HDDの内容を保護する方法について

HDDパスワードに関する記事と関連して， HDD内のデータを守るための各種方法の比較．少し前に調べた内容なるので，古いところもあるかもしれない．

物理的な対策

まずPCの盗難という物理的脅威に対抗するために，盗難防止ワイヤー (ケンジントンロック，セキュリティワイヤーなどと呼称される) を使うことが考えられる．個人用途や通常のオフィス環境でのセキュリティ対策としてはこれで十分かもしれない．

ただしPCの持ち運びが発生する環境や，机ごとPCを盗難される可能性のある職場だと，「盗まれても大丈夫」なセキュリティ対策が必要となってくる．

BIOS パスワード (パワーオンパスワード)

マシンの立ち上げ及び BIOS の操作を制限するものなので， HDD を抜き出されて別マシンでマウントされてしまえば，もうどうしようもない．また多くの場合，CMOS クリアや特定ジャンパのショートなどの方法で回避が可能であると言われている．

ということで，BIOS パスワードは HDD 内データの盗難対策にはなりえない．

HDD パスワード

HDDパスワードに関する記事でも書いた通り，かなり強力なセキュリティ機構である．パスワードがわからない HDD は，一般人には物理フォーマットすら出来ない．

しかし HDD パスワードは完全ではないことも前回述べた通り．データサルベージサービスなどを使ったデータ盗難が現実的に起こり得るようなケースでは， HDD の暗号化を検討したほうがよい．

HDD暗号化ソフトウェア

SafeBoot， ProtectDrive， Pointsec などの HDDを丸ごと暗号化するソフトウェアを使うというのが，もっともセキュリティ強度的には高いと思われる．運用的にも eToken や ICカードと連携するソリューションが用意されており，パスワードよりもはるかに強力な強度が実現される．

ただ，ファイルシステムレベル or デバイスドライバレベルで全ての I/Oを捕まえて暗号/復号処理をかけるので，負荷はどう考えても無視できない．公式には体感負荷数十％を謳っているが，ハードディスクI/Oが多く発生する状況ではこんなものでは済まないようだ．例えば PointsecのFAQ によると，

ハードディスクの暗号化時間は1GBあたり7-10分程度

ということになっている．とても遅い．しかも，これっておそらく暗号化処理のCPUバウンドなわけで，ちょっとしたディスクアクセスの際に高CPU使用率になったりするんじゃないかと想像できる．

実際に体感しているわけではないのでなんとも言えないが，使用者が感想を書いた日記などでもストレスを感じているものが多いように感じ，お薦めするのにちょっと二の足を踏む．

HDD暗号化ハードウェア

ハードウェア回路でもってディスク I/O 全てに triple DES をかけちゃう製品がある．どうやら enova チップというのが肝らしい．日本の代理店としてはバーテックスリンク社が digicrypt という製品を展開している．

暗号鍵を格納するのに USB 鍵を利用するが，これは起動時のみ必要で，あとは抜いてしまっても大丈夫なようだ． PCIに接続するタイプの他に，外付けHDDケースも発売している．

ハードウェアで暗号処理を行うので，CPU には負荷は掛からない．かなり欲しかったりする．

以上．