Criptografia total do disco: possível vincular a chave a um BIOS / laptop específico?

Question

A organização para a qual trabalho tem laptops equipados com unidades FDE, ou seja, unidades que criptografam dados em tempo real, de modo que, no caso de um laptop roubado, nenhum dado pode ser recuperado removendo-se o disco rígido. Enquanto isso nos protege contra pessoas mal-intencionadas, funcionários malvados ainda podem mudar a unidade para um computador que eles possuem (e do qual eles controlam o BIOS), e permitir privilégios de root / administrador no sistema operacional para eles mesmos.

Em resumo, o que resolveria esse problema é ter (uma parte) da chave de criptografia salva no BIOS, de modo que outro computador não seja capaz de descriptografar a unidade. Existe uma maneira de fazer isso ou, como outras organizações lidam com esse risco de segurança?

    

Answer 1

Acho que você deveria estar pesquisando as soluções do TPM ( Trusted Platform Module ). Eles são construídos na maioria das linhas de laptop profissionais.

Este artigo menciona a solução explícita - Criptografia de disco :

A limited number of disk encryption solutions have support for TPM. These implementations can wrap the decryption key using the TPM, thus tying the hard disk drive (HDD) to a particular device. If the HDD is removed from that particular device and placed in another, the decryption process will fail