Self-Encrypting Drive (SED)

Veel SSD’s in zakelijke notebooks en servers versleutelen hun gegevens zelf – vaak zonder dat iemand het merkt. Zulke schijven heten Self-Encrypting Drives. Voor gegevensbescherming klinkt dat ideaal. Of een apparaat bij uitfasering daadwerkelijk beschermd is, hangt echter van details af. Dit item legt ze uit.

Hoe een SED werkt

In de controller van de schijf werkt een versleutelingseenheid, meestal volgens de AES-methode. Elke schrijfbewerking wordt met een interne gegevenssleutel versleuteld, elke leesbewerking ontsleuteld. Dat gebeurt zonder merkbaar prestatieverlies en onafhankelijk van het besturingssysteem.

Of de gegevens daadwerkelijk beschermd zijn, hangt af van een tweede stap: de authenticatie. Pas wanneer een wachtwoord of sleutel is ingesteld, vergrendelt de schijf zichzelf bij het uitschakelen. Zonder deze instelling ontsleutelt een SED alles voor iedereen die hem aansluit. De versleuteling is dan wel actief, maar beschermt niet tegen diefstal.

Begrip	Betekenis
Gegevenssleutel (Media Encryption Key)	Versleutelt de opgeslagen gegevens, blijft in de schijf
Authenticatiesleutel	Beschermt de gegevenssleutel, wordt ingesteld via wachtwoord of beheersoftware
TCG Opal	Wijdverbreide standaard voor SED’s in clientapparaten
TCG Enterprise	Standaard voor SED’s in servers en opslagsystemen
PSID-revert	Reset via een op het etiket gedrukte code, waarbij de sleutel wordt gewist

SED en softwareversleuteling

Naast hardwareversleuteling bestaan er softwareoplossingen zoals BitLocker of FileVault. Zij versleutelen in het besturingssysteem en werken op elke schijf. BitLocker kon vroeger de hardwareversleuteling van een SED gebruiken. Nadat onderzoekers in 2018 kwetsbaarheden in de uitvoering van afzonderlijke SSD-modellen hadden aangetoond, schakelde Microsoft de standaardinstelling om naar softwareversleuteling. Een overzicht van beide wegen biedt het item Harde-schijfversleuteling.

Waar u op moet letten bij het afvoeren

• Crypto Erase gebruiken: Het wissen van de gegevenssleutel maakt alle gegevens onleesbaar (Crypto Erase). Dat duurt slechts enkele seconden.
• Niet blindelings vertrouwen: Of de sleutel werkelijk wordt vernietigd, hangt af van de firmware. Degelijke methoden combineren Crypto Erase met een controle van het resultaat.
• Verwijder blokkades: Een vergrendelde SED zonder bekend wachtwoord kan vaak alleen via PSID-revert worden gereset. Daarna is de schijf weer bruikbaar.
• Bewijs per schijf: Voor de verantwoordingsplicht hebt u een rapport nodig met serienummer, methode en resultaat.

Meer over methoden voor SSD’s in de gids Harde schijven en ssd's veilig wissen.

Relatie met Second IT

Second IT wist HDD’s en SSD’s met Blancco. Elk apparaat ontvangt een digitaal ondertekend wiscertificaat met serienummer. Schijven die zich niet veilig laten wissen, worden in eigen huis conform DIN 66399 vernietigd, gecertificeerd voor beveiligingsniveau H-5. Meer over gecertificeerde gegevensvernietiging.

Veelgestelde vragen over Self-Encrypting Drives

Hoe herken ik of een SSD zelfversleutelend is?

Aanwijzingen geven het gegevensblad van de fabrikant, vermeldingen als "Opal" of "SED" op het etiket en beheerprogramma’s die de status van de schijf uitlezen. Een opgedrukte PSID-code wijst eveneens op een SED.

Is een SED zonder wachtwoord beschermd?

Nee. Zonder ingestelde authenticatie ontsleutelt de schijf alle gegevens automatisch voor elke computer waarop hij wordt aangesloten. Een SED biedt pas bescherming met geactiveerde vergrendeling.

Volstaat Crypto Erase als wisbewerking bij een SED?

Als alle gegevens vanaf het begin versleuteld waren en de firmware de sleutel correct vernietigt, zijn de gegevens daarna onleesbaar. Omdat dit van buitenaf slechts beperkt te controleren is, moet het resultaat worden gecontroleerd en per schijf worden vastgelegd.

Wat is TCG Opal?

TCG Opal is een wijdverbreide standaard voor zelfversleutelende schijven in clientapparaten zoals notebooks. Voor servers en opslagsystemen bestaat de standaard TCG Enterprise. Of een schijf Opal ondersteunt, staat in het gegevensblad van de fabrikant.

Wat is een PSID-revert bij een SED?

Een reset via een op het etiket gedrukte code. Daarbij wordt de sleutel gewist, is de schijf daarna weer bruikbaar en zijn de oude gegevens onleesbaar. Het helpt bij vergrendelde SED’s zonder bekend wachtwoord.