TCG Opal 2.0 – poziom bezpieczeństwa danych

TCG Opal 2.0 to nowsza wersja tego standardu, wprowadzająca ulepszenia w zarządzaniu kluczami szyfrującymi dysków SED.

TCG Opal 2.0 jako standard zarządzania ochroną dysku

TCG Opal 2.0 jest specyfikacją opracowaną przez Trusted Computing Group dla urządzeń pamięci masowej z funkcją samoszyfrowania, określanych jako SED (Self-Encrypting Drive). Standard nie jest osobnym programem szyfrującym instalowanym w systemie Windows ani formatem partycji. Opisuje sposób zarządzania zabezpieczeniami wbudowanymi w dysk, w tym tworzenie obiektów bezpieczeństwa, uwierzytelnianie użytkownika, blokowanie dostępu do danych oraz zmianę stanu urządzenia podczas uruchamiania komputera.

W praktyce dysk SED wykonuje operacje szyfrowania i odszyfrowywania we własnym kontrolerze, bez konieczności obciążania procesora głównego tak jak w przypadku części programowych mechanizmów szyfrowania. TCG Opal 2.0 określa przede wszystkim interfejs kontroli tych funkcji. Sam fakt zgodności z Opal 2.0 nie oznacza jednak, że każdy dysk ma identyczny zestaw możliwości, takie samo oprogramowanie konfiguracyjne albo identyczny sposób odzyskiwania dostępu. Szczegóły zależą również od producenta nośnika, firmware’u oraz narzędzia używanego do zarządzania urządzeniem.

Locking SP, zakresy blokowania i klucze dostępu

Jednym z najważniejszych elementów TCG Opal 2.0 jest Locking SP, czyli Security Provider odpowiedzialny za kontrolę dostępu do obszarów danych. Dysk może być podzielony na zakresy blokowania, nazywane Locking Ranges. Każdy taki zakres może mieć własne ustawienia odczytu i zapisu, dzięki czemu mechanizm nie musi traktować całej przestrzeni użytkowej jako jednego obiektu. W typowej konfiguracji podstawowy zakres obejmuje dane systemu i użytkownika, a dostęp do niego jest uzależniony od pomyślnego uwierzytelnienia.

Specyfikacja rozróżnia także Admin SP, który służy do zarządzania konfiguracją zabezpieczeń. Administrator może włączać lub wyłączać blokowanie, definiować użytkowników, przypisywać im uprawnienia oraz zmieniać ustawienia zakresów, o ile konkretne urządzenie i jego narzędzia udostępniają takie operacje. TCG Opal 2.0 nie sprowadza się więc do pojedynczego hasła BIOS-u. Hasło może być elementem procedury uwierzytelniania, ale pełny model obejmuje relacje między obiektami bezpieczeństwa, prawami dostępu i stanem blokady zapisanym w kontrolerze dysku.

Uruchamianie systemu a rzeczywista ochrona danych

Ważną cechą SED zarządzanego przez TCG Opal 2.0 jest możliwość zablokowania dostępu do danych przed uruchomieniem systemu operacyjnego. Jeżeli kontroler dysku nie otrzyma prawidłowych danych uwierzytelniających, nie udostępni odblokowanego zakresu do normalnych operacji odczytu i zapisu. Dzięki temu samo wyjęcie nośnika i podłączenie go do innego komputera nie powinno wystarczyć do odczytania zawartości zablokowanego obszaru, pod warunkiem że zabezpieczenie zostało prawidłowo skonfigurowane i działa zgodnie z dokumentacją producenta.

Opal 2.0 może również definiować obszary techniczne związane z procesem startowym, w tym mechanizmy używane do wyświetlenia ekranu uwierzytelniania przed przekazaniem kontroli systemowi operacyjnemu. W niektórych implementacjach spotyka się MBR Shadow, czyli specjalny obszar przeznaczony do obsługi scenariusza przedstartowego. Nie jest to jednak uniwersalny interfejs użytkownika obecny w identycznej postaci we wszystkich dyskach. Problemy z rozruchem mogą wynikać z niezgodności firmware’u, trybu UEFI lub Legacy, konfiguracji kontrolera, aktualizacji systemu albo programu zarządzającego, a nie z samego szyfrowania.

Co zweryfikować przed zmianą konfiguracji SED

Przed włączeniem TCG Opal 2.0 należy ustalić dokładny model dysku, wersję firmware’u oraz sposób obsługi standardu wskazany przez producenta. Nie każdy dysk reklamowany jako samoszyfrujący udostępnia pełne zarządzanie Opal, a niektóre urządzenia wymagają firmowego programu administracyjnego. Trzeba także sprawdzić, czy komputer obsługuje wymagany tryb startu i czy istnieje procedura awaryjnego odzyskania dostępu. Błędna konfiguracja może doprowadzić do zablokowania danych, dlatego przed zmianami należy posiadać niezależną kopię zapasową.

W diagnostyce warto oddzielić trzy problemy: brak wykrywania nośnika, brak możliwości uwierzytelnienia oraz poprawne wykrywanie dysku, lecz niedostępny system operacyjny. Pomocne bywają informacje z firmware’u, ustawień UEFI, narzędzia producenta SSD i dzienników systemowych, ale nie powinno się bez sprawdzenia wykonywać poleceń resetujących zabezpieczenia. Operacje typu revert, erase lub ponowna inicjalizacja mogą usunąć klucze albo sprawić, że dane staną się nieosiągalne. Warszawskie Pogotowie Komputerowe wykonuje profesjonalną diagnostykę i naprawę laptopów, komputerów PC oraz ich podzespołów, w tym analizę problemów z dyskiem i konfiguracją uruchamiania.