ระบบของฉัน:

• Intel Core i7-4790 ซึ่งรองรับ AES-NI
• ASUS Z97-PRO mobo
• Samsung 250GB EVO SSD (พร้อมตัวเลือกการเข้ารหัสในตัว)
• Windows 7 บิต 64

หากฉันต้องการเข้ารหัสไดรฟ์สำหรับเริ่มระบบของฉันด้วย AES256 หรือที่คล้ายกันอะไรคือความแตกต่าง / ประสิทธิภาพที่เร็วขึ้น / ปลอดภัยยิ่งขึ้น พลิก Windows Bitlocker และไม่ใช้การเข้ารหัส SSD หรือเปิดใช้งานการเข้ารหัสไดรฟ์ในตัวที่ SSD นำเสนอและไม่ต้องกังวลกับ Bitlocker

ฉันคิดว่ามันน่าจะดีกว่าที่จะลดการเข้ารหัสลงใน SSD โดยใช้ตัวเลือกการเข้ารหัสของ Evo เพื่อให้โปรเซสเซอร์ไม่ต้องทำการเข้ารหัสใด ๆ นี่อาจจะดีกว่าสำหรับประสิทธิภาพของ I / O และให้ CPU ที่มีชีวิตอยู่ ? หรือตั้งแต่ CPU นี้มี AES-NI มันอาจไม่สำคัญ?

ฉันใหม่กับ Bitlocker และตัวเลือกการเข้ารหัส SSD นี้ดังนั้นความช่วยเหลือใด ๆ ที่ชื่นชมมาก

คำถามเก่า แต่ตั้งแต่นั้นมามีการพัฒนาใหม่ ๆ เกี่ยวกับ Bitlocker และการเข้ารหัสไดรฟ์ (ใช้อย่างเดียวหรือรวมกัน) ดังนั้นฉันจะเปลี่ยนความคิดเห็นของฉันสองสามหน้าให้เป็นคำตอบ อาจเป็นประโยชน์กับคนที่ค้นหาในปี 2018 และหลังจากนั้น

Bitlocker (คนเดียว):
มีหลายวิธีในการฝ่าฝืน Bitlocker ในประวัติศาสตร์มันโชคดีที่พวกเขาส่วนใหญ่ได้รับการแก้ไข / บรรเทาในปี 2018 แล้วสิ่งที่ยังคงมีอยู่ (เช่นที่รู้จักกัน) รวมถึง "Cold Boot Attack" - รุ่นใหม่ล่าสุด ซึ่งจริงๆแล้วไม่ใช่เฉพาะ Bitlocker (คุณต้องมีการเข้าถึงทางกายภาพไปยังคอมพิวเตอร์ที่ใช้งานอยู่และขโมยคีย์เข้ารหัสและสิ่งอื่น ๆ ที่อยู่ตรงจากหน่วยความจำ)

การเข้ารหัสฮาร์ดแวร์ไดรฟ์ SSD และ Bitlocker:
ช่องโหว่ใหม่ได้เปิดตัวในปี 2561 หากดิสก์ SSD มีการเข้ารหัสฮาร์ดแวร์ซึ่ง SSD ส่วนใหญ่มี Bitlocker จะใช้ค่าเริ่มต้นนั้นเท่านั้น ซึ่งหมายความว่าหากการเข้ารหัสนั้นแตกตัวผู้ใช้นั้นไม่มีการป้องกันเลย
ไดรฟ์ที่ทราบว่ามีความเสี่ยงจากช่องโหว่นี้ ได้แก่ (แต่อาจไม่ จำกัด เฉพาะ):
Crucial MX100, MX200, MX300 series Samgung 840 EVO, 850 EVO, T3, T5

ข้อมูลเพิ่มเติมเกี่ยวกับปัญหาการเข้ารหัส SSD ที่นี่:
https://twitter.com/matthew_d_green/status/1059435094421712896

