Come crittografare un SSD Samsung Evo 840?

Ho acquistato un laptop HP Envy 15-j005ea che ho aggiornato a Windows 8.1 Pro. Ho anche rimosso l'HDD e sostituito con un SSD Samsung Evo 840 da 1 TB. Ora desidero crittografare l'unità per proteggere il codice sorgente della mia azienda e i miei documenti personali, ma non riesco a capire come farlo o se è persino possibile.

Capisco che non è consigliabile utilizzare Truecrypt su un SSD, ma per favore correggimi se sbaglio. Comprendo anche che l'840 Evo ha una crittografia AES a 256 bit integrata, quindi si consiglia di usarlo.

Evo è stato aggiornato all'ultimo firmware EXT0BB6Q e ho l'ultimo Samsung Magician. Non so quale livello UEFI ho, ma so che la macchina è stata costruita nel dicembre 2013 e ha il BIOS F.35 realizzato da Insyde.

Questo è quello che ho provato:

• Bitlocker. L'ultimo firmware Samsung è presumibilmente compatibile con Windows 8.1 eDrive, quindi ho seguito le istruzioni che ho trovato in un articolo Anandtech . Innanzitutto sembrerebbe che il laptop non abbia chip TPM, quindi ho dovuto consentire a Bitlocker di funzionare senza TPM. Una volta fatto, ho provato ad attivare Bitlocker. Anandtech afferma che "Se tutto è conforme a eDrive, non ti verrà chiesto se o desideri crittografare tutto o parte dell'unità, dopo aver eseguito l'installazione iniziale BitLocker sarà solo abilitato. Non esiste una fase di crittografia aggiuntiva (poiché i dati è già crittografato sul tuo SSD). Se hai fatto qualcosa di sbagliato o una parte del tuo sistema non è conforme a eDrive, otterrai un indicatore di avanzamento e un processo di crittografia del software piuttosto lungo. " Purtroppo lo ero mi ha chiesto se volevo crittografare tutto o parte del disco, quindi l'ho cancellato.

• Impostazione della password ATA nel BIOS. Non mi sembra di avere una simile opzione nel BIOS, solo una password di amministratore e una password di avvio.

• Usando il mago. Ha una scheda "Protezione dei dati", ma non capisco completamente le opzioni e sospetto che nessuna sia applicabile.

Le informazioni in questa domanda e risposta mi hanno aiutato ma non hanno risposto alla mia domanda.

Chiaramente, ciò che vorrei sapere è come crittografare il mio disco a stato solido in HP Envy 15 o sono davvero sfortunato? Ci sono opzioni alternative o devo vivere senza crittografia o restituire il laptop?

C'è una domanda simile su Anandtech ma rimane senza risposta.

La password deve essere impostata nel BIOS sotto l'estensione di sicurezza ATA. Di solito c'è una scheda nel menu BIOS intitolata "Sicurezza". L'autenticazione avverrà a livello di BIOS, quindi nulla di ciò che questa "procedura guidata" software ha a che fare con l'impostazione dell'autenticazione. È improbabile che un aggiornamento del BIOS abiliti la password dell'HDD se non era precedentemente supportata.

Dire che stai impostando la crittografia è fuorviante. Il fatto è che l'unità sta SEMPRE criptando ogni bit che scrive sui chip. Il controller del disco lo fa automaticamente. L'impostazione di una o più password HDD sull'unità è ciò che porta il tuo livello di sicurezza da zero a praticamente indistruttibile. Solo un keylogger hardware installato in modo pericoloso o un exploit BIOS remoto generato dall'NSA potrebbe recuperare la password per l'autenticazione ;-) <- Immagino. Non sono ancora sicuro di cosa possano fare al BIOS. Il punto è che non è totalmente insormontabile, ma a seconda di come viene memorizzata la chiave sull'unità, è il metodo più sicuro di crittografia del disco rigido attualmente disponibile. Detto questo, è eccessivo. BitLocker è probabilmente sufficiente per la maggior parte delle esigenze di sicurezza dei consumatori.

