Вопрос или проблема
Windows Server с драйвом IEEE-1667 позволяет аппаратное шифрование на лету.
Каковы наши варианты при использовании двух дисков с контроллером RAID для достижения избыточности и параллельности (T10-DIF)? Возможно ли, чтобы загрузочный контроллер RAID поддерживал IEEE-1667, чтобы вместе с Secure Boot UEFI и TPM можно было включить аппаратное шифрование? Если нет, может ли контроллер RAID осуществить загрузку UEFI вместе с обменом данными с TPM, чтобы убедиться, что все в порядке перед расшифровкой дисков SED и загрузкой ОС?
Я нашел информацию о X-Wall от eNova, который является прозрачным устройством IEEE-1667 между HDD и ОС, но не видел ничего на уровне RAID.
Пожалуйста, ознакомьтесь с статьей Шифрование BitLocker в Windows 10 больше не доверяет вашему SSD. Хотя вы все еще можете заставить Windows доверять аппаратному шифрованию диска, с точки зрения безопасности может быть предпочтительнее сделать это на программном уровне. Это избавит вас от необходимости в контроллере RAID, поддерживающем IEEE-1667, и также увеличит ваши шансы на восстановление в случае сбоя диска.
Ответ или решение
При работе с RAID, IEEE 1667, TPM и UEFI очень важно учитывать множество факторов, чтобы обеспечить безопасность и защиту данных на сервере Windows. Рассмотрим все аспекты этого вопроса и возможные сценарии.
Что такое IEEE 1667 и как он работает?
IEEE 1667 — это протокол, который позволяет управлять шифрованием данных на жестких дисках с самим аппаратным шифрованием. Он обеспечивает взаимодействие между операционной системой и жестким диском, на котором хранится информация. В случае использования Windows Server и дисков с поддержкой IEEE 1667 можно настроить аппаратное шифрование "на лету", что очень удобно для защиты данных.
Варианты использования RAID с двумя дисками
При использовании двух дисков с контроллером RAID для достижения избыточности и четности (например, с использованием T10-DIF) вы можете рассмотреть несколько конфигураций:
-
RAID 1 (Зеркалирование): Эта конфигурация позволяет создавать точную копию данных на обоих дисках. Главное преимущество — высокая доступность, так как в случае сбоя одного диска данные остаются доступными на другом.
-
RAID 0 (Стрипинг): Данная конфигурация ведет к улучшению производительности, но не обеспечивает избыточности. Данные разбиваются на блоки и распределяются по дискам. Однако в случае сбоя одного из дисков данные будут утрачены.
-
RAID 5 или 6: Эти конфигурации обеспечивают избыточность и паритет, что дает возможность восстанавливать данные в случае сбоя одного или нескольких дисков. Это будет оптимальным решением для важных рабочих нагрузок.
Поддержка IEEE 1667 контроллерами RAID
Поддержка IEEE 1667 контроллерами RAID — это критически важный аспект, особенно в сочетании с UEFI Secure Boot и TPM. Чтобы контроллер RAID мог поддерживать этот протокол, он должен быть специально разработан для работы с SED (Self-Encrypting Drives).
На данный момент некоторые контроллеры RAID могут не поддерживать IEEE 1667, что может ограничить возможности аппаратного шифрования. Это означает, что если контроллер не поддерживает протокол, возможно использование программного шифрования, такого как BitLocker.
Шифрование на программном уровне
В некоторых ситуациях использование программного шифрования, например, BitLocker, может быть более предпочтительным с точки зрения безопасности. Это также состоит в том, что программное шифрование предоставляет более высокую степень совместимости и не зависит от специальных возможностей контроллера RAID.
UEFI и TPM
Использование UEFI Secure Boot и TPM обеспечивает дополнительный уровень безопасности. Если RAID-контроллер способен выполнить успешную процедуру handshake (рукопожатие) с TPM, это гарантирует, что системный загрузчик и критические компоненты ОС не были изменены вредоносным путем, прежде чем расшифровать SED-диски и загрузить ОС.
eNova’s X-Wall
Вы упомянули о решении eNova’s X-Wall, которое функционирует как прозрачное устройство IEEE-1667 между HDD и ОС. Это решение может представлять интерес, но желательно узнать, поддерживает ли оно интеграцию с RAID для обеспечения полной защиты данных.
Заключение
Таким образом, использование дисков с поддержкой IEEE 1667 в комбинации с RAID-контроллером, который может поддерживать протокол, UEFI и TPM, создает мощный и безопасный механизм для защиты ваших данных. Однако стоит учитывать возможности конкретного оборудования и, возможно, рассмотреть программное шифрование как альтернативу, если аппаратные решения не способны гарантировать необходимый уровень безопасности.