磁盘加密

磁盘加密描述了对整个硬盘驱动器或单个分区进行加密，以防止对敏感数据进行未经授权的访问。

可以对整个硬盘驱动器或单个分区执行磁盘加密。 但是，启动所需的数据必须在硬盘上未加密或由专门的启动管理器解密。 要使用这些数据，用户需要获得授权（预引导身份验证），这通常使用密码进行。 备选地或附加地，使用安全令牌、指纹、PIN输入或芯片卡的硬件支持的认证也是可能的。

硬件也可以执行或支持加密（例如，通过 TPM 或具有特殊固件的硬盘驱动器）。 加密方法的选择对实现的保护程度具有决定性影响。 根据联邦信息安全办公室的说法，XTS-AES 为磁盘加密提供了“相对良好的安全性能和良好的效率”。

想要窥探加密硬盘的攻击者通常会尝试通过多种方式获取密码。

为此可以使用以下方法：

• 从磁盘交换文件中恢复密码（仅适用于部分加密的磁盘）
• 使用记录击键的特洛伊木马破解密码
• 通过 DMA 读取主内存（例如使用火线）
• 利用 DRAM 的物理特性读取主内存
• 使用字典或暴力攻击猜测弱密码
• 利用漏洞绕过加密机制
• 通过社会工程学获取密码
• 通过 bootkit 感染主引导记录

磁盘加密的另一个弱点是它在计算机启动并连接到网络时不提供任何保护。 原则上，硬盘的内容可以通过网络或本地计算机访问，尽管后者可以通过使用激活的屏幕保护程序变得更加困难，并在结束时需要密码。 磁盘加密仅在丢失或被盗时提供保护，但在操作期间不提供保护。 因此，磁盘加密的使用在这种情况下的用途有限（例如保护文件服务器）。 磁盘加密也不适合保证工作组范围内对加密数据的访问。 此处推荐文件和文件夹加密等替代方案。

几乎每个操作系统都有用于磁盘加密的程序。 其中一些已经集成。 从 Windows 2000 开始，Windows 有了针对 NTFS 驱动器的加密 EFS 文件系统，可以用来加密目录和文件。 它内置于 Microsoft Windows 2000（所有服务器版和专业版）、XP（仅限专业版）、Server 2003 和 2003 R2、Windows Vista（商业版、旗舰版）和 Windows 7 中。 自 Vista 以来，还有来自 Microsoft 的 BitLocker 程序，它仅集成在某些版本的 Windows Vista、Windows 7 和 Windows 10 以及 Windows Server 2008 中。 虽然 EFS 在每个用户级别进行加密并且并非设计用于加密操作系统本身，但 BitLocker 也能够使用 TPM 芯片中的密钥或USB存储器的形式。

Loop-AES 和 dm-crypt 在 Linux 上被广泛使用，macOS 自带 FileVault。

还有用于其他操作系统（如 OS/2）的磁盘加密程序。

还有一些解决方案，其中一些还可以互操作，用于基于容器文件的虚拟驱动器透明加密，用于非系统分区的加密，或用于操作系统内文件的透明加密。

除了这些加密程序，还有一些可以跨操作系统使用并且是免费软件。 CrossCrypt 和 FreeOTFE 使得在 Windows 下使用加密的 Linux 分区成为可能。 TrueCrypt 和 2012 版 VeraCrypt 使用他们自己的方法，Linux、Windows 和 Mac OS X 都支持这种方法。 DiskCryptor 是另一个仅限于 Windows 操作系统的免费软件。

各种附加软件提供了通过集成设备驱动程序来加密数据的可能性。 对于用户r 使用单点登录时加密的使用是透明的。

由于读取访问还需要对相应文件进行解密，因此如果主处理器没有 AES 命令集扩展，则会导致速度明显下降。 这主要是系统无法在主内存中长期保存较大文件的问题。

根据各种加密方法(XOR、AES & Co)的加密也可以由加密模块执行。 这些用于外部存储介质（USB 记忆棒、USB 硬盘驱动器）。 硬件必须配备相应的加密模块。 使用当前的高性能模块，数据（例如 256 位 AES）几乎可以实时加密。 xxx型号的性能损失几乎不明显。 基于硬件的加密也提高了安全性。