使用 Bitlocker 还是我的 SSD 提供的内置驱动器加密更好？

Question

我的系统：

• 英特尔酷睿 i7-4790，支持 AES-NI
• 华硕 Z97-PRO 主板
• 三星 250GB EVO SSD（带内置加密选项）
• 64 位 Windows 7

如果我只想用 AES256 或类似的加密我的启动驱动器，有什么区别/更快的性能/更安全？开启 Windows Bitlocker 并且不使用 SSD 加密，或者启用 SSD 提供的内置驱动器加密，并且不担心 Bitlocker？

我认为使用 Evo 的加密选项将加密卸载到 SSD 可能会更好，这样处理器就不必进行任何加密，这可能对 I/O 性能更好，并让 CPU 喘口气? 或者因为这个 CPU 有 AES-NI，它可能无关紧要？

我是 Bitlocker 和这个 SSD 加密选项的新手，所以非常感谢任何帮助。

Answer 1

老问题，但从那时起，关于 Bitlocker 和驱动器加密（单独使用或组合使用）的几个新发展已经被发现，所以我将把我在页面上的一些评论变成一个答案。也许它对 2018 年及以后进行搜索的人有用。

Bitlocker（单独）：
在其历史上有几种方法可以破坏 Bitlocker，幸运的是大多数方法已经在 2018 年修补/缓解。剩下的（已知）包括，例如，“冷启动攻击”——最新版本其中确实不是 Bitlocker 特定的（您需要物理访问正在运行的计算机并直接从内存中窃取加密密钥和其他任何内容）。

SSD硬盘硬件加密与Bitlocker：
2018年出现新漏洞；如果 SSD 磁盘具有大多数 SSD 具有的硬件加密，Bitlocker 默认只使用它。这意味着，如果加密本身被破解，用户基本上就没有任何保护。
已知存在此漏洞的驱动器包括（但可能不限于）：
Crucial MX100、MX200、MX300 系列 Samgung 840 EVO、850 EVO、T3、T5

有关 SSD 加密问题的更多信息，请访问：https :
//twitter.com/matthew_d_green/status/1059435094421712896

而实际的论文（作为 PDF）在这里更深入地研究了这个问题：
t.co/UGTsvnFv9Y?amp=1

所以答案确实是；由于 Bitlocker 使用磁盘硬件加密，并且除此之外还有自己的漏洞，如果您的 SSD 不在破解 SSD 列表中，您最好使用硬件加密。

如果您的磁盘在列表中，您最好完全使用其他东西，因为 Bitlocker 无论如何都会使用驱动器加密。问题是什么；例如，在 Linux 上，我会推荐 LUKS。

Answer 2

我一直在对此进行一些研究，并为您提供了一半完整的答案。

1. 在自加密驱动器上使用基于硬件的加密总是更好，如果您在 Bitlocker 或其他加密程序上使用基于软件的加密，则会导致读写速度降低 25% 到 45%。您可能会看到性能至少下降 10%。（注意你必须有一个带有TMP芯片的SSD）

2. Bitlocker 与基于硬件的加密兼容，您可以使用 samsung magic。v 4.9.6（v5 不再支持此功能）擦除驱动器并启用基于硬件的加密。

http://www.ckode.dk/desktop-machines/how-to-enable-windows-edrive-encryption-for-ssds/

3. 您可以通过 BIOS 设置主密码来启用基于硬件的加密。您需要执行上面文章中的一些步骤，例如关闭 CMS。

4. 为了回答你的问题，我真的不知道哪个更快。我已经联系了三星，但有关这方面的信息有限。除非我找到开发人员，否则我怀疑我能否得到一个很好的答案来确定哪个是更好的选择。现在我计划在我的 BIOS 中启用基于硬件的加密。