Quando si tratta di sicurezza, immagino che la domanda sia: quanto vuoi?

La crittografia full disk basata su hardware è più sicura di molti ordini di grandezza rispetto alla crittografia full disk a livello software come TrueCrypt. Ha anche il vantaggio di non ostacolare le prestazioni del tuo SSD. Il modo in cui gli SSD ripongono i loro bit a volte possono causare problemi con le soluzioni software. L'FDE basato sull'hardware è solo meno disordinato, più elegante e sicuro di un'opzione, ma non si è "impigliato" nemmeno tra coloro che si preoccupano abbastanza di crittografare i loro preziosi dati. Non è affatto complicato da fare, ma sfortunatamente molti BIOS semplicemente non supportano la funzione "password HDD" (da non confondere con una semplice password BIOS, che può essere aggirata dai dilettanti). Posso praticamente garantirti senza nemmeno guardare nel tuo BIOS che se non hai ancora trovato l'opzione, il tuo BIOS non lo fa Non supportarlo e sei sfortunato. È un problema con il firmware e non c'è niente che tu possa fare per aggiungere la funzionalità di flashing del BIOS con qualcosa come hdparm che è qualcosa di così irresponsabile che nemmeno io ci proverei. Non ha nulla a che fare con l'unità o il software incluso. Questo è un problema specifico della scheda madre.

ATA non è altro che un insieme di istruzioni per il BIOS. Quello che stai cercando di impostare è un utente HDD e una password principale, che verranno utilizzati per autenticarti con la chiave univoca memorizzata in modo sicuro sull'unità. La password "Utente" consentirà lo sblocco dell'unità e l'avvio procederà normalmente. Stessa cosa con "Master". La differenza è che è necessaria una password "Master" per modificare le password nel BIOS o cancellare la chiave di crittografia nell'unità, il che rende tutti i suoi dati inaccessibili e irrecuperabili all'istante. Questa funzione è denominata "Cancellazione sicura". In base al protocollo, è supportata una stringa di caratteri a 32 bit, ovvero una password di 32 caratteri. Dei pochi produttori di laptop che supportano l'impostazione di una password HDD nel BIOS, la maggior parte limita i caratteri a 7 o 8. Perché ogni azienda BIOS non lo fa Suppongo che sia oltre me. Forse Stallman aveva ragione sul BIOS proprietario.

L'unico laptop (praticamente nessun BIOS desktop supporta la password dell'HDD) che so che ti permetterà di impostare una password utente e master HDD a 32 bit per tutta la lunghezza è un Lenovo ThinkPad serie T o W. L'ultima volta che ho sentito che alcuni notebook ASUS hanno una simile opzione nel loro BIOS. Dell limita la password dell'HDD a 8 caratteri deboli.

Conosco molto più l'archiviazione delle chiavi negli SSD Intel rispetto a Samsung. Credo che Intel sia stata la prima a offrire FDE su chip nei propri drive, serie 320 e oltre. Anche se era AES a 128 bit. Non ho approfondito il modo in cui questa serie Samsung implementa l'archiviazione delle chiavi, e nessuno lo sa davvero a questo punto. Ovviamente il servizio clienti non ti è stato di aiuto. Ho l'impressione che solo cinque o sei persone in qualsiasi azienda tecnologica sappiano davvero nulla dell'hardware che vendono. Intel sembrava riluttante a tossire i dettagli, ma alla fine un rappresentante dell'azienda ha risposto da qualche parte in un forum. Tieni presente che per i produttori di unità questa funzionalità è un ripensamento totale. Non ne sanno né si preoccupano di ciò e nemmeno il 99,9% dei loro clienti. È solo un altro punto elenco pubblicitario sul retro della scatola.

Spero che sia di aiuto!

Finalmente ho fatto in modo che funzioni oggi e, come te, credo di non avere nemmeno una configurazione della password ATA nel BIOS (almeno non che io possa vedere). Ho abilitato le password utente / admin del BIOS e il mio PC ha un chip TPM ma BitLocker dovrebbe funzionare senza uno (chiave USB). Come te, sono stato bloccato nello stesso punto esatto al prompt di BitLocker, voglio crittografare solo i dati o l'intero disco.

