¿Cómo se incrementa el op-sec mediante la puesta a cero / la limpieza de su disco antes de cifrarlo?

Creo que una fuente de confusión es sobre el orden de las operaciones. Esta página puede ayudar (o no).

Básicamente, esto se debe a una situación en la que el cifrado está a punto de aplicarse en una partición completa, lógicamente vacía . La aplicación del cifrado es fácil porque solo tiene que pedirle al sistema operativo que en lo sucesivo aplique el cifrado cada vez que va a escribir algo en el disco. Sin embargo, no hay un paso preparatorio para los contenidos de partición existentes: de todos modos, todos estos son sectores no utilizados, por lo que nada los leerá en el curso de la administración normal de archivos.

Si la partición contenía datos no aleatorios, los sectores en los que se ha escrito están cifrados y "parecen aleatorios", mientras que los sectores en los que aún no se ha escrito conservan los bytes que originalmente estaban allí, es decir, los bytes no aleatorios . Los observadores pueden entonces inferir qué sectores nunca se han usado. Alguien lo adivina si esto les da alguna ventaja, pero parece que es suficiente para que algunas personas se asusten un poco y pidan una limpieza preliminar.

El objetivo de tal "borrado" es rellenar el disco físico con bytes que no se podrán distinguir de la salida de cifrado, es decir, deben "parecer aleatorios" ya que se supone que la salida de cifrado no se puede distinguir de los bytes aleatorios. Hay dos métodos principales para eso:

1. Sobrescribe la partición completa con bytes aleatorios (por ejemplo, desde /dev/urandom ) antes aplica el cifrado.

2. Sobrescribe la partición completa con datos arbitrarios (por lo general, ceros, porque /dev/zero está ahí y suplica ser usado) después habilitaste el cifrado, porque luego la escritura en el físico el medio se hará con datos encriptados, que realmente se parecen a los datos encriptados, que fue el punto.

Esto también podría tener algo que ver con los sectores reubicados. Estos sectores pueden contener copias de datos sin cifrar y no pueden sobrescribirse con programas de usuario normales como el software de cifrado de disco completo. Solo las herramientas de formato de bajo nivel específicas del proveedor podrán eliminarlas.

Esto es especialmente relevante para las unidades de estado sólido que reasignan a los sectores todo el tiempo para realizar la nivelación del desgaste. Sin embargo, para evitar el desgaste extremo de una limpieza completa del disco, las unidades SSD más recientes ya están codificadas en su totalidad en la fábrica. Se puede simular un borrado generando una nueva clave aleatoria con las herramientas de los fabricantes.

Con la mayoría de estos SSD, también puede establecer una "contraseña IDE" a través del BIOS que cifra la clave de cifrado con la contraseña. Bitlocker en Windows 8.1 y versiones posteriores puede usar esta función de forma transparente para descargar el trabajo de cifrado en el propio disco para SSD compatibles ("eDrives").

TL; DR: formato de bajo nivel si tenía datos confidenciales en un disco duro. Habilite la contraseña IDE para SSD (o Bitlocker en SSD compatibles) para lograr una protección equivalente.