TCG Opal

Hoe TCG Opal werkt

Een Opal-schijf versleutelt alle gegevens automatisch met een interne sleutel. Is de vergrendeling actief, dan geeft de schijf de gegevens pas vrij na invoer van een wachtwoord of via beheersoftware, vaak al vóór de start van het besturingssysteem (pre-boot-authenticatie). Belangrijke functies van de Opal-specificatie, momenteel in versies 2.x:

Functie	Doel
Hardwareversleuteling	Versleuteling door de schijfcontroller zonder belasting van de processor
Vergrendelbare bereiken	Delen van de schijf of de hele schijf kunnen afzonderlijk worden vergrendeld
Sleutelwissel	Nieuwe sleutel maakt oude gegevens onleesbaar (Crypto Erase)
PSID-revert	Reset met de op het etiket gedrukte PSID; zet de schijf terug en wist de gegevens cryptografisch

TCG Opal bij uitfasering

Voor het wissen biedt Opal een snelle weg: de sleutel wordt vervangen en de gegevens zijn daarna niet meer leesbaar. Hoe betrouwbaar dat is, hangt af van de uitvoering door de fabrikant. Nadat kwetsbaarheden in de hardwareversleuteling van afzonderlijke SSD’s bekend waren geworden, gebruikt bijvoorbeeld BitLocker standaard softwareversleuteling. Veel wismethoden combineren de sleutelwissel daarom met verdere stappen en een controle. Meer hierover in de gids Harde schijven en ssd's veilig wissen. Second IT wist SSD’s met Blancco en stelt voor elk apparaat een digitaal ondertekend wiscertificaat uit. Gegevensdragers die zich niet laten wissen, worden in eigen huis conform DIN 66399 vernietigd.

Veelgestelde vragen over TCG Opal

Hoe herken ik een Opal-schijf?

Aan het gegevensblad van de fabrikant of aan vermeldingen als "TCG Opal 2.0" of "SED". Beheer- en diagnoseprogramma’s tonen de ondersteunde functies eveneens.

Wat is een PSID-revert?

Een reset met de fysieke beveiligingscode (PSID) die op de schijf is gedrukt. Zij ontgrendelt de schijf voor hergebruik en wist daarbij alle gegevens cryptografisch.

Volstaat Opal-versleuteling als gegevensbescherming bij het afgeven?

Niet op zichzelf. Voor de afgifte hebt u een gedocumenteerde wisbewerking per schijf nodig. Versleuteling maakt die gemakkelijker, maar vervangt het bewijs niet.

Wat is pre-boot-authenticatie bij Opal-schijven?

Is de vergrendeling van een Opal-schijf actief, dan geeft deze de gegevens pas vrij na invoer van een wachtwoord of via beheersoftware. Dat gebeurt vaak al vóór de start van het besturingssysteem. Dit proces heet pre-boot-authenticatie.

Wat is het verschil tussen TCG Opal en BitLocker?

Bij TCG Opal versleutelt de schijf de gegevens zelf in hardware. BitLocker is de versleuteling van Windows. Nadat kwetsbaarheden in de hardwareversleuteling van afzonderlijke SSD’s bekend waren geworden, gebruikt BitLocker standaard softwareversleuteling.