Il mio problema era che la mia installazione di Windows non era UEFI sebbene la mia scheda madre supporti UEFI. È possibile verificare l'installazione digitandomsinfo32 il comando Esegui e selezionando Modalità BIOS. Se legge qualcosa di diverso da UEFIallora è necessario reinstallare Windows da zero.

Vedi queste istruzioni passo-passo per crittografare la guida SSD Samsung in un post correlato su questo forum.

Crittografia software

TrueCrypt 7.1a è perfetto per l'utilizzo su SSD, ma nota che probabilmente ridurrà le prestazioni degli IOP di una quantità considerevole, anche se l'unità eseguirà comunque IOP più di 10 volte migliori degli HDD. Quindi, se non è possibile utilizzare le opzioni elencate in Magician, TrueCrypt è un'opzione per crittografare l'unità, ma secondo come riferito non funziona molto bene con i file system di Windows 8 e successivi. Per questo motivo, BitLocker con crittografia completa del disco è un'opzione migliore per questi sistemi operativi.

TCG Opal

TCG Opal è fondamentalmente uno standard che consente l'installazione di una sorta di mini sistema operativo su una parte riservata dell'unità che ha il solo scopo di consentire l'avvio dell'unità e presentare all'utente una password per consentire l'accesso all'unità . Esistono vari strumenti disponibili per l'installazione di questa funzione, inclusi alcuni progetti open source dichiaratamente stabili, ma Windows 8 e BitLocker successivi dovrebbero supportare questa funzione.

Non ho Windows 8 o versioni successive, quindi non posso fornire istruzioni su come configurarlo, ma la mia lettura indica che questo è disponibile solo durante l'installazione di Windows e non dopo l'installazione. Gli utenti esperti si sentono liberi di correggermi.

Password ATA

Il blocco della password ATA è una funzione opzionale dello standard ATA supportato dalle unità Samsung 840 e successive, così come da migliaia di altre. Questo standard non è correlato a un BIOS ed è possibile accedervi tramite un numero qualsiasi di metodi. Non consiglio di usare un BIOS per impostare o gestire la password ATA poiché il BIOS potrebbe non essere correttamente conforme allo standard ATA. Ho esperienza con il mio hardware che sembra supportare la funzionalità, ma in realtà non è conforme.

Si noti che la ricerca su questa funzione produrrà molte discussioni sostenendo che la funzione di blocco ATA non dovrebbe essere considerata sicura per la protezione dei dati. Questo è generalmente corretto solo per gli HDD che non sono anche unità di crittografia automatica (SED). Poiché le unità Samsung 840 e successive sono SSD e SED, queste discussioni semplicemente non sono applicabili. La password ATA bloccata Samsung serie 840 e successive dovrebbe essere sufficientemente sicura per l'utilizzo, come descritto in questa domanda.

Il modo migliore per essere sicuri che il BIOS sia in grado di supportare lo sblocco di un'unità ATA con password bloccata è bloccare un'unità, installarla nel computer, quindi avviare il computer e vedere se richiede una password e se la password inserita può sbloccare l'unità.

Questo test non deve essere eseguito su un'unità con dati che non si desidera perdere.

Fortunatamente, l'unità di test non deve essere l'unità Samsung, poiché può essere qualsiasi unità che supporti il ​​set di sicurezza standard ATA e può essere installata nel computer di destinazione.

Il modo migliore che ho trovato per accedere alle funzionalità ATA di un'unità è con l'utilità della riga di comando di Linux hdparm . Anche se non hai un computer con Linux, ci sono molte distribuzioni la cui immagine del disco di installazione supporta anche l'esecuzione del sistema operativo "live" dal supporto di installazione. Ubuntu 16.04 LTS, ad esempio, dovrebbe essere installato facilmente e rapidamente sulla maggior parte dei computer e la stessa immagine può anche essere scritta su supporti flash per l'esecuzione su sistemi senza unità ottiche.