และกระดาษจริง (เป็น PDF) จะเจาะลึกปัญหาที่นี่:
t.co/UGTsvnFv9Y?amp=1

ดังนั้นคำตอบคือจริงๆ; เนื่องจาก Bitlocker ใช้การเข้ารหัสฮาร์ดแวร์ดิสก์และมีช่องโหว่ของตัวเองด้านบนคุณจึงควรใช้การเข้ารหัสฮาร์ดแวร์ถ้า SSD ของคุณไม่อยู่ในรายการ SSD ที่ถอดรหัส

หากดิสก์ของคุณอยู่ในรายการคุณควรใช้สิ่งอื่นทั้งหมดเพราะ Bitlocker จะใช้การเข้ารหัสของไดรฟ์อยู่ดี คำถามคืออะไร; บน Linux ฉันจะแนะนำ LUKS เช่น

ฉันได้ทำการค้นคว้าเกี่ยวกับเรื่องนี้และมีคำตอบที่สมบูรณ์สำหรับคุณ

1. เป็นการดีกว่าเสมอที่จะใช้การเข้ารหัสแบบฮาร์ดแวร์บนไดรฟ์แบบเข้ารหัสด้วยตนเองหากคุณใช้การเข้ารหัสแบบซอฟต์แวร์บน bitlocker หรือโปรแกรมการเข้ารหัสอื่นมันจะทำให้เกิดการใดก็ได้ระหว่างการลดความเร็วในการอ่าน 25% ถึง 45% คุณสามารถเห็นประสิทธิภาพลดลงอย่างน้อย 10% (โปรดทราบว่าคุณต้องมี SSD ที่มีชิป TMP)

2. Bitlocker เข้ากันได้กับการเข้ารหัสฮาร์ดแวร์ที่ใช้คุณสามารถใช้มายากลซัมซุง v 4.9.6 (v5 ไม่สนับสนุนสิ่งนี้อีกต่อไป) เพื่อล้างไดรฟ์และเปิดใช้งานการเข้ารหัสตามฮาร์ดแวร์

http://www.ckode.dk/desktop-machines/how-to-enable-windows-edrive-encryption-for-ssds/

3. คุณสามารถเปิดใช้งานการเข้ารหัสตามฮาร์ดแวร์ผ่าน BIOS โดยการตั้งรหัสผ่านหลัก คุณจะต้องทำตามขั้นตอนบางส่วนในบทความด้านบนเช่นการปิด CMS

4. เพื่อตอบคำถามของคุณฉันไม่รู้จริงๆว่าเร็วกว่าไหน ฉันได้ติดต่อกับ Samsung แต่ได้รับข้อมูลที่ จำกัด เกี่ยวกับเรื่องนี้ หากฉันไม่ได้รับนักพัฒนาฉันสงสัยว่าฉันจะได้รับคำตอบที่ดีซึ่งเป็นตัวเลือกที่ดีกว่า ตอนนี้ฉันวางแผนที่จะเปิดใช้งานการเข้ารหัสฮาร์ดแวร์ตามใน BIOS ของฉัน

ฉันไม่คุ้นเคยกับไดรฟ์ของคุณและตัวเลือกการเข้ารหัสที่มีให้ แต่การเข้ารหัสฮาร์ดแวร์สามารถใช้กับระบบปฏิบัติการหลายระบบ (เช่นเมื่อคุณต้องการดูอัลบูท Windows และ Linux) ในขณะที่การเข้ารหัสซอฟต์แวร์อาจยากกว่าในการกำหนดค่า นอกจากนี้ความปลอดภัยของทั้งสองวิธียังขึ้นอยู่กับว่าคุณเก็บคีย์เข้ารหัสของคุณอย่างไรและที่ไหน

ฉันคิดว่ามันน่าจะดีกว่าที่จะลดการเข้ารหัสลงใน SSD โดยใช้ตัวเลือกการเข้ารหัสของ Evo เพื่อให้โปรเซสเซอร์ไม่ต้องทำการเข้ารหัสใด ๆ นี่อาจจะดีกว่าสำหรับประสิทธิภาพของ i / o และให้ CPU ที่มีชีวิตอยู่ ?

