การเปลี่ยนรหัสผ่านการเข้ารหัสหมายถึงการเขียนข้อมูลทั้งหมดซ้ำหรือไม่

สมมติว่าฉันมีข้อมูล 1 TB บนพาร์ติชันที่เข้ารหัสด้วย BitLocker, TrueCrypt หรือ VeraCrypt

การเปลี่ยนรหัสผ่านการเข้ารหัสหมายถึงการเขียนข้อมูลทั้งหมดใหม่ (เช่นจะใช้เวลาหลายชั่วโมง / วัน) หรือไม่

สำหรับเร็กคอร์ด: Windows Bitlocker ไม่มีขั้นตอนในการ "เขียน" ข้อมูลอย่างชัดเจน คุณต้องถอดรหัสและเข้ารหัสดิสก์อีกครั้ง

— usr-local-ΕΨΗΕΛΩΝ

เกี่ยวข้องกับการลบดิสก์ที่เข้ารหัสทั้งหมดโดยเพียงแค่ลบกุญแจเช่นฮาร์ดไดรฟ์เข้ารหัสบางตัวสามารถทำการ "เช็ด" เทราไบต์เกือบจะทันที

— Xen2050

เกี่ยวข้องกับสิ่งนี้ (แม้ว่าจะไม่มีคำตอบที่กล่าวถึง): รหัสผ่านที่ผู้ใช้เลือกจะสั้นเกินไปและมีเอนโทรปีที่แย่มาก (เดาง่ายเกินไป) ดังนั้นไดรฟ์จึงได้รับการเข้ารหัสด้วยคีย์ที่ดี ... จากนั้นคีย์การเข้ารหัสจะได้รับการปกป้องด้วยรหัสที่แย่มาก (ดีมาก)

— Clockwork-Muse

@ Clockwork-Muse ยังดีกว่าเข้ารหัสด้วยคีย์ลัดดั้งเดิม

— gvgramazio

คำตอบ:

ไม่รหัสผ่านของคุณใช้เพื่อเข้ารหัสคีย์หลักเท่านั้น เมื่อคุณเปลี่ยนรหัสผ่านคีย์หลักจะถูกเข้ารหัสใหม่ แต่ตัวเองจะไม่เปลี่ยนแปลง

(นี่คือวิธีที่ระบบบางระบบเช่น BitLocker หรือ LUKS สามารถมีรหัสผ่านหลายรหัสสำหรับดิสก์เดียวกัน: พวกเขายังคงใช้คีย์หลักเดียวสำหรับข้อมูลทั้งหมด แต่เพียงเก็บสำเนาของคีย์หลักที่เข้ารหัสด้วยรหัสผ่านที่แตกต่างกัน)

— grawity
แหล่งที่มา

ขอบคุณมาก! คุณจะมีลิงค์พร้อมรายละเอียดเกี่ยวกับสิ่งนั้นหรือไม่? มาสเตอร์คีย์ถูกบันทึก (เข้ารหัสด้วยรหัสผ่าน) ที่จุดเริ่มต้น (ไบต์แรกสุด) ของพาร์ติชันหรือไม่

— Basj

ฉันไม่มีลิงค์ที่มีประโยชน์อยู่ แต่เห็นคำตอบของ Twisty เกี่ยวกับเรื่องนั้น

— grawity

จากนั้นคำถามต่อไปก็ชัดเจน: เป็นไปได้ไหมที่จะเปลี่ยนคีย์หลัก

— gvgramazio

@gvgramazio: อาจเป็นไปได้ แต่นั่นควรเป็นเธรดแยกต่างหาก - และคุณควรพูดถึงโปรแกรม fde เฉพาะที่คุณใช้และบน OS ใด (เป็นไปได้ในทางเทคนิค แต่อาจไม่มีเครื่องมือใดที่สามารถทำได้จริง ๆ ) นอกจากนี้ยังพูดถึงเหตุผลที่คุณคิดว่าการเปลี่ยนแปลงอาจจำเป็น ...

— grawity

เหตุผลอาจเหมือนกันเกือบเป็นสาเหตุหนึ่งที่ต้องการเปลี่ยนรหัสผ่าน อาจมีการค้นพบรหัสผ่านดังนั้นจึงมีการค้นพบคีย์หลัก แน่นอนหนึ่งควรมีการเข้าถึงคีย์หลักที่เข้ารหัส แต่อาจเป็นไปได้ หากมีข้อสงสัยว่าพบว่ามีการเปลี่ยนรหัสหลักเพียงรหัสผ่านเท่านั้นจะไม่มีผลกระทบใด ๆ

— gvgramazio

คำตอบของ Grawity นั้นถูกต้อง เนื่องจากการเข้ารหัสข้อมูลเป็นกระบวนการที่ค่อนข้างแพงจึงเหมาะสมกว่าที่จะสร้างคีย์หลักเดียวที่ไม่เปลี่ยนแปลงในช่วงอายุการใช้งานข้อมูลที่เข้ารหัส จากนั้นมาสเตอร์คีย์นี้จะสามารถเข้ารหัสโดยใช้คีย์รองตั้งแต่หนึ่งคีย์ขึ้นไปซึ่งสามารถเปลี่ยนแปลงได้ตามต้องการ

