Quais são os diferentes tipos de software de criptografia de disco?
O software de criptografia de disco é um método de criptografia de disco completo, em que os diferentes tipos de software implementam diferentes funções e estratégias para criptografia de uma unidade de disco inteira, conhecida como criptografia de disco completo (FDE). Entre os vários métodos, alguns softwares FDE exigirão o uso de hardware separado, para desbloquear uma unidade ou armazenar as chaves de criptografia ou, em alguns casos, ambas. Outro software FDE pode desbloquear o disco no momento em que o usuário faz login no computador, enquanto outros nem sequer inicializam o sistema operacional do computador sem autorização. Outros tipos ainda se distinguem pela maneira como lidam com o formato do disco e pela maneira como a criptografia é gerada a partir da estrutura do disco.
Algumas implementações de software de criptografia de disco têm criptografia negável. Aqui, os dados são aninhados, onde é possível negar a existência de níveis mais baixos. Se o usuário precisar renunciar à senha por qualquer motivo, apenas alguns dados poderão ser acessados, como arquivos do sistema operacional, programas ou dados que o usuário decidiu não serem realmente tão secretos. O usuário mostra conformidade ao abrir uma senha e aparentemente desbloquear o disco, mas os dados secretos reais permanecem ocultos sob outra senha que permanece secreta.
Em muitos casos em que essa negação plausível é usada, o software cria uma espécie de volume dentro de um volume. A partição principal do disco é carregada com uma senha, executando o sistema operacional e o software, enquanto uma segunda partição invisível do disco é acessível apenas com a segunda senha. Obviamente, esse método só funciona bem se o invasor não conseguir ver nenhuma característica distintiva de uma estrutura de dados criptografada subjacente. Para contornar isso, o software não deixa marcas indicando que a criptografia de disco está sendo usada. Para um observador externo, os dados parecem aleatórios e desinteressantes, a menos que a chave para desbloqueá-los seja conhecida.
Alguns softwares de criptografia de disco foram projetados para oferecer suporte ou até exigir dispositivos de hardware adicionais usados para desbloquear o disco. Um desses métodos é o uso de placas de expansão com um processador adicional para lidar com a criptografia e descriptografia dos dados na unidade. Outras adições de hardware, como cartões inteligentes ou dongles de barramento serial universal (USB), podem precisar ser inseridas no computador para fornecer a chave para desbloquear o disco. Muitas dessas adições de hardware seguem a especificação do Trusted Platform Module (TPM), mas apenas certos tipos de software de criptografia de disco implementam completamente o TPM.
Por fim, vários softwares de criptografia de disco podem funcionar usando um arquivo como o volume criptografado, uma partição lógica separada de uma unidade física ou o disco inteiro. Com o software de criptografia de disco completo, tudo é protegido, incluindo as informações sobre como o disco é particionado, as informações de inicialização e os dados. Esse tipo de software FDE provavelmente exigirá uma senha de pré-inicialização adicional apenas para que o computador inicie o sistema operacional. Além disso, alguns softwares podem não ser capazes de lidar com criptografia para as técnicas de gerenciamento de energia do sistema operacional, como estados de suspensão ou hibernação.
O software de criptografia de disco não é imune a técnicas de ataque. Em alguns softwares, ataques de dicionário de força bruta podem ser feitos contra as senhas. Outros tipos de software podem usar informações sobre os setores do disco de maneiras não seguras, permitindo a detecção de arquivos criptografados em um sistema. Outro perigo está na memória de acesso aleatório (RAM) do computador, onde o sistema operacional deixou restos das chaves de criptografia. No chamado ataque de inicialização a frio, o computador pode ser reiniciado rapidamente e inicializado a partir de um sistema operacional separado, que pode ler o que resta na RAM do computador.