☰

如何驗證自加密磁碟機 (SED) 是否真正加密？

tag-icon • tag-icon windows hard-drive bios fde self-encrypting-drive
如何驗證自加密磁碟機 (SED) 是否真正加密？

我有一台 Dell Precision M3800，它應該有一個自加密硬碟。我運行的是 Windows 10。

我已在 Dell BIOS 中設定了硬碟密碼，但如何確認磁碟內容實際上已透過與該密碼關聯的金鑰加密？ BIOS 非常不清楚這方面發生了什麼，而且我沒有找到進行加密擦除的選項，所以我不確定如何確保內容是安全的。

另外，有誰知道是否可以強制電腦在從睡眠中喚醒後提示我解鎖硬碟，或者我是否需要關機才能完全「鎖定」硬碟？

答案1

驗證磁碟機是否已加密的一種方法是將其實體連接到另一台電腦。透過直接 SATA 連接，或透過 USB 轉 SATA 轉接器。另一台機器應該能夠識別該驅動器，但無法讀取內容。

至於你的第二個問題，你很可能無法讓它在睡眠期間「鎖定」硬碟。即使機器處於睡眠狀態，作業系統也會以低功耗狀態在後台等待。它必須能夠存取和讀取驅動器才能退出睡眠狀態。

答案2

有絕對無需從裝置中移除任何驅動器檢查它是否是 SED 驅動器並檢查其加密狀態！

驗證您的任何磁碟機是否是 SED [自加密磁碟機] 及其加密狀態的最簡單、最安全的方法是使用 Linux 命令「hdparm」：

1) 從任何 WINDOWS 作業系統：

1.a) 從以下位置下載最新 Linux Mint Xfce 64 位元作業系統的 ISO 文件https://linuxmint.com將 ISO 檔案燒錄到 DVD 或使用 Rufus 從 ISO 檔案建立可啟動 USB。

1.b) 從可啟動 DVD/USB 啟動並按照以下說明進行操作 [在設定了「硬碟密碼」的 Dell M3800 中，啟動時仍會要求您輸入磁碟機密碼]。

2) 來自任何最新的 Linux Mint 作業系統 [17.x、18.x、19.x]：

  • 找到您的 HD/SSD：開啟終端機視窗並發出命令：

    黑子

[例：「/dev/sda」、「/dev/nvme0」等]

  • 運行命令來尋找 SSD 的狀態：

    sudo hdparm -I /dev/xxxx

  • 您將被要求輸入您的管理員使用者名稱和密碼；

  • 如果您從刻錄的 Live DVD/USB ISO 檔案啟動，使用者名稱是小寫“mint”且沒有密碼 - 只需按“enter”即可；

  • 上面的命令中「xxxx」是您的 SED 磁碟機的名稱；注意拼字錯誤：上面的“-I”是大寫“i”，而不是小寫“L”或數字“one”

對於 SED 驅動器，上述 hdparm 指令的典型輸出為：

「安全：

主密碼修改代碼：65534

支持的

已啟用

未鎖定

冷凍的

未過期：安全計數

支援：增強擦除

安全等級高

xMin 表示安全擦除單元。 xMin 增強型安全擦除單元

邏輯單元 WWM 裝置識別碼：xxxxxxxxxxxxx

北美航空協會：×

IEEE OUI：xxxxx

校驗和：正確”

如果您的驅動器的結果與上述類似，則您的 HD 或 SSD 驅動器是自加密驅動器，該驅動器正在動態對您的資料進行自加密，並且您的驅動器沒有錯誤。

如果命令傳回錯誤而不傳回任何輸出，或輸出的第一行顯示“不支援”，則表示您的磁碟機不是 SED 磁碟機。

順便一提（1）：請注意透過BIOS 設定SED“硬碟密碼”，尤其是在任何LENOVO THINKPAD 上[其中一些LENOVO THINKPAD 眾所周知會在您選擇的密碼字元中添加額外的位，從而有效地堵塞SED 驅動器，除非該驅動器的標籤上有PSID“恢復出廠設定”密碼，允許您解鎖和重置驅動器 - 但您將丟失該驅動器上的所有資料！ ]。

在命令“hdparm”返回“未啟用”輸出的 SED 驅動器上設定加密的最安全方法是使用“hdparm”命令，如下所示：

1) 透過暫停電腦幾秒鐘來解鎖硬碟。當您在“hdparm -I /dev/xxxx”處恢復磁碟機狀態時，會顯示“UNFROZEN”

2) 運行指令設定 SED 加密：

sudo hdparm --user-master u --security-set-pass '密碼' /dev/xxxx

其中 xxxx 是您的 SED 磁碟機的名稱，PASSWORD 是您想要的密碼（不要忘記用單引號將您選擇的密碼括起來！）。

然後只需使用命令“hdparm -I /dev/xxxx”即可檢查加密狀態：它應該顯示“已啟用”。

稍後，如果您決定安全地刪除加密而不丟失數據，請執行以下命令：

sudo hdparm --security-disable '密碼' /dev/xxxx

其中 xxxx 是磁碟機的名稱，PASSWORD 是您選擇使用的密碼：「hdparm -I /dev/xxxx」輸出上的磁碟機狀態將為「SUPPORTED」、「NOT ENABLED」。

順便一提（2）：如果您的裝置上擁有多個支援加密的SED（就像我一樣，我有四台Samsung EVO 960 1TB M.2 NVMe 加上一台Seagate Momentus 4TB 作為我的Dell Precision M6800 行動工作站上的備份）並且您不希望在啟動時要多次輸入密碼來解鎖 SED，只需在所有 SED 硬碟中選擇相同的密碼即可。這樣，您只需輸入一次硬碟密碼，所有 SED 驅動器就會解鎖！

相關內容