¿Cómo cifro un SSD Samsung Evo 840?

He comprado un HP Envy 15-j005ea portátil que he actualizado a Windows 8.1 Pro. También quité el HDD y lo reemplacé con un SSD Samsung Evo 840 de 1TB. Ahora deseo cifrar la unidad para proteger el código fuente de mi empresa y mis documentos personales, pero no puedo averiguar cómo hacerlo o si es posible.

Entiendo que no se recomienda usar Truecrypt en un SSD, pero corríjame si me equivoco. También entiendo que el 840 Evo tiene un cifrado AES de 256 bits incorporado, por lo que se recomienda usar eso.

El Evo se ha actualizado al último firmware EXT0BB6Q y tengo el último Samsung Magician. No sé qué nivel de UEFI tengo, pero sí sé que la máquina fue construida en diciembre de 2013 y tiene el BIOS F.35 fabricado por Insyde.

Esto es lo que he intentado:

• Bitlocker Supuestamente, el último firmware de Samsung es compatible con Windows 8.1 eDrive, así que seguí las instrucciones que encontré en un artículo de Anandtech . En primer lugar, parecería que la computadora portátil no tiene chip TPM, por lo que tuve que permitir que Bitlocker funcionara sin TPM. Una vez que lo hice, intenté activar Bitlocker. Anandtech dice que "si todo es compatible con eDrive, no se le preguntará si desea o no cifrar todo o parte de la unidad, después de pasar por la configuración inicial, BitLocker simplemente estará habilitado. No hay una etapa de cifrado adicional (ya que los datos ya está encriptada en su SSD). Si ha hecho algo mal, o alguna parte de su sistema no es compatible con eDrive, obtendrá un indicador de progreso y un proceso de encriptación de software algo largo ". Lamentablemente estaba me preguntó si quiero cifrar todo o parte del disco, así que lo cancelé.

• Configuración de la contraseña ATA en el BIOS. Parece que no tengo esa opción en el BIOS, solo una contraseña de administrador y una contraseña de arranque.

• Usando mago. Tiene una pestaña de "Seguridad de datos", pero no entiendo completamente las opciones y sospecho que ninguna es aplicable.

La información en esta pregunta y respuesta ayudó pero no respondió mi pregunta.

Claramente entonces, lo que me gustaría saber es ¿cómo cifro mi unidad de estado sólido en la HP Envy 15 o, de hecho, no tengo suerte? ¿Hay alguna opción alternativa o tengo que vivir sin cifrado o devolver la computadora portátil?

Hay una pregunta similar sobre Anandtech, pero sigue sin respuesta.

La contraseña debe establecerse en el BIOS bajo la extensión de seguridad ATA. Por lo general, hay una pestaña en el menú del BIOS titulada "Seguridad". La autenticación se realizará a nivel de BIOS, por lo que nada de lo que este "asistente" de software tiene que ver con la configuración de la autenticación. Es poco probable que una actualización del BIOS habilite la contraseña del HDD si no era compatible anteriormente.

Decir que está configurando el cifrado es engañoso. La cuestión es que el disco SIEMPRE está encriptando cada bit que escribe en los chips. El controlador de disco hace esto automáticamente. Establecer una (s) contraseña (s) de HDD en la unidad es lo que lleva su nivel de seguridad de cero a prácticamente irrompible. Solo un keylogger de hardware plantado de forma malintencionada o un exploit de BIOS remoto activado por la NSA podría recuperar la contraseña para autenticar ;-) <- Supongo. Todavía no estoy seguro de lo que pueden hacerle al BIOS. El punto es que no es totalmente insuperable, pero dependiendo de cómo se almacena la clave en el disco, es el método más seguro de cifrado del disco duro actualmente disponible. Dicho eso, es una exageración total. BitLocker es probablemente suficiente para la mayoría de las necesidades de seguridad del consumidor.

Cuando se trata de seguridad, supongo que la pregunta es: ¿cuánto quieres?

