了解自加密驱动器的价值

作者塞巴斯蒂安·让 | 2022 年 7 月 11 日 | 全部, 安全

存储设备上的数据有多安全？令人惊讶的事实是，如果没有驱动器级访问控制和加密，硬盘驱动器 (HDD) 或固态驱动器 (SSD) 上的数据可能容易受到不当访问或未经授权的修改或删除。例如，如果恶意行为者窃取了驱动器，他或她可以将其放置在另一台计算机上。驱动器将响应任何格式正确的 I/O 命令。

问题在于，标准驱动器依赖操作系统 (OS) 登录和文件系统权限来控制谁可以访问该驱动器以及他们可以访问哪些文件。通过攻击计算机的操作系统，黑客可能能够提取加密密钥并解锁基于软件的加密以访问存储在驱动器上的数据。

TCG Opal 自加密驱动器 (SED) 可减轻这种风险。首先，TCG 提供强大的访问控制，即使操作系统被黑客攻击或 SSD 被放置在另一台 PC 中，访问也会被锁定。作为额外的保护层，TCG Opal SSD 上的用户数据使用 AES-256 进行加密。这意味着攻击者无法通过拆焊 NAND 闪存芯片并尝试直接读取它们来绕过访问控制。

TCG Opal SSD 实现基于硬件的安全性，并且由于它是独立的，因此更难受到攻击。与连接到互联网并运行浏览器和应用程序的 PC 不同，SSD 是一个封闭的环境。它只运行自己的固件。此外，精心设计的 TCG Opal SSD 始终实现安全启动。此功能可确保 ROM 代码在运行之前验证固件加密签名。

由于这些原因，TCG Opal SED 提供比标准驱动器更高级别的数据保护。本文回顾了 SED 的工作原理以及优秀 SED 的组成部分。

SED 的工作原理

一旦用户解锁，SED 就会自动加密和解密驱动器数据，无需用户输入或使用任何软件来处理磁盘加密。凭借其板载加密功能，驱动器可以对自己的数据进行加密，而不受外部因素的影响。

可信计算组织 (TCG) 的 Opal 加密规范构成了当今 SED 最常见的框架。在缓解攻击方面，锁定的 SED 会拒绝 I/O 命令，除非用户首先提供正确的密码来解锁 SSD。即使攻击者从 SSD 板上拆下 NAND 存储芯片并将其放入 NAND 芯片读取器中，攻击者也必须破解 AES-256 或 ECDSA-256 等军用级加密才能读取数据。

优秀的 SED 需要具备哪些要素？

有效的 SED 结合了标准、设计、配置和使用的最佳实践。所有这些因素都必须协调一致，战略经济对话才能完成其安全使命。关于标准，驱动器使用的加密算法必须符合美国国家标准与技术研究所 (NIST) SP800-175B。这是联邦政府使用加密标准的指南。它用于保护传输和存储中的敏感信息。符合以下要求的驱动器联邦信息处理标准 (FIPS) 可用于要求更高的场合

场景。 FIPS 驱动器要经过深入的验证过程，需要政府、认可实验室和 SSD 制造商之间的密切合作。 SSD 设计和制造过程的每个方面都经过验证，以确保产品真正满足安全数据管理和加密密钥处理的所有要求。

一旦驱动器获得认证，制造商就无法修改固件或硬件，除非经过另一个漫长的过程。群联非常重视安全。其所有 SSD 都基于相同的安全代码和技术，但只有经过 FIPS 验证的产品才能作为 FIPS 认证的驱动器出售。

在功能和设计方面，SED 的构建必须具有弹性。此外，其固件需要强大的加密签名来证明其有效且未经修改。添加一个符合 NIST SP800-90 的加密质量随机数生成器， NIST 建议使用确定性随机位生成器生成随机数——或其他同等的国家特定标准。 SED 还必须对随机数生成器运行持续的运行状况检查。

SED 的设计必须确保驱动器上的所有秘密都受到保护，即使攻击者可以直接访问 NAND 芯片也是如此。例如，这意味着不在驱动器上存储密码文件。即使对密码进行哈希处理也不够好。 GPU 每秒可以执行数百万次哈希并通过暴力破解来发现密码。更好的方法是使用密钥包装方案，例如 NIST SP800-132 中定义的方案，基于密码的密钥派生的建议。这些比简单的哈希比较更难破解。

其他最佳实践和配置建议包括实施强大的密钥管理和安全删除。即使攻击者可以物理访问驱动器，也必须无法禁用或绕过 SED 上的任何安全机制。所有加密密钥必须与特定的授权用户紧密绑定。作为正常启动过程的一部分，必须使用标准测试向量自动测试所有加密算法。 SSD 控制器必须在每次启动时以及接受新的固件更新之前检查此签名。

所有调试功能都需要通过基于加密签名的握手机制进行锁定和保护，例如 NIST SP800-56B，使用整数分解密码学的成对密钥建立方案的建议或类似的国家特定的等效定义。成功启用调试功能后，SSD 必须在授予调试访问权限之前立即将所有密钥归零。虚拟或未启用的用户无法拥有加密密钥的副本。

SED 有助于防止勒索软件吗？

存储领域经常出现的一个问题是“SED 是否有助于防止勒索软件？”如果分区被锁定，它们就会这样做，但一旦用户登录，SSD 就无法知道哪个 IO 是好是坏。为了解决勒索软件问题，我们需要一个带有集成 AI 的 SSD 来检测勒索软件使用的奇怪模式。群联有这样的产品，但是否需要这样的产品取决于你的威胁环境。

群联的产品

群联提供多种符合 TCG 标准的 SED。它还拥有 FIPS 140-3 2 级认证产品以及支持人工智能的解决方案，以防范勒索软件。它们是第一款也是唯一一款将网络安全内置于固件中的 SED。固件集成将驱动器的防御机制置于主机软件、操作系统和 BIOS 固件之下。它们基于 Cigent Secure SSD™ 驱动器，该驱动器最初是为美国政府和军事用途而开发的。

结论

在充满高级威胁和设备物理盗窃的世界中，标准驱动器不够安全。 SED 提供了一种解决方案，无需任何软件即可自动加密驱动器上的数据。它们具有板载加密功能。然而，为了达到最佳效果，SED 的设计应满足 NIST 标准的加密、随机数生成等标准。配置和使用实践也很重要。在保护其存储的数据方面，SED 的使用方式与其构建方式同样重要。