Unterstützt Linux die selbstverschlüsselte Festplatten-API?

2793
Sandra

In diesem Artikel wird gezeigt, wie einfach es ist, BIOS-ATA-Passphrasen zu umgehen, und es endet damit, dass die Verwendung der Selbst-Encryption Disk (SED) -IPI-API innerhalb des Betriebssystems keinen Performance-Erfolg bedeutet. Unter Windows heißt diese API Microsoft eDrive. Sehen Sie hier und hier .

Weiß jemand, ob Linux direkt mit der SED-Schicht kommunizieren kann, so dass Linux die Passphrase handhabt?

8

2 Antworten auf die Frage

4
adam

Ich habe GPL- sedutil gefunden, was die Verwaltung von SEDs auf der "SED-Ebene" ermöglicht:

msed - Verwalten selbstverschlüsselnder Laufwerke

Mit diesem Programm und dem dazugehörigen Image der Pre-Boot-Autorisierung können Sie das Sperren in SEDs aktivieren, die dem TCG-Standard OPAL 2.00 auf Bios-Maschinen entsprechen.

Der Autor von msed hat sich mit Drive Trust Alliance zusammengetan, um eine GPL-Unternehmenslösung zu erstellen:

Ich arbeite mit der Drive Trust Alliance (Drive-Trust-Alliance auf GitHub) zusammen, um der Community die bestmöglichen Open-Source-SED-Tools zur Verfügung zu stellen.

0
wmills

Ich weiß nicht, ob dies wirklich die Frage beantwortet, die Sie wollten. Ich habe jedoch Informationen auf dieser Seite verwendet: https://ata.wiki.kernel.org/index.php/ATA_Secure_Erase

Ich hatte eine selbstverschlüsselnde SSD. Ich habe den Befehl hdparm verwendet, um ein Benutzerpasswort, ein Masterpasswort und die Masterpasswortfunktion auf "Maximum" festzulegen, sodass ein Masterpasswort nicht entsperrt oder deaktiviert werden kann. (Mein BIOS ließ mich weder ein Master-Passwort noch den Master-Modus festlegen. Dies ist in der Tat unsicher, da der Hersteller (Dell) das Master-Passwort besitzt und wahrscheinlich jeder Service-Mitarbeiter es erhalten kann.)

Ein gutes BIOS / UEFI sollte den Treiber entsperren und einfrieren, damit das Kennwort vom Betriebssystem nicht deaktiviert werden kann. Wenn die Firmware nicht gefroren ist, konnte ich sehen, wie das Passwort deaktiviert werden könnte.

Dies setzt jedoch voraus, dass Sie der Laufwerks-Firmware nicht über eine Hintertür oder Sicherheitslücke verfügen. Der Artikel, den Sie zitieren, scheint darauf hinzudeuten, dass dies üblich ist. Ich frage mich, wie "einfach" das BIOS-Level zu besiegen ist, da der Artikel besagt, dass das Laufwerk bereits freigeschaltet sein muss. Der Artikel sagte nicht, ob die Laufwerksicherheit eingefroren war oder nicht.

Wenn Sie der Laufwerkfirmware nicht vertrauen, sehe ich nicht, wie Ihnen die ATA-Kennwortfunktion helfen kann. Um dennoch von der Laufwerk-HW profitieren zu können, benötigen Sie Zugriff auf die AES-Engine selbst und können den AES-Schlüssel selbst programmieren.

war:

Es tut mir leid, ich hätte alle Ihre Referenzen lesen sollen, bevor ich antwortete. Hierbei handelt es sich um die Standards TCG Opal 2.0 und IEEE-1667. Es scheint, dass 1667 über den Klartext-Passwortaustausch von ATA zu einem Problemreaktionsprotokoll wechselt. Mir scheint jedoch, dass die Passwörter immer noch im Laufwerk gespeichert sind und Sie der Firmware des Laufwerks immer noch vertrauen müssen.