L’usage de disques durs dits « chiffrants » (SEDs, pour self-encrypting drives) permet de garantir le chiffrement intégral des données d’un système de manière entièrement transparente pour l’utilisateur et quasiment sans douleur pour l’administrateur.

Un disque dur chiffrant intègre un contrôleur matériel capable de chiffrer et déchiffrer à la volée, de manière transparente, l’intégralité des données système et de l’utilisateur. Il peut être géré localement, par l’utilisateur lui-même, ou de manière centralisée à l’aide d’une solution d’administration logicielle qui prendra en charge l’initialisation, la gestion des clés et le recouvrement.

Ces solutions ont largement progressé au cours des trois dernières années et elles permettent aujourd’hui une véritable intégration au système d’exploitation (sous Windows en particulier), notamment en synchronisant le mot de passe d’ouverture de session avec celui d’accès au disque, et en offrant des solutions d’administration centralisées.

Le CNRS a étudié(*) une telle solution matérielle pour les besoins de ses chercheurs et a choisi de la préférer à une approche de chiffrement intégral purement logicielle. Ses conclusions sont sans appel : le chiffrement matériel du disque répond à tous les critères attendus par les chercheurs : efficacité, facilité de déploiement, faible coût, compatibilité Windows et Linux et transparence pour l’utilisateur.

La charge de travail pour le déploiement de cette solution est « pour l’administrateur du même niveau de complexité [que des solutions de chiffrement intégral logiciel de type TrueCrypt, BitLocker, NdlR]. La procédure de séquestre est au niveau organisationnel rigoureusement équivalente« , précise notamment le document.

La configuration évaluée par le CNRS associe un disque dur chiffrant (Samsung SSD ou Seagate Momentus 7200rpm) et le logiciel d’administration tiers de WAVE, mais de nombreuses autres combinaisons sont envisageables. « Combinaisons » est cependant ici le terme-clé, car l’utilisation d’une solution d’administration semble incontournable afin de déployer et de gérer une flotte de disques chiffrants. « Il n’est plus nécessaire d’intervenir directement sur la machine, tout se fait de façon centralisée à distance et le séquestre des informations de recouvrement se fait automatiquement sur un serveur« , observent les auteurs de l’étude. Point intéressant : il est également possible de déployer BitLocker (mais pas TrueCrypt) à partir de la même console en utilisant les mécanismes d’administration traditionnels de Windows (AD et des GPO). Cela peut s’avérer utile durant la phase de déploiement des disques chiffrants, afin de sécuriser provisoirement les machines non encore mises à jour.

Du point de vue de l’utilisateur rien ne change : l’ouverture de session Windows peut être automatique après le déverrouillage du disque dur et le mot de passe de ce dernier peut être synchronisé avec celui de la session afin de rien modifier des habitudes de l’utilisateur.

Toujours du point de vue de l’utilisateur, l’impact sur les performances au quotidien est invisible : « Au démarrage l’apparition de l’écran d’authentification est immédiate et le chargement de Windows s’effectue sans délai notable. En ce qui concerne les performances, il n’y a aucune dégradation liée au chiffrement« , précise le document du CNRS. Attention toutefois lors de vos évaluations à ne pas comparer les performances d’un même SED avec le chiffrement activé puis désactivé : dans tous les cas le disque sera toujours chiffré car c’est simplement l’accès au disque qui est protégé. Vos mesures seront donc quasi-identiques. La comparaison doit s’effectuer entre un disque non-chiffrant et un SED.

Financièrement le sur-coût d’un disque chiffrant est minime. L’étude du CNRS l’a évalué à 20 € par machine. Toutefois d’autres coûts doivent être pris en compte, et notamment celui de la migration : ré-imager les disques (plusieurs centaines de giga-octets) de tous les utilisateurs afin de les copier sur les nouveaux SEDs exigera certainement plusieurs jours, voire des semaines, de travail de la part du service IT. Sans compter qu’il faudra ensuite se débarrasser de manière sécurisée des disques orignaux… Enfin, des coûts de support (gestion des clés, reset des disques) doivent être pris en compte.