Šifrování SSD disku

[nobody(ten pravej)]

[...]Mam vetsinou starsi kousky kde by sifrovani bralo spoustu vykonu, takle to nic nestoji.

a vis jiste ze ten starsi kousek zvlada nesifrovanej zapis rychleji nez by zvladal luks sifrovanej disk diky hw aes ?
rychlost sifrovani pres cpu a cpu+aes, nehlede na rychlost disku:

Kód [Vybrat] Rozbalit

cryptsetup benchmark
rychlost zapisu nesifrovane na disk:

Kód [Vybrat] Rozbalit

dd if=/dev/zero of=test bs=1M count=1000

rychlost cteni nesifrovane z disku:

Kód [Vybrat] Rozbalit

echo 3 | sudo tee /proc/sys/vm/drop_caches
dd if=test of=/dev/null bs=1M


[Reklama]

[Jenda]

rychlost sifrovani pres cpu a cpu+aes, nehlede na rychlost disku:

Kód [Vybrat] Rozbalit

cryptsetup benchmark

To mi využívá jenom jedno jádro, ale dm-crypt umí šifrovat paralelně, takže bude ještě rychlejší.

rychlost zapisu nesifrovane na disk:

Kód [Vybrat] Rozbalit

dd if=/dev/zero of=test bs=1M count=1000


No... ne. To mi na notebooku řekne 2,3 GB/s, což asi nebude úplně pravda. Potřebuješ to ještě nějak opravdu zapsat na disk, třeba conv=fsync.

[ES]

>>  a vis jiste ze ten starsi kousek zvlada nesifrovanej zapis rychleji nez by zvladal luks sifrovanej disk diky hw aes ?

Vim to urcite, muj HW AES v CPU nema.  Asi jsem mel napsat ne "starsi" ale "muzejni"

[to_je_jedno]

Proc by mel clovek povazovat T420 za muzealni kus jen protoze nema AES?

[nobody(ten pravej)]

Jenda: asi zalezi na distru/verzi, me to opravdu takto zapise na disk (*buntu 14.04) pouzivam to bezne na testovani rychlosti HDD na ruznem HW, takze druhem HW to urcite neni

ES: aha pro zajimavost, co si vytahl z muzea?

to_je_jedno: ses si jistej ze (tva?) T420 nema AES? vetsina CPU co se tam davala snad AES davno ma...

[Reklama]

[petrik]

Pokud chceš šifrovat nativně / v Linuxu, tak téměř určitě chceš dm-crypt/LUKS, protože má podporu v distribucích. Všechno ostatní bude vyžadovat ruční skriptování věcí v initramdisku.

I se šifrovaným diskem můžeš normálně používat TRIM. Útočník pak ale uvidí, jak má systém alokovaná data. Já jsem toho názoru, že zejména u složitých FS s copy-on-write (btrfs, ZFS...) udělá alokátor velmi brzy takový bordel, že už z toho útočník nic nevykouká.

Mám Win7, pořád si rád zahraju nějaký hry, tak proto Linuxy mám nahozený až potom ve virtuálech

VeraCrypt má mód pro SSD, který nechá prázdné místo prázdným. Oslabuje to šifrování, respektive je vidět, jak moc je disk zaplněn a kde. Ale pro tvé účely si myslím není problém. Se silným heslem stále těžko prolomitelné. Vzhledem k životnosti a pokroku v oblasti SSD bych to stejně vůbec neřešil...

Je na to speciální program, nebo to pak najdu někde v menu u toho VeraCrypt 1.17? Případně to pozná, že jde o SSD disk?
Zatím jsem u výběru, zda šifrovat i Host Protected Area. Vždycky to spadne do bluescreenu ikdyž je začnu jen hledat

[source]

VeraCrypt by se měl sám nastavit do módu "SSD Trim enabled" při šifrování SSD, nebo tak nějak.
Já jsem s TrueCrypt ani s VeraCrypt neměl při šifrování systémového disku W7 žádný problém. Poklikal jsem dle průvodce a fungovalo to

[rado2]

SSD uz mas? Ja jen, ze stale existuji SSD ktery jsou sifrovanym interne pres SATA pass...

Má s týmto niekto praktické skúsenosti, hlavne na notebooku? Mám starší notebook HP, kúpil som si do neho dávnejšie SSD od intelu, práve preto, že má AES šifrovanie (truecrypt zaťažuje CPU), ale potom som zistil, že môj BIOS nepodporuje ATA password. Pozeral som aj iné notebooky, ale nič také sa v e-shopoch k nim neuvádza, ži podporujú ATA pass, niekde som čítal, že skoro žiadne notebooky ho nepodporujú. Argument na poradni HP bol, že keď niekto zabudne pass, tak disk je bricked. Jasné, že príde o dáta, ale je to naozaj tak, že pri zabudnutom hesle sa už disk nedá vôbec použiť?

[Jenda]

Mám starší notebook HP, kúpil som si do neho dávnejšie SSD od intelu, práve preto, že má AES šifrovanie

Chtěl bych upozornit, že různé vestavěné šifrování bývá velmi často naprosto špatně udělané. Například tady (web archive, originál mi zrovna nefunguje) je rozbor několika externích disků, a ve všech byly nalezeny závažné zranitelnosti umožňující snadné dešifrování.

Osobně bych se jakémukoli proprietárnímu šifrování vyhnul obloukem.

[to_je_jedno]

to_je_jedno: ses si jistej ze (tva?) T420 nema AES? vetsina CPU co se tam davala snad AES davno ma...

OMg vole proc si myslis, ze jsi sezral veskerou moudrost sveta a ostatni jsou nesvepravni debilove? i5-2410m byl minimalne stejne casto osazovany jako rada i5-25xx.

[JardaP .]

@to_je_jedno: A co stolice dneska rano? Dobry, dobry?

[ES]

Muj notes je HP2400 co je nejaky 12" CoreDuo se 2GB ram a puvodne 1,8" PATA diskem. (takovej ten co byl treba v Ipodech)
Ten delal sekvencne cca 30MB/s po zasifrovani 5MB/s co se po zasifrovani zlepsilo bylo prace s hromadama malickych souboru (zdrojaky weby...) asi nejaka cache, disk samotny ma seek hroznej.
Vymenil jsem ho za m-sata SSD v redukci na pata-zif, rychlost 70MB/s zasifr. 5MB/s. takze ATA password a jede to na max ty interni paty s vyhodou rychlosti SSD na maly soubory a bezpecnost je dostatecna proti beznejm zlodejum a bazaristum.

[Jenda]

Ten delal sekvencne cca 30MB/s po zasifrovani 5MB/s

Máš něco hodně blbě, na Pentiu III Coppermine na 800 MHz openssl uAESuje 25 MB/s.

[nobody(ten pravej)]

to_je_jedno: ses si jistej ze (tva?) T420 nema AES? vetsina CPU co se tam davala snad AES davno ma...

OMg vole proc si myslis, ze jsi sezral veskerou moudrost sveta a ostatni jsou nesvepravni debilove? i5-2410m byl minimalne stejne casto osazovany jako rada i5-25xx.

doted sem si nic takoveho nemyslel, normalne sem se zeptal, ale diky za upozorneni, ted uz aspon vim ze ses arogantni nesvepravnej debil i5-2410M se davala do T420 opravdu minimalne, tak nejak v radu sotva par procent, to uz se tam davali vice i5-2430M ale to zas uz ma AES-NI, v radech desitek procent to pak byla i5-2520M a i5-2540M... takze tva "uvaha" ze konkretni model i5-2410M se daval stejne casto jako cela rada i5-25xx je uz jen takovej blbej vtip