El cifrado de disco completo basado en hardware es varias veces más seguro que el cifrado de disco completo a nivel de software como TrueCrypt. También tiene la ventaja adicional de no obstaculizar el rendimiento de su SSD. La forma en que los SSD almacenan sus bits a veces puede generar problemas con las soluciones de software. El FDE basado en hardware es una opción menos desordenada y más elegante y segura, pero no se ha "entendido" ni siquiera entre aquellos que se preocupan lo suficiente como para cifrar sus datos valiosos. No es complicado hacerlo, pero desafortunadamente muchos BIOS simplemente no admiten la función "Contraseña de HDD" (NO debe confundirse con una contraseña de BIOS simple, que los aficionados pueden eludir). Puedo garantizarle sin siquiera mirar en su BIOS que si aún no ha encontrado la opción, su BIOS no No lo soportes y no tienes suerte. Es un problema de firmware y no hay nada que pueda hacer para agregar la función que no sea flashear su BIOS con algo como hdparm, que es algo tan irresponsable que incluso yo no lo intentaría. No tiene nada que ver con la unidad o el software incluido. Este es un problema específico de la placa base.

ATA no es más que un conjunto de instrucciones para el BIOS. Lo que intenta establecer es una contraseña de usuario y maestra de HDD, que se utilizará para autenticar la clave única almacenada de forma segura en la unidad. La contraseña del "Usuario" permitirá que la unidad se desbloquee y que el arranque continúe normalmente. Lo mismo con "Maestro". La diferencia es que se necesita una contraseña "maestra" para cambiar las contraseñas en el BIOS o borrar la clave de cifrado en la unidad, lo que hace que todos sus datos sean inaccesibles e irrecuperables al instante. Esto se llama la función "Borrado seguro". Según el protocolo, se admite una cadena de caracteres de 32 bits, lo que significa una contraseña de 32 caracteres. De los pocos fabricantes de computadoras portátiles que admiten la configuración de una contraseña de HDD en el BIOS, la mayoría limita los caracteres a 7 u 8. ¿Por qué cada compañía de BIOS no lo hace? t apoyo está más allá de mí. Quizás Stallman tenía razón sobre el BIOS propietario.

La única computadora portátil (prácticamente ninguna BIOS de escritorio admite contraseña de HDD) que sé que le permitirá establecer una contraseña de usuario y maestra de HDD de 32 bits de longitud completa es una serie Lenovo ThinkPad T- o W-. Lo último que escuché es que algunos portátiles ASUS tienen esa opción en su BIOS. Dell limita la contraseña del disco duro a 8 caracteres débiles.

Estoy mucho más familiarizado con el almacenamiento de claves en SSD Intel que con Samsung. Intel fue, creo, el primero en ofrecer FDE en chip en sus unidades, la serie 320 y más. Aunque eso fue AES de 128 bits. No he investigado ampliamente cómo esta serie de Samsung implementa el almacenamiento de claves, y nadie realmente sabe en este momento. Obviamente, el servicio al cliente no fue de ayuda para usted. Me da la impresión de que solo cinco o seis personas en cualquier compañía de tecnología realmente saben algo sobre el hardware que venden. Intel parecía reacio a revelar los detalles, pero finalmente un representante de la compañía respondió en algún lugar de un foro. Tenga en cuenta que para los fabricantes de unidades esta característica es una idea de último momento. No lo saben ni les importa nada, y tampoco el 99,9% de sus clientes. Es solo otra viñeta publicitaria en la parte posterior de la caja.

¡Espero que esto ayude!

Finalmente conseguí que esto funcione hoy y, como usted, creo que tampoco tengo una configuración de contraseña ATA en el BIOS (al menos, eso no lo puedo ver). Sí habilité las contraseñas de usuario / administrador del BIOS y mi PC tiene un chip TPM, pero BitLocker debería funcionar sin una (llave USB). Al igual que usted, también estaba atrapado exactamente en el mismo lugar en el indicador de BitLocker, ¿quiero cifrar solo los datos o todo el disco?

