Le chiffrement intégral du disque sur le lecteur SSD réduit-il sa durée de vie?
Je suppose qu'un déploiement de chiffrement de disque complet introduirait des écritures supplémentaires chaque fois que l'ordinateur est démarré et arrêté. Étant donné que la capacité moyenne d'écriture avant échec des disques SSD est considérée comme étant inférieure, une solution de chiffrement de disque complet peut-elle réduire la durée de vie attendue du disque sur lequel il est déployé?
Si mes hypothèses sont incorrectes, alors je suppose que ceci est un point discutable. Merci d'avance.
Pensez au cryptage comme un adaptateur. Les données sont simplement encodées avant d'être écrites ou décodées avant d'être lues. La seule différence est qu'une clé est transmise à un moment donné (généralement lorsque le lecteur/pilote est initialisé) pour être utilisée pour le cryptage/décryptage.
Voici un graphique (approximatif) que j'ai assemblé pour illustrer le schéma de base:
Comme vous pouvez le constater, il n’est pas nécessaire d’effectuer des lectures ou écritures supplémentaires car le module de cryptage chiffre les données avant que celles-ci ne soient écrites sur les plateaux et déchiffrées avant qu’elles ne soient envoyées au processus qui a effectué la lecture.
L'emplacement réel du module de cryptage peut varier. il peut s'agir d'un pilote logiciel ou d'un module matériel du système (contrôleur, BIOS, module TPM, par exemple) ou même du lecteur lui-même. Dans tous les cas, le module se trouve "au milieu du fil" entre le logiciel qui effectue les opérations sur les fichiers et les données réelles sur les plateaux du lecteur.
réponse courte:
Si le contrôleur de disque n'utilise pas la compression, la réponse de Synetech est correcte et le cryptage ne change rien. Si le contrôleur utilise la compression, le cryptage réduira probablement la durée de vie du disque (comparé à un disque identique où le cryptage n'est pas utilisé).
Réponse longue:
Certains contrôleurs SSD utilisent la compression afin de minimiser la quantité de données écrites sur les puces flash réelles et d’améliorer les performances de lecture (les contrôleurs SandForce en sont un bon exemple, il peut y en avoir d’autres). Cela fonctionnera mieux si les données écrites sur le disque sont facilement compressibles. Les fichiers texte, les fichiers exécutables, les images non compressées (BMP par exemple) et similaires peuvent généralement être assez compressés, tandis que les fichiers déjà compressés ou chiffrés sont presque impossibles à compresser car les données seront presque totalement aléatoires pour l'algorithme de compression du contrôleur. .
Le matériel de Tom a fait un test de Nice à ce sujet précisément sur un Intel SSD 520 qui peut être trouvé à
http://www.tomshardware.com/reviews/ssd-520-sandforce-review-benchmark 3124-11.html
Ce qu’ils font en réalité, c’est mesurer l’amplification de l’écriture (rapport entre la quantité de données écrite en mémoire flash et la quantité de données envoyée au lecteur) du lecteur lors de l’écriture de données complètement compressibles et de données totalement aléatoires. Pour des données complètement aléatoires, l'amplification d'écriture est de 2,9 *, ce qui signifie que pour chaque Go de données envoyées sur le disque, 2,9 Go sont écrits en flash. L'article note que cela semble être à peu près le même nombre que celui mesuré sur les lecteurs qui n'utilisent pas la compression. Pour des données complètement compressibles, le rapport est de 0,17, ce qui est un peu plus bas.
L'utilisation normale finira probablement quelque part entre sauf si les données sont cryptées. Les prédictions de durée de vie dans l'article sont quelque peu académiques, mais elles montrent que le cryptage pourrait certainement affecter la durée de vie d'un disque SSD avec un contrôleur SandForce. La seule façon de contourner ce problème serait que le contrôleur lui-même puisse effectuer le chiffrement une fois la compression effectuée.
* L'article ne précise pas pourquoi 2.9 est considéré comme une valeur normale et je ne l'ai pas vraiment recherchée. Une explication logique pourrait être que la plupart des SSD utilisent le MAND NAND, ce qui est sujet aux erreurs de bits (les retournements de bits dans d’autres parties des blocs d’effacement peuvent se produire lors de l’écriture si je me souviens bien). Afin de corriger cela, les données sont probablement écrites à plusieurs endroits afin que la récupération ou la correction soit toujours possible.
Le chiffrement intégral du disque n'augmente pas la quantité de données écrites sur un disque, hormis les métadonnées que la couche de chiffrement doit stocker avec le système de fichiers (ce qui est négligeable). Si vous chiffrez 4096 octets, 4096 octets sont écrits.
La réponse dépend de ce que vous entendez par "cryptage intégral du disque".
Si vous voulez simplement dire que toutes les métadonnées des fichiers et du système de fichiers sont chiffrées sur le disque, alors non, cela ne devrait pas avoir d’impact sur la durée de vie des disques SSD.
Toutefois, si vous parlez de méthode plus traditionnelle, "le contenu entier du disque, y compris l'espace inutilisé, est chiffré", alors oui, cela réduira la durée de vie, peut-être de manière significative.
Les périphériques SSD utilisent le "nivellement d'usure" pour répartir les écritures sur le périphérique afin d'éviter l'usure prématurée de quelques sections. Ils peuvent le faire car les pilotes de système de fichiers modernes informent spécifiquement le SSD lorsque les données d’un secteur particulier ne sont plus utilisées (a été "supprimé"). Le SSD peut alors remettre ce secteur à zéro et continuer à utiliser le secteur souhaité. a la moindre utilisation pour la prochaine écriture.
Avec un schéma de chiffrement complet du disque traditionnel, aucun des secteurs n’est inutilisé. Ceux qui ne contiennent pas vos données sont toujours cryptés. Ainsi, un attaquant ne sait pas quelle partie de votre disque contient vos données et quelle partie est constituée uniquement de bruit aléatoire, ce qui rend le décryptage beaucoup plus difficile.
Pour utiliser un tel système sur un disque SSD, vous avez deux options:
- Autorisez le système de fichiers à continuer à effectuer des éliminations. À ce stade, les secteurs qui ne disposent pas de vos données seront vides et un attaquant pourra concentrer ses efforts uniquement sur vos données.
- Interdisez au système de fichiers de procéder à des éliminations, auquel cas votre cryptage est toujours fort, mais il ne peut plus effectuer actuellement un nivellement d'usure important, de sorte que les sections les plus utilisées de votre disque s'useront potentiellement beaucoup plus rapidement que le reste.