Le istruzioni dettagliate su come abilitare la sicurezza della password ATA vanno oltre lo scopo di questa domanda, ma ho trovato questo tutorial come uno dei migliori per questa attività.

Abilitazione della sicurezza ATA su un SSD con crittografia automatica

La lunghezza massima della password è di 32 caratteri. Consiglio di fare il test con una password di 32 caratteri per essere sicuro che il BIOS supporti correttamente lo standard.

Con il computer di destinazione spento e la password ATA dell'unità bloccata, installare l'unità e avviare il sistema. Se il BIOS non richiede una password per sbloccare l'unità, il BIOS non supporta lo sblocco della password ATA. Inoltre, se sembra che tu stia inserendo la password completamente correttamente, ma non stia sbloccando l'unità, è possibile che il BIOS non supporti correttamente lo standard ATA e quindi non ci si debba fidare.

Potrebbe essere una buona idea avere un modo per verificare che il sistema legga correttamente l'unità sbloccata, ad esempio installando e caricando correttamente un sistema operativo o installando a fianco un'unità del sistema operativo che carica e può montare l'unità di prova e leggere e scrivere file senza problemi.

Se il test ha esito positivo e ti senti sicuro di ripetere i passaggi, abilitando la password ATA su un'unità, inclusa una con un sistema operativo installato, non cambierà nulla nella porzione di dati dell'unità, quindi dovrebbe avviarsi normalmente dopo aver inserito il password nel BIOS.

Non so se l'hai visto o risolto ancora, ma ecco un link specifico di Samsung sul tuo EVO 840. http://www.samsung.com/global/business/semiconductor/minisite/SSD/global/html/ su / whitepaper06.html

In sostanza, ciò che dicono per abilitare il codificatore AES hardware incorporato in ssd è impostare la password dell'HDD nel BIOS del sistema. Le password "Utente / Amministratore / Setup" sono proprio questo. Tuttavia, l'impostazione della password dell'HDD deve passare all'SSD. Ciò richiederà l'inserimento manuale della password ogni volta che si accende il computer e non funziona con chip TPM o altri PassKey. Inoltre, non posso sottolineare abbastanza, CHIUNQUE che utilizzi la crittografia deve assicurarsi che venga eseguito il backup dei propri dati. Il recupero di dati da un'unità crittografata guasta / danneggiata è quasi impossibile senza passare attraverso un servizio specializzato.

"Non ho bisogno di livelli di sicurezza a prova di NSA"

Bene, perché non usarlo comunque, dato che è gratuito?

Dopo aver preso lezioni di laurea in sicurezza informatica e informatica forense, ho deciso di crittografare il mio disco. Ho esaminato molte opzioni e sono MOLTO felice di aver selezionato DiskCrypt. È facile da installare, facile da usare, open source con firme PGP fornite, istruzioni su come compilarlo da soli per assicurare che l'exe corrisponda al sorgente, monta automaticamente le unità, è possibile impostare il prompt PW di pre-avvio e sbagliato -pw, e utilizzerà AES-256.

Qualsiasi CPU moderna eseguirà un ciclo di crittografia AES in una SINGOLA istruzione macchina (la crittografia dei dati di un settore richiede un paio di dozzine di cicli). Secondo i miei parametri di riferimento, AES viene eseguito undici volte più veloce di cifre implementate da software come blowfish. DiskCryptor può crittografare i dati molte volte più velocemente di quanto il PC possa leggerli e scriverli dal disco. Non ci sono spese generali misurabili.

Sto eseguendo una macchina con raffreddamento TEC, a velocità variabile, a 5 GHz di velocità, quindi il tuo chilometraggio potrebbe variare, ma non di molto. Il tempo di CPU richiesto per crittografare / decrittografare era troppo basso per essere misurato (ovvero inferiore all'1%).

Una volta impostato, puoi dimenticarlo totalmente. L'unico effetto evidente è che devi digitare la tua PW all'avvio, cosa che mi fa molto piacere fare.

