☰

SSDでシステムを暗号化する最良の方法

tag-icon • tag-icon security hardware performance encryption ssd
SSDでシステムを暗号化する最良の方法

システムの反応性を向上させるために、ノートブック用のSSD（Samsung 830や840など）の購入を検討しています。私のシステム（少なくともプライマリパーティション）を暗号化したいです。しかし、SSD暗号化に問題がある可能性があるという噂があることを知っています。ただし、この問題の説明は時間の経過とともに急速に変化します。特に私は大きなパフォーマンスの低下を望んでおらず（上記のようにSSDがシステムの応答性をはるかに良くしたい）、SSDの寿命を短くしたくありません。

これを念頭に置いて、SSDでシステムを暗号化する最良の方法は何ですか？

重要な場合は、SSDがSamsung 830、840、または840 proであると想定できます。

編集する

私のCPUは2.53GHzで動作するかなり古いCore2 Duo P8700で、AES-NIはなくSATA IIのみです。だから質問を追加したいと思います。 Samsung 830にアップグレードしてdm-crypt/luksまたはecryptfsを使用するのは合理的ですか？それとも、CPUとSATAポートが原因でSSDが遅くなりますか？私はベンチマーク競争に勝つつもりはありませんが、システムの反応性を著しく向上させたいだけです。

次の内容がシステムのスピードを示す良い指標であるかどうかはわかりません。

現在、私は基本パーティションを暗号化するためにecryptfsを使用しています。

一つ

LC_ALL=C dd if=/dev/zero of=tempfile bs=1M count=1024 conv=fdatasync,notrunc暗号化されたデフォルトのパーティションには、次のものが表示されます。

1024+0 records in
1024+0 records out
1073741824 bytes (1.1 GB) copied, 56.4674 s, 19.0 MB/s

CPUは40％から60％の間で動作します。

暗号化されていないパーティションにも提供されます。

LC_ALL=C dd if=/dev/zero of=tempfile bs=1M count=1024 conv=fdatasync,notrunc
1024+0 records in
1024+0 records out
1073741824 bytes (1.1 GB) copied, 29.6554 s, 36.2 MB/s

CPUは0％から20％の間で動作します。

私の/tmpフォルダはtempfsie経由でマウントされ、RAMにあります。同じことを行うと、次のように/tmpなります。

1024+0 records in
1024+0 records out
1073741824 bytes (1.1 GB) copied, 0.941708 s, 1.1 GB/s

ecryptfsその後、下に新しいディレクトリを作成し、そこから/tmp再度実行しました。

1024+0 records in
1024+0 records out
1073741824 bytes (1.1 GB) copied, 10.1884 s, 105 MB/s

一方のコアは100％で動作し、もう一方のコアは20％で動作します。

ecryptfs ディレクトリは次のように作成されます。

sudo mount -t ecryptfs /tmp/encrypted/ /tmp/decrypted

オプションとしてデフォルトオプション（Ubuntuシステム）を選択しました：AES、16ビット、プレーンテキストパスなし、ファイル名暗号化なし。

この結果を考慮すると、古いWD-scorpion black 7200をSamsung 830 SSDに置き換え、ecryptfsを使用すると書き込み速度が19.0 MB / sから105 MB / sに増加すると予想されます。これは明らかなパフォーマンス向上のようです。 dm-cryptが速いと思います。

SSDが大幅なパフォーマンス向上をもたらすかどうかを予測するための、より信頼性の高いテストの提案です。

編集2 以下は、ドイツのDebian Wikiでdm-cryptを使用した同様のテストです。 http://wiki.debianforum.de/Benchmark_f%C3%BCr_Festplattenverschl%C3%BCsselung

私はこれをし、約95MB / sを得ました。

ベストアンサー1

記載されているSSD（Samsung 830、840、または840 Pro）には暗号化ハードウェアがあります。最高のパフォーマンスを得るには、これを使用する必要があると思います。たくさんありますので参考にしてください記事批評ほとんどは、以前のバージョンのコンシューマーベースの暗号化ドライブファームウェアに基づいています。 Security Avenueには、次のタイトルの別の記事があります。CrucialおよびSamsung SSD暗号化は安全ではなく、データ漏洩につながります。「これらの問題のいくつかを回避する方法があります。私の他の答えを見るCrypto.SEから。

ハードウェアは、ハードウェアを使用する場合や安価なSSDを購入するときに提供されるソフトウェア暗号化と比較して暗号化を有効にすると、何も失わないため、支払いを行うことです。

必要なソフトウェアを含む起動可能なUSBドライブを使用して暗号化を有効にし、新しいパスワードを設定できます。 Puget Systems の Web ページに例を示します。自己暗号化ドライブ（SED）の紹介「以下を含む起動可能なDVDイメージを提供します。HDパラメータ、利用可能な他のプログラムは次のとおりです。sedutilLinuxとWindowsで利用可能です。 VxLabsの記事も参照してください： "msedでTCG Opal SSDのハードウェアベースのフルディスク暗号化を使用する記事の下部のリンクが更新されました。この記事は具体的ですサムスン840 Proに言及そしてhdparm。

ドライブのハードウェア暗号化に加えて、ソフトウェア暗号化を使用してセキュリティを強化できます。ハードウェア暗号化ドライブは、電源が切れている場合にのみ安全です。。電源が供給されているシステム（たとえば、省電力モードのノートブック）からロック解除されたハードウェア暗号化ドライブいいえ安全。

「2.53GHzでかなり古いCore2 Duo P8700、AES-NIなし」を使用しているのでAES 256以外のソフトウェアを検討してください。。

Googleの最新のアルゴリズムはメイデンヘアシダに追加されていますLinuxカーネルv5.0そしてAndroid共通カーネルv4.9以降。 AESハードウェアサポートがある場合、AESはAdiantumより高速です。低コストプロセッサの場合、ARM Cortex-A7プロセッサのAdiantum（高速ハッシュ（NH + Poly1305）および高速ストリーム暗号（XChaCha12））は、AES-256-XTSより5倍以上高速です。一つあるGitHubのリファレンス実装そしてその論文のタイトルは「Adiantum：アドバンストプロセッサのための長さ保存暗号化」。注：Maidenhair fernはいいえAESは安全ですが、低コストのプロセッサでは非常に遅いため、役に立ちません。

Caesar（Certified Encryption Competition：セキュリティ、コンプライアンス、および堅牢性）エントリに関するさまざまなWebページを見ると、一部のエントリはAESよりも高速で、AESよりも優れたセキュリティを提供することがわかりました。

GitHubページに興味があるかもしれません： "MORUS-1280-256 パスワード確認」。

おすすめ記事