Desbloquear el disco duro frente al cifrado de disco completo

Hay (típicamente) tres tipos en la autenticación de arranque:

• contraseña de arranque del BIOS
• Mecanismos de bloqueo de la unidad (por ejemplo, HP DriveLock)
• Cifrado de disco completo (por ejemplo, TrueCrypt / OpenPGP)

La contraseña de inicio del BIOS es simplemente una comprobación lógica dentro del chip del BIOS, que se puede omitir al actualizar el BIOS manualmente o al reemplazar el chip. Es un mecanismo de protección suave.

El cifrado completo del disco es un mecanismo de seguridad adecuado que implica el cifrado activo de todo el disco y el uso de una contraseña u otros materiales de autenticación para descifrar los datos del disco durante el arranque. Esto generalmente se realiza a través de un software de terceros, pero también puede integrarse en el hardware del disco.

Los mecanismos de bloqueo de la unidad son (generalmente) una característica patentada de ciertas computadoras portátiles, por ejemplo, HP DriveLock. Estos implican el cifrado de los sectores bajos del disco duro, es decir, los sectores que contienen elementos como la telemetría y el mapeo de sectores defectuosos. Cuando están codificados, un controlador de disco tradicional no puede acceder al disco. Este no cifra los datos del disco. Es posible hacer una imagen completa a nivel de hardware de los sectores desde un conjunto conocido de telemetría y extraer manualmente los sistemas de archivos, pero es una barrera importante contra todos, excepto los atacantes mejor equipados.

En el pasado, era un control lógico en la unidad física. Incluso cambiar la electrónica de la unidad no pudo eludir la contraseña, por lo que se necesitaron herramientas avanzadas o hardware pirateado para omitir la contraseña.

Hace aproximadamente 5 años, comenzaron a realizar el cifrado AES en el propio disco, enviando el disco cifrado y cifrando la clave con su contraseña cuando la configura con las ATA Security Extensions.

Hitachi tiene unas buenas preguntas frecuentes sobre esto:

Cifrado de datos masivos - Preguntas frecuentes

Otros fabricantes también ofrecen características similares, en HDD y SSD

enlace

Dicho esto, un par de cosas a tener en cuenta:

• No todos los discos hacen esto.
• Esto es cifrado de caja negra

Es una caja negra porque, aunque afirman que usen AES128, no hay una forma razonable de verificarlo. Y aunque reclaman para hacerlo correctamente, no hay forma de inspeccionar su implementación.

Hace unos años les envié una pregunta simple ... si todas las unidades se envían de fábrica con el cifrado activado, ¿cómo pueden agregar su clave aleatoria?

Nunca obtuve una respuesta y nunca escuché a nadie proporcionar una explicación razonable. Por lo que sabemos, todas las claves en todas las unidades son idénticas. A menos que tenga un método para omitir la electrónica de la unidad para leer los platos crudos y encriptados, nunca lo sabrá. Incluso si ejecuta una función de "borrado seguro" de ATA SE para eliminar la clave, no sabe cómo se genera la nueva clave.

Debido a esto, no confío en esta tecnología para proteger los sistemas.

La contraseña para desbloquear el disco duro puede ser el cifrado completo del disco en el trabajo. La contraseña que ingresa para desbloquear el disco duro es la contraseña que se usa para cifrar la clave, que se utiliza para cifrar el contenido de la unidad. Por lo tanto, si fuera a sacar la unidad de la máquina y la conectara a otra computadora, es probable que encuentre solo un volumen cifrado.

Hay muchos rumores acerca de cómo podrían funcionar los SED. Estoy totalmente de acuerdo con mgjk en que es una caja negra. Tienes que creerle al fabricante que él hace lo que dice hacer. E incluso es difícil obtener información detallada sobre cómo se supone que funciona. He investigado en Internet y en el sitio web del fabricante para obtener información sobre cómo habilitar el cifrado en el SSD 840 de Samsung. Hasta ahora, no he tenido éxito en habilitarlo. Desafortunadamente, el BIOS de mi portátil no admite contraseñas de seguridad ATA. E incluso si lo hiciera, no podía estar seguro de que también permitiera el cifrado, ya que no hay información oficial del fabricante. Algunos sitios web de terceros afirman que debería ser compatible con OPAL. Así que probé un software que dice que puede inicializar las unidades OPAL, a saber, el Centro de seguridad Embassy de Wave y el SecureDoc de WinMagic. Ninguno de estos hizo el trabajo, ambos recurrieron a la encriptación de software con tan poca información como no. Ambos tienen tan poca como ninguna documentación acerca de cómo inicializar los SED. Así que ahora, estoy atascado.