Self-Encrypting Drive (SED)

De nombreux SSD des ordinateurs portables professionnels et des serveurs chiffrent eux-mêmes leurs données – souvent sans que personne ne s’en aperçoive. Ces lecteurs s’appellent des Self-Encrypting Drives. Pour la protection des données, cela semble idéal. Mais savoir si un appareil est réellement protégé lors de sa mise hors service dépend de détails. Cette entrée les explique.

Fonctionnement d’un SED

Une unité de chiffrement travaille dans le contrôleur du lecteur, le plus souvent selon le procédé AES. Chaque opération d’écriture est chiffrée avec une clé de données interne, chaque opération de lecture est déchiffrée. Cela se fait sans perte de performance perceptible et indépendamment du système d’exploitation.

Que les données soient réellement protégées dépend d’une seconde étape : l’authentification. Ce n’est qu’une fois un mot de passe ou une clé défini que le lecteur se verrouille à l’arrêt. Sans ce paramétrage, un SED déchiffre tout pour quiconque le raccorde. Le chiffrement est alors certes actif, mais ne protège pas contre le vol.

Terme	Importance
Clé de données (Media Encryption Key)	Chiffre les données stockées, reste dans le lecteur
Clé d’authentification	Protège la clé de données, est définie par mot de passe ou logiciel de gestion
TCG Opal	Norme répandue pour les SED dans les appareils clients
TCG Enterprise	Norme pour les SED dans les serveurs et les systèmes de stockage
PSID Revert	Réinitialisation au moyen d’un identifiant imprimé sur l’étiquette, qui supprime la clé

SED et chiffrement logiciel

Outre le chiffrement matériel, il existe des solutions logicielles comme BitLocker ou FileVault. Elles chiffrent au niveau du système d’exploitation et fonctionnent sur n’importe quel lecteur. BitLocker pouvait autrefois utiliser le chiffrement matériel d’un SED. Après que des chercheurs ont mis en évidence en 2018 des vulnérabilités dans la mise en œuvre de certains modèles de SSD, Microsoft a fait passer le paramètre par défaut au chiffrement logiciel. Un aperçu des deux voies est proposé par l’entrée Chiffrement des disques durs.

Points à respecter lors de la mise au rebut

• Utiliser Crypto Erase : La suppression de la clé de données rend toutes les données illisibles (Crypto Erase). Cela ne prend que quelques secondes.
• Ne pas se fier aveuglément : Que la clé soit réellement détruite dépend du firmware. Les méthodes sérieuses combinent Crypto Erase avec une vérification du résultat.
• Bloquer les connexions : Un SED verrouillé dont le mot de passe est inconnu ne peut souvent être réinitialisé que par PSID Revert. Le lecteur est ensuite de nouveau utilisable.
• Justificatif par lecteur : Pour répondre à l’obligation de responsabilité, il vous faut un rapport indiquant le numéro de série, la méthode et le résultat.

En savoir plus sur les méthodes pour les SSD dans le guide Effacer en toute sécurité disques durs et SSD.

Lien avec Second IT

Second IT efface les disques durs et les SSD avec Blancco. Chaque appareil reçoit un certificat d’effacement signé numériquement avec numéro de série. Les lecteurs qui ne peuvent pas être effacés de façon sûre sont détruits en interne conformément à la DIN 66399, certifiée pour le niveau de sécurité H-5. En savoir plus sur le suppression des données certifiée.

Questions fréquentes sur les Self-Encrypting Drives

Comment savoir si un SSD est à chiffrement automatique ?

Des indices sont fournis par la fiche technique du fabricant, par des mentions telles que « Opal » ou « SED » sur l’étiquette et par des programmes de gestion qui lisent l’état du lecteur. Un code PSID imprimé indique également un SED.

Un SED est-il protégé sans mot de passe ?

Non. Sans authentification définie, le lecteur déchiffre automatiquement toutes les données pour n’importe quel ordinateur auquel il est raccordé. Un SED n’offre de protection que lorsque le verrouillage est activé.

Crypto Erase suffit-il comme effacement pour un SED ?

Si toutes les données ont été chiffrées dès le départ et que le firmware détruit correctement la clé, les données sont ensuite illisibles. Comme cela ne peut être vérifié que de façon limitée de l’extérieur, le résultat doit être contrôlé et consigné pour chaque lecteur.

Qu’est-ce que TCG Opal ?

TCG Opal est une norme répandue pour les lecteurs à chiffrement automatique dans les appareils clients tels que les ordinateurs portables. Pour les serveurs et les systèmes de stockage, il existe la norme TCG Enterprise. La prise en charge d’Opal par un lecteur figure dans la fiche technique du fabricant.

Qu’est-ce qu’un PSID Revert sur un SED ?

Une réinitialisation au moyen d’un identifiant imprimé sur l’étiquette. La clé est alors supprimée, le lecteur est ensuite de nouveau utilisable et les anciennes données sont illisibles. Elle aide pour les SED verrouillés dont le mot de passe est inconnu.