SSD Selbstverschlüsselung?

[schmendrik]

ein paar fragen,

when ich mir eine sed hole und dieser ein passwort setze, kann ich das dann auch so einstellen, dass nach jedem aufwachen aus dem ruhezustand/sleep dieses abgefragt wird oder muß ich hibernieren oder das notebook ausschalten?

wenn ich via usb in ein pe boote, kann ich eine protable soft benutzen, um das laufwerk zu entsperren und darauf zugreifen?

gibt es eine open source soft, die das bewerkstelligen kann? will nicht bitlocker benutzen.

reicht es, wenn ich eine ssd mit aes kaufe oder muß die den opal standard erfüllen?

 

[schmendrik]

SED sollte auch über ein ATA-Passwort möglich sein, wenn das BIOS das überhaupt anbietet.

ja? das wär dann das gleiche passwort, was gesetzt wird bei hardwareverschlüsselung?
passwörter setzen für die hdd bietet ja so gut wie jedes bios an..

 

[schmendrik]

ja ok, hatte auch nur notebooks.

aber sicher halt, dass das passwort die hardwareverschlüsselung aktiviert?

hatte das mal bei normalen ssd gesetzt, als ich die dann ausgebaut hatte, war die auch ohne passwort extern ohne probleme auslesbar..

 

[schmendrik]

deshalb frag ich ja die experten hier, bevor ich eine kaufe..

vor allem bist du dir sicher mit dem bios ata passwort für die sed?

 

[Holt]

Das setzen eines SATA Passwortes sollte jede SSD unterstützen und selbst wenn dadurch die Daten auf den NANDs nicht verschlüsselt werden, kann man an sie ohne das Freischalten mit dem Passwort nur durch Ablöten, Auslesen der NAND Chips und dem Lösen des Puzzles wo der Controller welche Daten abgelegt hat, heran kommen.

 

[schmendrik]

sollte vieleicht so sein, meine erfahrung:

hatte das mal bei normalen ssd gesetzt, als ich die dann ausgebaut hatte, war die auch ohne passwort extern ohne probleme auslesbar..

nochmal die frage, dadurch wird die hardwareverschlüsselung jetzt auch aktiviert oder nicht?

 

[krypton]

hatte das mal bei normalen ssd gesetzt, als ich die dann ausgebaut hatte, war die auch ohne passwort extern ohne probleme auslesbar..
...
nochmal die frage, dadurch wird die hardwareverschlüsselung jetzt auch aktiviert oder nicht?

Ich bezweifle sehr, dass ein ATA Passwort aktiviert wurde, denn sonst könntest du an einem anderen Rechner nicht auf die SSD zugreifen ohne das Passwort einzugeben. Kann es sein dass nur ein BIOS-Passwort aktiviert wurde?

Ein SED schreibt die Daten immer verschlüsselt in den Flash. Durch das setzen des Passwortes wird nur noch der AES-Key mit diesem Passwort verschlüsselt.

Bei meiner samsung 850 pro habe ich das ATA-Passwort aktiviert und muss dieses vor dem booten eingeben.

 

[Holt]

Kann es sein dass nur ein BIOS-Passwort aktiviert wurde?

Das würde ich auch vermuten, aber wir wissen nicht um welche SSD es sich gehandelt hat, vielleicht war die Implementierung dort auch einfach falsch. Bei Samsung SSDs hatten wir hier aber schon öfter Leute die eine gebrauchte gekauft haben bei der ein User Passwort gesetzt war und die kamen nicht einfach an die Daten, die SSDs haben bei jedem Versuch Daten zu lesen einen I/O Fehler gemeldet, wie es sich gehört wenn ein Passwort gesetzt aber die SSD noch nicht entsperrt wurde.

Durch das setzen des Passwortes wird nur noch der AES-Key mit diesem Passwort verschlüsselt.

Zumindest dürfte er dann im NAND oder im Controller verschlüsselt abgelegt sein, aber da man das Passwort auch entfernen kann ohne die Daten zu löschen wenn man es kennt oder wenn man das Masterpasswort hat und beim Setzen des Userpasswortes nicht die höchste Sicherheitsstufe gewählt wurde, muss es einen Weg geben diese Passwort auch wieder entschlüsselt innerhalb der SSD oder des Controllers normal ablegen zu lassen.

Das Problem bei SED Platten, egal ob HDD oder SSD ist immer, dass man dem Hersteller blind vertrauen muss, da man anderes als bei Open-Source SW Verschlüsselungen keinen Einblick in den Quellcode nehmen kann. Das hilft allerdings auch bei SW Verschlüsselungen nur den wenigsten, denn man muss wirklich ein Experte auf dem Gebiet sein um dann auch einschätzen zu können wie sicher die Lösung nun wirklich ist.