Per quanto riguarda il non utilizzo della crittografia su SSD, questa è una voce che non avevo mai sentito prima. È anche ingiustificato. I dati crittografati vengono scritti e letti dall'unità esattamente come i dati normali. Solo i bit nel buffer dei dati sono criptati. È possibile chkdsk / f ed eseguire qualsiasi altra utilità del disco su un'unità crittografata.

E a proposito, a differenza di altri programmi, diskkeeper non mantiene il tuo pw in memoria. Utilizza una chiave con hash unidirezionale per la crittografia, sovrascrive i tuoi pwds con errori di digitazione in memoria e fa di tutto per assicurarsi che non passi su un file di paging durante l'immissione e la convalida PW.

https://diskcryptor.net/wiki/Main_Page

Ho postato su questo altrove in Super User, ma poiché si trattava di un thread che ho usato per educare me stesso, volevo toccare anche la base qui.

Password ATA e crittografia software per la crittografia Full Disk in Samsung 840/850 EVO e SSD Intel

Pro: Semplice, senza prestazioni, estremamente sicuro: i dischi sono illeggibili in altre macchine senza password ATA

Contro: è necessario un BIOS con l'opzione ATA Password (i laptop HP e Lenovo sembrano avere questo, ma la maggior parte dei mobus desktop no. Eccezione: ASRock ha recentemente scritto il proprio BIOS 1.07B per le loro serie Extreme, e funziona). Inoltre, è così sicuro che se si perde la password, i dati sono irrecuperabili. Da chiunque, a quanto pare. Infine, dipende tutto da un chip controller sull'SSD e, se quel chip si guasta, i dati vengono eseguiti. Per sempre.

Spero che questo si aggiunga alla discussione.

Impostazione della password ATA nel BIOS. Non mi sembra di avere una simile opzione nel BIOS, solo una password di amministratore e una password di avvio. Peccato, questa è l'opzione più semplice che hai.

Il secondo è vincere 8.1 + bitlocker ma l'intera cosa di reinnstall è fastidiosa

non sono a conoscenza di alcun fossale di opale sw e le versioni a pagamento probabilmente costano molto

TrueCrypt funziona ma se la tua CPU non ha AES-NI, il colpo di spees può essere evidente

e non dimenticare di eseguire il backup del tuo problema, i dati crittografati sono molto più difficili da recuperare

Quando si installano molte distribuzioni Linux, viene data la possibilità di crittografare la cartella / home. In quel momento quando si sceglie di crittografare la cartella / home (aka mount point), viene richiesto (richiesto) di inserire una password due volte.

Essenzialmente uno completato, la cartella / home è crittografata.

Samsung avrebbe dovuto essere "pre-crittografato" in fabbrica.

Questo di solito significa che non è possibile accedere alle informazioni del disco rigido senza la password.

Quanto sopra è quello che ho fatto. Se sono fortunato, la crittografia Samsung con un altro livello di crittografia software Linux dovrebbe rendermi relativamente al sicuro dalla maggior parte delle persone, delle aziende e dei governi nefasti.

Non ho sentito la necessità di password il disco rigido tramite BIOS.

È già abbastanza difficile ricordare più password. KeepassX può essere di qualche utilità al riguardo.

Per i veri paranoici, potresti password Samsung EVO nel BIOS, utilizzare Linux al momento dell'installazione per crittografare il software dell'unità, quindi utilizzare un programma di crittografia Open Source (non TrueCrypt a causa di sospetti backdoor e vulnerabilità).

È possibile utilizzare KeepassX per ricordare le password lunghe e complicate e persino proteggere con password quell'unità flash.

A meno che tu non sia una specie di criminale o abbia qualcosa di così prezioso da aver bisogno di tanta sicurezza, la maggior parte è una perdita di tempo.

Potrebbe essere più semplice conservare il codice sorgente su un'unità flash crittografata come IronKey in modo da non subire alcun calo delle prestazioni o problemi con l'unità. Anche i documenti personali possono andare lì.