Hệ thống của tôi:

• Intel Core i7-4790, hỗ trợ AES-NI
• Mobo ASUS Z97-PRO
• Samsung 250GB EVO SSD (có tùy chọn mã hóa tích hợp)
• Windows 7 64 bit

Nếu tôi chỉ muốn mã hóa ổ đĩa khởi động của mình bằng AES256 hoặc tương tự, điều gì sẽ là sự khác biệt / hiệu suất nhanh hơn / an toàn hơn? Bật Windows Bitlocker và không sử dụng mã hóa SSD hoặc bật mã hóa ổ đĩa tích hợp mà SSD cung cấp và bạn không lo lắng về Bitlocker?

Tôi nghĩ rằng có thể tốt hơn để giảm mã hóa cho SSD bằng cách sử dụng tùy chọn mã hóa của Evo, để bộ xử lý không phải thực hiện bất kỳ mã hóa nào, điều này có thể tốt hơn cho hiệu năng I / O và giúp CPU dễ thở hơn ? Hoặc vì CPU này có AES-NI nên nó có thể không quan trọng?

Tôi mới sử dụng Bitlocker và tùy chọn mã hóa SSD này, vì vậy mọi trợ giúp đều được đánh giá cao.

Câu hỏi cũ, nhưng kể từ đó, một số phát triển mới đã được tìm thấy liên quan đến Bitlocker và mã hóa ổ đĩa (được sử dụng một mình hoặc kết hợp), vì vậy tôi sẽ chuyển một vài nhận xét của mình trên trang thành câu trả lời. Có thể nó được sử dụng cho ai đó thực hiện tìm kiếm vào năm 2018 và sau đó.

Bitlocker (một mình):
Đã có một số cách để vi phạm Bitlocker trong lịch sử của nó, may mắn là hầu hết chúng đã được vá / giảm nhẹ vào năm 2018. Ví dụ, những gì còn lại (được biết) bao gồm, "Cold Boot Attack" - phiên bản mới nhất trong đó thực sự không phải là Bitlocker cụ thể (bạn cần truy cập vật lý vào máy tính đang chạy và đánh cắp các khóa mã hóa, và bất cứ thứ gì khác, ngay từ bộ nhớ).

Mã hóa phần cứng ổ SSD và Bitlocker:
Một lỗ hổng mới đã xuất hiện vào năm 2018; nếu một ổ SSD có mã hóa phần cứng, mà hầu hết các ổ SSD đều có, Bitlocker mặc định chỉ sử dụng cái đó. Điều đó có nghĩa là nếu bản thân mã hóa đó đã bị bẻ khóa, về cơ bản người dùng không có sự bảo vệ nào.
Các ổ đĩa được biết là bị lỗ hổng này bao gồm (nhưng có lẽ không giới hạn ở):
Crucial MX100, MX200, MX300 sê-ri Samgung 840 EVO, 850 EVO, T3, T5

Thông tin thêm về vấn đề mã hóa SSD tại đây:
https://twitter.com/matthew_d_green/status/1059435094421712896

Và bài báo thực tế (dưới dạng PDF) đi sâu vào vấn đề ở đây:
t.co/UGTsvnFv9Y?amp=1

Vì vậy, câu trả lời thực sự là; do Bitlocker sử dụng mã hóa phần cứng đĩa và có lỗ hổng riêng của nó, bạn nên sử dụng mã hóa phần cứng nếu SSD của bạn không nằm trong danh sách SSD bị bẻ khóa.

Nếu đĩa của bạn nằm trong danh sách, tốt hơn hết bạn nên sử dụng thứ khác hoàn toàn vì Bitlocker sẽ sử dụng mã hóa ổ đĩa. Câu hỏi là gì; trên Linux tôi muốn giới thiệu LUKS, ví dụ.

Tôi đã thực hiện một số nghiên cứu về điều này và có một nửa câu trả lời hoàn chỉnh cho bạn.