 

[schmendrik]

Ich bezweifle sehr, dass ein ATA Passwort aktiviert wurde, denn sonst könntest du an einem anderen Rechner nicht auf die SSD zugreifen ohne das Passwort einzugeben. Kann es sein dass nur ein BIOS-Passwort aktiviert wurde?

definitiv hab ich ein hdd user und master pw gesetzt.
war ein acer notebook mit einer samsung msata.
ausgebaut und ich konnte die ssd ohne probleme direkt an einem usb controller auslesen.

hier noch ein interessanter thread zum sata passwort:
I want the TRUTH about SSDs and FDE (Full Disk Encryption) / SED (Self-Encrypting Dri - Ars Technica OpenForum

bei Samsung muss man das Drive vorher dafür in Samsungs Magician Software entsprechend aktivieren.

da frage ich mich, warum?
also muß ich, wenn ich das ata pw setzen will erstmal die neue ssd einbauen,
windows installieren, damit ich die magician software installieren kann, damit ich per "enable class 0 encryption"
die hardware verschlüsselung dann erst per bios aktivieren kann?

macht irgendwie keinen sinn.

wenn ich das ata pw direkt beim einbau setze, was passiert dann?
dachte die ssd verschlüsselt eh laufend und hiermit wird der key dann automatisch auch verschlüsselt, ohne irgendwelche software config vorher..

 

[schmendrik]

hab mich auch schon dämlich gesucht, nix gefunden im netz..
noch jemand nähere infos zu dem "class 0 enable" beim samsung magician?

 

[Holt]

Man muss schon die verschiedenen Sicherheitsfunktionen unterscheiden, es gibt bei viele neueren (SATA) SSDs neben den üblichen ATA Securety Features zu denen das Master- und Userpasswort gehören, die neuen TCG Opal Features wie sie Bitloker sein Win 8 nutzen kann.

 

[krypton]

hab mich auch schon dämlich gesucht, nix gefunden im netz..
noch jemand nähere infos zu dem "class 0 enable" beim samsung magician?

Um das ATA-Passwort zu aktivieren braucht man nicht zwingend magician. Wie es bei den 2 anderen Verschlüsselungsarten läuft, kann ich nicht sagen.

Du kannst z.B. xubuntu vom USB-Stick booten und mit "hdparm -I /dev/sda" prüfen ob das Passwort aktiviert wurde, oder auch ein Passwort setzen.

Hier ist es recht gut beschrieben: http://www.admin-magazine.com/Archive/2014/19/Using-the-ATA-security-features-of-modern-hard-disks-and-SSDs

 

[schmendrik]

noch jemand nähere infos zu dem "class 0 enable" beim samsung magician?

steht zwar enable da, kann aber nicht in magician aktiviert werden.
class 0 ist das pw, welches im bios aktiviert wird.

nachdem ich das ata pw gesetzt habe, wird die ssd auch nicht mehr per externem usb erkannt.

fragt mich jetzt nur, ob das jetzt genauso (uns)sicher verschlüsselt, wie eine ssd/hdd mit gesetztem ata pw ist.
kommt man dann an die daten genauso einfach, wie bei einem nicht-sed laufwerk, wenn man zb das ata pw per bruteforce errät?
was ist in der konstellation der unterschied zwischen sed und ssd?

 

[Holt]

Das Passwort kann 32 Stellen haben, wenn Du das über bruteforce ermittelst, dürfte es also länger dauern aber gehen. Vielleicht sperrt oder verzögert die SSD aber auch nach einer bestimmten Anzahl an Fehlversuchen, aber dies könnte eine HDD genauso machen.

 

[Boy2006]

Ich habe mir nicht alles durchgelesen was für ein System hast du jetzt?

 

[Eye-Q]

Der Thread ist über vier Monate alt und der letzte Post war vor zwei Monaten, außerdem ist es für SEDs (nicht SSDs!) komplett unerheblich, was für Hardware dahinter steckt...

 

[Boy2006]

außerdem ist es für SEDs (nicht SSDs!) komplett unerheblich, was für Hardware dahinter steckt...

Falsch da nicht alles mit jeden funktioniert!
Beispiel bei den Tinkpads gibt es nur ein paar HDDs die kompatibel sind. Und wenn man es FIPS Konform haben will muss man sowieso auf die Kompatibilität schauen.