新版马奇诺防线 固态硬盘自加密竟被轻松绕过

历史上的马奇诺防线固若金汤却被轻松绕过，而最近荷兰Radboud大学的研究人员公开了自己的研究成果：部分三星和美光固态硬盘的SED硬件自加密功能也可被轻松绕过。

Opal硬件自加密基于固态硬盘内的AES硬件加速引擎，实时对读取和写入的数据进行加密和解密，如果无法提供正确的密码，固态硬盘闪存中存储的数据是无法被解密的：即便把闪存颗粒拆掉换板都不行。而启用Opal加密也非常简单：只要固态硬盘支持，在Windows中开启BitLocker就能享用到这种几乎不影响性能的加密方式。

固态硬盘要实现Opal加密需要在启动阶段增加一个密码认证的过程。研究人员通过三星和美光固态硬盘电路板上的调试接口，通过技术手段成功跳过用户密码认证，获取到实际的数据加密密钥（DEK），Opal加密防护直接被洞穿。

在一些情况下，研究人员甚至能够修改固件中的密码校验功能，使其可以接受任何内容作为密码解密整个硬盘，说明这些SSD的加密密钥是固定的，并非由用户密码派生，这样的漏洞堪称愚蠢。

目前被发现存在Opal加密漏洞的固态硬盘包括美光MX100/200/300和三星840Evo/850Evo，此外还可能有更多尚未被发现的型号同样会受到影响。这些号称具备安全加密能力的固态硬盘就像下图中这张嵌在软盘中的SD卡一样，只是给攻击者设置了一些障碍，却未能从根本上确保数据的安全。

招是死的，人是活的。目前的解决方案除了等待固态硬盘制造商完善算法，重新发布安全的固件之外，也可以像普通硬盘那样使用软件方式加密。尽管TrueCrypt已经沦落，但我们还有VeraCrypt。