Mi problema era que mi instalación de Windows no era UEFI, aunque mi placa base admite UEFI. Puede verificar su instalación escribiendo msinfo32el comando Ejecutar y marcando Modo Bios. Si se lee algo diferente a UEFIeso, debe reinstalar Windows desde cero.

Consulte estas instrucciones paso a paso para cifrar la guía SSD de Samsung en una publicación relacionada en este foro.

Cifrado de software

TrueCrypt 7.1a está bien para su uso en SSD, pero tenga en cuenta que probablemente reducirá el rendimiento de los IOP en una cantidad considerable, aunque la unidad seguirá teniendo un IOP 10 veces mejor que el HDD. Entonces, si no puede hacer uso de las opciones enumeradas en Magician, TrueCrypt es una opción para cifrar la unidad, pero según los informes, no funciona muy bien con Windows 8 y sistemas de archivos posteriores. Por esta razón, BitLocker con cifrado de disco completo es una mejor opción para estos sistemas operativos.

TCG Opal

TCG Opal es básicamente un estándar que permite instalar una especie de mini sistema operativo en una parte reservada de la unidad que solo tiene el propósito de permitir que la unidad arranque y presentar al usuario una contraseña para otorgar acceso a la unidad . Hay varias herramientas disponibles para instalar esta función, incluidos algunos proyectos de código abierto aparentemente estables, pero Windows 8 y versiones posteriores de BitLocker deberían admitir esta función.

No tengo Windows 8 o posterior, por lo que no puedo proporcionar instrucciones sobre cómo configurar esto, pero mi lectura indica que esto solo está disponible al instalar Windows, y no después de que esté instalado. Los usuarios experimentados pueden corregirme.

Contraseña ATA

El bloqueo de contraseña ATA es una característica opcional del estándar ATA compatible con las unidades Samsung 840 y series posteriores, así como miles de otras. Este estándar no está relacionado con un BIOS y se puede acceder a él mediante cualquier número de métodos. No recomiendo usar un BIOS para configurar o administrar la contraseña de ATA, ya que es posible que el BIOS no se ajuste correctamente al estándar ATA. Tengo experiencia con mi propio hardware que parece admitir la función, pero en realidad no cumple con la normativa.

Tenga en cuenta que la búsqueda de esta función generará mucha discusión alegando que la función de bloqueo ATA no debe considerarse segura para proteger los datos. En general, esto solo es correcto para los discos duros que no son también unidades de autocifrado (SED). Dado que las unidades Samsung 840 y de las series posteriores son SSD y SED, estas discusiones simplemente no son aplicables. La contraseña ATA bloqueó la serie Samsung 840 y posterior debe ser lo suficientemente segura para su uso, como se describe en esta pregunta.

La mejor manera de asegurarse de que su BIOS puede admitir el desbloqueo de una unidad con contraseña ATA bloqueada es bloquear una unidad, instalarla en la computadora, luego iniciar la computadora y ver si solicita una contraseña y si la contraseña ingresada puede desbloquear la unidad.

Esta prueba no debe realizarse en una unidad con datos que no desea perder.

Afortunadamente, la unidad de prueba no tiene que ser la unidad de Samsung, ya que puede ser cualquier unidad que admita el conjunto de seguridad estándar ATA y se pueda instalar en la computadora de destino.

La mejor manera que he encontrado para acceder a las funciones ATA de una unidad es con la utilidad de línea de comandos de Linux hdparm. Incluso si no tiene una computadora con Linux, hay muchas distribuciones cuya imagen de disco de instalación también admite la ejecución del sistema operativo 'en vivo' desde los medios de instalación. Ubuntu 16.04 LTS, por ejemplo, debe instalarse fácil y rápidamente en la gran mayoría de las computadoras y la misma imagen también puede escribirse en medios flash para ejecutarse en sistemas sin unidades ópticas.

