 . Проверено 6 июня 2018 г.
^ http://www-03.ibm.com/systems/resources/IBM_Certified_Secure_Data_Overwrite_Service_SB.pdf ^{[ только URL-адрес PDF ]}
^ «Медленное понимание» . Проверено 18 февраля 2021 г.
^ «Внутренний жесткий диск с шифрованием Eclypt Core» . Viasat.com . Виасат. 2020 . Проверено 17 февраля 2021 г.
^ Перейти обратно: ^а ^б ^с «Аппаратное полное шифрование диска (В) Безопасность | Инфраструктуры ИТ-безопасности (Информатика 1)» . .cs.fau.de . Проверено 6 августа 2013 г.
^ Зеттер, Ким (22 февраля 2015 г.). «Как работает взлом прошивки АНБ и почему это так тревожит» . Проводной .
^ Паули, Даррен (17 февраля 2015 г.). «Ваши жесткие диски уже много лет пронизаны шпионским ПО АНБ» . Регистр .
^ «Закрытие разрыва в наследии» . Секунда. 21 февраля 2008 года. Архивировано из оригинала 9 сентября 2012 года . Проверено 22 февраля 2008 г.

[1] «Страница защиты данных группы доверенных вычислений» . Trustedcomputinggroup.org. Архивировано из оригинала 15 сентября 2012 г. Проверено 6 августа 2013 г.

[2] Скамарок, Энн (21 февраля 2020 г.). «Является ли хранение товаром» . ITWorld.com . Сетевой мир . Проверено 22 мая 2020 г.

[softpedia-3] «Софтпедия по Eclypt Drive AES-256» . Новости.softpedia.com. 30 апреля 2008 г. Проверено 6 августа 2013 г.

[4] «Решения для шифрования данных при хранении (DAR)» . www.Viasat.com . © Viasat, Inc., 2023 . Проверено 2 февраля 2023 г.

[5] «Наконец-то аппаратное шифрование дисков для масс!» . www.turbotas.co.uk . Турботас. 30 мая 2003 г. Проверено 22 мая 2020 г.

[6] «Съемные диски» . www.Cru-inc.com . КРУ . Проверено 15 мая 2020 г.

[7] «Оснастка сапфирового шифрования» . Аддоникс.com . Аддоники . Проверено 15 мая 2020 г.

[8] Смит, Тони (21 сентября 2007 г.). «Платформа Intel vPro следующего поколения для аппаратного шифрования» . Регистр . Проверено 6 августа 2013 г.

[9] «10 причин купить диски с самошифрованием» (PDF) . Группа доверенных вычислений. 2010 . Проверено 6 июня 2018 г.

[10] ttp://www-03.ibm.com/systems/resources/IBM_Certified_Secure_Data_Overwrite_Service_SB.pdf ^{[ только URL-адрес PDF ]}

[11] «Медленное понимание» . Проверено 18 февраля 2021 г.

[12] «Внутренний жесткий диск с шифрованием Eclypt Core» . Viasat.com . Виасат. 2020 . Проверено 17 февраля 2021 г.

[sed-attacks-13] Перейти обратно: ^а ^б ^с «Аппаратное полное шифрование диска (В) Безопасность | Инфраструктуры ИТ-безопасности (Информатика 1)» . .cs.fau.de . Проверено 6 августа 2013 г.

[14] Зеттер, Ким (22 февраля 2015 г.). «Как работает взлом прошивки АНБ и почему это так тревожит» . Проводной .

[15] Паули, Даррен (17 февраля 2015 г.). «Ваши жесткие диски уже много лет пронизаны шпионским ПО АНБ» . Регистр .

[16] «Закрытие разрыва в наследии» . Секунда. 21 февраля 2008 года. Архивировано из оригинала 9 сентября 2012 года . Проверено 22 февраля 2008 г.

[1]

[2]

[3]

[4]

[5]

[6]

[7]

[8]

[9]

[10]

[11]

[12]

[13]

[14]

[15]

[16]