É melhor usar o Bitlocker ou a criptografia integrada que meu SSD oferece?

Question

Meu sistema:

• Intel Core i7-4790, que suporta AES-NI
• Mobi ASUS Z97-PRO
• Samsung SSD 250GB EVO (com opção de criptografia integrada)
• Windows 7 de 64 bits

Se eu quiser apenas criptografar minha unidade de inicialização com o AES256 ou semelhante, qual seria a diferença / desempenho mais rápido / mais seguro? Ligue o Windows Bitlocker e não use a criptografia SSD, ou habilite a criptografia de unidade interna que o SSD oferece, e não se preocupe com o Bitlocker?

Estou pensando que seria melhor descarregar a criptografia no SSD usando a opção de criptografia do Evo, para que o processador não precise fazer nenhuma criptografia. Isso pode ser melhor para o desempenho de E / S e fornecer o CPU um respiro? Ou já que esta CPU tem AES-NI, pode não importar?

Sou novo no Bitlocker e nesta opção de encriptação SSD, por isso qualquer ajuda é muito apreciada.

    

Answer 1

Pergunta antiga, mas desde então vários novos desenvolvimentos foram encontrados sobre o Bitlocker e a criptografia de unidade (usada isoladamente ou em combinação), então vou passar alguns dos meus comentários na página para uma resposta. Talvez seja útil para alguém fazer uma pesquisa em 2018 e mais tarde.

Bitlocker (sozinho):
Existem várias maneiras de violar o Bitlocker em sua história, felizmente a maioria deles já foi corrigida / mitigada em 2018. O que permanece (conhecido) inclui, por exemplo, o "Cold Boot Attack" - a mais nova versão do que realmente é isn ' • BitLocker específico (você precisa de acesso físico a um computador em execução e roubar as chaves de criptografia e qualquer outra coisa, diretamente da memória).

Criptografia de hardware de unidade SSD e Bitlocker:
Uma nova vulnerabilidade surgiu em 2018; se um disco SSD tiver criptografia de hardware, o que a maioria dos SSDs possui, o Bitlocker usa como padrão apenas isso. O que significa que se a própria criptografia foi quebrada, o usuário essencialmente não tem proteção alguma. As unidades conhecidas por estarem sofrendo dessa vulnerabilidade incluem (mas provavelmente não estão limitadas a): Série Crucial MX100, MX200, MX300 Samgung 840 EVO, 850 EVO, T3, T5

Mais informações sobre o problema de criptografia SSD aqui: link

E o documento atual (em PDF) aprofundando o problema aqui: t.co/UGTsvnFv9Y?amp=1

Então a resposta é realmente; como o Bitlocker usa a criptografia de hardware dos discos e tem suas próprias vulnerabilidades, é melhor usar a criptografia de hardware se o seu SSD não estiver na lista de SSDs quebrados.

Se o seu disco estiver na lista, é melhor usar algo totalmente diferente, pois o Bitlocker usaria a criptografia da unidade mesmo assim. Qual é a pergunta; no Linux eu recomendaria o LUKS, por exemplo.

    

Answer 2

Eu tenho feito algumas pesquisas sobre isso e tenho uma resposta meio completa para você.

1. É sempre melhor usar a criptografia baseada em hardware em uma unidade de criptografia automática, se você usar a criptografia baseada em software no bitlocker ou outro programa de criptografia causará uma desaceleração de 25% a 45% nas velocidades de gravação de leitura . você pode ver um mínimo de 10% de queda no desempenho. (note que você deve ter um SSD com um chip TMP)

2. O Bitlocker é compatível com criptografia baseada em hardware, você pode usar a magia samsung. v 4.9.6 (v5 não suporta mais isso) para limpar a unidade e ativar a criptografia baseada em hardware.

link

3. você pode habilitar a criptografia baseada em hardware através do BIOS, definindo a senha mestra. Você precisará seguir algumas das etapas do artigo acima, como desativar o CMS.

4. Para responder à sua pergunta, eu realmente não sei o que é mais rápido. Eu estendi a mão para a Samsung, mas dada a informação limitada sobre isso. A menos que eu tenha um desenvolvedor, duvido que receberei uma boa resposta para qual é a melhor opção. Por enquanto eu pretendo habilitar a criptografia baseada em hardware na minha bios.

