Dyski SED pojawiły się na rynku już ładnych parę lat temu. Gwarantowane przez nie sprzętowe szyfrowanie danych na poziomie samego urządzenia ma zapewniać wysoki poziom bezpieczeństwa przez uniezależnienie systemu szyfrującego od oprogramowania i systemu operacyjnego. Na pierwszy rzut oka wydaje się to ciekawe rozwiązanie. Po pierwsze nie wymaga kupna i instalacji dodatkowych narzędzi. Po drugie odciąża procesor komputera gdyż szyfrowanie realizowane jest przez dedykowany układ wewnątrz dysku. Po trzecie przeniesienia szyfrowania jak najbliżej sprzętu jest zalecane ze względów bezpieczeństwa.
W ostatnim czasie dyski SSD typu SED stały się na tyle popularne, że czasami możemy nawet nie wiedzieć, iż jesteśmy ich posiadaczami. Tak było właśnie ze mną. Zamówiłem kilka dni temu dysk Samsunga 860 EVO i dopiero po doczytaniu jego specyfikacji technicznej znalazłem informację, iż jest to dysk typu SED.
Jak działają dyski SED?
Zasada działania dysku jest teoretycznie prosta. Dane są w locie szyfrowane/deszyfrowane przez dedykowany układ, w sposób przeźroczysty dla systemu operacyjnego i użytkownika. Do szyfrowania służy klucz wygenerowany i przechowywany wewnątrz dysku. Ma to gwarantować bezpieczeństwo przez uniemożliwienie przechwycenia klucza z poziomu systemu. I tutaj pojawia się pierwsze pytanie – gdzie to bezpieczeństwo, skoro wszystko odbywa się w sposób przeźroczysty? Wystarczy wystartować komputer z systemu typu live lub przełożyć dysk do innego komputera i mamy pełen dostęp do danych. I w rzeczywistości domyślnie tak właśnie to działa. Żeby wykluczyć możliwość powyższych działań należy zabezpieczyć klucz szyfrujący ustawiając hasło dostępowe do dysku. Wówczas użycie zapisanego w dysku klucza szyfrującego będzie wymagało podania tego hasła.
UEFI
Wszystkie nowoczesne komputery już od ładnych paru lat korzystają z systemów UEFI (Unified Extensible Firmware Interface), które zastąpiły stary i wysłużony BIOS. I to właśnie UEFI umożliwia ustawienie hasła do dysku i wymaga jego podania podczas startu komputera. W teorii UEFI jest standardem. Niezależnie od tego na komputerze jakiego producenta ustawimy hasło, po przełożeniu dysku do innego działającego pod kontrolą UEFI powinno się dać to hasło wprowadzić i uzyskać dostęp do danych. W Internecie można jednak znaleźć informacje o tym, iż zdarzało się, że producent danej płyty głównej podczas wprowadzania hasła na poziomie UEFI dodawał do niego dodatkowy bajt danych, co uniemożliwiało skorzystanie z tego hasła w innych komputerach. Gdybyśmy mieli więc pecha i po awarii płyty głównej nie byli w stanie znaleźć identycznej, możemy stracić dostęp do naszych danych. Być może był to pojedynczy przypadek, ale to niestety nie jedyny problem, z jakim możemy się spotkać. Pod dużym znakiem zapytania stoi też bezpieczeństwo dysków SED.
Bezpieczeństwo dysków SED
W artykule o bezpieczeństwie algorytmów szyfrujących wspominałem, iż jednym z powodów do uznania systemu szyfrującego za skompromitowany może być błędna implementacja (nawet najdoskonalszego algorytmu). Niestety kilka lat temu opublikowane zostały wyniki badań, a rok temu kolejne, z których wynika, iż producenci dysków właśnie na poziomie implementacji popełniają sporo błędów. Od nieprawidłowego generowania kluczy szyfrujących, poprzez ich nieprawidłowe przechowywanie, po możliwość odczytania w nieudokumentowany sposób. Co gorsza błędów popełnianych przez producentów sprzętu często nie da się wyeliminować za pomocą poprawki bezpieczeństwa, jak to ma miejsce w przypadku rozwiązań programowych.
Uwaga na BitLockera
Jeżeli w wyniku opisanych w poprzednim akapicie problemów uznacie, że jednak lepiej zaufać producentom oprogramowania i zaszyfrować dysk z poziomu systemu operacyjnego, również musicie zachować ostrożność. Windowsowy BitLocker przez jakiś czas jako domyślne preferował właśnie sprzętowe szyfrowanie na poziomie dysku. Jeżeli więc do szyfrowania dysku używaliśmy BitLockera, a ten rozpoznał w naszym komputerze dysk SED, nie robił nic poza ustawieniem hasła i włączeniem szyfrowania na poziomie dysku. Później, ze względu na opisane wcześniej problemy Microsoft wycofał się z tego podejścia i korzystanie ze sprzętowego szyfrowania na poziomie dysku wymaga ustawienia odpowiedniej polisy GPO. Na wszelki wypadek warto więc sprawdzić jak to jest domyślnie w systemie, w którym mamy dysk SED i używamy BitLockera. Więcej na ten temat znajdziecie w tym artykule.
Software ponad wszystko
Osobiście po przestudiowaniu wielu tekstów na temat wad i zalet rozwiązania SED postanowiłem postawić jednak na szyfrowanie programowe. Wyłączyłem sprzętowe szyfrowanie na poziomie swojego dysku i używam LUKS (The Linux Unified Key Setup) wbudowanego w używaną przeze mnie dystrybucję Linuksa. Przepłaciłem za dysk, ale stwierdziłem, że lepsze to, niż płacić za złudne poczucie bezpieczeństwa. Nie odczuwam też żadnego dyskomfortu spowodowanego spadkiem wydajności. Znaczna część dzisiejszych procesorów posiada dedykowane instrukcje wspierające szyfrowanie AES. Należą do nich m.in. najpopularniejsze procesory z rodziny Intel i5 oraz i7.
„Bezpieczna Pigułka” to codzienna, mała dawka wiedzy z zakresu cyberbezpieczeństwa. Wszystkie teksty z tej kategorii znajdziesz TUTAJ.
Zostaw e-mail aby otrzymać powiadomienia o nowościach oraz dostęp do wszystkich bonusowych materiałów przygotowanych wyłącznie dla subskrybentów.
Bardzo często jedynym efektem sprzętowego szyfrowania danych jest utrudnienie ich odzyskania w przypadku awarii sprzętu. Nośnik szyfruje dane cały czas nieależnie od tego, cy uzytkownik ustawi hasło, czy też, jak to najczęściej bywa, nie. Tak, to prawda, klucze szyfrujące często da rady odnaleźć. Nie jest to proste i nie zawsze się udaje, jednak ogólnie rzecz ujmując jest to możliwe.
A co do Bit-lockera – od co najmniej paru miesięcy jest on skompromitowany. Słabym punktem każdego sposobu szyfrowania jest to, że gdzieś musimy przechowywać klucz szyfrujący i w jakiś sposób musimy go załadować do pamięci, żeby odszyfrować dane… nie ma zabezpieczeń nie do złamania.