Las instrucciones detalladas sobre cómo habilitar la seguridad de contraseña ATA están más allá del alcance de esta pregunta, pero este tutorial me pareció uno de los mejores para esta tarea.

Habilitación de la seguridad ATA en un SSD autocifrado

Tenga en cuenta que la longitud máxima de la contraseña es de 32 caracteres. Recomiendo hacer la prueba con una contraseña de 32 caracteres para asegurarse de que el BIOS sea compatible con el estándar correctamente.

Con la computadora de destino apagada y la contraseña ATA de la unidad bloqueada, instale la unidad y arranque el sistema. Si el BIOS no solicita una contraseña para desbloquear la unidad, entonces el BIOS no es compatible con el desbloqueo de contraseña ATA. Además, si parece que está ingresando la contraseña completamente correcta, pero no está desbloqueando la unidad, es posible que el BIOS no sea compatible con el estándar ATA y, por lo tanto, no se debe confiar en él.

Puede ser una buena idea tener alguna forma de verificar que el sistema está leyendo correctamente la unidad desbloqueada, como tener un sistema operativo instalado y cargarse correctamente, o instalar junto a una unidad del sistema operativo que carga y puede montar la unidad de prueba y leer y escribir archivos sin problema.

Si la prueba es exitosa y se siente seguro al repetir los pasos, habilitar la contraseña ATA en una unidad, incluida una con un sistema operativo instalado, no cambiará nada en la porción de datos de la unidad, por lo que debería iniciarse normalmente después de ingresar contraseña en el BIOS.

No sé si vio esto o lo arregló todavía, pero aquí hay un enlace específicamente de Samsung en su EVO 840. http://www.samsung.com/global/business/semiconductor/minisite/SSD/global/html/ acerca de / whitepaper06.html

Esencialmente, lo que dicen para habilitar el cifrador de hardware AES integrado en el SSD es establecer la contraseña de HDD en el BIOS del sistema. Las contraseñas de "Usuario / Administrador / Configuración" son solo eso. Sin embargo, la configuración de la contraseña de HDD debe pasar a la SSD. Esto requerirá que ingrese manualmente la contraseña cada vez que encienda la computadora, y no funciona con chips TPM u otras PassKeys. Además, no puedo enfatizar lo suficiente, CUALQUIERA que use cifrado debe asegurarse de que sus datos estén respaldados. Recuperar datos de un disco cifrado dañado / dañado es casi imposible sin pasar por un servicio especializado.

"No necesito niveles de seguridad a prueba de la NSA"

Bueno, ¿por qué no usarlo de todos modos, ya que es gratis?

Después de tomar clases de posgrado en seguridad informática y informática forense, decidí cifrar mi disco. Miré muchas opciones y estoy MUY feliz de haber seleccionado DiskCrypt. Es fácil de instalar, fácil de usar, de código abierto con firmas PGP proporcionadas, instrucciones sobre cómo compilarlo usted mismo para asegurarse de que el exe coincida con la fuente, monta automáticamente las unidades, puede configurar el indicador PW previo al arranque y es incorrecto -pw acción, y usará AES-256.

Cualquier CPU moderna realizará una ronda de encriptación AES en una SOLA instrucción de máquina (encriptar los datos de un sector requiere un par de docenas de rondas). En mis propios puntos de referencia, AES funciona once veces más rápido que los cifrados implementados por software como blowfish. DiskCryptor puede cifrar datos muchas veces más rápido de lo que la PC puede leer y escribir desde el disco. No hay gastos generales medibles.

Estoy ejecutando una máquina de 5 GHz con velocidad de frenado y velocidad de enfriamiento refrigerada por TEC, por lo que su kilometraje variará, pero no mucho. El tiempo de CPU requerido para cifrar / descifrar era demasiado bajo para medir (es decir, menos del 1%).

Una vez que lo configura, puede olvidarlo por completo. El único efecto notable es que tienes que escribir tu PW en el arranque, lo cual estoy encantado de hacer.

