Macで既存のデータを使用してFileVaultを使用する
最近、Macを入手しましたが、最善の解決策を探しながら、暗号化なしですでに使い始めています。 Mac独自のファイル暗号化技術FileVaultを使用すると、私の要件を満たし、最も使いやすくなるという結論に達しました。
私が知りたいのは、ドライブを暗号化することです。SSDにある既存のファイルは、以前に暗号化せずに保存されていたので復元できますか。
それはあなたの潜在的な敵がどれほど深刻かによって異なります。通常のデータ回復ツールを使用しているだけの場合、最初に暗号化を解除しないと何もできません。しかし、SSDがデータを書き込む方法が原因で、SSDが本当に真剣である場合、攻撃者はSSDを分解し、フラッシュ変換レイヤーをバイパスし、「上書き」されているがまだ物理的に再利用されていないブロックにアクセスする可能性があります。
SSDは実際には、外部の世界（つまり、コンピューター）に公開するよりも多くの容量を備えています。ブロックを「上書き」しても、実際には物理ストレージを上書きせず、新しいデータを別の物理的な場所に置き、そのデータを更新します外の世界が古いものではなく新しい内容を見るように変換テーブルを作成し、古い物理ブロックを予約に追加して、後でいくつかのother論理ブロックに再利用します。詳細については、この AnandTechレビュー を参照してください（警告：関連するビットが非常に長いレビューに散在しています）。
このため（特に、フラッシュコントローラーが実行中の処理を隠すという事実）、すべての古いデータが上書きされることを確認することは本当に本当に難しいことです。 UCSDのNon-Volatile Systems Labの研究者は、ドライブを「消去」してSSDをサニタイズし、それを分解してコントローラーをバイパスし、残りのデータをチェックするさまざまな方法をテストしました（ 概要 、 フルペーパー ）。彼らはデータを暗号化されたバージョンに置き換えることなく消去の問題を検討していますが、基本的な問題はどちらの方法でも同じです。そして、それらの結果はきれいではありませんでした：
私たちの結果は、3つの結論につながります。最初に、組み込みコマンド[ATAセキュア消去]は効果的ですが、製造元がそれらを正しく実装しない場合があります。第2に、SSDの可視アドレススペース全体を2回上書きすることで、常にではありませんが、ドライブをサニタイズするには十分です。第3に、個々のファイルのサニタイズのための既存のハードドライブ指向の手法はSSDでは効果的ではありません。
データを取得するためにそれほど多くの問題が発生するのではないかと心配している場合は、機能する可能性があるいくつかのオプションがあります。
FileVaultに変換し、大量の大きなファイルを作成および削除して、古いデータを含むすべてのブロックをリザーブから完全に排出するのに十分なブロックの再利用を強制します。これにはどれくらいかかりますか？ NVSLの結果によると、SSDの容量に等しいファイルを作成および削除することで実行できます（FileVaultへの変換は、基本的にドライブ容量の1倍を上書きするため、これを最大2倍にする必要があります）。
すべてのデータを（できれば暗号化されたドライブにコピーして、問題を拡大しないように）コピーし、SSDでATAセキュア消去を実行します（基本的に、コントローラーにすべての物理ブロックを上書きするように指示します）。この権利（すべてではありません）、暗号化して復元します。
が機能する1つのオプション：
- SSDを交換し、古いSSDからデータをコピーする前に交換品を暗号化してから、古いSSDを物理的に破壊します。ところで、コントローラーボードを壊してストレージチップをそのままにしておくのではなく、完全に物理的に破壊したいのです。あなたがそれを磨く必要があるかについては、 NVSLの人々によるこの分析 を参照してください。
これらのどれも特にgoodオプションではないことに気づきましたが、すべての最良のオプションには遅すぎます。
- 機密データを暗号化されていない形式でSSDに保存しないでください。
FileVaultはいつでも有効になるように設計されているため、事後のデータの暗号化に問題はありません。