คุณถูกต้องการเข้ารหัสโดยใช้ฮาร์ดแวร์จะไม่ลดความเร็วในการประมวลผลของคอมพิวเตอร์

ฉันไม่เคยใช้การเข้ารหัสบนอุปกรณ์ใด ๆ ของฉันดังนั้นฉันขอโทษที่ฉันไม่สามารถช่วยคุณในกระบวนการเปิดใช้งานจริง โปรดทราบว่าในกรณีส่วนใหญ่การเปิดใช้งานการเข้ารหัสทำให้ไดรฟ์ถูกลบ (BitLocker ไม่ได้ลบข้อมูล แต่มีโอกาสที่จะเกิดความเสียหายจากระยะไกลได้อย่างมากเช่นเดียวกับซอฟต์แวร์เข้ารหัสสดทั้งหมด) หากคุณต้องการมีไดรฟ์เข้ารหัสที่ใช้งานได้กับระบบปฏิบัติการหลายระบบซึ่งยังคงถูกปลดล็อกจนกว่าคอมพิวเตอร์จะปิดตัวลงให้ใช้คุณสมบัติการเข้ารหัสฮาร์ดแวร์ที่ฮาร์ดไดรฟ์ของคุณนำเสนอ แต่ถ้าคุณต้องการสิ่งที่ปลอดภัยกว่าเล็กน้อย แต่ จำกัด อยู่ที่ Windows ลองใช้ BitLocker หวังว่าฉันช่วย!

มาทำWikipédiaกันบ้าง

BitLocker

BitLocker เป็นคุณสมบัติการเข้ารหัสดิสก์แบบเต็ม มันถูกออกแบบมาเพื่อปกป้องข้อมูลโดยการให้การเข้ารหัสสำหรับปริมาณทั้งหมด

BitLocker เป็นระบบเข้ารหัสลับแบบลอจิคัลวอลุ่ม ไดรฟ์ข้อมูลอาจเป็นไดรฟ์ฮาร์ดดิสก์ทั้งหมดหรืออาจเป็นไดรฟ์ฟิสิคัลตั้งแต่หนึ่งตัวขึ้นไป นอกจากนี้เมื่อเปิดใช้งาน TPM และ BitLocker สามารถรับรองความถูกต้องของเส้นทางการบูตที่เชื่อถือได้ (เช่น BIOS, บูตเซกเตอร์ ฯลฯ ) เพื่อป้องกันการโจมตีทางกายภาพออฟไลน์มัลแวร์บูตส่วนใหญ่เป็นต้น

ตามที่ Microsoft ระบุว่า BitLocker ไม่มีแบ็คดอร์ติดตั้งในตัว หากไม่มีแบ็คดอร์จะไม่มีทางที่กฎหมายบังคับให้มีการรับประกันข้อมูลของไดรฟ์ของผู้ใช้ที่ Microsoft จัดเตรียมไว้ให้

ไดรฟ์เข้ารหัสตัวเอง

การเข้ารหัสตามฮาร์ดแวร์เมื่อติดตั้งภายในไดรฟ์หรือภายในกล่องหุ้มไดรฟ์นั้นมีความโปร่งใสสำหรับผู้ใช้ ไดรฟ์ยกเว้นการรับรองความถูกต้อง bootup ทำงานเช่นเดียวกับไดรฟ์ที่ไม่มีการเสื่อมประสิทธิภาพ ไม่มีความซับซ้อนหรือค่าใช้จ่ายด้านประสิทธิภาพซึ่งต่างจากซอฟต์แวร์เข้ารหัสดิสก์เนื่องจากการเข้ารหัสทั้งหมดไม่สามารถมองเห็นได้ในระบบปฏิบัติการและตัวประมวลผลของโฮสต์คอมพิวเตอร์

กรณีใช้งานหลักสองกรณีคือ Data at Rest protection และ Cryptographic Disk Erasure

ในการป้องกันข้อมูลในส่วนที่เหลือแล็ปท็อปจะถูกปิด ขณะนี้ดิสก์ปกป้องข้อมูลทั้งหมดด้วยตนเอง ข้อมูลมีความปลอดภัยเพราะทุกอย่างแม้กระทั่ง OS ก็ถูกเข้ารหัสด้วยโหมดความปลอดภัยของ AES และถูกล็อกไม่ให้อ่านและเขียน ไดรฟ์ต้องใช้รหัสการรับรองความถูกต้องซึ่งสามารถแข็งแกร่งถึง 32 ไบต์ (2 ^ 256) เพื่อปลดล็อก