ตัวอย่างเช่นนี่คือวิธีที่ BitLocker ใช้สิ่งนี้ (จริง ๆ แล้วใช้คีย์ "เลเยอร์" สามอัน):

ข้อมูลที่เขียนไปยังไดรฟ์ข้อมูลที่มีการป้องกันด้วย BitLocker จะถูกเข้ารหัสด้วยคีย์การเข้ารหัสเต็มรูปแบบ (FVEK) คีย์นี้จะไม่เปลี่ยนแปลงจนกว่า BitLocker จะสมบูรณ์ลบออกจากไดรฟ์
FVEK ถูกเข้ารหัสด้วยโวลุ่มมาสเตอร์คีย์ (VMK) จากนั้นจัดเก็บ (ในรูปแบบที่เข้ารหัส) ในเมตาดาต้าของโวลุ่ม
ในทางกลับกัน VMK จะถูกเข้ารหัสด้วยตัวป้องกันคีย์อย่างน้อยหนึ่งตัวเช่น PIN / รหัสผ่าน

รูปภาพต่อไปนี้แสดงกระบวนการเข้าถึงดิสก์ระบบที่เข้ารหัสบนเครื่องที่เปิดใช้งานการเข้ารหัสลับไดรฟ์ข้อมูลแบบเต็มของ BitLocker:

ข้อมูลเพิ่มเติมเกี่ยวกับกระบวนการนี้สามารถพบได้บนTechNet

— ฉันพูดว่า Reinstate Monica
แหล่งที่มา

หมายเหตุ: นี่หมายความว่าหากใครก็ตามที่อยากได้สำเนาของ FVEK ที่ถอดรหัสในขณะที่พวกเขามีสิทธิ์เข้าใช้ (อาจถูกต้องตามกฎหมาย) จะยังคงมีการเข้าถึงข้อมูลที่เข้ารหัสอย่างไม่ จำกัด หากพวกเขาเข้ามาติดต่อกับดิสก์ที่เข้ารหัสนั้น PIN / รหัสผ่าน / VMK ของคุณ ซึ่งค่อนข้างโชคร้าย (IOW ส่วนใหญ่เวลาที่คุณเปลี่ยนข้อความรหัสผ่านคุณควรทำการสำรองข้อมูลเต็มรูปแบบ / ลบ / สร้างใหม่ด้วยวลีรหัสผ่าน / รอบใหม่ด้วยตนเองหากคุณต้องการการป้องกันจากกรณีดังกล่าว)

— Matija Nalis

ค่อนข้างเป็นจริงแม้ว่าจะเป็นกรณีที่ต้องการการเข้าถึงทางกายภาพหรือการเข้าถึงระยะไกลด้วยสิทธิ์ของผู้ดูแลระบบ หากผู้โจมตีมีทั้ง ... เหรอ

— ฉันพูดว่า Reinstate Monica

ใช่ฉันคิดว่าการเข้าถึงทางกายภาพ การเข้ารหัสดิสก์แบบเต็มไม่เกี่ยวข้องกับมุมมองด้านความปลอดภัยในขณะที่เครื่องกำลังทำงานและดิสก์จะถูกปลดล็อกอยู่ดี อย่างไรก็ตามควรปกป้องข้อมูลที่สำคัญของคุณหากเครื่องถูกปิดและสูญหายหรือถูกขโมย (คิดว่าแล็ปท็อปในรถแท็กซี่หรือสนามบิน) ดัดแปลง (คิดว่าแม่บ้านจ่ายเงินเพื่อให้เข้าใช้ในห้องพักโรงแรมในขณะที่เจ้าของไม่อยู่) หรือฮาร์ดแวร์ล้มเหลวหรือ กำลังจะถูกปลดประจำการ - ตอนนี้คุณยังต้องกำจัด degaussing, การทำลายทางกายภาพและการเผาไหม้ของฮาร์ดแวร์แทนการรีไซเคิล (หรือให้กับพนักงานหรือการขายใน eBay ฯลฯ )

— Matija Nalis

@TwistyImpersonator จุดประสงค์ทั้งหมดของการเข้ารหัสดิสก์คือการปกป้องข้อมูลของคุณเมื่อใครบางคนมีการเข้าถึงทางกายภาพ ดังนั้นสถานการณ์จึงไม่เป็นที่สงสัย มันเป็นจุดรวม

— การแข่งขัน Lightness กับโมนิก้า

@LightnessRacesinOrbit ฉันรู้ว่า ความคิดเห็นของฉันถูกสร้างขึ้นในบริบทของช่องโหว่ที่แนะนำของ VMK ก่อนที่การเข้ารหัสจะเสร็จสมบูรณ์ ในช่วงเวลานั้นการเข้ารหัสไม่ได้ป้องกันผู้โจมตีด้วยการเข้าถึงทางกายภาพหรือสิทธิ์ผู้ดูแลระบบระยะไกล

— ฉันพูดว่า Reinstate Monica