Quel est le niveau de sécurité du chiffrement complet du disque (FDE) pour les SSD?
Existe-t-il des recherches sur la sécurité du cryptage matériel des SSD - par exemple Samsung EVO 850? Ou au moins des articles qui expliquent comment cela fonctionne?
TL; DR: N'utilisez pas de cryptage matériel sur aucun support de stockage, que ce soit une clé USB, un disque dur ou un SSD! C'est vraiment une très mauvaise idée!
Les fabricants de matériel sont connus pour avoir inclus des portes dérobées ou tout simplement être très, très stupides à propos du cryptage des données. Cela va jusqu'à ce qu'ils utilisent simplement la même clé pour tous leurs appareils ou qu'ils laissent les clés de chiffrement traîner sans chiffrement et en espérant que personne ne changera le micrologiciel de manière à permettre à quelqu'un d'y accéder sans connaître le mot de passe. J'ai beaucoup entendu et lu ceci et je ne peux pas vous montrer mes sources réelles mais voici un article confirmant ce que je viens de réclamer .
Les fabricants de matériel sont également connus pour avoir été forcés d'abaisser le niveau de cryptage. De la même manière que je le sais comme ci-dessus et cet article le confirme.
Imaginez simplement ce qui se passe lorsque vous utilisez le chiffrement matériel. Vous achetez cet appareil magique à quelqu'un qui prétend que seules les personnes qui connaissent le mot de passe peuvent accéder aux données stockées sur celui-ci. Cette personne ne vous montre pas comment cela fonctionne. Ils peuvent également vous mentir (voir l'article lié dans le paragraphe précédent) car vous avez très peu de chances de le découvrir. Vous n'avez aucun moyen de vérifier ou de réfuter ces réclamations.
Bien sûr, ne vous fiez pas non plus au cryptage logiciel par les fabricants de matériel. J'ai acheté une clé USB il y a environ 5 ans à SanDisk (je l'ai toujours et je l'ai utilisée pour la dernière fois il y a une heure) qui était livrée avec un "logiciel de cryptage". Je n'ai jamais utilisé ce logiciel de cryptage, non seulement parce que c'est contre toutes les normes que l'on devrait respecter au sujet du cryptage (voir le dernier paragraphe) mais aussi parce qu'après très peu de recherches, j'ai trouvé que ce logiciel (qui ne fonctionnait que pour MS Windows qui lui-même est une autre très bonne raison) pour ne jamais l'utiliser) écrit 1 ou 2 caractères (j'ai oublié si c'était 1 ou 2 mais cela n'a pas d'importance) dans un fichier qu'il a créé dans le dossier utilisateur Windows si le mot de passe correct a été entré. Ces 1 ou 2 caractères montraient à l'application que l'utilisateur était autorisé à accéder aux fichiers. Si vous avez simplement écrit le contenu correct dans le fichier (qui est le même pour tous ceux qui utilisent ce logiciel), vous pouvez accéder aux données stockées sur la clé USB sans connaître le mot de passe. Ne l'utilisez pas non plus.
Le cryptage logiciel est bien meilleur car vous, en tant qu'utilisateur, contrôlez le logiciel utilisé. Vous pouvez y jeter un œil, payer quelqu'un pour y jeter un coup d'œil, s'il est couramment utilisé (et il devrait l'être!), D'autres le regarderont de toute façon, et s'il est ouvertement développé, il y a des gens qui se disputent publiquement sur la façon dont cela devrait être aussi sûr que possible et ces gens ne se font pas confiance.
De plus, vous avez plus de facilité à désactiver le logiciel utilisé pour le chiffrement. Si vous utilisez le chiffrement matériel, une fois que vous disposez du matériel, vous utilisez le chiffrement spécifique fourni par le matériel. Vous serez réticent à dépenser beaucoup d'argent pour acheter du nouveau matériel et jeter l'ancien matériel, même s'il est révélé qu'il y a des problèmes de sécurité car "Ce n'est pas ça mauvais." et "Personne ne m'attaquera, de toute façon." alors que vous auriez jeté un logiciel avec des défauts similaires et échangé contre un autre en un jour.
N'utilisez un logiciel de cryptage que s'il est gratuit et largement accepté pour être sécurisé. Pour qu'il soit gratuit, vous devez pouvoir récupérer son code source si vous ne le savez pas. (Ce n'est pas qu'il soit open source est nécessaire, pas suffisant.) Si l'accès au code source vous est refusé, ne faites jamais confiance à l'application! Bien sûr, cela implique de ne pas lui faire confiance pour protéger vos données contre tout accès non autorisé. S'il n'est pas largement accepté pour être sécurisé, il est très probable que les personnes qui l'ont créé ont fait des erreurs (on peut faire énormément d'erreurs sur le cryptage et doit faire un très bon travail pour sécuriser le cryptage) ou même malicieusement rendu insécurisant ce qui peut inclure de ne rien chiffrer du tout.