1. Luôn luôn tốt hơn khi sử dụng mã hóa dựa trên phần cứng trên ổ đĩa tự mã hóa, nếu bạn sử dụng mã hóa dựa trên phần mềm trên bitlocker hoặc một chương trình mã hóa khác, nó sẽ gây ra tốc độ đọc chậm từ 25% đến 45%. bạn có thể thấy hiệu suất giảm tối thiểu 10%. (lưu ý bạn phải có ổ SSD có chip TMP)

2. Bitlocker tương thích với mã hóa dựa trên phần cứng, bạn có thể sử dụng phép thuật samsung. v 4.9.6 (v5 không còn hỗ trợ này) để xóa ổ đĩa và kích hoạt mã hóa dựa trên phần cứng.

http://www.ckode.dk/desktop-machines/how-to-enable-windows-edrive-encoding-for-ssds/

3. bạn có thể kích hoạt mã hóa dựa trên phần cứng thông qua BIOS bằng cách đặt mật khẩu chính. Bạn sẽ cần phải làm theo một số bước trong bài viết trên, như tắt CMS.

4. Để trả lời câu hỏi của bạn, tôi không thực sự biết cái nào nhanh hơn. Tôi đã liên hệ với Samsung nhưng đưa ra thông tin hạn chế về điều này. Trừ khi tôi nhận được một nhà phát triển, tôi nghi ngờ tôi sẽ nhận được một câu trả lời tốt, đó là lựa chọn tốt hơn. Hiện tại tôi có kế hoạch kích hoạt mã hóa dựa trên phần cứng trong bios của mình.

Tôi không quen với ổ đĩa của bạn và các tùy chọn mã hóa mà nó cung cấp, tuy nhiên mã hóa phần cứng có thể được sử dụng với nhiều hệ điều hành (ví dụ: khi bạn muốn khởi động kép Windows và Linux), trong khi mã hóa phần mềm có thể khó cấu hình hơn. Ngoài ra, sự an toàn của cả hai phương pháp phụ thuộc vào cách thức và nơi bạn lưu trữ khóa mã hóa của mình.

Tôi nghĩ rằng có thể tốt hơn để giảm mã hóa cho SSD bằng cách sử dụng tùy chọn mã hóa của Evo, để bộ xử lý không phải thực hiện bất kỳ mã hóa nào, điều này có thể tốt hơn cho hiệu năng của i / o và giúp CPU dễ thở hơn ?

Bạn đã đúng, mã hóa dựa trên phần cứng không làm giảm tốc độ xử lý của máy tính.

Tôi chưa bao giờ sử dụng mã hóa trên bất kỳ thiết bị nào của mình, vì vậy tôi xin lỗi vì tôi không thể giúp bạn trong quá trình kích hoạt thực tế. Xin lưu ý rằng trong hầu hết các trường hợp, việc kích hoạt mã hóa khiến ổ đĩa bị xóa (BitLocker KHÔNG xóa dữ liệu, tuy nhiên nó có khả năng tham nhũng cực kỳ xa, như với tất cả các phần mềm mã hóa trực tiếp). Nếu bạn muốn có ổ đĩa được mã hóa tương thích đa hệ điều hành, vẫn được mở khóa cho đến khi máy tính bị tắt, hãy sử dụng tính năng mã hóa phần cứng mà ổ cứng của bạn cung cấp. Nhưng, nếu bạn muốn một cái gì đó an toàn hơn một chút nhưng bị giới hạn trong Windows, hãy thử BitLocker. Hy vọng tôi đã giúp!

Hãy làm một số Wikipédia.

BitLocker

BitLocker là một tính năng mã hóa toàn bộ đĩa. Nó được thiết kế để bảo vệ dữ liệu bằng cách cung cấp mã hóa cho toàn bộ khối lượng.

BitLocker là một hệ thống mã hóa khối lượng logic. Một ổ đĩa có thể hoặc không thể là toàn bộ ổ đĩa cứng hoặc nó có thể kéo dài một hoặc nhiều ổ đĩa vật lý. Ngoài ra, khi được bật, TPM và BitLocker có thể đảm bảo tính toàn vẹn của đường dẫn khởi động đáng tin cậy (ví dụ: BIOS, boot sector, v.v.), để ngăn chặn hầu hết các cuộc tấn công vật lý ngoại tuyến, phần mềm độc hại của boot boot, v.v.