ไดรฟ์ที่เข้ารหัสด้วยตนเองโดยทั่วไปเมื่อปลดล็อคจะยังคงถูกปลดล็อคตราบเท่าที่ยังมีพลังงานอยู่ นักวิจัยที่Universität Erlangen-Nürnbergได้แสดงให้เห็นถึงการโจมตีจำนวนมากจากการเคลื่อนย้ายไดรฟ์ไปยังคอมพิวเตอร์เครื่องอื่นโดยไม่ต้องตัดไฟ นอกจากนี้อาจเป็นไปได้ที่จะรีบูทคอมพิวเตอร์เข้าสู่ระบบปฏิบัติการที่ควบคุมโดยผู้โจมตีโดยไม่ต้องตัดไฟลงไดรฟ์

คำตัดสิน

ฉันคิดว่าสิ่งที่สำคัญที่สุดคือ:

ไม่มีความซับซ้อนหรือค่าใช้จ่ายด้านประสิทธิภาพซึ่งต่างจากซอฟต์แวร์เข้ารหัสดิสก์เนื่องจากการเข้ารหัสทั้งหมดไม่สามารถมองเห็นได้ในระบบปฏิบัติการและตัวประมวลผลของโฮสต์คอมพิวเตอร์

ไดรฟ์ที่เข้ารหัสด้วยตนเองโดยทั่วไปเมื่อปลดล็อคจะยังคงถูกปลดล็อคตราบเท่าที่ยังมีพลังงานอยู่

เนื่องจาก BitLocker เป็นซอฟต์แวร์เข้ารหัสดิสก์จึงช้ากว่าการเข้ารหัสดิสก์เต็มรูปแบบที่ใช้ฮาร์ดแวร์ อย่างไรก็ตาม Self-Encrypting Drive จะยังคงถูกปลดล็อคตราบใดที่ยังมีพลังงานอยู่นับตั้งแต่ครั้งสุดท้ายที่มันถูกปลดล็อค การปิดคอมพิวเตอร์จะทำให้ไดรฟ์ปลอดภัย

ดังนั้นไม่ว่าคุณจะมี BitLocker ที่ปลอดภัยกว่าหรือ Self-Encrypting Drive ที่มีประสิทธิภาพมากขึ้น

อัปเดต: ฉันเชื่อว่าคำตอบนี้ถูกต้องและเป็นตัวอย่างของประสบการณ์การใช้งานจริงขององค์กรในด้านฮาร์ดแวร์และความปลอดภัย บางทีฉันอาจล้มเหลวในการให้รายละเอียดในคำตอบเริ่มต้นของฉันซึ่งสร้าง downvotes แต่ยังให้ข้อมูลเชิงลึกเกี่ยวกับกระบวนการคิดสำหรับคำตอบที่เป็นข้อสรุปจากชุมชนโดยรวม Windows แต่ตัวล็อกเกอร์ถูกโจมตีตั้งแต่เปิดตัวและเป็นปัญหาที่รู้จักกันดีและไม่รวมอยู่ในระบบปฏิบัติการ Windows OS ขององค์กร แต่มีให้สำหรับแพ็คเกจระดับผู้บริโภคสำหรับการรักษาความปลอดภัย / แบนด์ NSA Backdoor

การเข้ารหัสในตัวของ Samsung EVO SSD จะเป็นทางเลือกของฉันเนื่องจากได้รับการปรับปรุงให้เหมาะสมที่สุดและหนึ่งใน SSD ที่ดีที่สุดสำหรับความปลอดภัยในสภาพแวดล้อมขององค์กร นอกจากนี้หากคุณทำกุญแจหาย Samsung ก็สามารถปลดล็อคได้โดยเสียค่าธรรมเนียมผ่านอนุกรม # บน SSD