|
二、软件加密算法与硬件加密算法 在算法的基础上，我们可以把加密过程分成软件加密和硬件加密：软件加密是我们最常听到的，而且也是普通计算机用户最常用到的一种加密方式，简单地说，它就是通过加密软件利用特定的算法对数据进行加密运算；相比较而言，硬件加密可以看成是一种“物理加密技术”，它是通过加密控制芯片采用一定的加密算法来对设备上的数据进行加密的。 三、全硬盘加密技术的实现 前文中我们介绍了软件加密以及硬件加密的优缺点，软件加密成本便宜但是效率不高，硬件加密安全级别很高但是成本上过于昂贵，有没有一种方案既可以提供硬件级的加密性能又可以降低实现的成本呢？答案是肯定的，这就是希捷全硬盘加密技术的由来。 1．什么是全硬盘加密技术？ FDE技术就是在传统硬盘的基础上加入3D Crypto芯片和DriverTrust固件，从而实现在硬件层面上的对写入/读取数据的时时加密/解密过程。由于FDE将所有的安全密码、加密和解密操作均布置在硬盘的加密控制芯片中，这种与操作系统分离的设计既继承了硬件加密卡的优点，又弥补了加密卡成本过高以及需要加密盘支持的缺点。按照希捷的计划，这项技术将首先应用于对数据安全性要求较高的笔记本硬盘中。 2、FDE硬盘的读写原理 在硬盘中，所有写入的数据都需要先转化成二进制代码才能被存储。例如我们需要向硬盘中写入“8”这个阿拉伯数字，首先计算机会将“8”变成二进制代码的形式“1000”，之后再加上ECC校验码，于是“1000+ECC”便被写到硬盘中。这种传统的数据保存方式几乎是完全公开的，稍微有点计算机基础的人只需要将数据与ASCII码表进行对比，就可以轻松地进行解码操作。
图5 FDE硬盘的加密过程 FDE硬盘与传统硬盘的区别在于加入了3D Crypto芯片和DriverTrust固件，因此在写入/读取过程中实际上多了一个加密/解密的过程。3D Crypto芯片负责密码的存储和重置，并承担对数据进行加密和解密的全部操作；而DriverTrust固件则提供密码管理与复原的功能。在FDE硬盘里面，加密与解密是两个互逆的过程。 下面我们来介绍一下FDE硬盘的工作机理，仍然以上面的例子为基础：我们需要往硬盘中写入阿拉伯数字“8”，这时3D Crypto芯片需要首先对“8”进行加密，为了方便起见，我们假定加密公式F(x)=密钥×数据，且我们现在的密钥是“9”(当然应用中肯定没有这么简单)，那么我们得到的加密后的数据就是“72”，而最终写入硬盘中的二进制代码是01111000+ECC。在读取时，首先被读出的是二进制代码，然后被转换成数据“72”，再根据加密时的密钥“9”，利用解密公式“数据=F(x)/密钥”，得到原始数据72÷9=“8”。 从上面的过程中可以看到，密钥是整个过程的关键部分。在FDE硬盘中，密钥分为“主密码(SID)”和“用户密码(UID)”两个等级，主密码用于制作加密密钥之用(一旦输入之后，不能更改，原因后面介绍)；而用户密码的作用与先前的BIOS开机密码相当，它只能对硬盘进行加锁或者解锁的操作。 如果用户想改变密钥，只需要发出“擦除FDE密码”的命令，这样，密钥会被重新置为KEY 0，当用户重新设置密码时，密钥就变成随机密钥。密钥是由3D Crypto芯片控制的，而不是存储于硬盘存储介质中，所以黑客就很难破解。
图6 更改主密码SID之后，硬盘的加密算法就会发生改变，先前写入的数据将会无法被识别。例如我们将SID从原来的“9”，换成“6”，那么按照算法得到的最终数据就是72÷6=12，这个值与原来的数据没有任何联系。 需要特别注意的是，虽然从道理上说硬盘可以更改密钥(指主密码SID)，但是更改主密码之后，硬盘上原有的数据将不能再被识别(图6)！所以更改SID功能只有两个用途：一是新硬盘的初始化加密，另外一个就是快速擦除硬盘上的全部现有数据(适用于少数特殊场合)。 从上面的介绍我们可以看出，FDE技术并不是第一个硬件级别的加密技术，加密算法也不是由它首创的，但它最成功的地方是“第一块具有硬件加密功能的硬盘”，对于速度和应用模式来说，这将是一次巨大的飞跃。 总结 FDE硬盘的出现可以说是传统硬盘发展的必然结果，用户可以像使用普通硬盘那样使用FDE硬盘，在性能上丝毫感觉不出差异，但是FDE硬盘的保密性和安全性是其它传统硬盘所不具备的。就实现成本而言，由于加入了一颗加密/解密芯片和其它固件，FDE硬盘比普通硬盘要贵20美元左右(约合160元人民币)，但是对于有安全需要的用户来说，购买一套正版加密软件往往需要100美元以上的投资，而使用FDE硬盘无疑是最经济的一种选择。按照希捷的计划，FDE技术将首先应用在Momentus系列的笔记本硬盘上，所以使用台式机的用户要暂时与FDE无缘了；不过从长远来看，FDE或者类似加密技术普及，将会是一种大势所趋。 |