Theo Microsoft, BitLocker không chứa cửa hậu tích hợp có chủ ý; không có cửa hậu, không có cách nào để cơ quan thực thi pháp luật có một lối đi được đảm bảo cho dữ liệu trên các ổ đĩa của người dùng được cung cấp bởi Microsoft.

Ổ đĩa tự mã hóa

Mã hóa dựa trên phần cứng khi được tích hợp vào ổ đĩa hoặc trong vỏ ổ đĩa rõ ràng là trong suốt đối với người dùng. Ổ đĩa ngoại trừ xác thực khởi động hoạt động giống như bất kỳ ổ đĩa nào không có sự suy giảm hiệu suất. Không có sự phức tạp hay chi phí hiệu năng, không giống như phần mềm mã hóa ổ đĩa, vì tất cả mã hóa là vô hình đối với hệ điều hành và bộ xử lý máy tính chủ.

Hai trường hợp sử dụng chính là Bảo vệ dữ liệu tại phần còn lại và Xóa đĩa mã hóa.

Trong bảo vệ dữ liệu tại phần còn lại, máy tính xách tay chỉ đơn giản là tắt nguồn. Đĩa hiện tự bảo vệ tất cả dữ liệu trên đó. Dữ liệu an toàn vì tất cả dữ liệu, ngay cả HĐH, hiện đã được mã hóa, với chế độ bảo mật AES và bị khóa khỏi đọc và viết. Ổ đĩa yêu cầu mã xác thực có thể mạnh tới 32 byte (2 ^ 256) để mở khóa.

Các ổ đĩa tự mã hóa thông thường, một khi đã được mở khóa, sẽ vẫn được mở khóa miễn là nguồn điện được cung cấp. Các nhà nghiên cứu tại Đại học Erlangen-Nürnberg đã chứng minh một số cuộc tấn công dựa trên việc di chuyển ổ đĩa sang máy tính khác mà không cắt điện. Ngoài ra, có thể khởi động lại máy tính vào hệ điều hành do kẻ tấn công kiểm soát mà không cần cắt nguồn cho ổ đĩa.

Bản án

Tôi nghĩ rằng những dòng quan trọng nhất là:

Không có sự phức tạp hoặc chi phí hiệu năng, không giống như phần mềm mã hóa ổ đĩa, vì tất cả mã hóa là vô hình đối với hệ điều hành và bộ xử lý máy tính chủ.

Các ổ đĩa tự mã hóa thông thường, một khi đã được mở khóa, sẽ vẫn được mở khóa miễn là nguồn điện được cung cấp.

Vì BitLocker là một phần mềm mã hóa đĩa, nên nó chậm hơn so với mã hóa toàn bộ đĩa dựa trên phần cứng. Tuy nhiên, Ổ đĩa tự mã hóa vẫn được mở khóa miễn là nó có sức mạnh kể từ lần cuối cùng được mở khóa. Tắt máy tính sẽ bảo mật ổ đĩa.

Vì vậy, hoặc bạn có BitLocker an toàn hơn hoặc Ổ đĩa tự mã hóa hiệu quả hơn.

Cập nhật: Tôi tin rằng câu trả lời này là chính xác và là một ví dụ về trải nghiệm doanh nghiệp thực tế trong phần cứng và bảo mật. Có thể tôi đã thất bại trong việc cung cấp chi tiết trong câu trả lời ban đầu của mình, điều này đã tạo ra các downvote nhưng cũng cung cấp cái nhìn sâu sắc về quá trình suy nghĩ để có câu trả lời rõ ràng hơn từ cộng đồng nói chung. Windows nhưng locker đã bị xâm phạm kể từ khi ra mắt và là một vấn đề nổi tiếng và không được bao gồm trong hệ điều hành Windows dành cho doanh nghiệp nhưng có sẵn cho các gói cấp độ người tiêu dùng cho một lớp hỗ trợ bảo mật / băng tần, NSA Backdoor.

Samsung EVO SSD tích hợp mã hóa sẽ là lựa chọn của tôi vì nó được tối ưu hóa thực sự và là một trong những SSD tốt nhất hiện có để bảo mật trong môi trường công ty. Ngoài ra nếu bạn mất chìa khóa, Samsung có thể mở khóa với một khoản phí thông qua số sê-ri # trên SSD.