En cuanto a no usar cifrado en SSD, ese es un rumor que no había escuchado antes. También es injustificado. Los datos cifrados se escriben y leen desde la unidad exactamente como los datos normales. Solo los bits en el búfer de datos están codificados. Puede chkdsk / f y ejecutar cualquier otra utilidad de disco en una unidad cifrada.

Y, por cierto, a diferencia de otros programas, Diskkeeper no mantiene su pw en la memoria. Utiliza una clave hash unidireccional para el cifrado, sobrescribe sus pwds mal escritos en la memoria y hace todo lo posible para asegurarse de que no salga en un archivo de paginación durante la entrada y validación de PW.

https://diskcryptor.net/wiki/Main_Page

He publicado sobre esto en otro lugar en Super User, pero como era un hilo que solía educarme, quería tocar la base aquí también.

Contraseña ATA vs cifrado de software para cifrado de disco completo en Samsung 840/850 EVO e Intel SSD

Pros: Simple, sin rendimiento, extremadamente seguro: los discos no se pueden leer en otras máquinas sin contraseña ATA

Contras: necesita un BIOS que tenga la opción de Contraseña ATA (las computadoras portátiles HP y Lenovo parecen tener esto, pero la mayoría de los mobos de escritorio no. Excepción: ASRock escribió recientemente su BIOS 1.07B para su serie Extreme, y funciona). Además, es tan seguro que si pierde la contraseña, los datos son irrecuperables. Por cualquiera, al parecer. Por último, todo depende de un chip controlador en el SSD, y si ese chip falla, los datos están listos. Siempre.

Espero que esto se agregue a la discusión.

Configuración de la contraseña ATA en el BIOS. Parece que no tengo esa opción en el BIOS, solo una contraseña de administrador y una contraseña de arranque. Lástima, esta es la opción más simple que tiene.

El segundo es ganar 8.1 + bitlocker, pero todo el reinicio es molesto

No conozco ningún foss tcg opal sw y las versiones pagas probablemente cuestan mucho

TrueCrypt funciona, pero si su CPU no tiene AES-NI, el golpe de velocidad puede ser notable

y no olvide hacer una copia de seguridad de su struff, los datos cifrados son mucho más difíciles de recuperar

Al instalar muchas distribuciones de Linux, tiene la opción de cifrar la carpeta / home. En ese momento, cuando elige encriptar la carpeta / home (también conocido como punto de montaje), se le solicita (obligatorio) que ingrese una contraseña dos veces.

Esencialmente uno completado, su carpeta / home está encriptada.

Se suponía que Samsung debía estar 'pre encriptado' en la fábrica.

Esto generalmente significa que no se puede acceder a la información del disco duro sin la contraseña.

Lo anterior es lo que he hecho. Si tengo suerte, la encriptación de Samsung con otra capa de encriptación de software de Linux debería hacerme relativamente seguro de la mayoría de las personas, compañías y gobiernos nefastos.

No sentí la necesidad de contraseña del disco duro a través del BIOS.

Ya es bastante difícil recordar múltiples contraseñas. KeepassX puede ser de alguna utilidad a ese respecto.

Para los verdaderamente paranoicos, puede usar la contraseña del Samsung EVO en el BIOS, usar Linux después de la instalación para cifrar el disco con el software y luego usar un programa de cifrado de código abierto (no es verdadero cifrado debido a sospechas de puertas traseras y vulnerabilidades).

Puede usar KeepassX para recordar las contraseñas complicadas e incluso proteger con contraseña esa unidad flash también.

A menos que sea una especie de delincuente o tenga algo tan valioso que necesite tanta seguridad, la mayoría es una pérdida de tiempo.

Puede ser más fácil mantener su código fuente en una unidad flash cifrada como IronKey para que no tenga ningún impacto en el rendimiento o tenga problemas con la unidad. Los documentos personales también pueden ir allí.