Answer 3

Não estou familiarizado com sua unidade e com as opções de criptografia oferecidas. No entanto, a criptografia de hardware pode ser usada com vários sistemas operacionais (por exemplo, quando você quer inicializar Windows e Linux), enquanto a criptografia de software pode ser mais difícil de configurar. Além disso, a segurança de ambos os métodos depende de como e onde você armazena suas chaves de criptografia.

I'm thinking it might be better to offload the encryption to the SSD by using the Evo's encryption option, so that the processor doesn't have to do any encryption, this might be better for i/o performance and give the CPU a breather?

Você está certo, a criptografia baseada em hardware não diminui a velocidade de processamento do computador.

Nunca usei criptografia em nenhum dos meus dispositivos, então lamento não poder ajudá-lo com o processo real de ativá-lo. Observe que, na maioria dos casos, a habilitação da criptografia faz com que a unidade seja apagada (o BitLocker NÃO apaga os dados, mas tem uma chance extremamente remota de corrupção, como acontece com todos os softwares de criptografia ao vivo). Se você deseja ter uma unidade criptografada compatível com vários sistemas operacionais, que permanece desbloqueada até o computador ser desligado, use o recurso de criptografia de hardware que o disco rígido oferece. Mas, se você quiser algo um pouco mais seguro, mas limitado ao Windows, experimente o BitLocker. Espero ter ajudado!

    

Answer 4

Vamos fazer um pouco de Wikipédia.

BitLocker

BitLocker is a full disk encryption feature. It is designed to protect data by providing encryption for entire volumes.

BitLocker is a logical volume encryption system. A volume may or may not be an entire hard disk drive, or it can span one or more physical drives. Also, when enabled, TPM and BitLocker can ensure the integrity of the trusted boot path (e.g. BIOS, boot sector, etc.), in order to prevent most offline physical attacks, boot sector malware, etc.

According to Microsoft, BitLocker does not contain an intentionally built-in backdoor; without a backdoor there is no way for law enforcement to have a guaranteed passage to the data on the user's drives that is provided by Microsoft.

Unidade de autocriptografia

Hardware-based encryption when built into the drive or within the drive enclosure is notably transparent to the user. The drive except for bootup authentication operates just like any drive with no degradation in performance. There is no complication or performance overhead, unlike disk encryption software, since all the encryption is invisible to the operating system and the host computers processor.

The two main use cases are Data at Rest protection, and Cryptographic Disk Erasure.

In Data at Rest protection a laptop is simply powered off. The disk now self-protects all the data on it. The data is safe because all of it, even the OS, is now encrypted, with a secure mode of AES, and locked from reading and writing. The drive requires an authentication code which can be as strong as 32 bytes (2^256) to unlock.

Typical self-encrypting drives, once unlocked, will remain unlocked as long as power is provided. Researchers at Universität Erlangen-Nürnberg have demonstrated a number of attacks based on moving the drive to another computer without cutting power. Additionally, it may be possible to reboot the computer into an attacker-controlled operating system without cutting power to the drive.

Veredicto

Eu acho que as linhas mais importantes são estas:

There is no complication or performance overhead, unlike disk encryption software, since all the encryption is invisible to the operating system and the host computers processor.

Typical self-encrypting drives, once unlocked, will remain unlocked as long as power is provided.

Como o BitLocker é um software de criptografia de disco, ele é mais lento que a criptografia de disco completo com base em hardware. No entanto, a Unidade de Autocriptografia permanece desbloqueada desde que tenha energia desde a última vez em que foi desbloqueada. Desligar o computador irá proteger a unidade.

Portanto, você tem o BitLocker mais seguro ou a Unidade com Autocriptografia com maior desempenho.

    

Answer 5

A criptografia integrada do Samsung EVO SSD seria a minha escolha, pois é otimizada de forma nativa e um dos melhores SSDs disponíveis para segurança em ambientes corporativos. Além disso, se você perder a chave, a Samsung poderá desbloqueá-la por uma taxa através do nº de série no SSD.