据称，自加密硬盘驱动器可解决数据丢失问题，但我听说它们也有很多问题。自加密驱动器会带来什么潜在的威胁?对于企业来说它是否是个好的选择?

Michael Cobb：加密敏感数据是信息安全的关键要素，因为这可确保企业信息的保密性。然而，大多数用户发现很难部署加密，并且，企业管理员通常难以对所有用户设备执行加密。而自加密驱动器和设备正是这些加密问题的潜在解决方案，因为自加密可在所有时间对驱动器的所有数据进行透明的加密。数据加密和解密操作发生在驱动器控制器中专门的加密处理器中;这并不会影响设备的性能，不像其他基于软件的加密产品还需要使用设备的CPU。驱动器报废和重新部署也更加容易(通过更改媒体加密密钥来实现)，加密擦除瞬间进行，而不是通过多次数据写入—这可能需要几个小时。

自加密驱动器的随时加密功能和见编写可以帮助企业遵守*或行业对数据隐私及加密的规定;如果用户的笔记本电脑丢失或者被盗，驱动器的内容也无法被读取。但是，研究人员发现Western Digital公司生产的多个版本自加密驱动器包含很多安全漏洞，可能允许可物理访问驱动器的攻击者轻松地解密数据，在某些情况下，他们甚至不需要知道解密密码。来自加拿大KPMG的研究人员还展示了对使用自加密驱动器的笔记本进行数据恢复的三种方法，这表明Opal和微软的eDrive标准无法确保睡眠模式以及关机状态下笔记本中数据的安全性，因为自加密驱动器的电源可保持其在解锁状态。

正确部署加密总是很困难，但Wester Digital产品容易受到攻击是由于各种基本错误，以及对加密过程的不当执行。例如，在一种情况下，我们使用随机数据来对保护解锁驱动器的密码进行加密，而这些随机数据来自计算机时钟的当前时刻，这让攻击者可在很短时间内破解密码。有些自加密驱动器还在设备中存有默认密码;在用户更改至少两次密码之前，默认密码都可以用于解密驱动器中的数据。

这些研究表明使用尚未经过充分测试和审查的加密产品存在风险。在合规性审核中，使用这些产品可能很好，但它们也许无法真正保护敏感数据。硬件和软件加密产品应该提供文档介绍其产品的加密工作原理，如何部署，以及在这些产品通过某种形式的独立审核后企业才应该考虑使用这些产品。这也是为什么很多专家建议只使用开源软件加密，因为我们可对这些加密产品进行分析，而不需要依靠供应商的保证。企业在使用自加密硬盘驱动器或加密硬盘驱动器时，应该确保用户知道数据只有在其设备完全关机时才会充电，而不应该让其产品处于睡眠模式。这些类型的驱动器还应该涵盖在修复管理程序中，因为它们可能比标准驱动器有更多固件更新，以确保加密过程和功能保持修复和最新状态。

Michael Cobb， CISSP - ISSAP在IT行业的安全方面有10年以上的经验，财经方面有16年的经验，他是Cobweb Applications Ltd的创办人兼常务董事，IT培训和数据安全与分析顾问。与人共同撰写IIS Security 这本书，并为许多IT出版物写了大量的技术性文章。Michael也是微软认证数据库管理员和微软认证专家。

作者：Michael Cobb

来源：51CTO