什么是TCG Opal 2.0？
TCG Opal安全子系统类（SSC）是由非营利组织Trusted Computing Group（TCG）制定的一套自加密驱动器（SED）规范，旨在开发，定义和推广用于安全计算的开放标准和规范。
Opal SSC当前为2.0版，它提供了一种安全管理标准层次结构，可以保护数据免遭能够访问存储设备或存储设备所在的主机系统的未授权人员的盗窃和篡改。
什么是符合Opal 2.0的SED？
支持Opal 2.0的自加密驱动器（SED）使用硬件加密技术来保护存储在其中的数据的安全。 通过对整个驱动器进行加密，如果驱动器、便携式计算机或移动设备被盗或丢失，用户不必担心会访问其数据。
身份验证凭据（可以从密码，密码短语或其他身份验证机制派生）用于生成密钥加密密钥（KEK），该密钥在将媒体加密密钥（MEK）存储到SED中之前对其进行加密。 MEK在SED内部生成，并以加密形式持久存储； 其纯文本仅在SED通电时才保留在SED控制器中。 当SED不再通电时，MEK纯文本丢失，从而使驱动器“锁定”。
开机后，用户提供密码，密码短语或其他身份验证机制，主机应用程序将从中生成身份验证凭据。 然后将此凭证发送到SED，以解锁驱动器并提供对数据的访问。 如果提供的凭据正确，则密钥加密密钥（KEK）将对加密的MEK进行解密，然后可以对数据进行加密/解密。
根据Trusted Computing Group和NVMe Express联合发布的白皮书，实施Opal的存储设备“旨在保护存储的用户“静态数据”（DAR）的机密性，关闭或重新启动存储设备电源后，一旦所有者拥有控制权，就禁止未经授权的访问。”
符合Opal 2.0的ATP SATA和NVMe™驱动器的优势
ATP ELECTRONICS的下一代SATA驱动器和NVMe™驱动器符合Opal 2.0标准，从而确保了静态数据的安全保护层。 与基于软件的加密相比，这些SED具有许多优点和优点：
- 无性能下降。与软件加密相反，硬件加密使CPU或操作系统摆脱了加密/解密过程的负担，因此总体性能不会降低。
- 与操作系统无关的安全性。攻击者可以通过执行恶意代码来利用操作系统中的漏洞。 SED在驱动器控制器内执行加密，并且不将加密密钥存储在主机处理器或内存中，这可能会受到黑客的攻击。 此外，在解锁驱动器之前，需要在SED中执行用户身份验证，因此通过OS发出的威胁将不起作用。
- 加密管理免费保护。SED在内部自动生成媒体加密密钥（MEK），因此不需要加密密钥管理。 自行生成的密钥保留在驱动器中，即使驱动器被盗或丢失，也无法访问存储的数据。 只有提供正确的密钥后，才能从SED读取数据并将数据写入SED。
图1 Opal设备布局：用户区始终使用媒体加密密钥（MEK）进行加密。 使用密钥加密密钥（KEK）对MEK进行加密/解密。 可以使用不同的密钥将用户区域划分为不同的区域，分别与其他用户进行锁定/解锁和加密擦除，并且可以为不同的用户分配锁定/解锁权限。（来源：Trusted Computing Group and NVM Express Joint White Paper: TCG Storage, Opal, and NVMe）
安全功能
符合Opal 2.0的存储设备具有以下功能：
- 加密：支持AES-128 / 256标准的用户数据的硬件加密（无需用户交互）。
- 凭据：使用Admin凭据进行设置和配置； 支持多个用户凭据，可以分配这些凭据来执行各种操作。
- 锁定范围：存储设备可以细分为多个“锁定范围”，每个范围都是一系列连续的逻辑块地址（LBA）。 每个锁定范围可以使用不同的MEK加密，并且可以独立于其他锁定范围解锁。 解锁锁定范围的权限可以分配给零个或多个用户。
- 加密擦除。 这指的是销毁MEK并生成一个新MEK的过程，这意味着用该MEK加密的数据无法再解密。 锁定范围可以独立于其他密码加密删除。 可以将加密范围的锁定范围分配给零个或多个用户，从而提供一种快速安全的方法来重新设定驱动器的用途或执行使用寿命终止的操作。 此功能是ATP的SecurWipe功能集的一部分。
- 主启动记录（MBR）阴影支持。 主机应用程序可以存储和执行“启动前身份验证（PBA）环境”以解锁存储OS的范围，以便OS可以启动。
ATP SecurStor：超越Opal和AES的保护
符合Opal的SED在有效防止由于驱动器或集成驱动器的丢失或被盗造成的未授权数据访问方面具有多个优势。 但是，它并非旨在保护数据免遭在已启动OS和应用程序的情况下使用有效的身份验证凭据对驱动器进行解锁后发生的数据泄露。 如果授权用户尚未通过电源关闭系统重新认证，则驱动器仍然容易受到攻击，因此需要其他安全机制来保护其免受未经授权的访问。
ATP SecurStor提供了一个多级安全套件，可以通过静态数据加密和预启动身份验证之外的多种选项来保护数据。 客户可以从可以根据其特定于应用程序的要求进行自定义的功能中进行选择，以防止未经授权的访问，非法复制和其他安全威胁，从而始终确保数据，操作系统和固件的完整性。
